Vård-AI i Sverige: sex regelverk att kontrollera före användning

1. Börja med produktens medicinska syfte

En programvara med medicinskt ändamål kan vara en medicinteknisk produkt enligt MDR eller IVDR. Klassificeringen beror på vad tillverkaren säger att produkten ska användas till.

Ett verktyg som bara transkriberar kan bedömas annorlunda än ett system som bearbetar patientdata för att stödja diagnos eller behandling. Funktion och marknadsföring måste stämma överens.

Läkemedelsverket inledde 2026 tillsyn av så kallade ambient scribes. Granskningen visar att även dokumentationsverktyg behöver bedömas utifrån sitt verkliga medicinska innehåll.

2. CE-märkning löser inte alla frågor

Om systemet är en medicinteknisk produkt ansvarar tillverkaren för rätt klassificering, riskhantering, klinisk utvärdering och bedömning av överensstämmelse.

CE-märkningen visar att produkten får släppas ut på marknaden för sitt avsedda ändamål. Vårdgivaren måste ändå bedöma om den kan införas säkert i den egna verksamheten.

I juni 2026 utsåg regeringen bland annat Läkemedelsverket till nationell behörig myndighet enligt AI-förordningen. Det knyter tillsynen närmare det medicintekniska regelverket.

3. Hälsodata kräver en egen riskbedömning

Hälsouppgifter är en särskild kategori personuppgifter enligt GDPR. Vårdgivaren behöver rättslig grund, tydliga ändamål, dataminimering och kontroll över vilka aktörer som behandlar uppgifterna.

En konsekvensbedömning, DPIA, krävs när behandlingen sannolikt innebär hög risk. Storskalig hälsodata och ny teknik är faktorer som ofta gör bedömningen nödvändig.

För vissa högrisksystem kan AI-förordningen dessutom kräva en bedömning av påverkan på grundläggande rättigheter. Kraven behöver samordnas, inte behandlas som samma dokument.

4. Journal och åtkomst måste vara spårbara

HSLF-FS 2016:40 reglerar journalföring och behandling av personuppgifter i vården. Kraven gäller även när text eller struktur har tagits fram med hjälp av AI.

Det måste gå att se vem som har granskat och godkänt journalinnehållet. Åtkomst ska styras, loggas och följas upp enligt de regler som gäller för vårdgivarens system.

Ett AI-utkast bör därför hållas isär från signerad journaltext tills en behörig användare har kontrollerat innehållet.

5. Ansvar finns på flera nivåer

Vårdgivaren ansvarar för organisation, rutiner och patientsäkerhet. Legitimerad personal har ett eget yrkesansvar. Tillverkaren ansvarar för att produkten uppfyller de krav som gäller för dess avsedda ändamål.

Ett felaktigt AI-underlag flyttar inte automatiskt allt ansvar till läkaren. Bedömningen beror på om felet låg i produkten, införandet, arbetsflödet eller den kliniska användningen.

Rutinerna bör ange vem som granskar, hur avvikelser rapporteras och när användningen ska stoppas. Det ska också gå att rekonstruera vad som hände.

6. Kontrollera AI-förordningens aktuella tidslinje

EU:s AI-förordning trädde i kraft 2024 och tillämpas stegvis. Regler för förbjudna metoder och generella AI-modeller började gälla tidigare än högriskreglerna.

Europaparlamentet antog i juni 2026 sin ståndpunkt om Digital Omnibus. Den anger 2 december 2027 för vissa fristående högrisksystem och 2 augusti 2028 för system i reglerade produkter.

Lagstiftningsstatus och slutlig lydelse behöver kontrolleras vid varje införande. MDR, GDPR, journalregler och patientsäkerhetskrav gäller oavsett övergången till de nya AI-reglerna.