AI i klinikken: tjeklisten før du går i gang

De fleste klinikker, vi taler med, er ikke i tvivl om, at AI kan spare dem tid. De er i tvivl om, hvad de skal have på plads, før de må tage det i brug. Her er listen, og hvad vi gør for at gøre den kortere.

Bemærk: det her er ikke juridisk rådgivning. Det er en praktisk oversigt over det, der skal være på plads, og hvordan Skribler hjælper med det.

Hvorfor overhovedet papirarbejde?

Fordi en konsultation er helbredsoplysninger, og fordi AI-behandling af dem regnes som en høj-risiko-behandling. PLO kræver en konsekvensanalyse, før AI tages i brug, og som høj-risiko-behandling er den påkrævet i henhold til GDPR artikel 35.

Dertil kommer, at den, der behandler data på jeres vegne, skal have en aftale med jer. Og at patienterne skal vide, at det sker.

De fire dokumenter

1. Databehandleraftale (DPA). En aftale efter GDPR artikel 28 mellem klinikken som dataansvarlig og Skribler som databehandler. Den skal underskrives, før I går i gang.

2. Konsekvensanalyse (DPIA). Risikoanalysen efter GDPR artikel 35. PLO klassificerer AI som høj risiko, så den er påkrævet.

3. Patient-information. Patienterne skal informeres om, at der bruges AI, typisk via skiltning eller information i venteværelset.

4. Intern AI-politik. Retningslinjer for personalet, så alle i klinikken ved, hvordan AI må og ikke må bruges.

Tjeklisten

• Konsekvensanalysen er lavet, og den er lavet før første konsultation med AI.
• Databehandleraftalen er underskrevet af en, der kan tegne klinikken.
• Patienterne ved det. Informationen hænger, hvor de kan se den.
• Personalet kender reglerne. Den interne AI-politik er delt, ikke bare gemt.
• I ved, hvor data ligger, og hvor længe. Hos Skribler hostes alt inden for EU, lyden gemmes aldrig på vores servere, og transskription og notat slettes automatisk efter 4 timer.
• I ved, hvem underdatabehandlerne er. Listen er offentlig, og I får 30 dages varsel, hvis der kommer en ny.
• Det er klart, at journalpligten ikke flytter. Skribler er ikke en EHR. Vi er et transient transskriptions- og notatværktøj, og journalen ligger fortsat i jeres eget system.
• I kan fremvise det hele, hvis Datatilsynet kommer på tilsyn.

Sådan klarer wizarden det

Vi byggede en wizard, fordi listen herover godt kan koste en advokatregning og et par eftermiddage. Den gør det i fem trin:

1. Klinik-stamdata: CVR, adresse og DPO-kontakt. Meget er forudfyldt fra jeres indstillinger.
2. Konsekvensanalyse: forhåndsudfyldt DPIA efter artikel 35. I tilføjer jeres egne risici, hvis der er nogen.
3. Databehandleraftale: standard artikel 28-aftale, udfyldt med klinikkens data og den aktuelle liste over underdatabehandlere.
4. Patient-information: klinik-specifik tekst med jeres navn, klar til print eller QR-kode i venteværelset.
5. Underskrift: klinikejer bekræfter bemyndigelse og signerer. Vi co-signerer automatisk og logger hash og tidsstempel.

Det tager omkring ti minutter, det koster ikke noget, og I kan hente hele pakken som PDF, hvis nogen spørger. Skal noget rettes bagefter, f.eks. ny DPO-kontakt eller ny adresse, trækker I pakken tilbage og kører wizarden igen.

Se hvordan compliance-wizarden virker →

Vh Morten og Ole