Retningslinjer for kunstig intelligens (KI) i Helse Vest

Kunstig intelligens er i rask utvikling og blir brukt på fleire område. I Helse Vest kan KI støtte pasientbehandling, administrative prosessar og daglege arbeidsoppgåver. 

Bruk av KI krev gode vurderingar av personvern, informasjonstryggleik, kvalitet, etikk og pasienttryggleik. Medarbeidarar skal bruke KI på ein måte som tek vare på tillit og rettane til den enkelte. Retningslinjene skal støtte gode val ved bruk og utvikling av KI. 

Regelverket for KI er i utvikling. EU (Den europeiske unionen) si KI-forordning stiller krav til risikostyring, dokumentasjon, menneskeleg kontroll, openheit og kompetanse. Helse Vest skal ha felles arbeidsmåtar som støttar trygg og ansvarleg bruk av KI. 

Eit tverrfagleg miljø med kompetanse innan personvern, informasjonstryggleik, jus, datavitskap, arkitektur og KI har bidrege i arbeidet. 

Retningslinjene blir oppdaterte ved behov, basert på ny teknologi, erfaringar frå verksemdene og endringar i regelverket. 

Kunstig intelligens (KI) er eit samleomgrep for teknologi som kan analysere data, finne mønster, lage forslag eller generere nytt innhald. KI kan til dømes byggje på algoritmar, maskinlæring, statistiske modellar og språkmodellar. 

All bruk og utvikling av KI i Helse Vest skal følgje gjeldande regelverk, etiske retningslinjer og krav til personvern og informasjonstryggleik. 

KI kan gi risiko for feil, manglande etterprøvbarheit, uklare ansvarsforhold og uønskt behandling av personopplysningar. Retningslinjene gir felles krav og råd for trygg bruk og utvikling av KI i Helse Vest. 

Grunnlag og formål

Retningslinjene byggjer på råd, regelverk og rettleiing frå mellom anna andre helseføretak, Helsedirektoratet, Digitaliseringsdirektoratet, NAV (Arbeids- og velferdsetaten) og EU si KI-forordning. 

Retningslinjene er eit supplement til Helse Vest sitt styringssystem for informasjonstryggleik og personvern. Målet er at KI skal brukast og utviklast på ein trygg, lovleg og ansvarleg måte, med høg grad av pasienttryggleik. 

Målgruppe

Målgruppa er alle som bruker, utviklar, kjøper inn, vurderer eller forvaltar KI-tenester i Helse Vest. Dette gjeld medarbeidarar, innleigd personell, studentar og andre som utfører arbeid på vegner av Helse Vest. 

Ansvar

 Som leiar skal du

• Gjere retningslinjene kjende for medarbeidarane.
• Sørgje for nødvendig opplæring i bruk av KI.
• Følgje opp at retningslinjene blir følgde.

  Som medarbeidar skal du

• Følgje retningslinjene for bruk av KI.
• Kvalitetssikre innhald frå KI før det blir brukt eller delt.

Helse Vest har fleire typar KI-tenester. Microsoft Copilot Chat er tilrådd for generell administrativ bruk av generativ KI når medarbeidaren er innlogga med Helse Vest-konto og datavern er aktivert. For enkelte prosjekt kan Helse Vest bruke eigne lukka KI-løysingar når løysinga er vurdert og godkjend for formålet. Ta kontakt med KI-teamet i Helse Vest IKT for meir informasjon. 

For Microsoft Copilot Chat betyr innlogga modus at medarbeidaren bruker Helse Vest-konto og at datavern er aktivert. Tenesta skal brukast i tråd med reglane for Microsoft 365, personvern og informasjonstryggleik. Andre KI-tenester kan ha eigne vilkår for lagring, deling og bruk av data. 

Bruk berre IT-tenester og KI-tenester som er tilbydde eller godkjende av Helse Vest IKT i jobbsamanheng. Opne KI-tenester er ikkje tilrådde i jobbsamanheng dersom dei ikkje er vurderte og godkjende av Helse Vest. Ikkje del teiepliktig informasjon i opne KI-tenester. 

Omgrepet opne KI-tenester refererer vanlegvis til kunstig intelligens-løysingar som er fritt tilgjengelege. Dette inkluderer mellom anna: 

• Generative KI-verktøy som ChatGPT, Perplexity, Grok og Google Gemini 
• Automatiserte omsetjingstenester som Google Translate eller DeepL 
• Bilet- og talegjenkjenning i eksterne appar og nettenester 
• Tilrådingssystem i strøymetenester, nettbutikkar og sosiale medium 

Digitaliseringsdirektoratet rår offentleg sektor til å vurdere opne KI-tenester nøye før bruk. 

• Personvern og informasjonstryggleik 
• Etisk forsvarlegheit 
• Openheit og sporbarheit 
• Risiko for diskriminering eller skeivskap 

Opne KI-tenester kan ha ulik praksis for lagring, deling og bruk av data. Del berre informasjon som tenesta er godkjend for å behandle. 

I offentleg sektor og helsetenesta skal opne KI-tenester vurderast særleg nøye dersom dei behandlar personopplysningar eller blir brukte i avgjerdsprosessar som påverkar enkeltpersonar. Då gjeld krav til dokumentasjon, risikovurdering og etterleving av regelverk. Kontakt næraste leiar, personvernressurs eller eHåndboken dersom du treng meir informasjon. 

Lukka KI-tenester er KI-løysingar som er utvikla av Helse Vest IKT, eller der Helse Vest IKT har inngått avtale om ei løysing som skal brukast i verksemdene i Helse Vest. 

Dersom løysinga inneber at ein leverandør behandlar personopplysningar på vegner av verksemdene i Helse Vest, skal dette regulerast i ein databehandlaravtale. Avtalen skal gi klare rammer for tilgang, lagring, bruk og sletting av personopplysningar. Leverandøren skal ikkje bruke personopplysningar til eigne formål. 

Utlevering av personopplysningar til leverandørar skal følgje etablerte prosedyrar, til dømes risiko- og sårbarheitsvurdering (ROS) og personvernkonsekvensvurdering (DPIA). 

Lukka KI-tenester gir betre kontroll over dataflyt og reduserer risikoen for uautorisert deling eller gjenbruk av teiepliktig informasjon. Desse tenestene kan brukast i behandling, avgjerdsstøtte og administrative prosessar når dei er vurderte, godkjende og dokumenterte. 

Kliniske KI-tenester er KI-tenester som blir brukte til medisinske formål, til dømes i pasientbehandling, diagnostikk, prioritering eller klinisk avgjerdsstøtte. Slike tenester kan vere medisinsk utstyr og skal oppfylle krav til godkjenning, dokumentasjon, drift, tryggleik og oppfølging. Kliniske KI-tenester skal berre brukast i godkjende oppsett i Helse Vest. 

For eigenutvikla kliniske KI-tenester gjeld eigne krav til vurdering, dokumentasjon og eventuell CE-merking. CE-merking viser at eit produkt oppfyller krav i EU- og EØS-regelverk. Dette skal avklarast før tenesta blir brukt i pasientbehandling. 

Generativ KI kan brukast til å lage, bearbeide og samanstille innhald, til dømes tekst, bilete, lyd, video, møteoppsummeringar og utkast til dokument. Tenesta kan støtte mange arbeidsoppgåver, men skal brukast innanfor tydelege rammer for personvern, informasjonstryggleik, kvalitet og ansvar. 

Før du bruker ei generativ KI-teneste, skal du vurdere om tenesta passar til oppgåva, kva informasjon som blir behandla, og om tenesta er godkjend for formålet. Microsoft 365, Microsoft Copilot Chat, Copilot Premium, KI-funksjonar i Teams og transkripsjon skal brukast som støtte i administrative arbeidsprosessar. Dei skal ikkje erstatte pasientjournal, kliniske fagsystem eller sak- og arkivsystem. 

Bruk berre KI-tenester som er godkjende for den aktuelle informasjonstypen. Opne KI-tenester skal ikkje brukast til personopplysningar, teiepliktige opplysningar eller verksemdkritisk informasjon. Andre KI-tenester kan brukast når dei er vurderte og godkjende for formålet. 

Tydelege instruksjonar gir betre svar. Skriv kva du ønskjer hjelp til, kva format svaret skal ha, kven teksten er meint for, og kva avgrensingar KI-tenesta skal følgje. Unngå å leggje inn meir informasjon enn nødvendig. 

KI-generert innhald kan innehalde feil, manglar, skeivskap eller oppdikta kjelder. Kontroller innhaldet mot kjelder, fagkunnskap eller etablerte rutinar før du bruker, deler eller lagrar det. 

Bruk ikkje generativ KI som einaste grunnlag for faglege, administrative, juridiske eller organisatoriske avgjerder. Medarbeidaren har ansvar for innhaldet og for korleis det blir brukt vidare. 

Ver merksam på at samtalar, instruksjonar og svar frå KI kan vere del av dokumentasjon eller innsynsvurderingar. Informasjon som skal dokumenterast, bevarast eller journalførast, skal førast i rett system. 

Oppgi bruk av KI når det er relevant for mottakaren, saka eller dokumentasjonen. Merk bilete, lyd, video og tekst tydeleg dersom innhaldet kan oppfattast som ekte, eller dersom openheit er nødvendig for tillit og etterprøvbarheit. 

KI-tenester som blir brukte til medisinske formål, kan vere ein del av medisinsk utstyr eller klinisk avgjerdsstøtte. Medarbeidarar skal følgje opplæring, etablerte rutinar og lokale krav for den aktuelle tenesta. 

Når du bruker kliniske KI-tenester, gjeld dette: 

• Helsepersonell har ansvar for forsvarleg helsehjelp og den endelege faglege vurderinga. 
• Kontroller resultat frå KI-tenesta før dei blir brukte i vurderingar, dokumentasjon eller vidare behandling. 
• Vurder risiko for feil, skeivskap og ulik behandling. 
• Bruk ikkje KI-tenester til medisinske formål utan nødvendig godkjenning og dokumentasjon. 
• Avklar krav til CE-merking for eigenutvikla kliniske KI-tenester før dei blir brukte i pasientbehandling. 

Generativ KI skal brukast innanfor tydelege rammer for personvern, informasjonstryggleik og etisk forsvarleg bruk. 

Behandling av personopplysningar, også ved bruk av KI, skal gjennomførast i tråd med regionalt styringssystem for informasjonstryggleik og personvern. 

KI-assistentar er KI-tenester som kan støtte medarbeidarar i daglege arbeidsoppgåver. Dei kan til dømes brukast til rettskriving, klarspråk, idéutvikling, søk, oppsummering, strukturering av informasjon og utkast til tekst. 

Microsoft Copilot Chat er tilrådd for generell administrativ bruk av generativ KI i Helse Vest. Tenesta skal brukast i innlogga modus med Helse Vest-konto, slik at datavern er aktivert. Copilot Premium og andre KI-funksjonar i Microsoft 365 skal brukast i tråd med gjeldande retningslinjer for Microsoft 365, personvern, informasjonstryggleik og rett systembruk. 

Før du brukar ein KI-assistent, skal du vurdere om tenesta er godkjend for formålet, kva informasjon du legg inn, og om Microsoft 365 eller ei anna godkjend KI-teneste er rett stad for oppgåva. Ikkje legg inn personopplysningar, teiepliktige opplysningar eller verksemdkritisk informasjon i tenester som ikkje er godkjende for dette. 

Svar frå KI-assistentar kan innehalde feil, manglar, skeivskap eller misvisande informasjon. Medarbeidaren skal kontrollere innhaldet mot kjelder, fagkunnskap eller etablerte rutinar før det blir brukt, delt eller lagra. 

Oppgi bruk av KI når det er relevant for mottakaren, saka eller dokumentasjonen. Dersom KI-assistenten berre er brukt som støtte til rettskriving, klarspråk eller struktur, treng teksten normalt ikkje merkast, så lenge medarbeidaren sjølv har vurdert og kvalitetssikra innhaldet. 

Bilet, lyd, video og KI 

Dersom KI blir brukt til å lage bilete, lyd eller video, skal det vere tydeleg for mottakaren at KI er brukt. Dette gjeld særleg når innhaldet kan oppfattast som ekte, eller når det blir delt, publisert eller brukt vidare i arbeid. 

Tekst skal merkast når KI har laga store delar av innhaldet, eller når mottakaren treng å vite at KI er brukt. Dette kan gjelde publisert innhald, rapportar, avgjerdsgrunnlag eller anna innhald der openheit, tillit og etterprøvbarheit er nødvendig. 

Tekst treng normalt ikkje merkast dersom KI berre er brukt som støtte til rettskriving, klarspråk, struktur, omformulering eller idéutvikling, og medarbeidaren sjølv har vurdert og kontrollert innhaldet. 

Merk innhaldet på ein enkel og synleg måte, til dømes: «Biletet er generert av [namn på KI-teneste]», «Lydopptaket er generert av [namn på KI-teneste]» eller «Teksten er utarbeidd med støtte frå KI og kontrollert av [namn]». 

Bruk ikkje KI til å lage bilete, lyd eller video som kan forvekslast med ekte personar, eller som kan gi inntrykk av at ein faktisk person har sagt eller gjort noko som ikkje stemmer. 

Legg ikkje inn materiale som er verna av opphavsrett i generative KI-tenester, med mindre du har rett til å bruke materialet på denne måten. Dette gjeld til dømes bøker, musikk, kunstverk, bilete, film, lydopptak og liknande. 

KI-verktøy i utvikling 

Godkjende KI-verktøy kan brukast som støtte i systemutvikling og programmering. Forslag frå KI skal gjennomgåast, forståast, testast og vurderast før dei blir brukte. Bruk av KI endrar ikkje krava til kodekvalitet, informasjonstryggleik, testing eller fagleg ansvar. 

Hovudprinsipp for bruk av KI-verktøy i systemutvikling 

• Bruk berre godkjende verktøy. Bruk berre KI-verktøy som er godkjende av Helse Vest for systemutvikling. Per august 2026 er GitHub Copilot Business godkjend for bruk i systemutvikling. Kontakt næraste leiar eller Kundesenteret ved Helse Vest IKT dersom du er usikker. 
• Del ikkje sensitive opplysningar eller interne tilgangsdata. Del ikkje passord, nøklar, token, sertifikat, konfigurasjonar, interne systemdetaljar eller liknande med KI-tenester. Dette gjeld også anonymiserte data og testdata dersom dei kan knytast til enkeltpersonar eller interne system. 
• Utviklaren har ansvar for eigen kode. Utviklaren er ansvarleg for koden som blir levert, uavhengig av om han er skriven manuelt eller med støtte frå KI. 
• Bruk ordinær kodegjennomgang. KI-generert kode skal gå gjennom ordinær kodegjennomgang på same måte som annan kode. Gjennomgangen skal sikre at koden er forstått, fungerer som tiltenkt og oppfyller krav til kvalitet, tryggleik og vedlikehald. 

Ta kontakt med næraste leiar eller Kundesenteret ved Helse Vest IKT dersom du er usikker på bruk av KI-verktøy i systemutvikling eller vurdering av KI-generert kode. 

Helse Vest har fleire godkjende løysingar for transkripsjon og samandrag. Kva løysing som kan brukast, kjem an på formålet med møtet eller samtalen, kven som skal bruke tenesta, og kva type informasjon som blir behandla. Transkripsjon og KI-genererte samandrag skal støtte arbeidet med oppsummering, notat, handlingspunkt og oppfølging. Dei skal ikkje erstatte faglege vurderingar, kvalitetssikring, formelt referat, journalføring eller dokumentasjon i etablerte system. 

• Taler.ihelse.net: Kan brukast til interne møte og samtalar i Helse Vest, også når samtalen kan innehalde sensitivt innhald. All databehandling skjer på Helse Vest sine eigne serverar. Tenesta er godkjend for interne samtalar og forsking, men skal ikkje brukast til samtalar mellom pasient og behandlar i samband med pasientbehandling. Leiar kan bestille tilgang for medarbeidarar. Direkte opptak blir sletta etter 36 timar, og transkripsjon frå opplasta lydfiler blir sletta etter 7 dagar. 

• Microsoft 365 Copilot Premium: Kan brukast til administrative møte i Microsoft 365. Alle medarbeidarar kan ta opptak av møte, men berre medarbeidarar med Copilot-lisens kan slå på transkripsjon. Tenesta er aktuell for medarbeidarar som har stor nytte av KI-funksjonar i Microsoft 365. Dersom behovet berre er transkripsjon av møte, er Taler.ihelse.net eit kostnadsfritt alternativ. Transkripsjonar i Microsoft 365 blir automatisk sletta etter 60 dagar. 

• Tale til utkast (TTU): Kan brukast til transkripsjon og utkast til notat frå pasientbehandling når gjeldande prosedyre for klinisk bruk blir følgd. TTU er ei løysing for transkripsjon og utkast til notat. Tenesta kan også brukast i administrative møte til transkripsjon, oppsummering og støtte til referat for dei som allereie har lisens. TTU kan førebels berre brukast i fysiske møte. TTU-transkripsjonar og KI-genererte samandrag blir automatisk sletta etter 36 timar. 

Møteleiar skal vurdere om transkripsjon er eigna før møtet startar. Deltakarane skal få informasjon dersom transkripsjon eller KI-genererte samandrag blir brukt. Møteleiar skal stoppe transkripsjonen dersom møtet kjem inn på innhald som ikkje er eigna for den valde løysinga. 

Transkripsjonar, møtenotat og KI-genererte samandrag skal kontrollerast før dei blir brukte, delte eller lagra. Informasjon som skal dokumenterast, bevarast eller journalførast, skal førast i rett system. Innhald som ikkje lenger er nødvendig for formålet, skal slettast i tråd med gjeldande rutinar og slettereglar for den aktuelle tenesta. 

Medarbeidarar og møteleiarar skal kjenne gjeldande bruksreglar før tenesta blir brukt. Kontakt næraste leiar dersom du er usikker på kva løysing som passar, korleis du får tilgang, eller kvar du finn gjeldande retningslinjer og opplæring. 

Agentar er KI-tenester som kan setjast opp for bestemte oppgåver, med eigne instruksjonar og avgrensa kunnskapskjelder. Døme på aktuelle oppgåver er rettskriving etter klarspråksprinsipp, søk i eigne dokument, støtte til å finne fram i SharePoint og oppsummering frå godkjende kunnskapskjelder. 

Agentar skal brukast som støtte i arbeidet, ikkje som avgjerdstakarar. Ein agent skal berre ha tilgang til informasjon han treng for å løyse oppgåva, og berre til informasjon agenten er godkjend for å behandle. 

Svar frå agentar kan innehalde feil, manglar eller misvisande informasjon. Når ein agent hentar inn eller oppsummerer informasjon, skal medarbeidaren kontrollere svaret mot kjelda før informasjonen blir brukt vidare. 

Før ein delt agent blir teken i bruk, skal det vurderast om formål, tilgangar, kunnskapskjelder, instruksjonar, personvern og informasjonstryggleik er tilstrekkeleg avklart. Medarbeidarar som utviklar eller brukar agentar, skal ha nødvendig opplæring i korleis agentar fungerer, korleis kunnskapskjelder blir definerte, og korleis svar frå agentar skal vurderast. 

Ikkje-generativ KI omfattar algoritmar og modellar som ikkje lagar nytt innhald, men som analyserer data, finn mønster, gir prediksjonar eller støttar vurderingar. Slike tenester kan vere ein del av både kliniske og administrative prosessar. 

Ikkje-generativ KI kan til dømes brukast til klinisk avgjerdsstøtte, analyse av bilete, prioritering, risikovurdering eller andre avgrensa oppgåver der målet er å støtte ei fagleg vurdering. 

KI-tenester for klinisk avgjerdsstøtte blir rekna som kliniske KI-tenester når dei blir brukte til medisinske formål. Då gjeld krav til godkjenning, dokumentasjon, oppfølging og menneskeleg kontroll. 

Avgjerder som påverkar pasientar, medarbeidarar eller andre enkeltpersonar, skal ikkje byggje på KI åleine. Ein ansvarleg fagperson skal kunne forstå, kontrollere og overprøve resultatet. 

Bruk av ikkje-generativ KI krev forklarbarheit, etterprøvbarheit og dokumentasjon som er tilpassa risikoen ved tenesta. Det skal gå fram kva tenesta skal brukast til, kva data ho byggjer på, kven som har ansvar, og korleis resultat blir kontrollerte. 

Før ei ikkje-generativ KI-teneste blir teken i bruk, skal det gjennomførast nødvendige vurderingar av personvern, informasjonstryggleik, kvalitet og risiko. Dersom tenesta behandlar personopplysningar eller blir brukt i samanhengar med høg risiko, skal behovet for personvernkonsekvensvurdering vurderast. 

Utvikling og utprøving av KI-løysingar i Helse Vest skal følgje prinsippa for trygg, lovleg og ansvarleg KI. Før arbeidet startar, skal formål, datagrunnlag, ansvar, risiko og plan for bruk vere avklart. Dersom løysinga behandlar personopplysningar, skal det vurderast om bruken er i tråd med det opphavlege formålet for innsamlinga, og om det er behov for personvernkonsekvensvurdering. Det skal dokumenterast korleis grunnleggjande personvernprinsipp, informasjonstryggleik, dataminimering, forklarbarheit, etterprøvbarheit og menneskeleg kontroll blir varetekne. Sjå også Regelverket for utvikling av kunstig intelligens.