Bekendtgørelsen fastsætter regler for behandling af personoplysninger til brug for elektroniske beslutningsstøtteværktøjer — herunder AI-systemer — ved patientbehandling. Den skaber retsgrundlag for, at dataansvarlige kan indhente og anvende oplysninger fra over 140 sundhedsregistre og databaser (bilag 1) til udvikling og drift af beslutningsstøtte, og præciserer krav til pseudonymisering, dataminimering og adgangskontrol. Bekendtgørelsen træder i kraft den 15. januar 2026.
Indenrigs- og Sundhedsministeriet har sendt et udkast til en ny bekendtgørelse i høring. Bekendtgørelsen udmønter dele af sundhedsloven (§ 42 a og § 48 e) og har til formål at skabe en klar juridisk ramme for anvendelsen af personoplysninger i beslutningsstøtteværktøjer, herunder løsninger baseret på kunstig intelligens (AI).
Reglerne skal muliggøre, at autoriserede sundhedspersoner kan indhente og behandle oplysninger fra både patientbehandlingen og nationale sundhedsregistre for at støtte diagnostik og behandling i konkrete patientsituationer. Samtidig fastsættes der regler for udvikling og drift af disse værktøjer.
Bekendtgørelsen afgrænser præcist, hvilke data der må anvendes. Dette er reguleret via et dynamisk Bilag 1, som indeholder en udtømmende liste over godkendte registre, databaser og systemer.
"For at sikre, at omfanget af datadelingen er klart defineret og begrundet, er der udarbejdet et bilag 1 til bekendtgørelsen, der udtømmende oplister de danske registre, databaser, datasæt og patientjournalsystemer m.v., hvorfra der kan indhentes og behandles personoplysninger"
Bilaget omfatter blandt andet:
Et centralt element i bekendtgørelsen er reguleringen af udviklingsfasen. Dataansvarlige får hjemmel til at bruge oplysninger til at:
Der stilles strenge krav til databeskyttelse i denne fase:
Når værktøjerne tages i brug (drift), gælder der specifikke regler for både den dataansvarlige leverandør og den sundhedsperson, der bruger værktøjet.
| Aktør | Ansvar og forpligtelser |
|---|---|
| Den dataansvarlige | Må som udgangspunkt kun videregive data i pseudonymiseret form. Skal sikre kryptering og logning. |
| Ledelsen | Skal give tilladelse til adgang og instruere personalet. |
| Sundhedspersonen | Må kun indhente data, når det er nødvendigt for en konkret patientbehandling. |
Selvom hovedreglen er pseudonymitet, indeholder § 12, stk. 7 en vigtig undtagelse. Hvis systemet identificerer en alvorlig livstruende sygdom hos en patient, hvor behandling er nødvendig af hensyn til vitale interesser, kan pseudonymiseringen brydes:
"Hvis der i forbindelse med behandling af oplysninger [...] fremkommer oplysninger om, at en registreret lider af alvorlig livstruende eller klart alvorlig sygdom [...] kan den autoriserede sundhedsperson indhente og behandle supplerende oplysninger, således at personoplysningerne kan henføres til en bestemt fysisk person."
Bekendtgørelsen stiller krav om højt sikkerhedsniveau, herunder:
Reglerne er sat til at træde i kraft den 15. januar 2026. Høringsfristen er den 14. januar 2026 (bemærk datoerne i dokumenterne ligger meget tæt, hvilket kan skyldes en skrivefejl i udkastet eller en kort implementeringsfase efter høring).
