Läser in
AI Act · SektorNIS2 Bilaga I · väsentlig
- BilagaI
- TillsynIVO
AI-förordningen (AI Act) för hälso- och sjukvård: Krav på svenska sjukhus och regioner
- Sprint
- 79 000 kr engång
- Högrisk-andel
- 70 procent
- Granskningsklar
- 60 dagar / pengarna tillbaka
Översikt
Vad AI-förordningen innebär för sektorn
Sjukhus, regioner och privata vårdgivare är deployers av medicinska AI-system och ibland även providers om de tränar egna modeller på lokala data. IVO är sektorsmyndighet för vård. Läkemedelsverket reglerar medicintekniska produkter. Vid implantat eller SaMD aktiveras MDR:s krav parallellt med AI-förordningen.
Skillnaden mot andra sektorer: patientens säkerhet är direktverkande och påverkas av AI-beslut i realtid. Art. 14 mänsklig översyn är därför inte en administrativ dokumentationsfråga utan en klinisk arbetsprocess.
Klassificering
Bilaga III-punkter som gäller sektorn
| Punkt | Tillämpning i hälso- och sjukvård |
|---|---|
| III.5a | AI som styr tillgång till offentlig vård, köadministration, akutprioritering |
| III.5c | AI i akut-prioritering (ambulansprioritering, triage) |
| III.1 | Biometri för patientidentifiering |
| III.4 | HR-beslut inom stora sjukhusorganisationer |
AI-system
Typiska AI-system i svenska organisationer
| Användningsområde | Typiska leverantörer | Risknivå |
|---|---|---|
| Bilddiagnostik (röntgen, CT, MR, patologi) | Sectra Amplifier, Siemens Healthineers, GE Healthcare Edison, Paige, Aidoc, PathAI | Hög (MDR plus III.5a) |
| Triage-algoritmer på akutmottagning | Epic Sepsis, Qventus, interna modeller | Hög (III.5a, III.5c) |
| Prediktiva journalsystem och tidig varning | Epic, Cerner, Take Care AI | Hög vid kliniska larm |
| Läkemedelsdosering och interaktionskontroll | First Databank, Cerner Multum, Lexicomp AI | Hög |
| Kliniskt beslutsstöd för diagnos | UpToDate Advanced, IBM Micromedex, Glass Health | Hög |
| Patientflöde och logistik | Qventus, Palantir Foundry Health | Begränsad till hög |
| Taligenkänning och transkription | Nuance Dragon Medical One, Suki, DAX Copilot | Begränsad vid kliniskt beslut |
| Chatbottar för egenvård-rådgivning | Ada Health, Infermedica, K Health | Begränsad till hög |
Tillsyn
Myndigheter som har tillsyn
- IVO: sektorstillsyn för vårdens kvalitet och patientsäkerhet
- Läkemedelsverket: medicintekniska produkter inklusive SaMD enligt MDR
- PTS: föreslagen marknadskontrollmyndighet för AI-förordningen (SOU 2025:101)
- IMY: tillsyn enligt GDPR, inklusive Art. 9 för hälsodata
- Socialstyrelsen: föreskrifter om journalsystem och informationshantering
- NCSC (via cyberportalen): incidentrapportering och samordning
Regelverk
NIS2-överlapp och Cybersäkerhetslagen
Vård är NIS2 Bilaga I. Regioner och större sjukhus är väsentlig entitet. Cybersäkerhetslagen, MDR, AI-förordningen och GDPR Art. 9 skapar fyra regelverk parallellt. MDR kräver tredjepartsbedömning för högrisksystem. AI-förordningen Art. 43 kräver CE-märkning. Båda körs typiskt parallellt på samma leverantör. MDCG 2019-16 reglerar cybersäkerhet för medicinteknik och överlappar med AI-förordningen Art. 15 (provider-krav) samt Art. 26 (deployer-skyldigheter). Ledningens utbildningskrav (CSL 2 kap. 4 §) och förbud att inneha ledningsfunktion (4 kap. 6 §) gäller regionens styrelse.
Risk
Unika risker för AI i sektorn
- Patientsäkerhet vid AI-fel i diagnostik eller läkemedelsdosering
- Bias i triage eller prioritering baserat på kön, ålder, etnicitet eller socioekonomisk status
- Hälsodata är särskild kategori enligt GDPR Art. 9 med strängare regler
- MDR och AI-förordningen parallellt kräver samordning mellan juridik och klinisk funktion
- Kliniskt ansvar när AI stöder beslut: vem bär ansvaret vid felaktig diagnos
Så hjälper CyberKlar
Plattformen för hälso- och sjukvård
Plattformen kombinerar NIS2, MDR-koppling och AI-förordningen: AI-systemregister med kategorier för SaMD, CDS, journalintegrerad AI och administrativ AI. FRIA-flöde anpassat för offentliga vårddeployers (obligatoriskt enligt Art. 27). Integration med MDR-dokumentation. Incidentprocess som skickar till IVO (Lex Maria), Läkemedelsverket, NCSC och IMY. Stöd för regioners obligatoriska publicering av FRIA.
Resultatbaserat
Vad du betalar för i hälso- och sjukvård
Sprint-avgiften 79 000 kr exkl. moms täcker 60 dagars onboarding mot tio mätbara kriterier. Plattformen utvärderar varje natt om sektorns specifika krav är uppfyllda. På dag 60 är ni antingen granskningsklara eller får hela avgiften tillbaka via Stripe.
Sprinten är densamma oavsett sektor och storlek: en avgift, ett resultat. Efter Sprint tar ett löpande paket vid: NIS2 + AI-paketet (60 000 kr per år) samlar NIS2-samordnaren, AI-kompetensregister och AI-systemregister, och tecknas paketet inom 90 dagar från Sprint-start avräknas Sprint-avgiften mot första årsavgiften. Enskilda moduler säljs inte separat. Hela katalogen finns på prissidan.
Vanliga frågor
Frågor vi oftast får från hälso- och sjukvård
01Är medicinsk AI alltid högrisk?
Är medicinsk AI alltid högrisk?
Nära det. De flesta AI-system som påverkar kliniska beslut eller patientens tillgång till vård omfattas av Bilaga III.5a eller III.5c. AI som är inbäddad i medicinteknisk produkt (SaMD) är dessutom reglerad av MDR och klassas som högrisk enligt AI-förordningen Art. 43. Administrativ AI är oftast begränsad eller minimal.
02Räcker MDR-certifiering för efterlevnad av AI-förordningen?
Räcker MDR-certifiering för efterlevnad av AI-förordningen?
Nej. MDR reglerar medicintekniska produkter. AI-förordningen lägger till krav på datakvalitet, klassificering enligt Bilaga III, mänsklig översyn och incidentrapportering till marknadskontrollmyndigheten enligt Art. 73. Producenter måste efterleva båda. Deployers har egen skyldighet enligt Art. 26 oavsett MDR-certifieringen.
03Måste regioner göra FRIA?
Måste regioner göra FRIA?
Ja. Offentliga deployers är skyldiga att genomföra grundläggande rättighetsbedömning enligt Art. 27 innan högrisk-AI tas i bruk. FRIA anmäls till marknadskontrollmyndigheten (PTS föreslagen enligt SOU 2025:101) och delar av den är offentlig enligt Art. 27 punkt 5. Kan samköras med befintlig DPIA.
04Vilken rapportering gäller vid AI-orsakad patientskada?
Vilken rapportering gäller vid AI-orsakad patientskada?
Parallella rapporter: Lex Maria till IVO inom 2 månader, MDR vigilance till Läkemedelsverket inom 15 dagar, allvarlig incident enligt AI-förordningen Art. 73 till marknadskontrollmyndigheten inom 10 dagar vid dödsfall och inom 15 dagar för övriga, Cybersäkerhetslagens rapport till NCSC om cyberaspekt, GDPR Art. 33 inom 72 timmar om personuppgiftsincident.
05Kan vi använda en amerikansk bilddiagnostikmodell?
Kan vi använda en amerikansk bilddiagnostikmodell?
Ja, förutsatt att providern uppfyller Art. 8-15 och att ni som deployer uppfyller Art. 26. Särskilt fokus på datakvalitetskravet: modellen måste vara validerad på population jämförbar med svensk patientbefolkning. Bias-bedömning krävs. Klinisk validering som grund för CE-märkning bör finnas.
06Kan en läkare vara mänsklig översyn enligt Art. 14?
Kan en läkare vara mänsklig översyn enligt Art. 14?
Ja, förutsatt att läkaren har tid, kompetens och befogenhet att ingripa. Utmaningen är tid: en läkare som granskar 200 bilder per dag kan inte verifiera varje enskild AI-analys. Mänsklig översyn blir ett samspel mellan triage, klinisk erfarenhet och dokumentation av avsteg.
Relaterade sektorer
Andra sektorer med liknande krav
Sektorerna nedan delar tillsynsmyndighet, NIS2-bilaga eller regulatorisk profil och kan vara relevanta att läsa parallellt.
Relaterat
Fortsätt med nästa steg
Verifierad mot
- SFS 2025:1506
- EU 2024/1689
- OJ-version