Hvordan bør informasjonen være tilpasset pasientene?

Informasjon til pasienten er også en grunnleggende forutsetning for god helsehjelp, og i mange tilfeller vil kravene i personvernlovgivningen og helselovgivningen sammenfalle og utfylle hverandre, men det er også noen forskjeller som vil vil belyse. Ved bruk av et klinisk beslutningsstøttesystem, vil behandler ha en sentral oppgave når det gjelder å formidle relevant informasjon til pasienten.

Informasjonskrav i utviklingsfasen

Personvernforordningens artikkel 13 og 14 pålegger den behandlingsansvarlige en informasjonsplikt ved innsamling og bruk av personopplysninger til utvikling av algoritmer. Artikkel 13 gjelder for opplysninger som er samlet inn fra den registrerte selv, mens artikkel 14 regulerer tilfeller der opplysningene er samlet inn fra andre kilder, eksempelvis fra en tredjepart eller offentlig tilgjengelige opplysninger.

I dette prosjektet vil personopplysningene være samlet inn fra andre kilder enn den registrerte. Opplysningene hentes fra journalsystemet og er opplysninger som sykehuset har generert gjennom diagnoser, registrering av opphold m.m. Det vil derfor være artikkel 14 i personvernforordningen som angir hvilken informasjon pasientene skal motta. 

Opplysninger som brukes er personspesifikk innleggelseshistorikk fra nærmere 400 000 pasienter hvor det trekkes ut følgende data til trening:

• kjønn
• alder
• antall liggedøgn
• tidligere reinnleggelser
• hoved- og bidiagnoser
• liggetid på sykehuset

Det kan være svært ressurskrevende å gi informasjon om dette individuelt.

I artikkel 14 nr. 5 bokstav a til c er det gitt noen unntak fra hovedregelen. Dersom den registrerte allerede har informasjonen, det viser seg umulig å gi nevnte informasjon eller det vil innebære en uforholdsmessig stor innsats, kan det gjøres unntak.  Det samme gjelder dersom innsamling eller utlevering er uttrykkelig fastsatt i unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og som inneholder egnede tiltak for å verne den registrertes berettigede interesser.

Det er grunn til å nevne at hpl § 29 oppstiller blant annet søknadsplikt til helsedirektoratet, krav til dataminimering og taushetsplikt som er egnede tiltak.

I dette prosjektet vil bokstav b og c kunne få anvendelse under utviklingsfasen.

Det skal imidlertid alltid være forutsigbart for den enkelte at opplysningene benyttes til utvikling av KI, jf. artikkel 12 nr. 1 og det generelle prinsippet om åpenhet i artikkel 5 nr. 1 bokstav a. Dette kan ivaretas ved at generell informasjon om behandlingen publiseres på et offentlig tilgjengelig område, for eksempel nettsiden til virksomheten/dataansvarlig. Dette er spesielt viktig for å bygge tillit når ny teknologi som for eksempel kunstig intelligens tas i bruk. Ved anvendelse av algoritmen, i tråd med åpenhetsprinsippet, vil Helse Bergen HF presentere datagrunnlaget, resultat og eventuell usikkerhet knyttet til den enkelte pasient i et journalnotat som legges i pasientens journal, og som pasienten kan se på helsenorge.no

Hvilken informasjon skal gis i utviklingsfasen?

Det kan gis generell informasjon om bruk av innsamlede journalopplysninger til utvikling av KI. Det er da viktig at denne informasjonen blir tilgjengelig for de registrerte før viderebehandlingen gjøres.

Når det behandles personopplysninger i utvikling av KI-systemer, er det særlig viktig å gi informasjon om:

• hvilke typer av personopplysninger som behandles
• hva formålet med utviklingen av algoritmen er
• hva som skjer med opplysningene etter at utviklingen er avsluttet
• hvor opplysningene er samlet inn fra
• i hvilken grad KI-modellen behandler personopplysninger og om det er iverksatt tiltak i form av pseudonymisering av opplysningene

Opplysninger om å motsette seg bruk til utvikling?

Kunstig intelligens er en ny teknologi, og det kan av ulike årsaker være grunner til at pasienter ikke ønsker at egne helsedata skal bli brukt til å utvikle KI-verktøy. Det bør gis generell informasjon om at pasienter har rett til å motsette seg at egne helseopplysninger benyttes inn i et KI-verktøy. Også dette kan det opplyses om for eksempel på virksomhetens/dataansvarligs nettside.

Retten til å motsette seg at egne helseopplysninger benyttes inn i et KI-verktøy følger av pasientjournalloven § 7, jf. § 17, og pasient- og brukerrettighetsloven § 5-3.

Retten til å protestere etter personvernforordningen artikkel 21 gjelder ikke for behandlingsrettede helseregistre med rettslig grunnlag i artikkel 6 nr. 1 bokstav c.

Informasjonskrav i anvendelsesfasen

I anvendelsesfasen vil kravene som stilles til informasjon avhenge av om KI-modellen brukes som en beslutningsstøtte eller i helautomatiserte beslutninger.

For automatiserte avgjørelser som har rettsvirkning eller i betydelig grad påvirker en person, gjelder det særlige krav til informasjon. Hvis en behandling kan kategoriseres som en automatisert avgjørelse etter artikkel 22, stilles det ekstra krav til åpenhet, jf. artikkel 13 nr. 2 bokstav f. og artikkel 14 nr. 2 bokstav g:

• informasjon om at vedkommende blir utsatt for en automatisert avgjørelse
• informasjon om retten til ikke å være gjenstand for en automatisert beslutning etter artikkel 22
• meningsfull informasjon om den underliggende logikken i KI-systemet
• betydningen, og de forventede konsekvensene, av å bli utsatt for en automatisert avgjørelse

Selv om det ikke er et uttrykkelig krav om å gi den registrerte slik tilleggsinformasjonen når KI-systemet brukes som et beslutningsstøtteverktøy, anbefaler Datatilsynet at det også gis tilleggsinformasjon i disse tilfellene, spesielt når det foretas en profilering som bruker helseopplysninger. Det støttes av artikkel 14 nr. 2 bokstav g sammenholdt med artikkel 12 nr. 1 og fortalepunkt 60. Det er også i tråd med retningslinjer fra Det europeiske personvernrådet (EDPB), se side 25 hvor det også er det gitt veiledning om hva en meningsfull forklaring om logikken kan inneholde.

En meningsfull forklaring er ikke bare avhengig av tekniske og juridiske krav, men også språklige og designmessige vurderinger. Det må vurderes hvilken målgruppe forklaringen retter seg mot, i dette tilfellet både helsepersonell og pasienter.

I mange tilfeller er ikke en kompleks matematisk forklaring om hvordan algoritmen eller maskinlæringen fungerer veien å gå. Dataansvarlig kan heller fokusere på at informasjonen skal være klar og forståelig for den registrerte, ved for eksempel å informere om:

• kategoriene av data som har blitt eller vil bli brukt i profilerings- eller beslutningsprosessen
• hvorfor disse kategoriene anses som relevante
• hvordan en profil som brukes i den automatiserte beslutningsprosessen er bygget opp, inkludert eventuell statistikk som brukes i analysen
• hvordan den brukes til en avgjørelse som angår den registrerte

Slik informasjon vil generelt være mer relevant for den registrerte og bidrar til større åpenhet i behandlingen. Det kan også være nyttig å vurdere visualisering og interaktive teknikker for å hjelpe til med åpenhet om hvordan algoritmen fungerer.

Denne informasjonen vil også være nyttig for helsepersonellet for å bygge tillit til løsningen og sikre en reell vurdering av resultatet.

For offentlige virksomheter vil det også kunne gjelde andre krav til informasjon om begrunnelsen av automatiserte beslutninger, for eksempel krav til begrunnelse etter forvaltningsloven eller lovgivningen som gjelder for den enkelte sektor.

Informasjon i etterlæringsfasen

Når det gjelder bruk av innhentede personopplysninger i anvendelsesfasen til etterlæring av KI, vil kravet til informasjon sammenfalle med kravet til informasjon ved første gangs innhenting til utvikling av KI og for anvendelsesfasen.

I denne løsningen er det skissert en periodisk etterlæring, og kravene vil da være som for utviklingsfasen.

Hvilke informasjonskrav finnes i helselovgivningen?

Helsepersonell har lovpålagt plikt til å gi pasientene informasjon, og pasienter har rett til å motta informasjon som kan ivareta kravet til åpenhet.

Det følger av pasient- og brukerrettighetsloven § 4-1 at et samtykke til helsehjelp bare er gyldig dersom pasienten ha fått nødvendig informasjon om sin helsetilstand og innholdet i helsehjelpen. Det samme kan utledes av helsepersonelloven § 4 om krav til forsvarlig og omsorgsfull helsehjelp.

Videre følger det av pasient- og brukerrettighetsloven § 3-2 at pasienten skal ha den informasjon som er nødvendig for å få innsikt i sin helsetilstand og innholdet i helsehjelpen. Pasienten skal også informeres om mulige risikoer og bivirkninger.

Disse pliktene innebærer at det skal gis informasjon så langt det er nødvendig for at pasienten skal ha innsikt i innholdet i helsehjelpen.

Vår vurdering er at beslutningsstøtteverktøyet som Helse Bergen HF har utviklet ikke representerer høy risiko for den registrertes rettigheter og friheter og skal behandles på samme måte som andre tekniske og medisinske hjelpemidler (blodtrykksmåler, røntgen, blodprøve, osv.) når det gjelder hvilken informasjon som skal meddeles. Informasjon vil bli gitt og vurdert av helsepersonell, som også fatter den endelige beslutningen.

Forslag til journalnotat

En meningsfull forklaring er ikke bare avhengig av tekniske og juridiske krav, men også språklige og designmessige vurderinger. Det må vurderes hvilken målgruppe forklaringen retter seg mot, noe som vil kunne innebære en forskjell i hvilken forklaring som gis til henholdsvis helsepersonell og pasienter. Hvis forklaringene fremstår som standardiserte så vil det kunne svekke betydningen av dem i en beslutningsprosess. Samfunnsmessige forhold som tillit til virksomheten, skårens betydning og tilliten til KI-systemer generelt vil også kunne påvirke opplevelsen av en meningsfull forklaring.

Informasjon fra helsepersonell til pasienter må derfor tilpasses, noe som også kan være aktuelt for journalnotater for å formidle informasjon på en forståelig måte. Her er eksempler på hvordan journalnotater kan utformes: