◆ SÄKERHET
Informationssäkerhet och regelefterlevnad
Edith Care - AI för människonära arbete inom utredning, vård och stöd
Version 3.0 · 2026-08-18
Sammanfattning
Vi förstår att hälso- och sjukvården hanterar samhällets mest känsliga information. Informationssäkerhet och regelefterlevnad har därför varit grundläggande designprinciper från dag ett.
Edith Care är ett dokumentationsstöd - inte ett journalsystem och inte en medicinteknisk produkt. Allt kliniskt innehåll som skapas i Edith Care utgör journalunderlag (utkast) fram till dess att ansvarig legitimerad psykolog granskar, godkänner och överför innehållet till klinikens journalsystem.
VÅRA GRUNDLÄGGANDE SÄKERHETSLÖFTEN
- •All patientdata (databas, AI-behandling, fillagring) lagras och behandlas i Azure Sweden Central
- •All information krypteras, både vid lagring och överföring
- •Full spårbarhet - varje åtkomst till patientdata loggas
- •AI sammanställer och ger endast förslag - alla kliniska bedömningar görs av legitimerad vårdpersonal
- •Fullständig efterlevnad av Patientdatalagen (PDL), GDPR och tillämpliga föreskrifter (HSLF-FS 2016:40)
- •Anpassade till EU:s AI-förordning, vars huvudregler tillämpas sedan den 2 augusti 2026
01
Regelefterlevnad
Edith Care är utformad för att stödja vårdgivaren i att uppfylla relevanta regelverk för personuppgiftsbehandling inom hälso- och sjukvården.
Patientdatalagen (PDL, 2008:355)
Patientdatalagen reglerar all behandling av personuppgifter inom hälso- och sjukvården. PDL gäller för alla system som vårdgivaren använder för att behandla patientdata.
PERSONUPPGIFTSBEHANDLING (2 KAP.)
- •Behandling sker på uppdrag av vårdgivaren (personuppgiftsansvarig) med Edith Care som personuppgiftsbiträde
- •Uppgifter behandlas endast för ändamål som är tillåtna enligt PDL 2 kap. 4 § - dokumentation i samband med vård av patient
INRE SEKRETESS OCH BEHÖRIGHETSSTYRNING (4 KAP. 1-2 §§)
- •Individuella användarkonton - inga delade inloggningar
- •Rollbaserad behörighet begränsad till vad som behövs för arbetsuppgifterna
- •Stöd för att begränsa åtkomst till egna patienter och ärenden
- •Dokumenterad behörighetstilldelning i enlighet med vårdgivarens behovs- och riskanalys (HSLF-FS 2025:57)
LOGGNING OCH ÅTKOMSTKONTROLL (4 KAP. 3 §)
- •All åtkomst till patientdata i Edith Care loggas automatiskt
- •Loggar inkluderar vem som gjort åtkomsten, tidpunkt, typ av åtgärd och vilken resurs som berördes
- •Loggdata är tillgänglig för vårdgivarens systematiska och återkommande loggkontroll
- •Stöd för att generera loggutdrag vid patientbegäran (5 kap. 3 §)
PATIENTENS RÄTTIGHETER (5 KAP.)
- •Patienten kan begära loggutdrag som visar vem som tagit del av dennes uppgifter i Edith Care
- •Edith Care stödjer vårdgivarens informationsskyldighet gentemot patienter
HSLF-FS 2016:40 (Journalföring och personuppgiftsbehandling)
JOURNALFÖRING (2 KAP.)
- •AI-genererat innehåll i Edith Care utgör utkast till journalunderlag
- •Ansvarig legitimerad psykolog granskar, redigerar och godkänner allt innehåll före överföring till journalsystemet
- •Den legitimerade psykolog som signerar journalanteckningen tar ansvar för innehållets korrekthet
INFORMATIONSSÄKERHET (3 KAP.)
- •Individuell användaridentifiering och autentisering (3 kap. 7 §)
- •Behörighetsstyrning baserad på dokumenterad behovs- och riskanalys (3 kap. 8 §)
- •Fullständig åtkomstloggning (3 kap. 9 §)
- •Krypterad överföring av patientdata (3 kap. 10 §)
Dataskyddsförordningen (GDPR)
Hälsouppgifter utgör känsliga personuppgifter enligt GDPR artikel 9. Edith Care behandlar sådana uppgifter med stöd av GDPR artikel 9.2 h (behandling nödvändig för hälso- och sjukvård, under tystnadsplikt).
GDPR-PRINCIPER SOM GENOMSYRAR EDITH CARE
- •Laglighet och öppenhet - behandling sker på rättslig grund (PDL och GDPR art. 9.2 h)
- •Ändamålsbegränsning - patientdata används uteslutande för dokumentationsstöd
- •Uppgiftsminimering - endast nödvändiga uppgifter behandlas
- •Lagringsminimering - data raderas från Edith Care efter överföring till journalsystemet
- •Integritet och konfidentialitet - tekniska och organisatoriska skyddsåtgärder
- •Inbyggt dataskydd (privacy by design) - dataskydd integrerat i all utveckling
PERSONUPPGIFTSBITRÄDESAVTAL (GDPR ART. 28)
- •Personuppgiftsbiträdesavtal (PUB-avtal) upprättas med varje vårdgivare som använder Edith Care
- •Avtalet reglerar ändamål, datakategorier, säkerhetsåtgärder, underbiträden, dataresidens, raderingsrutiner och revisionsmöjlighet
KONSEKVENSBEDÖMNING (DPIA)
- •Edith Care stödjer vårdgivarens skyldighet att genomföra konsekvensbedömning avseende dataskydd (GDPR art. 35)
- •Dokumentation av tekniska och organisatoriska åtgärder tillhandahålls som underlag
EU:s AI-förordning (2024/1689)
EU:s AI-förordning tillämpas stegvis: förbuden mot oacceptabel risk gäller sedan februari 2025, kraven på GPAI-modeller sedan augusti 2025 och huvuddelen av reglerna, inklusive kraven på högrisk-AI, sedan den 2 augusti 2026.
KLASSIFICERING
Edith Care klassificeras som ett dokumentationsstöd som inte fattar eller påverkar kliniska beslut. Systemet gör ingen diagnostik, ingen poängsättning av symtom och lämnar inga behandlingsrekommendationer. Baserat på MDCG 2019-11 rev.1 och AI-förordningens bilaga III bedöms Edith Care inte utgöra ett högrisk-AI-system.
GENOMFÖRDA ÅTGÄRDER
- •Riskhanteringssystem med dokumenterade risker och åtgärder (artikel 9)
- •Teknisk dokumentation av systemets design och funktion (artikel 11)
- •Transparens - tydlig förklaring av AI:ns kapacitet och begränsningar (artikel 13)
- •Mänsklig tillsyn - alla förslag granskas av legitimerad vårdpersonal (artikel 14)
- •AI-kompetens - utbildningsmaterial och löpande support för användare (artikel 4)
Medicinteknisk klassificering
Edith Care är ett dokumentationsverktyg, inte en medicinteknisk produkt enligt EU MDR 2017/745. Systemets avsedda användning är att stödja psykologer med textstrukturering, språkkvalitet och formatering av utredningsrapporter. Systemet utför ingen diagnostik, ingen poängsättning av symtom och ger inga behandlingsrekommendationer. Alla kliniska bedömningar görs uteslutande av legitimerad psykolog.
I enlighet med MDCG 2019-11 rev.1 kvalificeras inte programvara som lagrar, arkiverar eller kommunicerar data utan klinisk tolkning som medicinteknisk produkt. En självbedömning enligt artikel 6.3 har genomförts och dokumenterats.
Edith Care följer Läkemedelsverkets pågående granskning av AI-assistenter i vården och anpassar vid behov sin klassificering och efterlevnad.
02
Dataskydd och kryptering
Datalagring i Sverige
All patientdata - databas, AI-behandling och fillagring - lagras och behandlas i Sverige via Microsoft Azure Sweden Central (datacenter i Sandviken/Gävle och Staffanstorp), i enlighet med Microsofts EU Data Boundary-åtaganden.
Stödtjänster för produktanalys (PostHog) och AI-övervakning (Langfuse) är hostade inom EU och behandlar enbart metadata - aldrig patientdata. Azure Sweden Central är ISO 27001- och SOC 2-certifierat.
Alternativ med helsvensk infrastruktur
Edith Care har arkitekturell beredskap för att i framtiden erbjuda en fullt svensk infrastrukturlösning med svenska moln- och AI-leverantörer. Vi vill vara transparenta med att svenska AI-modeller i dagsläget inte uppnår samma kvalitetsnivå som de internationella modeller vi använder via Azure Sweden Central. Vi följer utvecklingen och utvärderar löpande svenska alternativ i takt med att de mognar.
Kryptering
| Skyddsnivå | Standard | Beskrivning |
|---|---|---|
| Lagring (at rest) | AES-256 | Branschstandard för känslig data |
| Överföring (in transit) | TLS 1.3 | Senaste och säkraste standarden |
| Nyckelhantering | Azure Key Vault | Dedikerad nyckelhantering med strikt åtkomstkontroll |
| Ljudfiler | AES-256 + radering | Krypterade under bearbetning, raderas efter transkribering |
| Databas | AES-256 + SSL | Azure-hanterad kryptering med påtvingade SSL-anslutningar |
Ingen okrypterad patientdata lagras eller överförs.
Åtkomstkontroll
| Autentisering | Stark autentisering med multifaktorautentisering (MFA) |
| Rollbaserad behörighet | Användare ser och bearbetar endast data för sina egna patienter |
| Individuella konton | Inga delade konton tillåts (PDL 4 kap. 2 §) |
| Sessionskontroll | Automatisk utloggning efter inaktivitet |
| Behörighetstilldelning | Stöd för vårdgivarens dokumenterade behovs- och riskanalys (HSLF-FS 2025:57) |
03
Spårbarhet och loggning
Full spårbarhet är avgörande för att stödja vårdgivarens lagstadgade skyldighet att kontrollera åtkomst till patientdata (4 kap. 3 § PDL).
Vad loggas
| Fält | Beskrivning |
|---|---|
| Användar-ID | Vem som gjort åtkomsten |
| Tidpunkt | När åtkomsten skedde |
| Åtgärdstyp | Läsa, skriva, exportera, radera |
| Resurs | Vilket patientärende eller vilken resurs som berördes |
| Resultat | Om åtkomsten beviljades eller nekades |
Logghantering
- •Loggar lagras säkert och skyddas mot manipulation
- •Loggdata innehåller aldrig kliniskt patientinnehåll - endast metadata och ID-nummer
- •Vårdgivaren kan begära loggutdrag för internkontroll och vid patientbegäran (5 kap. 3 § PDL)
- •Automatiska varningar vid avvikande åtkomstmönster
- •Loggar bevaras i enlighet med vårdgivarens policy och gällande lagkrav
04
AI och mänsklig kontroll
Edith Care använder AI för att stödja legitimerade psykologer i deras dokumentationsarbete - aldrig för att ersätta professionell klinisk bedömning. Detta är en grundläggande designprincip.
AI som dokumentationsstöd, inte kliniskt beslutsfattande
- •AI ger förslag på textstruktur, formuleringar och sammanfattningar
- •AI gör ingen diagnostik, ingen poängsättning av symtom och ger inga behandlingsrekommendationer
- •Alla kliniska bedömningar görs uteslutande av legitimerad psykolog
- •AI-genererat innehåll markeras tydligt som förslag som kräver professionell granskning
Transparens och förklarbarhet
När AI genererar ett förslag framgår alltid att:
- •Det är ett utkast som kräver granskning av legitimerad psykolog
- •Det är psykologen som ansvarar för det slutgiltiga journalinnehållet
- •AI har begränsningar och kan producera felaktiga eller ofullständiga förslag
- •Verktyget är ett dokumentationsstöd, inte ett kliniskt beslutstöd
Information till patienter
Edith Care rekommenderar att vårdgivare informerar patienter om att AI-assisterad dokumentation används. Stöd för detta tillhandahålls genom:
- •Rekommenderad informationstext för klinikens integritetspolicy
- •Vägledning för muntlig information vid utredningens start
- •Tydlig information om att AI inte påverkar den kliniska bedömningen
Säker AI-infrastruktur
| Ingen publik AI | Data skickas aldrig till publika AI-tjänster (som ChatGPT, Gemini eller liknande) |
| Ingen träning på kunddata | Patientdata används aldrig för att träna AI-modeller |
| EU/EES-behandling | All AI-behandling sker i Sverige (Azure Sweden Central) |
| Avtal med AI-leverantörer | Explicit förbud mot dataanvändning för modellträning |
| Produktanalys (PostHog) | Tar emot enbart händelsenamn och resurs-ID:n - aldrig patientnamn, klinisk text eller hälsodata. Hostad inom EU. |
| AI-övervakning (Langfuse) | I produktion registreras inga AI-prompter eller svar - enbart metadata (svarstider, tokenantal, modellversion). Hostad inom EU. |
05
Datalivscykel och gallring
Edith Cares roll i dokumentationsflödet
Edith Care hanterar patientdata som journalunderlag - utkast som bearbetas och granskas av psykologen innan de överförs till klinikens officiella journalsystem. Edith Care är inte journalsystemet.
DOKUMENTATIONSFLÖDET
- 1.Inspelning av samtal - ljudinspelning i Edith Care
- 2.Transkribering - ljud omvandlas till text
- 3.AI-stödd rapportskrivning - AI assisterar med struktur och formuleringar
- 4.Granskning av psykolog - legitimerad psykolog granskar och redigerar
- 5.Överföring till journalsystem - godkänt innehåll överförs
- 6.Signering i journalsystem - psykologen signerar journalanteckningen
- 7.Radering från Edith Care - patientdata raderas från Edith Care
Datahantering per fas
| Fas | Datatyp | Lagringstid i Edith Care | Åtgärd |
|---|---|---|---|
| Inspelning | Ljudfil | Temporär - raderas efter transkribering | Krypterad under bearbetning |
| Transkribering | Transkription | Tills rapporten är färdigställd | Tillgänglig för psykologen |
| Rapportskrivning | Utkast till rapport | Tills rapporten är godkänd och överförd | AI-stöd tillgängligt |
| Överföring | Slutgiltig rapport | Raderas efter bekräftad överföring | Automatisk eller manuell radering |
Gallringsansvar
- •Den tioåriga bevarandeplikten (3 kap. 17 § PDL) gäller journalhandlingar - det ansvaret faller på journalsystemet, inte på Edith Care
- •Edith Care raderar patientdata efter överföring till journalsystemet, i enlighet med konfigurerad gallringsfrist
- •Vårdgivaren bestämmer gallringsfrist i Edith Care (rekommendation: 30 dagar efter överföring)
- •Raderingen är permanent och verifierbar
Uppgiftsminimering
- •Ljudfiler raderas direkt efter framgångsrik transkribering
- •Transkriptioner och utkast raderas efter överföring till journalsystemet
- •Endast de uppgifter som behövs för aktuellt dokumentationsändamål behandlas
- •Inga personuppgifter bevaras längre än nödvändigt i Edith Care
06
Infrastruktur och leverantörer
Infrastrukturöversikt
| Komponent | Leverantör | Region | Certifiering |
|---|---|---|---|
| Applikationshosting | Microsoft Azure | Sweden Central | ISO 27001, SOC 2, C5 |
| AI-modell (text) | Azure OpenAI Service | Sweden Central | ISO 27001, SOC 2 |
| AI-modell (transkribering) | Azure Speech Services | Sweden Central | ISO 27001, SOC 2 |
| Nyckelhantering | Azure Key Vault | Sweden Central | FIPS 140-2 Level 2 |
| Datalagring | Azure Blob Storage | Sweden Central | ISO 27001, SOC 2 |
Not: Webbapplikationen levereras via Vercel (CDN- och edge-nätverk). I Edith Cares arkitektur fungerar Vercel enbart som reverse proxy för statiska frontend-filer och API-anrop som vidarebefordras till Azure Sweden Central. Inga edge functions, serverless functions eller log drains som behandlar patientdata är aktiverade. All persistent datalagring och AI-behandling sker i Azure Sweden Central.
Nätverkssäkerhet
- •Krypterad kommunikation mellan alla komponenter (TLS 1.3)
- •Brandväggsskydd på applikations- och nätverksnivå
- •Regelbunden säkerhetsskanning
- •Penetrationstestning planerad som del av pågående certifieringsarbete
Krav på molnleverantörer
Samtliga infrastrukturleverantörer uppfyller följande minimikrav:
- •Datacenter i Sverige (Azure Sweden Central)
- •ISO 27001-certifiering (informationssäkerhet)
- •GDPR-efterlevnad och personuppgiftsbiträdesavtal enligt artikel 28
- •Stöd för kryptering vid lagring och överföring
- •Möjlighet till revision och insyn
Underleverantörer (underbiträden)
Alla underleverantörer som behandlar personuppgifter omfattas av:
- •Personuppgiftsbiträdesavtal med specifika krav för hälsodata
- •Förbud mot behandling utanför EU/EES utan godkännande
- •Explicit förbud mot användning av patientdata för modellträning
- •Krav på att meddela Edith Care vid förändringar som påverkar datasäkerheten
07
Incidenthantering
Vid en säkerhetsincident eller personuppgiftsincident följer Edith Care etablerade rutiner:
| Steg | Tidsgräns | Åtgärd |
|---|---|---|
| Upptäckt | Omedelbart | Intern klassificering och begränsning av incidenten |
| Meddelande till vårdgivare | Max 24 timmar | Vårdgivaren informeras om typ, omfattning och rekommenderade åtgärder |
| Anmälan till IMY | Inom 72 timmar | Personuppgiftsansvarig vårdgivare anmäler till IMY. Edith Care bistår med underlag. |
| Information till patienter | Utan onödigt dröjsmål | Vårdgivaren informerar berörda patienter vid hög risk. Edith Care bistår. |
| Utredning | Löpande | Rotorsaksanalys och åtgärdsplan |
| Uppföljning | Inom 30 dagar | Dokumentation av lärdomar och förbättringsåtgärder |
08
Ytterligare regulatorisk efterlevnad
NIS2 och cybersäkerhetslagen (2025:1506)
Sveriges cybersäkerhetslag, som implementerar EU:s NIS2-direktiv, trädde i kraft den 15 januari 2026. Hälso- och sjukvård klassificeras som samhällsviktig verksamhet. Edith Care stödjer vårdgivarens efterlevnad genom:
- •Robust incidenthantering med förmåga att rapportera säkerhetsincidenter inom 24 timmar
- •Systematiskt säkerhetsarbete med dokumenterade riskbedömningar
- •Säkerhet i leverantörskedjan - alla underleverantörer genomgår säkerhetsgranskning
- •Kontinuitetsplanering och rutiner för driftkontinuitet
EU:s dataförordning (Data Act)
- •Fullständig dataexport i standardformat
- •Stöd för byte av tjänsteleverantör utan tekniska hinder
- •Dokumenterade API:er och dataformat
- •Assistans vid migrering till annan leverantör
Tillgänglighet
Webbplatsen uppfyller delvis WCAG 2.2 nivå AA och bedömdes senast internt den 31 mars 2026. Kända förbättringsområden och kontaktväg för synpunkter redovisas i vår tillgänglighetsredogörelse.
eIDAS 2.0
Edith Care följer utvecklingen av den europeiska digitala identitetsplånboken (EUDI Wallet) och förbereder för integration när svenska lösningar blir tillgängliga.
09
Aktuell status
Säkerhetsnivå
All hantering av patientdata sker med produktionsfärdig säkerhetsnivå. Kryptering, åtkomstkontroll, loggning och regelefterlevnad (PDL, GDPR, HSLF-FS) är implementerade och aktiva.
Under utveckling
Följande arbete pågår:
- •Validering av AI-genererat innehåll mot källmaterial
- •Penetrationstestning som del av pågående certifieringsarbete
10
Kontaktinformation
För frågor om informationssäkerhet och dataskydd, kontakta:
Edith Care (Jobello Technology AB)
Org-nr: 559311-6907
Dataskyddsansvarig: Fredrik Gordh Riseby
fredrik[at]edithcare[dot]se
Detta dokument beskriver Edith Cares säkerhetsarkitektur och regelefterlevnad för användning inom hälso- och sjukvården. För detaljerad teknisk dokumentation om infrastruktur och leverantörer, kontakta oss för vår tekniska bilaga. Dokumentet uppdateras löpande i takt med regulatorisk utveckling och produktförändringar.