Nebula InBasket
AI-værktøj, der genererer svarudkast til patientbeskeder på Sundhedsplatformen, så sundhedspersonale hurtigere kan besvare patienter. Afprøvet som pilotprojekt i Region Hovedstaden og Region Sjælland 2024-2025 og slukket igen i oktober 2025.
Hvor bruges systemet og hvad bruges det til?
Nebula InBasket blev brugt af udvalgte afdelinger i Region Hovedstaden og senere Region Sjælland til at generere udkast til svar på patienters beskeder på Sundhedsplatformen. Formålet var at frigøre tid hos sundhedspersonalet, som efterfølgende skulle gennemgå og vurdere udkastene. To afdelinger i Region Hovedstaden blev først udvalgt, og piloten var planlagt udvidet til op til ti afdelinger, herunder Børne- og Ungdomspsykiatrisk Klinik i Roskilde og klinisk onkologi i Roskilde/Næstved.
Hvornår blev det implementeret?
Pilotprojekt. Ifølge interne dokumenter omtalt af Ingeniøren begyndte genereringen og delingen af patientdata 12. juni 2024. Region Sjælland blev inddraget i september 2024, og piloten blev udvidet. AI-værktøjet blev slukket 17. oktober 2025 med henvisning til "data protection issues" og manglende endelig juridisk godkendelse.
Hvordan gør systemet brug af kunstig intelligens?
Værktøjet er udviklet af den amerikanske it-koncern Epic, som også står bag Sundhedsplatformen, og kører på Microsofts Azure-cloud. Det anvender sprogmodel-teknologi til at generere svarudkast ud fra patientbeskeder; udkastene skulle gennemgås og godkendes af sundhedspersonale, før de blev sendt.
Hvilke data er blevet brugt til at træne algoritmen?
For at generere svarudkast fik værktøjet adgang til konkrete patientbeskeder. Ifølge Ingeniøren blev i alt 105.257 patientbeskeder delt uden anonymisering, og sammen med beskederne blev blandt andet navn, alder og allergier delt. Beskederne omfattede følsomme oplysninger om bl.a. psykisk syge børn og kræftpatienter.
Hvilke sikkerhedsforanstaltninger findes der?
Ifølge tre databeskyttelseseksperter, som Ingeniøren har talt med, blev der ikke udarbejdet en konsekvensanalyse (DPIA) før projektet gik i gang, og risikoen for patienternes data blev ikke kortlagt forud. Interne dokumenter viser, at arbejdet med DPIA'en mødte modstand, fordi Epic og underdatabehandleren Microsoft ikke gav tilstrækkelig indsigt i cloudløsningen, men datadelingen fortsatte alligevel.
Har systemet været afprøvet gennem f.eks. pilotprojekter? Blev der identificeret konkrete (etiske, juridiske, tekniske) udfordringer? Blev disse udbedret? Hvordan?
Projektet kørte i over et år som pilot. Tre databeskyttelseseksperter vurderer, at delingen var ulovlig på flere punkter (manglende DPIA og behandlingsgrundlag), og at inddragelsen af børns data skærpede problemet. Regionerne afviser kritikken og vurderer, at pilotprojektet var lovligt inden for GDPR. AI'en blev slukket 17. oktober 2025. Spørgsmålet om, hvorvidt GDPR er overtrådt, er ikke afgjort: der foreligger ingen formel afgørelse fra en tilsynsmyndighed.
Hvordan er begrundelsen for indføring af systemet?
Formålet var ifølge regionerne at frigøre tid hos sundhedspersonalet ved automatisk at generere svarudkast til patientbeskeder på Sundhedsplatformen.
Kilder
- Katrine Juel Friis og Mads Oddershede, Ingeniøren (29.09.2026): "AI har haft adgang til over 100.000 beskeder med fortrolig data om danske patienter".
- Relateret hændelse i denne database: AI-projekt fik adgang til 105.000 patientbeskeder uden anonymisering (node 1458).