KI og helsedata

Kan KI analysere helsedataene til de ansatte mine — hva tillater GDPR og KI-forordningen (AI Act)?

KI kan bare analysere ansattes helsedata under strenge vilkår: uttrykkelig samtykke (Art. 9 GDPR), for virksomheten kun anonymt-aggregert fra 5 personer, ingen følelsesgjenkjenning (forbudt siden februar 2025), BEM-data er tabu, bedriftsråd og DPIA før oppstart.

Det juridiske rammeverket for KI i BGM — oversikt

Regelverk	Hva det krever	Konsekvens for KI i BGM
Art. 9 GDPR	Generelt forbud mot behandling av helsedata, kun snevre unntak	Uten uttrykkelig, frivillig og tilbakekallbart samtykke ingen personidentifiserbar KI-analyse
EU-domstolen C-413/23 P (2025)	Data uten mulighet for re-identifisering er anonyme for mottakeren	Analyser kun aggregert i grupper på minst 5 personer — da faller arbeidsgiverens innsyn utenfor GDPR
Art. 5 KI-forordningen (gjelder fra 02.02.2025)	Forbud mot følelsesgjenkjenning på arbeidsplassen	Ingen avledning av stress eller stemning fra hjertefrekvensvariabilitet, tale, kamera eller atferd
Vedlegg III KI-forordningen	KI-vurdering av enkeltansatte = høyrisikosystem	Unngå individuelle score — eller oppfyll hele kravlisten (risikostyring, logging, menneskelig tilsyn)
§ 87 Abs. 1 Nr. 6 BetrVG (tysk medbestemmelseslov)	Medbestemmelse ved tekniske innretninger som er egnet til overvåking	Ingen KI-utrulling uten involvering av bedriftsrådet (Betriebsrat) — ellers risiko for forbudssøksmål
§ 167 Abs. 2 SGB IX (tysk sosiallovbok)	Særlig konfidensialitet i BEM-prosessen	BEM-data må teknisk utelukkes fra all KI-analyse — ingen unntak
Art. 35 GDPR	Personvernkonsekvensvurdering (DPIA) ved høy risiko	KI + helsedata + ansatte oppfyller flere av kravene på DSK-listen samtidig — DPIA er obligatorisk før lansering

Hvorfor stadig flere virksomheter forbyr intern KI-analyse av helsedata

I mange virksomheter finnes det nå interne avtaler eller retningslinjer som kategorisk utelukker bruk av KI på helsedata — ofte på initiativ fra bedriftsrådet (Betriebsrat), personvernombudet eller de ansvarlige for BEM (den lovpålagte tyske oppfølgingsordningen ved langtidssykefravær). Dette er ikke noe unntak: Ifølge Cisco Data Privacy Benchmark 2024 har 35 % av tyske virksomheter forbudt generativ KI helt, mens 76 % begrenser hvilke data som kan legges inn — hovedsakelig av personvernhensyn.

Skepsisen går gjennom alle nivåer. En representativ Bitkom-undersøkelse (november 2025) viser at 71 % av befolkningen i Tyskland bekymrer seg for datamisbruk når KI brukes i helsesammenheng. Samtidig ville 46 % vært villige til å stille sine helsedata til rådighet for KI — tillit finnes altså, men bare under påviselige forutsetninger.

Også blant ansvarlige er bildet delt: I #whatsnext-studien 2025 (IFBG/Techniker Krankenkasse) mener bare 50,5 % av de spurte at KI er nyttig i helseledelse — blant helseansvarlige er andelen 62,4 %, i toppledelsen bare 34,0 %. Lærdommen er at problemet ikke er KI-en i seg selv, men mangelen på påviselig kontroll over hva den ser. Den som kan dokumentere denne kontrollen, gjør det interne forbudet om til informert samtykke.

Hva GDPR tillater — og hvor den røde linjen går

Helsedata er etter Art. 9 GDPR en særlig kategori personopplysninger med et generelt forbud mot behandling. I frivillig BGM er det i praksis bare ett unntak som bærer: det uttrykkelige, informerte og frivillige samtykket fra den ansatte (Art. 9 nr. 2 bokstav a). Samtykket må kunne trekkes tilbake når som helst, og manglende deltakelse skal ikke medføre noen ulemper. Forarbeidene til den tyske personopplysningsloven (BDSG) nevner uttrykkelig BGM som et tilfelle der den synlige fordelen for de ansatte understøtter frivilligheten.

EU-domstolen har ryddet av veien to utbredte misforståelser: For det første er § 26 BDSG som eneste rettslige grunnlag blitt usikkert, siden EU-domstolen (C-34/21, 2023) har erklært en strukturelt lik bestemmelse i strid med unionsretten. For det andre kan ikke en bedriftsavtale (Betriebsvereinbarung) erstatte samtykket: Ifølge EU-domstolen C-65/23 (2024) må kollektive avtaler selv være fullt ut i tråd med GDPR og kan ikke senke beskyttelsesnivået. Bedriftsavtalen regulerer prosedyren — den leverer ikke det rettslige grunnlaget for databehandlingen.

Den avgjørende praktiske løsningen er anonymisering gjennom aggregering: EU-domstolen bekreftet i 2025 (C-413/23 P) den relative personopplysningsstatusen. Data som mottakeren ikke med rimelige midler kan tilordne en bestemt person, er for mottakeren ikke personopplysninger. Konkret: Ser virksomheten kun aggregerte analyser fra en minste gruppestørrelse på 5 personer — uten tilgang til rådata eller koblingsnøkler — faller dette innsynet utenfor GDPRs virkeområde. Aggregering fra gruppestørrelse 5 er dermed ikke kosmetikk, men en helt annen juridisk kategori.

Før oppstart gjelder uansett: Personvernkonsekvensvurderingen (DPIA) etter Art. 35 GDPR er obligatorisk. Den tyske personvernkonferansens (DSK) obligatoriske liste omfatter KI-bruk til vurdering av personer, omfattende behandling av helsedata og analyser av ansattdata — et KI-BGM-scenario oppfyller flere av disse kriteriene samtidig.

Hva EUs KI-forordning (AI Act) i tillegg regulerer — inkludert et reelt forbud

Siden 2. februar 2025 forbyr Art. 5 i KI-forordningen KI-systemer som avleder følelser på arbeidsplassen — med snevre unntak kun for medisinske eller sikkerhetsmessige formål. Dette rammer nettopp de funksjonene enkelte BGM-leverandører nå markedsfører: systemer som ut fra hjertefrekvensvariabilitet, kamerabasert vitalmåling, tale- eller atferdsdata «registrerer stressfaktorer» og deretter griper inn, beveger seg farlig nær denne forbudssonen — eller midt i den. Brudd på Art. 5 kan koste inntil 35 millioner euro eller 7 % av den globale årsomsetningen.

I tillegg klassifiserer vedlegg III i KI-forordningen KI-systemer som høyrisiko dersom de vurderer prestasjon eller atferd hos enkeltansatte eller påvirker beslutninger om arbeidsvilkår. En KI som leverer individuelle helse- eller fraværsprognoser til bruk i arbeidsgiverens beslutninger, faller svært sannsynlig inn under dette — med hele kravlisten: risikostyring, teknisk dokumentasjon, logging, menneskelig tilsyn, informasjon til de ansattes representanter før idriftsettelse.

Viktig for planleggingen: Høyrisikokravene skulle opprinnelig gjelde fra august 2026; i mai 2026 ble Rådet og Parlamentet i Digital Omnibus enige om å utsette dette for frittstående vedlegg III-systemer til desember 2027 — de innholdsmessige kravene er uendret. Forbudet mot følelsesgjenkjenning berøres ikke av dette og gjelder allerede. Arkitekturvalget ligger dermed på bordet: Den som begrenser KI til aggregerte organisasjonsanalyser uten vurdering av enkeltpersoner, kan unngå høyrisikoklassifiseringen fra første stund.

Bedriftsrådet og BEM: de to særsonene

KI-analyse av ansattdata er etter fast rettspraksis i praksis nesten alltid en teknisk innretning som objektivt sett er egnet til atferds- eller prestasjonsovervåking — dermed inntrer den tvingende medbestemmelsen etter § 87 Abs. 1 Nr. 6 BetrVG, uavhengig av om det faktisk foreligger noen overvåkingshensikt. Uten bedriftsavtale risikerer man forbudssøksmål. Den konstruktive veien er å involvere bedriftsrådet tidlig og bruke avtalen som et kvalitetstegn. Bitkom-veilederen «KI og medbestemmelse» (2026) gir rammeverket for dette.

Én sone forblir helt sperret: det tyske Betriebliche Eingliederungsmanagement (BEM), en lovpålagt oppfølgingsordning for langtidssykmeldte. BEM-data etter § 167 Abs. 2 SGB IX har forsterket konfidensialitet — strengt adskilt journal, snever formålsbegrensning, trinnvis samtykke for hvert prosesstrinn. Enhver KI-analyse av BEM-innhold ville være en formålsendrende behandling av svært sensitive data uten rettslig grunnlag, og ville ødelegge tillitsforholdet BEM er avhengig av. Det eneste tillatte er den diagnosefrie fristlogikken: Å registrere at terskelen på 42 sykedager er nådd — som utløser BEM-tilbudet — er lovpålagt overvåking, mens selve innholdet i prosessen skal være teknisk sperret, også for KI-en.

De ansatte selv er for øvrig lenger fremme enn mange tror: Ifølge WIdO/AOK Fehlzeiten-Report 2025 opplever 42 % av de ansatte allerede KI på egen arbeidsplass — men ikke engang 40 % av de ansatte i KI-brukende virksomheter har fått opplæring. Opplæring og åpenhet er dermed ikke noe tillegg, men selve nøkkelen til aksept.

Beste praksis: 4-trinnsmodellen for KI-datatilgang

Ut fra rettstilstanden og praksis fremstår et klart arkitekturmønster som beste praksis: I stedet for å slå KI helt av eller på, fastsettes det for hver datakategori for seg i hvilken form KI-en får se den — og disse reglene håndheves teknisk før dataene i det hele tatt når KI-modellen.

Det avgjørende er det siste punktet: En instruks til KI-en («ta hensyn til personvernet») er ikke et teknisk og organisatorisk tiltak i GDPRs forstand. Håndhevingen må skje i datalaget — det KI-en ikke skal se, filtreres bort eller aggregeres før det når forespørselen. Interne KI-avtaler og bedriftsavtaler kan dermed nedfelles som maskinlesbare regler: Forbudet står da ikke bare på papiret, men er aktivert i systemet.

Nettopp etter dette mønsteret arbeider EasyBGM: Rådata om helse som sykedager, diagnoser eller BEM-status er teknisk hardt sperret for KI-en, undersøkelsesresultater analyseres kun aggregert i grupper på minst 5 personer, og KI-ens datatilgang kan styres og dokumenteres granulært per datakategori — inkludert en åpenhetsvisning som viser hva KI-en ser og ikke ser. Det gjør DPIA-en robust og gir bedriftsrådet et etterprøvbart grunnlag i stedet for et løfte.

Trinn 1 — Full tilgang: kun for ukritiske data (f.eks. tiltakskatalog, budsjetter, frister), aldri for helsedata
Trinn 2 — Pseudonymisert: navn og identifikatorer erstattes før KI-behandlingen; koblingsnøkkelen holdes utenfor KI-en
Trinn 3 — Aggregert (k ≥ 5): KI-en ser kun gruppeverdier fra 5 personer og oppover — etter EU-domstolen C-413/23 P faller dette innsynet utenfor GDPR
Trinn 4 — Sperret: datakategorien når aldri KI-en; for BEM-data den eneste tillatte innstillingen
Håndheving i datalaget, ikke via prompt — pluss logging av all KI-datatilgang

Relaterte tiltak og temaer

Det viktigste kort fortalt

Merk: Denne artikkelen beskriver tysk rett (EU-rett som GDPR og KI-forordningen, samt tyske lover som BDSG, BetrVG og SGB IX). Personidentifiserbar KI-analyse av helsedata krever uttrykkelig, frivillig samtykke — § 26 BDSG og en bedriftsavtale alene er ikke tilstrekkelig.
Aggregering fra gruppestørrelse 5 er det juridiske vippepunktet: Arbeidsgiverens innsyn faller etter EU-domstolen C-413/23 P utenfor GDPR.
Følelsesgjenkjenning på arbeidsplassen har vært forbudt siden februar 2025 — stressavledning fra HRV, kamera eller tale er ingen gråsone.
Bedriftsrådet (§ 87 BetrVG) og DPIA (Art. 35 GDPR) kommer før utrullingen, ikke etterpå; BEM-data forblir helt sperret for KI.
Beste praksis er 4-trinnsmodellen (full / pseudonymisert / aggregert / sperret) — håndhevet teknisk i datalaget, ikke via instruks til KI-en.

Ofte stilte spørsmål

Kan vi bare analysere sykefraværsdata med ChatGPT?+

Nei. Å legge inn personidentifiserbare helsedata i en offentlig KI-chatbot er en overføring til en tredjepart uten rettslig grunnlag og uten databehandleravtale — et klart brudd på Art. 9. Analyse er kun tillatt i et kontrollert miljø med databehandleravtale og behandling innenfor EU, og selv der bare anonymisert-aggregert (grupper fra 5 personer) eller med uttrykkelig samtykke fra de berørte.

Er KI-basert stressgjenkjenning via smartklokke eller kamera tillatt?+

På arbeidsplassen som hovedregel ikke. Art. 5 i KI-forordningen har siden februar 2025 forbudt KI-systemer som avleder følelser på arbeidsplassen; unntakene for medisinske eller sikkerhetsmessige formål er snevre og dekker ikke generell trivselsovervåking fra arbeidsgiveren. Den som avleder stressnivå fra hjertefrekvensvariabilitet, kamerabasert vitalmåling eller talemønster, risikerer bøter på inntil 35 mill. euro eller 7 % av årsomsetningen.

Er en bedriftsavtale (Betriebsvereinbarung) nok som rettslig grunnlag for KI-analysen?+

Nei. Ifølge EU-domstolen C-65/23 må bedriftsavtaler selv være fullt ut i tråd med GDPR og kan ikke senke beskyttelsesnivået. Bedriftsavtalen regulerer prosedyre, grenser og kontrollrettigheter — det rettslige grunnlaget for personidentifiserbare helsedata forblir den ansattes uttrykkelige, frivillige samtykke. For anonymt-aggregerte analyser uten personopplysningsstatus trengs derimot ikke samtykke.

Må bedriftsrådet (Betriebsrat) godkjenne før vi tar i bruk KI i BGM?+

Ja. KI-systemer som behandler ansattdata er i praksis nesten alltid objektivt egnet til atferds- eller prestasjonsovervåking, og omfattes dermed av den tvingende medbestemmelsen etter § 87 Abs. 1 Nr. 6 BetrVG — det spiller ingen rolle om det foreligger overvåkingshensikt. I tillegg gjelder informasjonsrettigheter allerede i planleggingsfasen (§ 90 BetrVG). Uten involvering risikerer virksomheten et forbudskrav fra bedriftsrådet.

Kan KI overhodet bidra i BEM-prosessen?+

Bare utenfor det konfidensielle innholdet: Diagnosefri registrering av terskelen på 42 sykedager (§ 167 Abs. 2 SGB IX), fristoppfølging og maloppretting er tillatt. Selve innholdet i BEM-prosessen — samtalenotater, diagnoser, tiltaksplaner i BEM-journalen — er tabu for all KI-analyse og bør være teknisk sperret, ikke bare organisatorisk.

KI i BGM — men med påviselig kontroll

EasyBGM sperrer rådata om helse teknisk for KI-en, analyserer kun aggregert fra 5 personer og gjør KI-ens datatilgang styrbar per datakategori — det etterprøvbare grunnlaget for bedriftsrådet og DPIA.

Se EasyBGM Helsedata & GDPR i detalj

Kilder

Oppdatert: 2026-07-06. Ikke juridisk eller skatterettslig rådgivning — få den konkrete saken vurdert av en fagperson.

Les mer

Helsedata og DSGVOHvilke helsedata kan HR analysere — og hva forbyr DSGVO?Agentic Health ManagementHva er Agentic Health Management — og hvordan endrer proaktiv KI det bedriftsinterne helsesystemet?BGM-medarbeiderundersøkelse i tråd med GDPRHvordan gjennomfører jeg en BGM-medarbeiderundersøkelse i tråd med GDPR — og hva gjør jeg med resultatene?BEM-prosessen forklartHvordan foregår BEM-prosessen (bedriftlig inkluderingsledelse ved sykdom) — steg for steg?