GLEIF og DirectTrust utvikler et praktisk rammeverk for verifiserbar organisasjonsidentitet i amerikansk helsevesen
Hvordan kan et sykehus være sikker på hvilken organisasjon som står bak et digitalt system som ber om informasjon? Og hvordan kan det bekrefte at en lege, ansatt eller automatisert applikasjon faktisk opptrer på vegne av organisasjonen den hevder å representere?
Disse spørsmålene blir stadig viktigere ettersom sykehus, laboratorier, forsikringsselskaper og helseorganisasjoner utveksler mer informasjon gjennom digitale systemer.
Den 19. oktober 2026 kunngjorde Global Legal Entity Identifier Foundation (GLEIF) og DirectTrust, en amerikansk organisasjon med fokus på digital tillit i helsevesenet, et partnerskap for å fremme verifiserbar organisasjonsidentitet i amerikansk helsevesen.
I sentrum av initiativet står Legal Entity Identifier (LEI) og dens digitale motpart, verifiserbar LEI (vLEI).
Partnerskapet går lenger enn å diskutere om LEI kan være nyttig i helsevesenet. Partnerne har identifisert konkrete bruksområder, fra verifisering av helseorganisasjoner og delegert myndighet til bruk av digitale legitimasjoner i API-tilkoblinger og automatiserte transaksjoner.
Dermed markerer initiativet et betydelig steg mot å utvide LEIs rolle utover finanssektoren.
Helsevesenet har allerede identifikatorer. Hvorfor trenger det enda en tilnærming?
Amerikansk helsevesen baserer seg på flere identifikasjonssystemer. Et av de mest kjente er National Provider Identifier (NPI), en standard som identifiserer helsepersonell i administrative og finansielle transaksjoner.
Å ha en identifikator besvarer imidlertid ikke alle spørsmål om en organisasjons identitet eller hvem som kan opptre på dens vegne.
Helseorganisasjoner har ofte komplekse strukturer. For eksempel kan et sykehus tilhøre en større konsern, drive virksomhet på flere steder, sette ut laboratorietjenester og koble sine systemer til eksterne teknologileverandører.
Helsepersonellet, stedet der behandlingen finner sted, og den juridiske enheten som er ansvarlig for tjenesten, er ikke nødvendigvis det samme.
Når to systemer kommuniserer, oppstår flere spørsmål. Hvilken juridisk enhet står bak transaksjonen? Har noen verifisert dens identitet? Hvem opptrer på dens vegne, og hvilken myndighet har de?
Eksisterende identifikatorer i helsevesenet gir ikke ett entydig svar på alle disse spørsmålene. En NPI identifiserer for eksempel en helsepersonell, men den fastslår ikke nødvendigvis den eksakte juridiske enheten bak en bestemt helsetjeneste. Dette skaper et praktisk behov for en supplerende måte å verifisere organisasjonsidentitet på.
DirectTrust tok opp denne utfordringen på helsekonferansen ViVE 2026 i februar, under en sesjon med tittelen «No Identity, No Interop». Diskusjonen utforsket hvordan verifiserbar organisasjonsidentitet kunne supplere eksisterende identifikatorer, inkludert den potensielle rollen til LEI og vLEI.
I oktober 2026 kunngjorde GLEIF og DirectTrust sitt partnerskap for å videreutvikle denne tilnærmingen.
Fire praktiske områder hvor LEI og vLEI kan utgjøre en forskjell
Partnerskapet mellom GLEIF og DirectTrust identifiserer fire områder for anvendelse av verifiserbar organisasjonsidentitet i helsevesenet.
1. Verifisering av helseorganisasjoner
En LEI gir en globalt anerkjent identifikator knyttet til referanseinformasjon om en juridisk enhet.
I elektroniske helsetransaksjoner kan dette hjelpe deltakerne med å fastslå hvilken organisasjon som står bak en interaksjon. De vil ikke lenger trenge å stole fullt ut på separate registre eller bilaterale avtaler.
2. Koble personer og digitale systemer til ansvarlige organisasjoner
Mennesker er ikke de eneste som initierer transaksjoner i helsevesenet. Programvareapplikasjoner, automatiserte systemer og i stadig større grad AI-drevne verktøy utveksler også informasjon og initierer forespørsler.
Initiativet har som mål å hjelpe deltakerne med å fastslå hvilken verifisert organisasjon som er ansvarlig for disse interaksjonene.
3. Bevise organisasjonsroller og delegert myndighet
En vLEI utvider en organisasjons verifiserte identitet til digitale legitimasjoner som deltakere kan kontrollere kryptografisk.
En autorisert sykehusrepresentant kan for eksempel fremvise en legitimasjon som viser tilknytningen til sykehuset og den definerte organisasjonsrollen. Den foreslåtte tilnærmingen dekker også tillatelser og helsespesifikke formål, og hjelper andre deltakere med å verifisere ikke bare den involverte organisasjonen, men også myndigheten knyttet til en bestemt interaksjon.
4. Bruk av legitimasjoner i daglige digitale transaksjoner
De planlagte bruksområdene inkluderer sikker meldingsutveksling, API-tilkoblinger og automatiserte arbeidsflyter.
Dette er viktig fordi en stadig større andel av informasjonsutvekslingen i helsevesenet skjer direkte mellom systemer, ofte uten at en person gjennomgår hver enkelt transaksjon.
Følgelig kan en felles tilnærming til verifiserbar identitet redusere behovet for at hver organisasjon bygger separate identitetskontroller for hver nye partner.
Sammen viser disse bruksområdene den praktiske retningen til initiativet. Målet er ikke bare å gi helseorganisasjoner enda en identifikator. Partnerne ønsker i stedet å gjøre verifisert organisasjonsidentitet nyttig i de digitale transaksjonene disse organisasjonene utfører hver dag.
Hvordan GLEIF og DirectTrust planlegger å sette modellen ut i praksis
En viktig del av partnerskapet er utviklingen av en ny Qualification Agent-modell.
Under det eksisterende vLEI-rammeverket utsteder kvalifiserte vLEI-utstedere (QVI-er) digitale legitimasjoner. Disse organisasjonene må gjennomføre GLEIFs kvalifiseringsprosess før de kan utstede legitimasjoner.
GLEIF opprettholder allerede en offentlig liste over kvalifiserte vLEI-utstedere. Dette viser at det underliggende legitimasjonsøkosystemet allerede er etablert.
Den nye modellen har som mål å hjelpe dette økosystemet med å ekspandere inn i sektorer med eksisterende sertifiserings- og akkrediteringsnettverk.
Under den foreslåtte strukturen vil GLEIF kvalifisere Qualification Agents. Disse agentene kan deretter kvalifisere vLEI-utstedere innenfor sine egne nettverk. GLEIF vil føre tilsyn med Qualification Agents, mens hver agent overvåker utstederne de kvalifiserer.
DirectTrust bringer erfaring innen akkreditering, sertifisering og digital identitetssikring i helsevesenet. Samtidig bidrar GLEIF med det internasjonale rammeverket for organisasjonsidentitet og styringsstrukturen bak vLEI.
Partnerne utvikler kvalifiserings-, styrings- og tilsynskravene for denne foreslåtte modellen. DirectTrust forventes å søke kvalifisering som Qualification Agent, forutsatt at den nødvendige prosessen fullføres. Det nye rammeverket er ment å supplere eksisterende kvalifiseringsordninger, ikke erstatte dem.
Dette er en viktig del av historien. Partnerne foreslår ikke bare en teknisk løsning. De arbeider også med en måte å innføre den gjennom organisasjoner og tillitsnettverk som allerede opererer i helsevesenet.
I praksis kan dette gjøre innføringen enklere enn om hver helseorganisasjon måtte etablere en helt ny tillitsordning fra bunnen av.
Verifisert identitet er ikke det samme som tilgang til pasientdata
Det er et viktig skille mellom å bevise noens organisasjonsrolle og å gi tilgang til medisinsk informasjon.
En digital legitimasjon kan bekrefte at en person er en autorisert representant for et bestemt sykehus. Den gir imidlertid ikke automatisk personen tillatelse til å se en pasients journal.
Tilgang til helseinformasjon avhenger fortsatt av helselovgivning, forholdet mellom pasient og behandler, og tilgangsreglene i det aktuelle informasjonssystemet.
Skillet er enkelt.
En LEI identifiserer den juridiske enheten. En vLEI kan bidra til å verifisere identiteten og organisasjonsrollen til noen som opptrer på dens vegne. Separate autorisasjonskontroller må fortsatt avgjøre om denne personen kan få tilgang til pasientdata.
Det er også der vLEIs potensielle verdi ligger. Den trenger ikke å erstatte eksisterende sikkerhetssystemer i helsevesenet. I stedet kan den gi disse systemene et verifiserbart grunnlag for å fastslå hvem som opptrer og hvilken organisasjon de representerer.
Europa tar tak i en lignende utfordring
Behovet for pålitelig digital identitet er ikke unikt for amerikansk helsevesen.
EU utvikler European Health Data Space (EHDS), et rammeverk som skal forbedre tilgangen til og utvekslingen av elektroniske helsedata.
Gjennom MyHealth@EU utveksler deltakerlandene allerede visse typer helseinformasjon på tvers av grenser, inkludert elektroniske resepter og pasientsammendrag.
EU har også innført mer spesifikke regler for identitetsverifisering.
I september 2026 vedtok EU-kommisjonen gjennomføringsforordning (EU) 2026/2099, som fastsetter krav til interoperabel grenseoverskridende identifisering og autentisering av pasienter, helsepersonell og helseorganisasjoner.
Forordningen trådte i kraft i oktober 2026 og gjelder i hovedsak fra 26. mars 2027. Enkelte bestemmelser, inkludert de som gjelder bruk av europeiske digitale identitetslommebøker, gjelder fra 26. mars 2029.
USA og Europa adresserer dermed beslektede spørsmål. Hvordan kan organisasjoner og enkeltpersoner pålitelig fastslå sin identitet når helseinformasjon beveger seg mellom ulike systemer og institusjoner?
Tilnærmingene er imidlertid forskjellige.
Europa bygger interoperabilitet rundt nasjonale identitetssystemer og grenseoverskridende infrastruktur for helsedata. USAs initiativ med GLEIF og DirectTrust utforsker derimot en modell basert på internasjonalt verifiserbar organisasjonsidentitet og rollelegitimasjoner.
EHDS krever ikke at helseorganisasjoner bruker LEI eller vLEI.
Likevel er parallellen avslørende. Begge utviklingene gjenspeiler en økende erkjennelse av at trygg utveksling av helseinformasjon krever mer enn sikre tekniske forbindelser. Identiteten og myndigheten til de som deltar i utvekslingen, må også være pålitelig.
Kan helsevesenet bli LEIs neste store sektor?
Partnerskapet mellom GLEIF og DirectTrust er bemerkelsesverdig langt utover helsesektoren.
LEI er best kjent for sin rolle i finansmarkedene, hvor den støtter identifisering av juridiske enheter og regulatorisk rapportering. I helsevesenet er imidlertid den foreslåtte anvendelsen annerledes.
Det sentrale spørsmålet er hvordan man verifiserer organisasjoner, personer og digitale systemer involvert i daglig informasjonsutveksling.
Dette blir særlig relevant ettersom automatiserte arbeidsflyter og AI-agenter overtar flere oppgaver.
Hvis en programvareagent for eksempel ber om informasjon eller initierer en transaksjon på vegne av en helseorganisasjon, trenger det mottakende systemet en pålitelig måte å fastslå hvilken organisasjon som står bak, og hvilken myndighet organisasjonen har delegert.
Initiativet fra GLEIF og DirectTrust knytter denne utfordringen til et eksisterende internasjonalt identitetsrammeverk.
Den neste prøvesteinen blir å omsette den foreslåtte kvalifiseringsmodellen til praktiske implementeringer sammen med helseorganisasjoner og teknologileverandører. Oktoberkunngjøringen fastslår ikke at vLEI-baserte sykehuspiloter allerede er i drift. Den identifiserer imidlertid konkrete bruksområder og en vei mot å ta dem i bruk.
Det er også en bredere lærdom her.
Helsevesenet trenger ikke nødvendigvis enda et isolert identifikasjonssystem. Det trenger bedre måter å etablere tillit mellom organisasjoner, personer og teknologiplattformer som allerede bruker ulike systemer.
Nettopp der kan en internasjonalt verifiserbar organisasjonsidentitet vise seg verdifull.
Amerikansk helsevesen kan bli en av de viktigste praktiske testene av vLEI utover finanssektoren. Spørsmålet er ikke lenger om verifisert organisasjonsidentitet kan være nyttig i helsevesenet, men om GLEIF og DirectTrust kan gjøre sin foreslåtte modell til noe helseorganisasjoner bruker hver dag.