AI en de zorg: een veelbelovende maar gevoelige combinatie
Ziekenhuizen, huisartsenpraktijken en thuiszorgorganisaties verkennen in rap tempo de mogelijkheden van kunstmatige intelligentie. Van geautomatiseerde roosters tot AI-ondersteunde diagnosetools: de toepassingen zijn veelbelovend. Maar zodra AI in aanraking komt met medische gegevens, betreed je juridisch en ethisch mijnenveld. Want patiëntdata is niet zomaar data.
In 2026 is de druk vanuit toezichthouders zoals de Autoriteit Persoonsgegevens (AP) merkbaar toegenomen. Het aantal meldingen van datalekken in de zorg steeg in 2025 met 18 procent. En de komst van de EU AI Act voegt een extra juridische laag toe bovenop de al bestaande AVG-verplichtingen. Hoog tijd om helderheid te scheppen over wat wel en niet mag.
AVG en patiëntdata: bijzondere persoonsgegevens vragen extra bescherming
De Algemene Verordening Gegevensbescherming (AVG) maakt onderscheid tussen gewone persoonsgegevens en bijzondere categorieën. Gezondheidsgegevens vallen onder de tweede categorie - samen met genetische gegevens, biometrische gegevens en gegevens over ras, geloof of seksuele geaardheid. De verwerking hiervan is in principe verboden, tenzij er een expliciete uitzondering van toepassing is.
Voor zorginstellingen zijn de meest relevante uitzonderingen: (1) uitdrukkelijke toestemming van de betrokkene, (2) noodzaak voor de uitvoering van een behandelingsovereenkomst, (3) vitaal belang wanneer de betrokkene niet in staat is toestemming te geven, en (4) verwerking door een beroepsbeoefenaar met een geheimhoudingsplicht voor zorgdoeleinden. Deze uitzonderingen gelden echter alleen voor menselijke zorgverleners - het inzetten van AI-systemen die gezondheidsdata verwerken vereist een aanvullende grondslag.
Concreet betekent dit dat een AI-systeem dat diagnoses ondersteunt, behandelplannen analyseert of patiëntendossiers doorzoekt, extra zorgvuldigheid vereist. De verwerkingsgrondslag moet helder zijn gedocumenteerd in een verwerkingsregister. Patiënten hebben recht op inzage, correctie en in bepaalde gevallen op verwijdering van hun gegevens - ook als deze door een AI zijn verwerkt.
Wat AI wel mag in de zorg
Niet alles rondom AI in de zorg is juridisch complex. Er zijn meerdere toepassingen waarbij AI zonder grote privacybezwaren ingezet kan worden, zolang de implementatie zorgvuldig verloopt.
Administratieve ondersteuning vormt een van de meest toegankelijke toepassingsgebieden. AI kan routinematige taken zoals het opstellen van verwijsbrieven, het invullen van standaard formulieren of het beheren van afspraken grotendeels overnemen. Zolang deze systemen werken met geanonimiseerde of gepseudonimiseerde gegevens - of met gegevens die noodzakelijk zijn voor de behandeling - is de AVG-grondslag relatief eenvoudig te onderbouwen.
Roostering en capaciteitsplanning bieden eveneens ruimte. Als een AI-systeem bezetting optimaliseert op basis van anonieme historische data, is er geen sprake van verwerking van bijzondere persoonsgegevens. Hetzelfde geldt voor systemen die voorraden beheren, onderhoudsschema's opstellen of energieverbruik monitoren.
Beslissingsondersteuning, waarbij de arts de eindverantwoordelijke blijft, is een ander legaal toepassingsgebied. Wanneer een AI-systeem de arts ondersteunt bij het interpreteren van laboratoriumuitslagen of beeldmateriaal, maar de uiteindelijke beslissing bij de arts blijft, kan dit worden ingepast in de bestaande behandelovereenkomst - mits de patiënt hierover adequaat wordt geïnformeerd.
Wat absoluut niet mag zonder expliciete toestemming
Er zijn toepassingen waarbij het ontbreken van expliciete, geïnformeerde toestemming een harde grens vormt. Het delen van patiëntdata met externe AI-aanbieders - ook voor analyse of modeltraining - valt hier prominent onder. Wanneer een zorginstelling een AI-model van een commerciële partij gebruikt en daarvoor patiëntgegevens uploadt, is dat een doorgifte aan een derde partij. Dit vereist een verwerkersovereenkomst en in veel gevallen expliciete toestemming van de patiënt.
Geautomatiseerde besluitvorming met significante gevolgen voor de patiënt is een bijzonder gevoelig punt. Artikel 22 van de AVG verbiedt in principe besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd en die aanzienlijke gevolgen hebben voor de betrokkene. Een AI die zelfstandig bepaalt of een patiënt bepaalde zorg ontvangt, zonder menselijke tussenkomst, is in strijd met dit artikel.
Het gebruik van gezondheidsdata voor commerciële profilering of het verkopen van inzichten aan derde partijen is eveneens absoluut verboden, ongeacht of daarvoor toestemming is gevraagd. Toestemming voor behandeling omvat nooit toestemming voor commercieel gebruik van de daarbij verkregen data.
Grensoverschrijdende dataoverdracht naar landen buiten de EER is ook een risicovol gebied. Cloudservices waarvan servers in de VS of Azië staan, kunnen niet zomaar Europese patiëntdata verwerken zonder aanvullende waarborgen zoals standaard contractbepalingen (SCCs) of een adequaatheidsbesluit.
NEN 7510 en ISO 27001: de informatiebeveiliging in de zorg
Naast de AVG gelden in de Nederlandse zorg specifieke normen voor informatiebeveiliging. NEN 7510 is de Nederlandse norm die specifiek is ontworpen voor informatiebeveiliging in de zorgsector. Het is gebaseerd op de internationale ISO 27001-norm, maar met aanvullende eisen die specifiek gelden voor de bescherming van medische informatie.
NEN 7510 schrijft voor dat zorginstellingen een Information Security Management System (ISMS) inrichten. Dit omvat het in kaart brengen van alle systemen die persoonsgegevens verwerken, het uitvoeren van risicoanalyses, het implementeren van technische en organisatorische beveiligingsmaatregelen en het regelmatig testen van de beveiliging. Voor zorginstellingen die met AI werken, betekent dit dat het AI-systeem onderdeel moet zijn van dit ISMS.
ISO 27001 is de bredere internationale norm voor informatiebeveiliging en is ook buiten de zorg relevant. Zorginstellingen die ook ISO 27001-gecertificeerd zijn, bieden daarmee een extra kwaliteitssignaal aan patiënten, partners en toezichthouders. Hoewel certificering niet verplicht is, wordt het steeds vaker verwacht door zorgverzekeraars en gemeenten bij aanbestedingen.
Bij het selecteren van een AI-leverancier is het cruciaal te controleren of de leverancier NEN 7510- of ISO 27001-gecertificeerd is. Zo niet, dan rust de verantwoordelijkheid voor de naleving van deze normen volledig bij de zorginstelling zelf.
EU AI Act: aanvullende verplichtingen voor hoog-risico toepassingen
Sinds de EU AI Act van kracht is gegaan, geldt voor AI-systemen in de zorg een aanvullende laag regulering. AI-systemen die worden gebruikt voor medische diagnose, behandelkeuzes of monitoring van vitale functies worden aangemerkt als hoog-risico toepassingen. Dit betekent onder meer: verplichte conformiteitsbeoordelingen, technische documentatie, menselijk toezicht, en registratie in de EU-AI-database.
Voor praktijken die AI inzetten als hulpmiddel bij administratie of planning - en dus niet direct bij klinische beslissingen - valt de toepassing doorgaans buiten de hoog-risico categorie. Maar de grens is soms dun. Consulteer bij twijfel altijd een juridisch adviseur met kennis van zowel AVG als de EU AI Act.
Concrete checklist voor zorgpraktijken die AI willen inzetten
De volgende checklist helpt zorgpraktijken om stap voor stap te toetsen of hun AI-implementatie privacyproof is.
1. Breng in kaart welke persoonsgegevens het AI-systeem verwerkt en of dit bijzondere categorieën betreft.
2. Documenteer de verwerkingsgrondslag in uw verwerkingsregister. Is het toestemming, noodzakelijke behandeling, of een andere grondslag?
3. Sluit een verwerkersovereenkomst met de AI-leverancier als die persoonsgegevens namens u verwerkt.
4. Controleer of de leverancier NEN 7510- of ISO 27001-gecertificeerd is, of vraag om gelijkwaardige documentatie.
5. Voer een Data Protection Impact Assessment (DPIA) uit als het gaat om grootschalige verwerking van bijzondere persoonsgegevens of nieuwe technologie.
6. Informeer patiënten via uw privacyverklaring over het gebruik van AI en welke gegevens daarvoor worden gebruikt.
7. Zorg dat altijd een gekwalificeerde zorgverlener eindverantwoordelijke blijft voor beslissingen die patiënten raken. Verbied puur geautomatiseerde besluitvorming.
8. Controleer waar de servers van uw AI-leverancier staan. Verwerking buiten de EER vereist aanvullende waarborgen.
9. Stel een procedure in voor datalekken waarbij AI betrokken is. Bij een datalek met bijzondere persoonsgegevens geldt een meldplicht van 72 uur bij de AP.
10. Evalueer jaarlijks of uw AI-gebruik nog in lijn is met de actuele wet- en regelgeving. Zowel de AVG als de EU AI Act ontwikkelen zich continu.
AI in de zorg is geen kwestie van alles of niets. Met de juiste juridische basis, transparantie naar patiënten en een stevige technische beveiliging kunnen zorginstellingen de voordelen van AI benutten zonder de privacy van patiënten op het spel te zetten. De sleutel ligt in bewuste keuzes, heldere documentatie en menselijk toezicht op elk moment dat het ertoe doet.
