Zorginstellingen die AI inzetten voor het prioriteren van patiënten, ondersteunen van diagnoses of plannen van zorgcapaciteit: jullie zijn deployers onder de EU AI-verordening. Dat betekent concrete verplichtingen, niet ergens in de toekomst, maar nu.
Zuid-Limburg heeft een dichte concentratie van zorginstellingen, van Maastricht UMC+ tot kleinere regionale thuiszorgorganisaties en huisartsenpraktijken. Elk van die organisaties die vandaag AI inzet, loopt mee in de eerste golf van deployers die aan de AI-verordening moet voldoen.
Waarom zorg zo hoog op de risico-lijst staat
De EU AI-verordening deelt AI-systemen in risicocategorieën in. Zorg scoort hoog. Bijlage III van de verordening noemt expliciet AI-systemen bedoeld om te helpen bij medische diagnose, behandelbeslissingen en het prioriteren van patiënten als hoog-risico toepassingen.
Kijk, dat is geen verrassing. Een algoritme dat meebeslist over wie eerder aan de beurt komt op de spoedeisende hulp, of dat een radioloog ondersteunt bij het interpreteren van een scan, raakt direct aan de gezondheid en soms het leven van mensen. De wetgever heeft dat serieus genomen.
Voor deployers in de zorg betekent dit concreet: je valt niet in de lichte categorie waarbij je alleen een gebruiksbeleid hoeft op te stellen. Je zit in het hoog-risico regime met bijbehorende verplichtingen.
Wat Artikel 26 van je vraagt
Artikel 26 van de AI-verordening regelt de verplichtingen voor deployers van hoog-risico AI. De kernpunten voor een zorginstelling:
Menselijk toezicht is geen optie, maar een verplichting. Je moet zorgen dat er altijd een gekwalificeerd persoon meekijkt en kan ingrijpen. Een AI-systeem dat een triagevoorstel doet, mag niet autonoom beslissen. De arts of verpleegkundige moet begrijpen wat het systeem doet en wanneer ze moeten overrulen.
AI-geletterdheid van medewerkers. Artikel 4 van de verordening schrijft voor dat deployers zorgen voor voldoende kennis bij iedereen die met het systeem werkt. Dat is niet één cursus eenmalig afvinken. Je hebt aantoonbaar bijgehouden dat medewerkers begrijpen wat het systeem wel en niet kan.
Logging en registratie. Hoog-risico AI-systemen moeten logs bijhouden. Als deployer moet jij die logs ook bewaren en beschikbaar houden voor toezichthouders. Hoelang? De verordening zegt minimaal zes maanden na de laatste interactie met het systeem, tenzij AVG-regels een kortere bewaartermijn vereisen.
Melden van incidenten. Gaat er iets mis? Dan moet je dat melden. Artikel 73 regelt de incidentmelding voor deployers. Bij ernstige incidenten gaat dat naar de nationale markttoezichthouder. In Nederland is dat momenteel de Rijksdienst voor Ondernemend Nederland (RVO) in combinatie met de Autoriteit Persoonsgegevens bij privacygerelateerde incidenten.
De FRIA: grondrechten-impactbeoordeling
Eén van de verplichtingen die het meest over het hoofd wordt gezien: de grondrechten-impactbeoordeling, ook wel FRIA (Fundamental Rights Impact Assessment) genoemd.
Artikel 27 van de verordening verplicht bepaalde deployers van hoog-risico AI om een FRIA uit te voeren voordat ze het systeem in gebruik nemen. Dit geldt voor overheidsorganen en private organisaties die diensten verlenen die door overheidsinstanties worden gefinancierd of gemandateerd. Publiek gefinancierde zorginstellingen, en dat geldt voor vrijwel alle Limburgse ziekenhuizen en GGZ-instellingen, vallen hier direct onder.
Een FRIA is geen bureaucratisch formulier dat je eenmalig invult. Het is een serieuze analyse van de vraag: welke grondrechten van patiënten kunnen worden geraakt door dit AI-systeem, en hoe voorkomen we dat die worden geschonden?
Denk aan: het recht op gelijke behandeling (discrimineert het algoritme onbedoeld bepaalde patiëntgroepen?), het recht op privacy (welke data verwerkt het systeem?), en het recht op menselijke tussenkomst bij geautomatiseerde besluitvorming.
Voor Zuid-Limburgse instellingen speelt hier ook een specifiek element: de regio kent een relatief grote groep Duits- en Belgisch-talige patiënten die aan beide zijden van de grens zorg ontvangen. Als een AI-systeem getraind is op Nederlandse patiëntdata, kan het structureel minder goed presteren voor deze groep. Dat is precies het soort bias-risico dat in een FRIA thuishoort.
FRIA en DPIA: twee documenten, één logica
Veel zorginstellingen hebben al ervaring met de DPIA (gegevensbeschermingseffectbeoordeling) vanuit de AVG. Goed nieuws: de FRIA bouwt hierop voort. De Autoriteit Persoonsgegevens heeft al eerder aangegeven dat AI-systemen die bijzondere persoonsgegevens verwerken (en medische gegevens zijn dat per definitie) vrijwel altijd een DPIA vereisen.
In de praktijk kun je FRIA en DPIA combineren in één traject. De overlap is groot: beide vragen om een beschrijving van het systeem, de verwerkde data, de risico's en de maatregelen. Het scheelt tijd en voorkomt dat twee teams langs elkaar heen werken.
Een aandachtspunt: de FRIA kijkt breder dan privacy. Ook grondrechten die niet direct met data te maken hebben, zoals het recht op gezondheid, gelijke behandeling en menselijke waardigheid, moeten worden meegenomen.
Praktisch stappenplan voor Limburgse zorginstellingen
Hieronder een concrete volgorde om grip te krijgen op je compliance-situatie.
Stap 1: Inventariseer welke AI-systemen je inzet. Dit klinkt vanzelfsprekend, maar in de praktijk weet de compliance-afdeling vaak niet wat er op de werkvloer draait. Begin met een rondvraag bij afdelingshoofden en de IT-afdeling. Let op: ook AI-functionaliteit ingebouwd in EHR-systemen (elektronische patiëntendossiers) telt mee.
Stap 2: Classificeer elk systeem. Valt het onder de hoog-risico categorie van Bijlage III? Is het mogelijk zelfs een verboden toepassing (Artikel 5 noemt emotieherkenning op de werkvloer als verboden)? Of is het een laag-risico systeem zoals een chatbot voor algemene vragen?
Stap 3: Vraag technische documentatie op bij de leverancier. Hoog-risico AI-systemen moeten door de aanbieder (provider) zijn voorzien van uitgebreide technische documentatie. Als deployer mag je die documentatie inzien. Ontbreekt die documentatie, dan is dat een signaal dat het systeem mogelijk niet conform de verordening is gecertificeerd.
Stap 4: Stel een verantwoordelijke aan. Geen aparte AI-officer nodig, maar wel iemand die het dossier beheert. Dat kan de functionaris gegevensbescherming (FG) zijn, die toch al vertrouwd is met privacy-impactbeoordelingen.
Stap 5: Voer de FRIA en eventueel gecombineerde DPIA uit voor elk hoog-risico systeem voordat je er mee live gaat of als je al live bent, zo snel mogelijk alsnog.
Stap 6: Train medewerkers en leg dat vast. Niet één keer, maar periodiek. De verordening vraagt om aantoonbare AI-geletterdheid.
Stap 7: Richt logging en incidentmelding in. Weet jij waar de logs van je AI-systeem worden opgeslagen? Wie er toegang toe heeft? En wat de procedure is als een AI-aanbeveling aantoonbaar heeft bijgedragen aan een medisch incident? Dat moet geregeld zijn.
Deadlines die er toe doen
De AI-verordening is op 1 augustus 2024 in werking getreden. De verboden toepassingen (Artikel 5) golden al per 2 februari 2025. Voor hoog-risico AI-systemen in de zorg geldt een overgangsperiode tot augustus 2026, maar die periode is bedoeld om compliant te worden, niet om te wachten.
Organisaties die in augustus 2026 nog niets hebben gedaan, riskeren boetes tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor een regionaal ziekenhuis is dat reëel geld.
Samenwerking in de regio
Zuid-Limburg heeft een troef die veel regio's missen: de Euregionale context. Maastricht UMC+ werkt al intensief samen met ziekenhuizen in België en Duitsland. Die samenwerking biedt een kans om compliance-kennis te delen en gezamenlijke FRIA-methodieken te ontwikkelen voor grensoverschrijdende patiëntenpopulaties.
Eerlijk gezegd zijn er in Nederland nog maar weinig zorginstellingen die de FRIA volledig op orde hebben. Wie nu begint, loopt voor op de toezichthouder. Dat is een comfortabele positie.
Wil je weten waar jouw zorginstelling nu staat? Via comply.khairos.ai doe je in twee minuten een gratis compliance-check die je laat zien welke stappen het meest urgent zijn.