Waarom AI-spraakherkenning zo snel groeit
Ruim de helft van de huisartsen gebruikt inmiddels AI, vooral in de vorm van spraak-naar-tekst en zogenoemde AI-scribes. Ook in de GGZ, fysiotherapie en wijkverpleging groeit het gebruik. De reden is duidelijk: administratie kost zorgverleners veel tijd, en een AI-scribe kan een groot deel van het verslagwerk overnemen.
Een AI-scribe werkt meestal zo: het gesprek wordt opgenomen, omgezet naar tekst en daarna samengevat tot een conceptverslag in een vast format. De zorgverlener controleert het concept en zet het in het HIS of ECD, bij voorkeur via een directe koppeling.
Wat kan er misgaan?
- Gevoelige gegevens bij een nieuwe partij. Het gesprek met een patiënt of cliënt bevat bijzondere persoonsgegevens. Die worden verwerkt door de AI-leverancier, en soms door diens onderaannemers.
- Verwerking buiten de EU. Niet elke dienst verwerkt de gegevens binnen de Europese Unie.
- Training op uw gegevens. Sommige diensten gebruiken invoer om hun AI-modellen te verbeteren. Voor zorggegevens is dat onwenselijk.
- Bewaren van opnames. Hoe lang worden audio en transcripten bewaard, en wie kan erbij?
- Onjuiste verslagen. AI kan dingen weglaten, verkeerd samenvatten of zelfs verzinnen. Een onjuist verslag in het dossier kan directe gevolgen hebben voor de zorg.
- Losse tools. Een medewerker die op eigen initiatief een gratis AI-dienst gebruikt om een brief te schrijven, zet patiëntgegevens buiten uw zicht.
- Kopiëren en plakken. Zonder koppeling met het HIS of ECD belanden verslagen op het klembord, in mail of in lokale bestanden.
Stap 1: kies een leverancier op de juiste eisen
Stel vooraf eisen en toets leveranciers daarop. De belangrijkste:
- verwerking en opslag binnen de EU;
- een verwerkersovereenkomst, met een lijst van subverwerkers;
- geen training van AI-modellen op uw gegevens;
- logging van gebruik en toegang;
- duidelijke, korte bewaartermijnen voor audio en transcripten;
- aantoonbare informatiebeveiliging bij de leverancier, bijvoorbeeld via een NEN 7510- of ISO 27001-certificaat;
- een koppeling met uw HIS of ECD.
Bedenk daarbij dat een certificaat van de leverancier uw eigen verantwoordelijkheid niet overneemt. Lees daarover Is ons ECD-certificaat genoeg?
Stap 2: maak een DPIA
Een gegevensbeschermingseffectbeoordeling (DPIA) brengt de risico's van een verwerking in kaart en legt vast welke maatregelen u neemt. Bij de inzet van nieuwe technologie voor het verwerken van gezondheidsgegevens is een DPIA op grond van de AVG in de regel verplicht. Ook waar dat twijfelachtig is, is het de beste manier om uw keuzes te onderbouwen richting patiënten, de Autoriteit Persoonsgegevens en de IGJ. Betrek uw functionaris gegevensbescherming of privacyadviseur als u die heeft.
Stap 3: leg werkafspraken vast
Een kort AI-beleid voorkomt misverstanden. Leg in ieder geval vast:
- voor welke gesprekken en toepassingen AI wel en niet wordt gebruikt;
- hoe u patiënten informeert, en wat u doet als iemand bezwaar maakt;
- dat de zorgverlener elk verslag controleert en verantwoordelijk blijft voor de inhoud van het dossier;
- dat alleen de goedgekeurde AI-diensten mogen worden gebruikt, geen losse gratis tools;
- hoe fouten en incidenten worden gemeld.
Of en hoe u daarnaast toestemming vraagt, hangt af van de situatie en uw grondslag. Laat dit beoordelen in de DPIA.
Stap 4: richt de techniek goed in
- Koppeling met het HIS of ECD, zodat verslagen niet via het klembord of e-mail reizen.
- Persoonlijke accounts met multifactor-authenticatie voor de AI-dienst.
- Beheerde, versleutelde apparaten voor opnemen en verwerken, ook telefoons.
- Voor Microsoft Copilot: controleer vooraf de rechten in uw Microsoft 365-omgeving en gebruik gevoeligheidslabels. Copilot kan alles vinden waar een gebruiker toegang toe heeft, ook als die toegang ooit te ruim is ingesteld.
Stap 5: neem uw team mee
AI werkt alleen veilig als iedereen weet hoe het werkt en waar de grenzen liggen. Leg uit wat de AI-scribe doet, waarom controle van het verslag nodig is en welke tools niet zijn toegestaan. Sinds februari 2025 vraagt de Europese AI-verordening (AI Act) bovendien dat organisaties die AI inzetten zorgen voor voldoende AI-geletterdheid bij hun medewerkers.
Stap 6: evalueer na drie maanden
Plan na ongeveer drie maanden een evaluatie. Bespaart het werkelijk tijd? Hoe vaak moeten verslagen worden gecorrigeerd? Houdt iedereen zich aan de afspraken? Zijn er incidenten geweest? Pas op basis daarvan uw beleid en instellingen aan.
En de AI-verordening?
De Europese AI-verordening wordt gefaseerd van kracht. De verplichtingen voor AI-systemen met een hoog risico volgen later. Welke eisen dan voor uw toepassing gelden, hangt af van het soort systeem en het gebruik. Houd de ontwikkelingen in de gaten, of laat dat aan uw ICT-partner over.
Checklist vóór de eerste opname
- De leverancier voldoet aan uw eisen en de verwerkersovereenkomst is getekend.
- De DPIA is afgerond en de maatregelen daaruit zijn ingevoerd.
- Het AI-beleid is vastgesteld en met het team besproken.
- Patiënten worden geïnformeerd, bijvoorbeeld via de website, in de wachtkamer en in het gesprek zelf.
- De koppeling met het HIS of ECD werkt en is getest met fictieve gegevens.
- Accounts hebben MFA, apparaten zijn beheerd en versleuteld.
- De evaluatie na drie maanden staat in de agenda.
Hoe Abyco Solutions helpt
Met AI veilig in de zorg begeleiden wij de invoering van een AI-scribe of Copilot van begin tot eind: keuzehulp voor leveranciers, DPIA, AI-beleid en werkafspraken, koppeling met uw HIS of ECD, configuratie van rechten en gevoeligheidslabels, bewustwording en een evaluatie na drie maanden. Gebruikt u al AI? Dan controleren we de afspraken en de inrichting en helpen we u alsnog aan een DPIA en beleid.
Stand van zaken september 2026. Dit artikel is algemene informatie en geen juridisch advies. Raadpleeg voor uw specifieke situatie uw functionaris gegevensbescherming of een jurist.