AI-documentatietools in de Europese openbare gezondheidszorg: wat beheerders moeten weten

AI-ondersteunde documentatietools nemen gesproken klinische consulten op en zetten die om in gestructureerde conceptverslagen. De zorgverlener beoordeelt en keurt deze verslagen goed. De tools stellen geen diagnoses en geven geen klinische aanbevelingen. Voor gemeentelijke beheerders die deze tools willen beoordelen, raakt die beslissing aan vier regelgevende kaders tegelijk: de Algemene Verordening Gegevensbescherming (AVG), de EU AI Act, de EU-verordening voor medische hulpmiddelen (MDR) en aanbestedingswetgeving.

Waarom gemeentelijke gezondheidszorg anders is dan een huisartsenpraktijk

Gemeentelijke gezondheidsprogramma's richten zich op de bevolking als geheel en op niet-acute zorg: thuiszorgbezoeken, follow-ups voor geestelijke gezondheidszorg, revalidatiesessies, wijkverpleging en het beheer van chronische aandoeningen. De documentatielast is groot, repetitief en verspreid over een gedecentraliseerd personeelsbestand. Medewerkers werken vaak op meerdere locaties, zonder vaste administratieve ondersteuning.

Het praktische voordeel is tijdwinst. Een pilot van zes weken in de gemeente Farsund, Noorwegen, waarbij twintig medewerkers van drie zorgteams betrokken waren, liet zien dat de totale dagelijkse documentatietijd daalde van ongeveer drie uur naar tien tot vijftien minuten. Een afzonderlijk grootschalig observationeel onderzoek in Capio/Ramsay Santé-faciliteiten in Zweden evalueerde een AI-medische assistent op basis van 375.000 klinische verslagen en vond consistente verminderingen in zelfgerapporteerde documentatietijd op meerdere zorgniveaus, vooraf geregistreerd en rapporterend volgens de SQUIRE-richtlijnen. Beide studies leunen op zelfrapportage, en objectieve meting van documentatiekwaliteit en foutpercentages blijft schaars. Beheerders doen er goed aan dat te erkennen bij het ontwerp van hun eigen pilot.

Wat de EU AI Act en MDR betekenen voor documentatietools

De EU AI Act is in augustus 2024 in werking getreden. De wet deelt AI-systemen die worden gebruikt voor diagnose, behandelbeslissingen of klinische beslissingsondersteuning in als hoog risico. Een tool die uitsluitend transcribeert en structureert zonder klinische aanbevelingen te geven, valt in een lagere categorie, en dat onderscheid is cruciaal: de indeling bepaalt welke nalevingseisen gelden voor zowel de leverancier als de gemeente. Beheerders moeten bij leveranciers een schriftelijke onderbouwing van de risico-indeling opvragen en controleren of de tool geen beslissingsondersteunende functies bevat die de indeling zouden veranderen. De wet stelt ook transparantie-eisen: patiënten moeten worden geïnformeerd wanneer er AI-systemen aanwezig zijn tijdens hun afspraak.

De MDR volgt dezelfde logica. Een tool die uitsluitend transcribeert en structureert, valt doorgaans niet onder de definitie van een medisch hulpmiddel. Dat verandert zodra een tool functies bevat zoals het markeren van klinische afwijkingen of het suggereren van diagnoses. Beheerders moeten leveranciers vragen om een schriftelijke onderbouwing van de MDR-indeling, controleren of de tool een CE-markering heeft als medisch hulpmiddel en bevestigen dat die markering van toepassing is op de versie die wordt getest. De medRxiv-studie is opmerkelijk omdat de beoordeelde tool CE-gemarkeerd was, wat nuttige context biedt voor beheerders die willen begrijpen hoe leverancierscertificering er in de praktijk uitziet.

Van de twee kaders verdient de AI Act in de praktijk de meeste aandacht, omdat de risico-indeling niet alleen bepaalt welke eisen gelden, maar ook hoe leveranciers hun documentatieplichten invullen. Een verkeerde indeling door de leverancier kan pas laat in een aanbestedingstraject aan het licht komen.

AVG-verplichtingen: wat moet geregeld zijn vóór, tijdens en na een pilot

Gezondheidsgegevens zijn bijzondere categorieën persoonsgegevens onder artikel 9 van de AVG. Verwerking vereist niet alleen een rechtmatige grondslag onder artikel 6, maar ook een aanvullende voorwaarde onder artikel 9, meestal expliciete toestemming of verwerking die noodzakelijk is voor het verlenen van gezondheids- of sociale zorg. Gemeenten moeten vaststellen welke grondslag van toepassing is en die vastleggen voordat een pilot begint.

Vóór de pilot is een gegevensbeschermingseffectbeoordeling verplicht onder artikel 35. Het verwerken van bijzondere categorieën gezondheidsgegevens met nieuwe technologie voldoet aan de drempel voor die verplichting. Een ondertekende verwerkersovereenkomst met de leverancier is vereist onder artikel 28 en moet er liggen voordat de gemeente gegevens deelt.

Tijdens de pilot geldt het beginsel van gegevensminimalisatie: audiogegevens mogen niet langer worden bewaard dan noodzakelijk voor transcriptie, en de leverancier mag patiëntgegevens niet gebruiken voor modeltraining zonder expliciete toestemming. Na de pilot moet de gemeente registers van verwerkingsactiviteiten bijhouden onder artikel 30, en betrokkenen moeten hun rechten kunnen uitoefenen, waaronder het recht op inzage en verwijdering.

Twee toestemmingsvragen verdienen afzonderlijke aandacht. Patiënten moeten worden geïnformeerd dat er een AI-tool aanwezig is tijdens hun afspraak, waarvoor een gedocumenteerd proces nodig is. Medewerkers van wie de stem wordt opgenomen, zijn ook betrokkenen in de zin van de AVG, en de gemeente moet een rechtmatige grondslag voor die verwerking vaststellen en documenteren.

Wat gemeenten moeten bevestigen over gegevensopslag buiten de EU

Voor de meeste Europese openbare gezondheidsinstanties is verwerking van gezondheidsgegevens buiten de EU of de Europese Economische Ruimte (EER) niet toegestaan onder nationale gegevensbeschermingskaders. Beheerders moeten schriftelijke bevestiging van de leverancier krijgen over de volgende punten: waar audiogegevens worden verwerkt op het moment van transcriptie; waar gestructureerde verslagen worden opgeslagen en hoe lang; of er subverwerkers betrokken zijn en waar die zich bevinden; en of gegevens in enige fase buiten de EU of EER worden overgedragen, ook voor modeltraining of kwaliteitsborging. Leveranciers die infrastructuur buiten de EER gebruiken, moeten het juridische overdrachtsmechanisme specificeren dat zij toepassen, zoals standaardcontractbepalingen.

De Europese Gezondheidsgegevensruimte (EHDS), die in 2025 in werking is getreden, introduceert aanvullende regels voor grensoverschrijdend gebruik van gezondheidsgegevens. Beheerders moeten in de gaten houden hoe de EHDS zich verhoudt tot nationale opslagvereisten naarmate de uitvoering vordert.

Aanbestedingsregels en wat contracten moeten bevatten

AI-documentatietools vallen onder Richtlijn 2014/24/EU. Voor subnationale openbare instanties geldt een drempel van €215.000 exclusief btw voor dienstencontracten. De Europese Commissie herziet dit bedrag periodiek. Boven die drempel is een formele aanbestedingsprocedure verplicht; onder de drempel gelden nationale regels. Technische specificaties moeten de functionele eisen en nalevingsvereisten beschrijven, zoals realtime transcriptie in de relevante taal, gegevensopslag binnen de EU, naleving van de AVG en ISO 27001-certificering, maar mogen niet zo nauw omschreven zijn dat ze feitelijk het product van één leverancier beschrijven, want dat is niet toegestaan onder de richtlijn.

Contracten moeten drie elementen bevatten. Ten eerste duidelijke bepalingen over gegevenseigendom: patiëntgegevens en gegenereerde verslagen blijven eigendom van de gemeente. Ten tweede exitbepalingen, zodat de gemeente gegevens kan ophalen en van leverancier kan wisselen zonder buitensporige kosten. Ten derde auditrechten waarmee de gemeente kan controleren of de leverancier zijn gegevensverwerkingsverplichtingen nakomt. De Organisatie voor Economische Samenwerking en Ontwikkeling heeft gezamenlijke inkoopmodellen aangewezen als een manier om eerlijke invoering te bevorderen. Gemeenten die samen met naburige instanties aanbesteden, kunnen de beoordelingskosten verlagen en hun onderhandelingspositie versterken.

Wat onafhankelijk te verifiëren bij leveranciersbeoordeling

Marketingmateriaal is onvoldoende basis voor een aanbestedingsbeslissing. De volgende punten moeten onafhankelijk worden geverifieerd:

• ISO 27001-certificering: vraag het actuele certificaat op en bevestig dat de reikwijdte de systemen dekt die gezondheidsgegevens verwerken.

• De AVG-verwerkersovereenkomst moet worden beoordeeld aan de hand van de vereisten van artikel 28, voordat gegevens worden gedeeld.

• EU AI Act-nalevingsdocumentatie: vraag de schriftelijke onderbouwing van de risico-indeling op.

• Gegevensopslag: verkrijg schriftelijke bevestiging van waar gegevens worden verwerkt en opgeslagen in elke fase, inclusief bij subverwerkers.

• Modeltraining: vraag expliciet of de leverancier patiëntgegevens gebruikt om het model te trainen of te verfijnen, en vraag zo ja wat de rechtmatige grondslag daarvoor is.

• Vraag om referenties of gepubliceerd bewijs van toepassingen in Europese gemeentelijke of openbare sectoromgevingen. Peer-reviewed of vooraf geregistreerde studies wegen zwaarder dan interne casestudies.

• Bevestig dat de tool nauwkeurig werkt in de taal of talen van uw klinisch personeel, inclusief regionale dialecten of vakspecifieke terminologie.

Een peer-reviewed studie naar de aanschaf van gezondheidstechnologie in Zweedse gemeenten stelde vast dat gemeenten bewijs op een inconsistente manier gebruiken bij aanbestedings- en beoordelingsbeslissingen, en dat bestaande nationale richtlijnen onvoldoende houvast bieden voor goed onderbouwde beslissingen. Dat maakt eigen beoordelingscapaciteit binnen de gemeente onmisbaar. Gemeenten kunnen niet uitsluitend afgaan op wat leveranciers aanleveren, maar moeten die informatie actief toetsen aan eigen criteria en externe bronnen.

Een pilot met laag risico structureren en interne teams op één lijn brengen

Een goed afgebakende pilot beperkt de regelgevingsrisico's en levert bruikbaar bewijs op. Beperk de reikwijdte tot één zorgteam of locatie: één wijkverpleegkundig team of een follow-upprogramma voor geestelijke gezondheidszorg is beter beheersbaar dan een gemeentebrede uitrol. Zes tot twaalf weken is voldoende om betekenisvolle gegevens te verzamelen. De Farsund-pilot duurde zes weken en leverde duidelijke, meetbare resultaten op. Stel succescriteria vooraf vast: documentatietijd per bezoek, bruikbaarheidsscores gerapporteerd door personeel, foutpercentages in gegenereerde verslagen en feedback van patiënten.

Vóór de start zijn drie schriftelijke goedkeuringen nodig: van de functionaris voor gegevensbescherming (gegevensbeschermingseffectbeoordeling afgerond), de aanbestedingsverantwoordelijke (contract en verwerkersovereenkomst aanwezig) en de klinisch leidinggevende (klinisch governancekader overeengekomen). Zorg dat al het deelnemende personeel begrijpt hoe de tool werkt, welke beoordelingsverantwoordelijkheden zij dragen en hoe zij fouten kunnen melden. Het WHO/Europa-rapport over AI in de gezondheidszorg, het eerste uitgebreide overzicht van alle 27 EU-lidstaten, noemt personeelstraining en AI-kennis als een van de belangrijkste succesfactoren. Stel daarnaast een heldere uitleg op voor patiënten, in begrijpelijke taal en beschikbaar in de talen van de patiëntenpopulatie. Leg ook een exitplan vast: wat er gebeurt met gegevens, verslagen en toegangsrechten als de pilot wordt stopgezet.

AI-documentatietools raken aan ten minste vier regelgevende kaders en vereisen doorgaans gelijktijdige betrokkenheid van aanbesteding, juridische zaken, gegevensbescherming en klinisch leiderschap. In gemeentelijke settings werken deze functies mogelijk niet routinematig samen. Betrek de functionaris voor gegevensbescherming vroeg in het proces, vóór de keuze van een leverancier, zodat een voorkeursleverancier niet alsnog afvalt bij de gegevensbeschermingsbeoordeling. Formuleer de klinische businesscase in operationele termen: klinisch leidinggevenden reageren beter op een voorstel over het verminderen van de papierdruk dan op een voorstel over technologieadoptie. Geef de aanbestedingsverantwoordelijke een heldere samenvatting van welke verplichtingen gelden en welke daarvan bij de leverancier liggen en welke bij de gemeente. Leg elke beslissing schriftelijk vast: in een gereguleerde aanbestedingsomgeving is het auditspoor onmisbaar.

Het nationale AI-plan van Noorwegen voor de gezondheidszorg, geleid door het Noorse Directoraat voor Gezondheid, richt zich uitdrukkelijk op het opschalen van AI in zowel gemeentelijke als gespecialiseerde zorgsettings. De AI-uitrol van Vestre Viken Health Trust, die 22 gemeenten en ongeveer 500.000 mensen bedient, laat zien dat AI-documentatietools op beleidsniveau serieus worden genomen. Dat is een referentiepunt dat beheerders kunnen gebruiken bij het opbouwen van intern draagvlak voor een pilotvoorstel.

Veelgestelde vragen

▶ Wat doen AI-ondersteunde documentatietools eigenlijk tijdens een gemeentelijk gezondheidsbezoek?

De tool neemt het gesprek op, transcribeert het en levert een conceptverslag aan. De zorgverlener keurt dat verslag goed voordat het in het medisch dossiersysteem terechtkomt. Klinische oordelen blijven volledig bij de zorgverlener. De meerwaarde zit in het wegvallen van handmatige verslaglegging na het bezoek.

▶ Welk bewijs bestaat er voor tijdbesparingen in gemeentelijke openbare gezondheidszorg?

De beschikbare studies meten zelfgerapporteerde tijdwinst. Objectieve gegevens over documentatiekwaliteit en foutpercentages ontbreken grotendeels. Beheerders die een pilot opzetten, doen er goed aan beide te meten: hoeveel tijd medewerkers besparen én hoe nauwkeurig de gegenereerde verslagen zijn.

▶ Classificeert de EU AI Act documentatietools als hoog risico?

Een tool die uitsluitend transcribeert en structureert, valt buiten de hoog-risicoclassificatie. Maar leveranciers voegen soms functies toe, zoals het markeren van afwijkingen, die de classificatie alsnog kunnen verschuiven. Vraag de schriftelijke risico-onderbouwing op voor de versie die u daadwerkelijk gaat testen, want updates kunnen de indeling veranderen.

▶ Welke AVG-verplichtingen gelden voordat een pilot begint?

Twee documenten moeten er liggen voordat gegevens worden gedeeld: de gegevensbeschermingseffectbeoordeling en de ondertekende verwerkersovereenkomst. Vergeet daarbij de medewerkers niet. Hun stemopnames vallen ook onder de AVG, en de gemeente moet voor die verwerking een aparte rechtmatige grondslag vaststellen en documenteren.

▶ Hoe bevestigen gemeenten dat patiëntgegevens binnen de EU blijven?

Vraag de leverancier om een schriftelijk overzicht van alle verwerkingslocaties, inclusief subverwerkers, voor elke fase van het proces: opname, transcriptie, opslag en eventuele modeltraining. Leveranciers die infrastructuur buiten de EER gebruiken, moeten het juridische overdrachtsmechanisme benoemen. Een mondelinge toezegging volstaat niet.

▶ Wanneer is de EU-verordening voor medische hulpmiddelen van toepassing op een AI-documentatietool?

De grens ligt bij de output. Transcriberen en structureren valt er doorgaans buiten. Zodra een tool klinische afwijkingen markeert of diagnoses suggereert, kan de verordening van toepassing worden. Controleer of een geclaimde CE-markering als medisch hulpmiddel geldt voor de exacte versie die u beoordeelt, want certificering geldt per versie.

▶ Welke aanbestedingsregels gelden wanneer een gemeente een AI-documentatietool aanschaft?

Boven de drempel van 215.000 euro exclusief btw voor dienstencontracten is een formele procedure verplicht onder Richtlijn 2014/24/EU. Gemeenten die samen met naburige instanties aanbesteden, verlagen de beoordelingskosten en versterken hun onderhandelingspositie. De OESO heeft gezamenlijke inkoopmodellen aangewezen als middel om eerlijke invoering te bevorderen.

▶ Wie is verantwoordelijk als een door AI gegenereerd klinisch verslag een fout bevat?

De zorgverlener die het verslag goedkeurt, blijft klinisch en juridisch verantwoordelijk. Leg in de leveranciersovereenkomst vast hoe het auditspoor eruitziet: wie heeft welk verslag goedgekeurd en wanneer. Controleer ook of de interface de zorgverlener voldoende aanzet tot actieve beoordeling, want een te soepele goedkeuringsflow vergroot het risico op onopgemerkte fouten.

▶ Hoe moet een gemeente een pilot met een laag risico structureren?

Beperk de pilot tot één team of locatie en stel succescriteria vooraf vast. Neem naast zelfgerapporteerde tijdwinst ook objectieve maatstaven op, zoals foutpercentages in gegenereerde verslagen. Zorg voor schriftelijke goedkeuring van de functionaris voor gegevensbescherming, de aanbestedingsleider en de klinisch leidinggevende voordat de eerste opname plaatsvindt.

▶ Wat moeten beheerders onafhankelijk verifiëren bij het beoordelen van een leverancier?

Vraag het ISO 27001-certificaat op en controleer of de reikwijdte de systemen dekt die gezondheidsgegevens verwerken. Vraag expliciet of patiëntgegevens worden gebruikt voor modeltraining en wat de rechtmatige grondslag daarvoor is. Geef de voorkeur aan leveranciers met peer-reviewed of vooraf geregistreerde evaluaties boven interne casestudies.