Het ondertekenen van een contract voor een AI-tool voelt misschien als het eindpunt van een aanbestedingstraject, maar voor praktijkmanagers van huisartsenpraktijken is het juist het startschot. Zodra een contract is ondertekend en een tool is geïmplementeerd, rusten de klinische, juridische en regelgevende verplichtingen die bij die implementatie horen volledig bij de praktijk, niet bij de leverancier. AI-implementatie loopt vooruit op robuuste evaluatie in de praktijk en regelgeving op manieren die een reëel risico vormen voor praktijken die geen grondig onderzoek hebben gedaan. Deze gids beschrijft de specifieke vragen die praktijkmanagers moeten stellen en de documenten die zij moeten beoordelen voordat een contract wordt ondertekend.

Is de tool geclassificeerd als medisch hulpmiddel, en wat betekent dat voor u?

Niet elke AI-tool die in een klinische setting wordt gebruikt is een medisch hulpmiddel, maar veel zijn dat wel, en het onderscheid is van groot regelgevend belang. In het VK classificeert de Medicines and Healthcare products Regulatory Agency (MHRA) software als medisch hulpmiddel. Als een AI-tool klinische diagnose, triagebeslissingen of behandelaanbevelingen ondersteunt, valt deze waarschijnlijk onder de definitie van Software as a Medical Device (SaMD) en is UKCA- of CE-markering vereist onder de Medical Device Regulation (MDR).

Voordat zij ondertekenen, moeten praktijkmanagers:

• De MHRA Product and Registration Database (PARD) raadplegen om te bevestigen of de tool is geregistreerd als medisch hulpmiddel

• De leverancier rechtstreeks vragen naar hun MHRA-registratiestatus en apparaatklasse

• Controleren of de tool een NICE-evaluatie heeft, een Medtech Innovation Briefing (MIB), Diagnostics Guidance (DG) of Early Value Assessment (EVA)

• Bevestigen of de tool een geldige UKCA- of CE-markering heeft als deze is geclassificeerd als medisch hulpmiddel

De CQC's GP Mythbuster 109 over AI, gepubliceerd in juli 2025, maakt duidelijk dat inspecteurs zullen controleren of praktijken de MHRA-registratie hebben geverifieerd waar van toepassing en of de aanbesteding is uitgevoerd volgens DCB0160- en Digital Technology Assessment Criteria (DTAC)-normen. Tools die niet zijn geclassificeerd als medische hulpmiddelen zijn niet vrijgesteld van controle. Zij hebben nog steeds verplichtingen op het gebied van gegevensbescherming, klinische veiligheid en governance.

Wie draagt de klinische en juridische aansprakelijkheid als er iets misgaat?

Dit is een van de meest bepalende vragen in elk AI-toolcontract, en leveranciersovereenkomsten zijn hierover vaak vaag. De algemene lijn in de NHS-eerstelijnszorg is dat NHS-organisaties mogelijk nog steeds aansprakelijk zijn voor AI-gerelateerde claims, zelfs bij gebruik van tools van derden, en dat de aansprakelijkheid voor het gebruik van een niet-conforme AI-oplossing bij de implementerende organisatie of individuele zorgverlener ligt.

Leveranciers beperken hun aansprakelijkheid doorgaans tot het functioneren van de software zoals beschreven in het contract. Zij accepteren geen aansprakelijkheid voor klinische beslissingen die zijn genomen op basis van AI-outputs. Dit betekent dat als een door AI gegenereerd klinisch verslag een fout bevat die de patiëntenzorg beïnvloedt, de praktijk, niet de leverancier, waarschijnlijk de klinische en juridische gevolgen zal dragen.

Bij het beoordelen van contractvoorwaarden moeten praktijkmanagers letten op:

• Duidelijke afspraken over waar de klinische aansprakelijkheid ligt en of de leverancier enige verantwoordelijkheid accepteert voor door AI gegenereerde outputs die in het patiëntendossier terechtkomen

• Vrijwaringsclausules en of de vrijwaring van de leverancier klinische incidenten dekt of beperkt is tot storingen in de softwareprestaties

• Of de voorwaarden van de leverancier vereisen dat de praktijk menselijk toezicht op alle AI-outputs handhaaft en welke documentatie van dat toezicht wordt verwacht

• Of de medische aansprakelijkheidsorganisatie of vrijwaringsaanbieder van de praktijk is geraadpleegd over het gebruik van de tool

Surrey & Sussex LMCs adviseren praktijken om hun Integrated Care Board (ICB) te betrekken voor zekerheid en ervoor te zorgen dat alle door AI gegenereerde outputs door een zorgverlener worden gecontroleerd voordat ze in het patiëntendossier worden opgenomen. Deze vereiste voor menselijke tussenkomst is niet alleen goede praktijk, maar ook een voorwaarde voor veilige implementatie onder de huidige NHS-richtlijnen.

Waar worden patiëntgegevens verwerkt en opgeslagen?

Gegevensopslag is een fundamentele vraag bij elke klinische AI-aanbesteding, en de antwoorden van leveranciers zijn niet altijd eenduidig. Onder de UK General Data Protection Regulation (GDPR) en de common law-plicht tot vertrouwelijkheid zijn patiëntgegevens bijzondere categorieën gegevens en moet de verwerking ervan rechtmatig, transparant en evenredig zijn. Als patiëntgegevens, inclusief audio-opnames van consulten, buiten het VK of de EU worden overgedragen voor verwerking of opslag, zijn aanvullende waarborgen vereist.

NHS England's richtlijnen voor ambient scribing-producten bevestigen dat een Data Protection Impact Assessment (DPIA) zeer waarschijnlijk wettelijk verplicht is vóór implementatie, gezien de grootschalige verwerking van bijzondere categorieën gezondheidsgegevens die ermee gemoeid is. De informatiegovernance-richtlijnen van de NHS Transformation Directorate onderstrepen dit, waarbij wordt opgemerkt dat DPIA's de soorten gegevens die worden verwerkt (inclusief audio en transcripties), hergebruik van leveranciersgegevens voor AI-modeltraining en transparantieverplichtingen voor patiënten moeten behandelen.

Belangrijke vragen om leveranciers te stellen voordat u ondertekent:

• Waar worden patiëntgegevens verwerkt? Is dat in het VK, de EU of een derde land?

• Wie zijn de subverwerkers van de leverancier en waar bevinden zij zich?

• Gebruikt de leverancier patiëntconsultgegevens om hun AI-modellen te trainen of te verbeteren en zo ja, op welke juridische grondslag?

• Is een Data Processing Agreement (DPA) opgenomen in het contract en voldoet deze aan UK GDPR artikel 28?

• Wat is het onderscheid tussen geanonimiseerde en gepseudonimiseerde gegevens in de verwerking van de leverancier en wat is het resterende risico op heridentificatie?

Juridisch commentaar van Spencer West LLP merkt op dat het onderscheid tussen geanonimiseerde en gepseudonimiseerde gegevens hier bijzonder belangrijk is, omdat gepseudonimiseerde gegevens een restrisico op heridentificatie behouden en niet buiten de reikwijdte van de wetgeving inzake gegevensbescherming vallen.

Welke beveiligingscertificeringen moet de leverancier hebben?

Beveiligingscertificeringen zijn geen garantie voor veiligheid, maar hun afwezigheid zegt veel over de volwassenheid en investeringen van een leverancier in gegevensbescherming. Voor klinische AI-tools die worden gebruikt in de NHS-eerstelijnszorg is er een basislijn van certificeringen en beoordelingen die een geloofwaardige leverancier moet kunnen aantonen.

Praktijken mogen verwachten dat leveranciers beschikken over of actief werken aan:

• ISO 27001 — de internationale norm voor informatiebeveiligingsmanagementsystemen

• NHS Data Security and Protection (DSP) Toolkit-naleving — het eigen raamwerk van de NHS voor het beoordelen van gegevensbeveiliging, wat een contractuele vereiste is voor organisaties die toegang hebben tot NHS-patiëntgegevens

• Cyber Essentials of Cyber Essentials Plus — de basiscyberbeveiligingscertificering van de Britse overheid

• DTAC-naleving — het raamwerk van NHS England dat gegevensbescherming, technische beveiliging, interoperabiliteit en klinische veiligheid omvat

De iatroX-aanbestedingsgids voor NHS-kopers raadt praktijken aan ervoor te zorgen dat een leverancier een geslaagd DTAC-pakket heeft vóór implementatie. De ambient scribing-richtlijnen van NHS England wijzen ook op cyberbeveiligingsrisico's die specifiek zijn voor large language models (LLM's), waaronder het risico op prompt injection-aanvallen en gegevenslekken via modeloutputs.

Een leverancier die geen bewijs van deze certificeringen kan overleggen of die geen actuele DSP Toolkit-indiening kan verstrekken, moet met de nodige voorzichtigheid worden benaderd, ongeacht hoe overtuigend hun productdemonstratie ook is.

Hoe integreert de tool met uw bestaande patiëntendossiersysteem?

De meeste huisartsenpraktijken in Engeland gebruiken EMIS Web of SystmOne als hun primaire patiëntendossiersysteem. De praktische waarde van een AI-tool, met name een ambient scribe of documentatie-assistent, hangt sterk af van hoe goed deze integreert met het bestaande systeem van de praktijk. Integratie die handmatig kopiëren en plakken van door AI gegenereerde inhoud in het patiëntendossier vereist, vergroot het risico op transcriptiefouten aanzienlijk en doet veel van het efficiëntievoordeel teniet.

Voordat zij ondertekenen, moeten praktijkmanagers vaststellen:

• Of de tool een native, gecertificeerde integratie heeft met EMIS Web of SystmOne of dat deze afhankelijk is van een tijdelijke oplossing

• Wie verantwoordelijk is voor het onderhouden van de integratie wanneer de aanbieder van het patiëntendossiersysteem updates uitbrengt: de AI-leverancier, de aanbieder of de praktijk

• Of de integratie is getest in een live huisartsenomgeving, niet alleen in een ontwikkel- of tweedelijnszorgomgeving

• Wat het terugvalproces is als de integratie tijdens een klinische sessie uitvalt

De iatroX-gids voor AI-tools voor Britse huisartsenpraktijken benadrukt patiëntendossiersysteemintegratie als een van de belangrijkste evaluatiecriteria voor ambient scribes, en merkt op dat aanbestedingsbeslissingen rekening moeten houden met de totale eigendomskosten, inclusief de workflowaanpassing die vereist is wanneer de integratie niet optimaal is. Integratiestoringen zijn niet alleen een technisch ongemak; in een klinische setting kunnen ze hiaten in het patiëntendossier veroorzaken of fouten introduceren die gevolgen hebben voor de patiëntveiligheid.

Wat gebeurt er met uw gegevens als u het contract beëindigt?

Gegevensportabiliteit en verwijdering bij contractbeëindiging zijn gebieden waar leverancierscontracten vaak vaag over zijn, en praktijken kunnen zich in een lastige positie bevinden als zij vooraf geen duidelijke afspraken hebben gemaakt. De vragen die moeten worden beantwoord voordat u ondertekent zijn:

• Hoe lang bewaart de leverancier patiëntgegevens na contractbeëindiging en op welke juridische grondslag?

• Kan de praktijk een volledige kopie exporteren van alle patiëntgegevens die door de leverancier worden bewaard vóór beëindiging?

• Wat betekent "verwijdering op verzoek" precies? Omvat dit alle kopieën, inclusief back-ups en gegevens bij subverwerkers?

• Wat is de tijdlijn voor bevestigde verwijdering en zal de leverancier schriftelijke bevestiging verstrekken?

Onder de UK GDPR hebben betrokkenen rechten, waaronder het recht op verwijdering, en de praktijk is als verwerkingsverantwoordelijke verantwoordelijk voor het waarborgen dat die rechten kunnen worden uitgeoefend, zelfs nadat een leveranciersrelatie is beëindigd. Privacy en beveiliging gedurende de hele levenscyclus van gezondheidsgegevens is een groeiend gebied van regelgevend toezicht, en praktijken die niet kunnen verantwoorden waar patiëntgegevens naartoe zijn gegaan nadat een leverancierscontract is beëindigd, kunnen te maken krijgen met nalevingsrisico's.

Contractvoorwaarden die leveranciers toestaan gegevens gedurende langere perioden na beëindiging te bewaren voor "productverbetering" of "modeltraining" moeten ter juridische beoordeling worden voorgelegd voordat wordt ondertekend.

Is de AI-tool getraind op NHS- of gelijkwaardige klinische gegevens?

De trainingsgegevens die zijn gebruikt om een AI-tool te ontwikkelen, hebben directe invloed op de klinische nauwkeurigheid in een Britse eerstelijnszorgcontext. Een tool die voornamelijk is getraind op Amerikaanse klinische gegevens kan bijvoorbeeld slecht presteren op UK-specifieke klinische codering (zoals SNOMED CT in de NHS), medicijnnamen en doseringsconventies, verwijzingstrajecten of de specifieke documentatiestijl van huisartsenconsulten.

Perspectieven van zorgverleners op AI in de eerstelijnszorg uiten consequent zorgen over vooroordelen die worden geïntroduceerd via trainingsgegevens, en Laranjo et al. in de Lancet Primary Care merken op dat snelle implementatie zonder robuuste evaluatie zorgen oproept over onbedoelde gevolgen voor de kwaliteit van de zorg. Dit zijn geen abstracte risico's; ze vertalen zich direct naar de nauwkeurigheid van klinische verslagen, de geschiktheid van voorgestelde klinische codes en de betrouwbaarheid van eventuele beslissingsondersteunende outputs.

Bij het evalueren van de claims van een leverancier over trainingsgegevens moeten praktijkmanagers vragen:

• Is het model getraind op NHS- of Britse eerstelijnszorggegevens en kan de leverancier hiervan documentatie verstrekken?

• Is het model specifiek gevalideerd op Britse huisartsenconsultgegevens?

• Publiceert de leverancier een modelkaart of gelijkwaardige technische documentatie waarin trainingsgegevensbronnen, bekende beperkingen en prestatiebenchmarks worden beschreven?

• Hoe gaat het model om met UK-specifieke klinische terminologie, medicijnnamen en verwijzingsconventies?

Leveranciers moeten deze vragen kunnen beantwoorden met gedocumenteerd bewijs, niet met marketingclaims. Wanneer een leverancier deze informatie niet kan verstrekken, is dat een wezenlijk gemis in hun klinische bewijsvoering.

Wie in de praktijk is verantwoordelijk voor het toezicht op de tool?

AI-toolgovernance is geen eenmalige aanbestedingsbeslissing, maar een doorlopende operationele verantwoordelijkheid. De GP Mythbuster 109 van de CQC beschrijft waar inspecteurs op letten, waaronder de aanstelling van een Clinical Safety Officer (CSO), het bijhouden van een risicobeoordeling en gevarenlogboek, en bewijs dat menselijk toezicht op AI-outputs is ingebed in praktijkworkflows.

De verplichting om een CSO op praktijkniveau te benoemen erkennen Surrey & Sussex LMCs als een praktische uitdaging voor kleinere praktijken. Het is echter een regelgevende verwachting, geen optionele verbetering. De CSO hoeft geen fulltime functie te zijn, maar de praktijk moet een aangewezen persoon kunnen identificeren die deze verantwoordelijkheid draagt en kan aantonen dat deze wordt vervuld.

Governancedocumentatie die de praktijk moet bijhouden omvat:

• Een afgeronde DCB0160 klinisch veiligheidscase voor de implementatie van de tool

• Een risicobeoordeling en gevarenlogboek, regelmatig beoordeeld en bijgewerkt wanneer de tool verandert

• Registraties van zorgverlenerstraining over de tool, inclusief bewustzijn van de beperkingen ervan

• Een logboek van eventuele incidenten of bijna-incidenten met betrekking tot door AI gegenereerde outputs

• Bewijs dat alle door AI gegenereerde inhoud die in het patiëntendossier terechtkomt door een zorgverlener is beoordeeld

Deze documentatie is niet alleen relevant voor CQC-inspectie. Het is het bewijs dat de praktijk beschermt als er een klinisch incident optreedt en er vragen worden gesteld over hoe de tool is geïmplementeerd en gecontroleerd.

Hoe zien de ondersteuning en incidentrespons van de leverancier eruit?

Een Service Level Agreement (SLA) is een standaardonderdeel van elk softwarecontract, maar voor klinische AI-tools zijn de gevolgen van een ondersteuningsfout groter dan bij de meeste software. Als een ambient scribe tijdens een consult uitvalt of als een door AI gegenereerd verslag een systematische fout bevat die niet direct wordt opgemerkt, moet de praktijk erop kunnen vertrouwen dat de leverancier snel en met klinisch inzicht reageert.

Voordat zij ondertekenen, moeten praktijkmanagers beoordelen:

• Respons- en oplossingstijden in de SLA en of deze onderscheid maken tussen klinische veiligheidsincidenten en algemene technische problemen

• Of de leverancier een vaste contactpersoon heeft voor huisartsenpraktijken of dat ondersteuning wordt afgehandeld via een generieke helpdesk

• Wat het proces van de leverancier is voor het melden van een klinisch veiligheidsincident aan praktijken, inclusief hoe snel zij communiceren en welke informatie wordt verstrekt

• Of de leverancier een gedocumenteerd klinisch veiligheidsincident-rapportageproces heeft dat voldoet aan NHS-normen

NHS England's ambient scribing-richtlijnen vereisen dat contractuele afspraken rollen, verantwoordelijkheden en aansprakelijkheid duidelijk definiëren, inclusief incidentrespons. Een leverancier die geen duidelijk klinisch veiligheidsincidentproces kan formuleren, is niet klaar voor implementatie in een eerstelijnszorgomgeving.

Is de tool geëvalueerd in een echte eerstelijnszorgomgeving?

Dit is een vraag waar veel leveranciers moeite mee hebben om met hard bewijs te beantwoorden, en de kloof tussen een overtuigende demonstratie en een peer-reviewed evaluatie in een live huisartsenomgeving is aanzienlijk. Onderzoek naar AI-scribes in de eerstelijnszorg is begonnen met het documenteren van ervaringen van zorgverleners en ethische zorgen in praktijksituaties, maar het bewijs blijft beperkt en grotendeels verkennend.

De Frontiers in Health Services-review van NHS AI-aanbestedingsraamwerken raadt aan dat nalevingsdocumentatie van leveranciers klinisch bewijs moet bevatten, niet alleen technische certificeringen. Praktijkmanagers moeten leveranciers vragen om te verstrekken:

• Gepubliceerde peer-reviewed studies of gedocumenteerde pilotresultaten uit huisartsen- of eerstelijnszorgomgevingen

• Casestudies uit Britse eerstelijnszorgomgevingen met meetbare resultaten (documentatietijd, klinische nauwkeurigheid, tevredenheid van zorgverleners)

• Bewijs van evaluatie tegen NHS-specifieke workflows en patiëntendossiersystemen

• Eventuele bekende beperkingen of faalmodi die zijn geïdentificeerd tijdens praktijktests

Bewijs uit tweedelijnszorg of internationale eerstelijnszorgomgevingen is niet rechtstreeks overdraagbaar naar de Britse huisartsenpraktijk. Consultstructuren, documentatieconventies en regelgevende vereisten verschillen wezenlijk. Een tool die goed presteert in een ziekenhuispolikliniek of een Amerikaanse eerstelijnszorgcontext presteert mogelijk niet gelijkwaardig in een Britse huisartsenpraktijk.

Er is ook een bredere bewijskloof te erkennen. Zoals Laranjo et al. in de Lancet opmerken, loopt AI-implementatie in de eerstelijnszorg momenteel vooruit op de robuuste evaluatie die nodig is om de impact in de praktijk te begrijpen. Dit betekent niet dat praktijken AI-tools moeten vermijden, maar leveranciersclaims moeten zorgvuldig worden onderzocht en monitoring na implementatie is essentieel.

Een checklist vóór ondertekening voor huisartsenpraktijkmanagers

De volgende checklist bundelt de belangrijkste verificatiepunten die in dit artikel zijn behandeld. Gebruik deze als praktische referentie voordat een AI-toolcontract wordt ondertekend.

Regelgeving en klinische veiligheid

• [ ] MHRA-registratiestatus en apparaatklasse bevestigd (PARD raadplegen indien van toepassing)

• [ ] Leverancier beschikt over DCB0129 klinisch veiligheidscase-documentatie

• [ ] Praktijk heeft DCB0160 klinisch veiligheidscase voor implementatie afgerond of gestart

• [ ] DTAC-beoordeling afgerond en geslaagd door leverancier

• [ ] NICE-evaluatie gecontroleerd (MIB, DG of EVA) indien van toepassing

Gegevensbescherming en informatiegovernance

• [ ] DPIA afgerond vóór implementatie

• [ ] Data Processing Agreement opgenomen in contract, UK GDPR artikel 28-conform

• [ ] Gegevensopslag bevestigd — verwerking en opslag in het VK of de EU

• [ ] Subverwerkers geïdentificeerd en beoordeeld

• [ ] Beleid van leverancier over het gebruik van patiëntgegevens voor modeltraining beoordeeld en overeengekomen

• [ ] Voorwaarden voor gegevensverwijdering en portabiliteit bevestigd bij contractbeëindiging

Beveiliging

• [ ] ISO 27001-certificering bevestigd

• [ ] NHS DSP Toolkit-naleving bevestigd

• [ ] Cyber Essentials of Cyber Essentials Plus bevestigd

• [ ] DTAC-cyberbeveiligingssectie geslaagd

Aansprakelijkheid en contractering

• [ ] Aansprakelijkheidsverdeling duidelijk gedefinieerd in contract

• [ ] Vrijwaringsclausules beoordeeld — reikwijdte bevestigd

• [ ] Medische aansprakelijkheidsorganisatie of vrijwaringsaanbieder geraadpleegd

• [ ] Rollen, verantwoordelijkheden en incidentrespons gedefinieerd in contract

Patiëntendossiersysteemintegratie

• [ ] Native integratie met EMIS Web of SystmOne bevestigd

• [ ] Verantwoordelijkheid voor integratieonderhoud gedefinieerd

• [ ] Getest in live Britse huisartsenomgeving

Governance

• [ ] Clinical Safety Officer benoemd op praktijkniveau

• [ ] Risicobeoordeling en gevarenlogboek gestart

• [ ] Trainingsplan voor zorgverleners aanwezig

• [ ] Menselijke beoordeling van alle AI-outputs bevestigd als workflowvereiste

Bewijs en ondersteuning

• [ ] Klinisch bewijs uit Britse eerstelijnszorgomgevingen beoordeeld

• [ ] SLA beoordeeld — responstijden voor klinische veiligheidsincidenten bevestigd

• [ ] Vaste leverancierscontactpersoon voor huisartsenpraktijken bevestigd

• [ ] Oorsprong van trainingsgegevens gedocumenteerd door leverancier

Ondertekenen met vertrouwen, niet alleen snelheid

AI-aanbesteding in de huisartsenpraktijk is evenzeer een klinische governancebeslissing als een operationele. De tools die beschikbaar zijn in 2025 en 2026 bieden echt potentieel om de documentatielast te verminderen en zorgverleners te ondersteunen, maar dat potentieel wordt alleen veilig gerealiseerd wanneer de praktijk regelgevende naleving, gegevensbeschermingsverplichtingen, aansprakelijkheidsverdeling en klinisch bewijs heeft geverifieerd vóór de implementatie.

De Digital Health-rapportage over NHS AI-aanbesteding vat de huidige regelgevende realiteit duidelijk samen: bestaande normen waren niet ontworpen voor lerende AI-systemen, en het tempo van leveranciersactiviteit in de eerstelijnszorg betekent dat praktijken, in de woorden van NHS England's nationale Chief Clinical Information Officer, "robuust moeten zijn in het waarborgen dat wat we doen veilig, verzekerd is en voordeel zal opleveren."

De vragen en controles in dit artikel zijn geen obstakels voor adoptie. Ze vormen de basis waarop veilige, effectieve en verdedigbare adoptie is gebouwd. Een leverancier die ze niet duidelijk en met gedocumenteerd bewijs kan beantwoorden, is niet klaar om in een klinische setting te worden geïmplementeerd. Een praktijk die ze niet heeft gesteld, loopt een risico waarvan zij zich mogelijk nog niet bewust is.

Veelgestelde vragen

▶ Moet een AI-tool die in een huisartsenpraktijk wordt gebruikt geregistreerd zijn als medisch hulpmiddel?

Dat hangt af van wat de tool doet. Als deze klinische diagnose, triagebeslissingen of behandelaanbevelingen ondersteunt, zal deze waarschijnlijk worden geclassificeerd als Software as a Medical Device door de Medicines and Healthcare products Regulatory Agency en is UKCA- of CE-markering vereist onder de Medical Device Regulation. Praktijkmanagers moeten de MHRA Product and Registration Database raadplegen om de registratiestatus van een tool te bevestigen voordat zij een contract ondertekenen. Tools die niet zijn geclassificeerd als medische hulpmiddelen hebben nog steeds verplichtingen op het gebied van gegevensbescherming, klinische veiligheid en governance.

▶ Wie is aansprakelijk als een door AI gegenereerd klinisch verslag een fout bevat die de patiëntenzorg beïnvloedt?

In de NHS-eerstelijnszorg ligt de aansprakelijkheid voor AI-gerelateerde klinische incidenten doorgaans bij de implementerende organisatie of individuele zorgverlener, niet bij de leverancier. Leveranciers beperken hun aansprakelijkheid meestal tot het functioneren van de software zoals beschreven in het contract en accepteren geen verantwoordelijkheid voor klinische beslissingen die zijn genomen op basis van AI-outputs. Praktijkmanagers moeten vrijwaringsclausules zorgvuldig beoordelen, bevestigen of hun medische aansprakelijkheidsorganisatie is geraadpleegd en ervoor zorgen dat alle door AI gegenereerde inhoud door een zorgverlener wordt beoordeeld voordat deze in het patiëntendossier wordt opgenomen.

▶ Waar moeten patiëntgegevens worden verwerkt en opgeslagen bij gebruik van een klinische AI-tool?

Patiëntgegevens zijn bijzondere categorieën gegevens onder de UK General Data Protection Regulation en moeten rechtmatig, transparant en evenredig worden verwerkt. Als gegevens buiten het VK of de EU worden overgedragen, zijn aanvullende waarborgen vereist. Voordat zij ondertekenen, moeten praktijken bevestigen waar de leverancier gegevens verwerkt en opslaat, wie hun subverwerkers zijn en of een Data Processing Agreement conform UK GDPR artikel 28 is opgenomen in het contract. NHS England bevestigt dat een Data Protection Impact Assessment zeer waarschijnlijk wettelijk verplicht is vóór implementatie.

▶ Welke beveiligingscertificeringen moet een klinische AI-leverancier hebben?

Geloofwaardige leveranciers moeten beschikken over of actief werken aan ISO 27001 (de internationale norm voor informatiebeveiligingsmanagement), NHS Data Security and Protection Toolkit-naleving, Cyber Essentials of Cyber Essentials Plus, en Digital Technology Assessment Criteria-naleving. De NHS DSP Toolkit is een contractuele vereiste voor organisaties die toegang hebben tot NHS-patiëntgegevens. Een leverancier die geen bewijs van deze certificeringen kan overleggen of die geen actuele DSP Toolkit-indiening kan verstrekken, moet met voorzichtigheid worden benaderd.

▶ Wat gebeurt er met patiëntgegevens als een praktijk haar contract met een AI-leverancier beëindigt?

Dit is een gebied waar leverancierscontracten vaak vaag over zijn. Praktijken moeten voordat zij ondertekenen bevestigen hoe lang de leverancier patiëntgegevens na beëindiging bewaart, of een volledige export van alle patiëntgegevens mogelijk is en wat "verwijdering op verzoek" in de praktijk inhoudt, inclusief back-ups en gegevens bij subverwerkers. Onder de UK GDPR is de praktijk als verwerkingsverantwoordelijke verantwoordelijk voor het waarborgen dat de rechten van patiënten, inclusief het recht op verwijdering, kunnen worden uitgeoefend, zelfs nadat een leveranciersrelatie is beëindigd. Contractvoorwaarden die leveranciers toestaan gegevens na beëindiging te bewaren voor modeltraining moeten ter juridische beoordeling worden voorgelegd.

▶ Maakt het uit of een AI-tool is getraind op NHS- of Britse eerstelijnszorggegevens?

Ja. Trainingsgegevens hebben directe invloed op de klinische nauwkeurigheid in een Britse eerstelijnszorgcontext. Een tool die voornamelijk is getraind op Amerikaanse klinische gegevens kan slecht presteren op NHS-specifieke klinische codering met SNOMED CT, Britse medicijnnamen en doseringsconventies, verwijzingstrajecten en documentatiestijlen van huisartsenconsulten. Praktijken moeten leveranciers vragen of het model is getraind en gevalideerd op Britse huisartsenconsultgegevens en of de leverancier een modelkaart publiceert waarin trainingsgegevensbronnen, bekende beperkingen en prestatiebenchmarks worden beschreven. Marketingclaims zijn geen vervanging voor gedocumenteerd bewijs.

▶ Wie in de praktijk is verantwoordelijk voor het toezicht op een AI-tool zodra deze is geïmplementeerd?

De GP Mythbuster 109 van de Care Quality Commission over kunstmatige intelligentie stelt dat praktijken een benoemde Clinical Safety Officer moeten aanstellen, een risicobeoordeling en gevarenlogboek moeten bijhouden en menselijk toezicht op AI-outputs in klinische workflows moeten inbedden. Dit is een regelgevende verwachting, geen optionele stap. Praktijken moeten ook een afgeronde DCB0160 klinisch veiligheidscase bijhouden, registraties van zorgverlenerstraining en een logboek van eventuele incidenten met betrekking tot door AI gegenereerde outputs. Deze documentatie beschermt de praktijk als er een klinisch incident optreedt en er vragen worden gesteld over hoe de tool is geïmplementeerd.

▶ Hoe moet een praktijk evalueren of een AI-tool goed integreert met haar patiëntendossiersysteem?

De meeste huisartsenpraktijken in Engeland gebruiken EMIS Web of SystmOne. Praktijken moeten bevestigen of de tool een native, gecertificeerde integratie heeft met hun systeem in plaats van een tijdelijke oplossing, wie verantwoordelijk is voor het onderhouden van die integratie wanneer de aanbieder van het patiëntendossiersysteem updates uitbrengt en of de integratie is getest in een live huisartsenomgeving. Integratie die handmatig kopiëren en plakken van door AI gegenereerde inhoud in het patiëntendossier vereist, vergroot het risico op transcriptiefouten en doet veel van het efficiëntievoordeel teniet. Integratiestoringen kunnen hiaten in het patiëntendossier veroorzaken met directe gevolgen voor de patiëntveiligheid.

▶ Welk klinisch bewijs moet een leverancier kunnen verstrekken voordat een praktijk een contract ondertekent?

Leveranciers moeten gepubliceerde peer-reviewed studies of gedocumenteerde pilotresultaten uit huisartsen- of eerstelijnszorgomgevingen kunnen overleggen, casestudies uit Britse eerstelijnszorgomgevingen met meetbare resultaten en bewijs van evaluatie tegen NHS-specifieke workflows en patiëntendossiersystemen. Bewijs uit tweedelijnszorg of internationale eerstelijnszorgomgevingen is niet rechtstreeks overdraagbaar naar de Britse huisartsenpraktijk. Zoals onderzoekers in de Lancet hebben opgemerkt, loopt AI-implementatie in de eerstelijnszorg momenteel vooruit op robuuste evaluatie, wat betekent dat leveranciersclaims zorgvuldig moeten worden onderzocht en monitoring na implementatie essentieel is.

▶ Waar moet een praktijk op letten in de ondersteunings- en incidentresponsregelingen van een leverancier?

De Service Level Agreement moet onderscheid maken tussen respons- en oplossingstijden voor klinische veiligheidsincidenten en algemene technische problemen. Praktijken moeten bevestigen of de leverancier een vaste contactpersoon heeft voor huisartsenpraktijken of ondersteuning afhandelt via een generieke helpdesk en of de leverancier een gedocumenteerd klinisch veiligheidsincident-rapportageproces heeft dat voldoet aan NHS-normen. NHS England's richtlijnen voor ambient scribing-producten vereisen dat contractuele afspraken rollen, verantwoordelijkheden en aansprakelijkheid duidelijk definiëren, inclusief incidentrespons. Een leverancier die geen duidelijk klinisch veiligheidsincidentproces kan formuleren, is niet klaar voor implementatie in een eerstelijnszorgomgeving.