AI-toolcontracten: wat huisartsenpraktijkmanagers eerst moeten verifiëren

Voor praktijkmanagers van huisartsenpraktijken begint de regelgevende verantwoordelijkheid bij het ondertekenen van een AI-toolcontract, niet bij de implementatie. De klinische, juridische en governance-verplichtingen liggen volledig bij de praktijk, niet bij de leverancier. Deze gids beschrijft wat u moet controleren voordat u tekent.

Is de tool geclassificeerd als medisch hulpmiddel?

Als een AI-tool klinische diagnose, triagebeslissingen of behandelaanbevelingen ondersteunt, valt deze waarschijnlijk onder de definitie van Software as a Medical Device. In dat geval is UKCA- of CE-markering vereist onder de Medical Device Regulation (MDR). Raadpleeg de Product and Registration Database (PARD) van de Medicines and Healthcare products Regulatory Agency (MHRA) om de registratiestatus te bevestigen. Vraag de leverancier ook naar hun apparaatklasse en controleer of er een evaluatie bestaat van het National Institute for Health and Care Excellence (NICE), in de vorm van een Medical Innovation Briefing (MIB), Diagnostic Guidance (DG) of Evidence review (EVA).

De GP Mythbuster 109 over AI van de Care Quality Commission (CQC), gepubliceerd in juli 2025, maakt duidelijk dat inspecteurs nagaan of praktijken de MHRA-registratie hebben geverifieerd en of de aanbesteding is uitgevoerd volgens de normen van DCB0160 en de Digital Technology Assessment Criteria (DTAC). Tools die niet als medisch hulpmiddel zijn geclassificeerd, hebben nog steeds verplichtingen op het gebied van gegevensbescherming, klinische veiligheid en governance.

Wie draagt de aansprakelijkheid als er iets misgaat?

Dit is een van de meest bepalende vragen in elk AI-toolcontract, en leveranciersovereenkomsten zijn hierover vaak vaag. De algemene lijn in de NHS-eerstelijnszorg is dat NHS-organisaties mogelijk nog steeds aansprakelijk zijn voor AI-gerelateerde claims, ook wanneer zij tools van derden gebruiken. Leveranciers beperken hun aansprakelijkheid doorgaans tot het functioneren van de software zoals beschreven in het contract en accepteren geen verantwoordelijkheid voor klinische beslissingen die zijn genomen op basis van AI-outputs. Als een door AI gegenereerd klinisch verslag een fout bevat die de patiëntenzorg beïnvloedt, draagt de praktijk de gevolgen.

Let bij het beoordelen van contractvoorwaarden op waar de klinische aansprakelijkheid ligt, wat de reikwijdte is van vrijwaringsclausules (dekken zij klinische incidenten of alleen softwarestoringen?), of de voorwaarden vereisen dat een mens alle AI-outputs controleert, en of de medische aansprakelijkheidsorganisatie of vrijwaringsaanbieder van de praktijk is geraadpleegd. Surrey & Sussex Local Medical Committees (LMCs) adviseren praktijken hun Integrated Care Board te betrekken en te waarborgen dat een zorgverlener alle door AI gegenereerde outputs beoordeelt voordat deze in het patiëntdossier worden opgenomen.

Waar worden patiëntgegevens verwerkt, opgeslagen en bewaard?

Onder de UK General Data Protection Regulation (UK GDPR) zijn patiëntgegevens bijzondere categorieën gegevens. Als gegevens buiten het VK of de EU worden overgedragen, zijn aanvullende waarborgen vereist. De richtlijnen van NHS England voor ambient scribing-producten bevestigen dat een Data Protection Impact Assessment (DPIA) hoogstwaarschijnlijk wettelijk verplicht is vóór implementatie. De informatiegovernance-richtlijnen van de NHS Transformation Directorate onderstrepen dat DPIA's de soorten verwerkte gegevens moeten behandelen, het hergebruik van gegevens voor het trainen van AI-modellen en de informatieplicht jegens patiënten.

Stel leveranciers de volgende vragen voordat u tekent: Waar verwerkt en bewaart u patiëntgegevens? Wie zijn uw subverwerkers en waar bevinden zij zich? Gebruikt u consultgegevens om uw AI-modellen te trainen, en zo ja, op welke juridische grondslag? Is een Data Processing Agreement conform artikel 28 van de UK GDPR opgenomen in het contract?

Gegevensportabiliteit en verwijdering bij contractbeëindiging zijn onderwerpen waarover leverancierscontracten eveneens vaak vaag zijn. Bevestig hoe lang de leverancier patiëntgegevens na beëindiging bewaart, of een volledige export mogelijk is, en wat "verwijdering op verzoek" in de praktijk betekent, inclusief back-ups en gegevens bij subverwerkers. Contractvoorwaarden die leveranciers toestaan gegevens na beëindiging te bewaren voor modeltraining moeten ter juridische beoordeling worden voorgelegd. Juridisch commentaar van Spencer West LLP wijst erop dat gepseudonimiseerde gegevens een restrisico op heridentificatie behouden en daarmee niet buiten het bereik van de wetgeving inzake gegevensbescherming vallen. Leveranciers die "anonimisering" claimen als vrijwaring adresseren dit punt zelden adequaat.

Welke beveiligingscertificeringen moet de leverancier kunnen aantonen?

Voor klinische AI-tools in de NHS-eerstelijnszorg is er een basisset van certificeringen die een geloofwaardige leverancier moet kunnen aantonen: ISO 27001; naleving van de NHS Data Security and Protection (DSP) Toolkit, een contractuele vereiste voor toegang tot NHS-patiëntgegevens; Cyber Essentials of Cyber Essentials Plus; en naleving van de DTAC. De aanbestedingsgids van iatroX voor NHS-kopers raadt aan een geslaagd DTAC-pakket te eisen vóór implementatie. De ambient scribing-richtlijnen van NHS England wijzen daarnaast op cyberbeveiligingsrisico's die specifiek zijn voor grote taalmodellen. Prompt injection-aanvallen, waarbij kwaadaardige instructies in invoer worden verborgen om het model te manipuleren, en het lekken van gegevens via modeloutputs zijn concrete voorbeelden. Leveranciers die geen bewijs van deze certificeringen kunnen overleggen, moeten met voorzichtigheid worden benaderd, ongeacht hoe overtuigend hun productdemonstratie is.

Integreert de tool betrouwbaar met uw medisch registratiesysteem?

De meeste huisartsenpraktijken in Engeland gebruiken EMIS Web of SystmOne als medisch registratiesysteem. De praktische waarde van een ambient scribe hangt sterk af van hoe goed deze integreert met het bestaande systeem. Een integratie die handmatig kopiëren en plakken vereist, vergroot het risico op transcriptiefouten aanzienlijk en doet veel van het efficiëntievoordeel teniet.

Bevestig vóór ondertekening of de tool een native, gecertificeerde integratie heeft met EMIS Web of SystmOne, of dat het een tijdelijke oplossing betreft. Stel vast wie verantwoordelijk is voor het onderhouden van de integratie wanneer de aanbieder van het medisch registratiesysteem updates uitbrengt, en of de integratie is getest in een live huisartsenomgeving. Controleer ook wat het terugvalproces is als de integratie tijdens een klinische sessie uitvalt. Zoals de iatroX-gids voor AI-tools voor Britse huisartsenpraktijken benadrukt, kunnen integratiestoringen in een klinische omgeving hiaten in het patiëntdossier veroorzaken met directe gevolgen voor de patiëntveiligheid.

Is de tool getraind en gevalideerd op NHS-eerstelijnszorggegevens?

De trainingsgegevens van een AI-tool hebben directe invloed op de klinische nauwkeurigheid in een Britse eerstelijnszorgcontext. Een tool die voornamelijk is getraind op Amerikaanse klinische gegevens kan slecht presteren op NHS-specifieke klinische codering met SNOMED CT, Britse medicijnnamen en doseringsconventies, verwijzingstrajecten en de documentatiestijl van huisartsenconsulten. Dit is geen theoretisch risico. Zorgverleners in de eerstelijnszorg uiten consequent zorgen over vooroordelen die via trainingsgegevens in AI-modellen terechtkomen, en Laranjo et al. in de Lancet Primary Care merken op dat snelle implementatie zonder robuuste evaluatie risico's oplevert voor de kwaliteit van de zorg.

Vraag leveranciers of het model is getraind en gevalideerd op Britse huisartsenconsultgegevens, of zij een modelkaart publiceren met daarin de bronnen van trainingsgegevens, bekende beperkingen en prestatiebenchmarks, en hoe het model omgaat met Britse terminologie en verwijzingsconventies. Bewijs uit tweedelijnszorg of internationale eerstelijnszorgomgevingen is niet zonder meer toepasbaar op de Britse huisartsenpraktijk. Leveranciers moeten deze vragen beantwoorden met gedocumenteerd bewijs, niet met marketingclaims.

Wie in de praktijk is verantwoordelijk voor het toezicht op de tool?

Het toezicht op een AI-tool is een doorlopende operationele verantwoordelijkheid. De GP Mythbuster 109 van de CQC beschrijft waar inspecteurs op letten: de aanstelling van een Clinical Safety Officer (CSO), het bijhouden van een risicobeoordeling en gevarenlogboek, en bewijs dat menselijk toezicht op AI-outputs is ingebed in de werkprocessen van de praktijk. De CSO is de persoon die binnen de praktijk verantwoordelijk is voor klinische veiligheid rondom digitale tools. Surrey & Sussex LMCs erkennen dat het benoemen van een CSO op praktijkniveau een praktische uitdaging is voor kleinere praktijken, maar het is een regelgevende verwachting die niet optioneel is.

De vereiste governancedocumentatie omvat een afgeronde DCB0160 klinisch veiligheidscase, een regelmatig bijgewerkte risicobeoordeling en gevarenlogboek, registraties van trainingen die zorgverleners hebben gevolgd, een logboek van incidenten of bijna-incidenten met AI-outputs, en bewijs dat een zorgverlener alle door AI gegenereerde inhoud in het patiëntdossier heeft beoordeeld. Deze documentatie beschermt de praktijk als er een klinisch incident optreedt en er vragen worden gesteld over hoe de tool is geïmplementeerd en bewaakt.

Ondersteuning, incidentrespons en klinisch bewijs

Bij klinische AI-tools zijn de gevolgen van een ondersteuningsfout groter dan bij de meeste andere software. Beoordeel of de Service Level Agreement (SLA) onderscheid maakt tussen klinische veiligheidsincidenten en algemene technische problemen, of de leverancier een vaste contactpersoon heeft voor huisartsenpraktijken, en of zij een gedocumenteerd proces hebben voor het melden van klinische veiligheidsincidenten dat voldoet aan NHS-normen. De ambient scribing-richtlijnen van NHS England vereisen dat contractuele afspraken rollen, verantwoordelijkheden en aansprakelijkheid helder vastleggen, inclusief de aanpak bij incidenten.

Vraag leveranciers ook om gepubliceerde, door vakgenoten beoordeelde studies of gedocumenteerde pilotresultaten uit huisartsen- of eerstelijnszorgomgevingen, casestudies uit Britse eerstelijnszorgomgevingen met meetbare resultaten, en bewijs dat de tool is geëvalueerd binnen NHS-specifieke werkprocessen en met NHS-medische registratiesystemen. Het bewijs voor AI-scribes in de eerstelijnszorg blijft beperkt en grotendeels verkennend. De beschikbare onderzoeken documenteren vooral ervaringen van zorgverleners en ethische vraagstukken, en de Frontiers in Health Services-review van NHS AI-aanbestedingsraamwerken stelt dat nalevingsdocumentatie klinisch bewijs moet bevatten, niet alleen technische certificeringen. Juist omdat het bewijs dun is, telt gedocumenteerd bewijs zwaarder dan een overtuigende productdemonstratie. Een leverancier die deze vragen niet met gedocumenteerd bewijs kan beantwoorden, is niet klaar voor implementatie in een eerstelijnszorgomgeving.

Een checklist vóór ondertekening voor huisartsenpraktijkmanagers

Regelgeving en klinische veiligheid

• [ ] MHRA-registratiestatus en apparaatklasse bevestigd (PARD raadplegen indien van toepassing)

• [ ] Leverancier beschikt over DCB0129 klinisch veiligheidscase-documentatie

• [ ] Praktijk heeft DCB0160 klinisch veiligheidscase voor implementatie afgerond of gestart

• [ ] DTAC-beoordeling afgerond en geslaagd door leverancier

• [ ] NICE-evaluatie gecontroleerd (MIB, DG of EVA) indien van toepassing

Gegevensbescherming en informatiegovernance

• [ ] DPIA afgerond vóór implementatie

• [ ] Data Processing Agreement opgenomen in contract, UK GDPR artikel 28-conform

• [ ] Gegevensopslag bevestigd — verwerking en opslag in het VK of de EU

• [ ] Subverwerkers geïdentificeerd en beoordeeld

• [ ] Beleid van leverancier over het gebruik van patiëntgegevens voor modeltraining beoordeeld en overeengekomen

• [ ] Voorwaarden voor gegevensverwijdering en portabiliteit bevestigd bij contractbeëindiging

Beveiliging

• [ ] ISO 27001-certificering bevestigd

• [ ] NHS DSP Toolkit-naleving bevestigd

• [ ] Cyber Essentials of Cyber Essentials Plus bevestigd

• [ ] DTAC-cyberbeveiligingssectie geslaagd

Aansprakelijkheid en contractering

• [ ] Aansprakelijkheidsverdeling duidelijk gedefinieerd in contract

• [ ] Vrijwaringsclausules beoordeeld — reikwijdte bevestigd

• [ ] Medische aansprakelijkheidsorganisatie of vrijwaringsaanbieder geraadpleegd

• [ ] Rollen, verantwoordelijkheden en incidentrespons gedefinieerd in contract

Medisch registratiesysteemintegratie

• [ ] Native integratie met EMIS Web of SystmOne bevestigd

• [ ] Verantwoordelijkheid voor integratieonderhoud gedefinieerd

• [ ] Getest in live Britse huisartsenomgeving

Governance

• [ ] Clinical Safety Officer benoemd op praktijkniveau

• [ ] Risicobeoordeling en gevarenlogboek gestart

• [ ] Trainingsplan voor zorgverleners aanwezig

• [ ] Menselijke beoordeling van alle AI-outputs bevestigd als workflowvereiste

Bewijs en ondersteuning

• [ ] Klinisch bewijs uit Britse eerstelijnszorgomgevingen beoordeeld

• [ ] SLA beoordeeld — responstijden voor klinische veiligheidsincidenten bevestigd

• [ ] Vaste leverancierscontactpersoon voor huisartsenpraktijken bevestigd

• [ ] Oorsprong van trainingsgegevens gedocumenteerd door leverancier

De tools die beschikbaar zijn in 2025 en 2026 bieden echt potentieel om de documentatielast te verminderen en zorgverleners te ondersteunen. Dat potentieel wordt alleen veilig gerealiseerd als de praktijk regelgevende naleving, gegevensbeschermingsverplichtingen, aansprakelijkheidsverdeling en klinisch bewijs heeft geverifieerd vóór de implementatie. Zoals de Digital Health-rapportage over NHS AI-aanbesteding samenvat: praktijken moeten "robuust zijn in het waarborgen dat wat we doen veilig, verzekerd is en voordeel zal opleveren." De vragen en controles in dit artikel vormen de basis waarop veilige, effectieve en verdedigbare adoptie is gebouwd.

Veelgestelde vragen

▶ Moet een AI-tool die in een huisartsenpraktijk wordt gebruikt geregistreerd zijn als medisch hulpmiddel?

Dat hangt af van wat de tool doet. Tools die klinische diagnose, triage of behandelaanbevelingen ondersteunen vallen waarschijnlijk onder Software as a Medical Device en vereisen UKCA- of CE-markering. Raadpleeg de MHRA Product and Registration Database vóór ondertekening. Tools buiten deze classificatie hebben nog steeds verplichtingen op het gebied van gegevensbescherming en klinische veiligheid.

▶ Wie is aansprakelijk als een door AI gegenereerd klinisch verslag een fout bevat die de patiëntenzorg beïnvloedt?

Leveranciers beperken hun aansprakelijkheid tot het functioneren van de software en accepteren geen verantwoordelijkheid voor klinische beslissingen. Vraag uw medische aansprakelijkheidsorganisatie expliciet of de polis AI-gerelateerde incidenten dekt, want veel polissen bevatten hierover geen duidelijke bepaling. Dat is het gat dat contractonderhandeling moet dichten.

▶ Waar moeten patiëntgegevens worden verwerkt en opgeslagen bij gebruik van een klinische AI-tool?

Verwerking buiten het VK of de EU vereist aanvullende waarborgen onder de UK GDPR. Bevestig vóór ondertekening waar de leverancier én hun subverwerkers gegevens opslaan. Een Data Processing Agreement conform artikel 28 en een afgeronde Data Protection Impact Assessment zijn wettelijk vereist voordat de tool in gebruik wordt genomen.

▶ Welke beveiligingscertificeringen moet een klinische AI-leverancier hebben?

Vraag om actuele documentatie voor ISO 27001, NHS DSP Toolkit, Cyber Essentials of Cyber Essentials Plus, en DTAC. Een actuele DSP Toolkit-indiening is een contractuele vereiste voor toegang tot NHS-patiëntgegevens. Leveranciers die geen van deze documenten direct kunnen overleggen, zijn nog niet klaar voor implementatie in een klinische omgeving.

▶ Wat gebeurt er met patiëntgegevens als een praktijk haar contract met een AI-leverancier beëindigt?

Leg contractueel vast binnen hoeveel dagen gegevens worden verwijderd, of dat ook back-ups en gegevens bij subverwerkers omvat, en of een volledige export mogelijk is. Als verwerkingsverantwoordelijke blijft de praktijk verantwoordelijk voor de uitoefening van patiëntenrechten, ook nadat de leveranciersrelatie is beëindigd.

▶ Maakt het uit of een AI-tool is getraind op NHS- of Britse eerstelijnszorggegevens?

Ja. Een tool getraind op Amerikaanse data presteert aantoonbaar slechter op SNOMED CT-codering, Britse medicijnnamen en NHS-verwijzingstrajecten. Vraag de leverancier om een gepubliceerde modelkaart met trainingsgegevensbronnen en prestatiebenchmarks. Ontbreekt die, dan is er geen objectieve basis om de klinische nauwkeurigheid te beoordelen.

▶ Wie in de praktijk is verantwoordelijk voor het toezicht op een AI-tool zodra deze is geïmplementeerd?

De CQC GP Mythbuster 109 verwacht een benoemde Clinical Safety Officer, een bijgehouden risicobeoordeling en gevarenlogboek, en een logboek van incidenten met AI-outputs. Kleinere praktijken vinden de benoeming van een Clinical Safety Officer lastig, maar het is een regelgevende verwachting. Regel dit vóór implementatie, want achteraf is het moeilijker te documenteren.

▶ Hoe moet een praktijk evalueren of een AI-tool goed integreert met haar patiëntendossiersysteem?

Vraag of de integratie met EMIS Web of SystmOne native en gecertificeerd is, en leg contractueel vast wie verantwoordelijk is voor onderhoud bij updates van de aanbieder van het medisch registratiesysteem. Vraag ook om bewijs van een geslaagde test in een live Britse huisartsenomgeving, want een demo-omgeving toont niet hoe de integratie zich gedraagt tijdens een drukke klinische sessie.

▶ Welk klinisch bewijs moet een leverancier kunnen verstrekken voordat een praktijk een contract ondertekent?

Vraag om gepubliceerde peer-reviewed studies of gedocumenteerde pilotresultaten uit Britse huisartsenpraktijken met meetbare uitkomsten. Bewijs uit tweedelijnszorg of internationale eerstelijnszorgomgevingen is niet rechtstreeks overdraagbaar. Laranjo et al. in de Lancet Primary Care wijzen erop dat implementatie momenteel vooruitloopt op robuuste evaluatie, wat betekent dat monitoring na implementatie contractueel moet worden vastgelegd.

▶ Waar moet een praktijk op letten in de ondersteunings- en incidentresponsregelingen van een leverancier?

Controleer of de Service Level Agreement aparte responstijden definieert voor klinische veiligheidsincidenten en algemene storingen. Vraag ook of er een vaste contactpersoon is voor huisartsenpraktijken. Een leverancier die geen gedocumenteerd klinisch veiligheidsincidentproces kan overleggen dat voldoet aan NHS-normen, is niet klaar voor implementatie in een eerstelijnszorgomgeving.