AI in de gezondheidszorg in Europa valt niet onder één enkel regelgevingskader. Het valt onder drie kaders tegelijk, elk met een eigen autoriteit, nalevingsverplichtingen en handhavingsmechanismen. Een klinisch AI-hulpmiddel dat diagnostische beslissingen ondersteunt heeft mogelijk een CE-markering nodig als medisch hulpmiddel, moet patiëntgegevens verwerken in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG), en wordt waarschijnlijk geclassificeerd als hoog risico onder de EU AI-verordening. Deze kaders zijn niet opeenvolgend van toepassing, maar gelden parallel en grijpen op elkaar in op manieren die niet altijd eenvoudig zijn. Voor zorgorganisaties die AI evalueren of implementeren, is inzicht in dit regelgevingslandschap een voorwaarde voor verantwoorde aanschaf en veilig klinisch gebruik.

De drie regelgevingspijlers die elk AI-bedrijf in de gezondheidszorg moet begrijpen

Drie afzonderlijke EU-kaders reguleren de implementatie van klinische AI, elk met een andere primaire focus.

De EU-verordening medische hulpmiddelen (MDR) 2017/745 regelt veiligheid en prestaties. De focus ligt op de vraag of een product, inclusief software, veilig is voor het beoogde klinische doel en of het is gevalideerd om te presteren zoals beweerd.

De AVG regelt privacy. De focus ligt op hoe persoonsgegevens, met name gezondheidsgegevens, worden verzameld, verwerkt, opgeslagen en gedeeld, en op het waarborgen dat individuen betekenisvolle rechten over hun informatie behouden.

De EU AI-verordening (Verordening (EU) 2024/1689, van kracht sinds 1 augustus 2024) regelt systemisch risico. De focus ligt op de vraag of AI-systemen transparant en verantwoord zijn en onderworpen aan adequaat menselijk toezicht, met name wanneer deze systemen fundamentele rechten of veiligheidskritieke beslissingen beïnvloeden.

Zoals een gezamenlijke FAQ van de Medical Device Coordination Group (MDCG) en de EU AI Board (MDCG 2025-6) in 2025 bevestigde, moeten AI-systemen die als medische hulpmiddelen kwalificeren tegelijkertijd voldoen aan zowel MDR/IVDR als de AI-verordening. Naleving van het ene kader vervangt niet de naleving van het andere.

Wanneer AI in de gezondheidszorg kwalificeert als medisch hulpmiddel onder MDR

Onder MDR 2017/745 is de centrale vraag of een softwaretool een medisch beoogd doel heeft. Dat wil zeggen, of de fabrikant het bedoelt voor gebruik bij diagnose, preventie, monitoring, voorspelling, prognose, behandeling of verlichting van ziekte. Software die aan deze definitie voldoet, wordt geclassificeerd als Software as a Medical Device (SaMD) en moet voldoen aan het volledige MDR-regime.

Het beoogde doel is de bepalende factor. Een documentatietool die klinische verslagen transcribeert zonder klinische beslissingen te interpreteren of te beïnvloeden, valt onder een ander regelgevingsregime dan een AI-systeem dat abnormale bevindingen markeert, diagnoses suggereert of patiënttriage prioriteert. De laatste wordt veel eerder geclassificeerd als SaMD.

Wanneer een tool wordt geclassificeerd als medisch hulpmiddel, moet de fabrikant:

• Een conformiteitsbeoordeling uitvoeren die past bij de risicoklasse van het hulpmiddel (klasse I tot en met III)

• Uitgebreide technische documentatie opstellen en onderhouden

• Een kwaliteitsmanagementsysteem (QMS) implementeren

• CE-markering verkrijgen voordat het hulpmiddel op de EU-markt wordt gebracht

• Markttoezicht na het in de handel brengen uitvoeren en ernstige incidenten melden

Analyse van King & Spalding van de MDCG 2025-6-richtlijnen identificeert vijf belangrijke operationele gebieden waar MDR- en AI-verordeningverplichtingen samenkomen: managementsystemen, datagovernance, technische documentatie, transparantie en menselijk toezicht, en cyberbeveiliging en nauwkeurigheid. Fabrikanten moeten deze behandelen als geïntegreerde vereisten in plaats van als parallelle checklists.

Een praktische complicatie is het tekort aan aangewezen aangemelde instanties, de onafhankelijke conformiteitsbeoordelingsorganisaties die vereist zijn voor hulpmiddelen met een hoger risicoprofiel. Baker McKenzie heeft opgemerkt dat dit knelpunt, gecombineerd met een aanzienlijke kloof in geharmoniseerde normen voor AI-specifieke risico's zoals algoritmische bias en modelverschuiving, leidt tot echte vertragingen voor fabrikanten die markttoegang zoeken.

AVG en klinische AI: wat telt als bijzondere categorie gegevens en waarom het ertoe doet

Gezondheidsgegevens die door AI-systemen worden verwerkt, worden geclassificeerd als bijzondere categorie gegevens onder artikel 9 van de AVG, wat het hoogste beschermingsniveau oplevert dat beschikbaar is onder de EU-wetgeving inzake gegevensbescherming. Deze classificatie is van toepassing ongeacht of het AI-systeem de primaire verwerkingsverantwoordelijke of een downstream verwerker is. De aard van de gegevens, niet de rol van de verwerker, bepaalt de classificatie.

Voor klinische AI-implementaties heeft dit verschillende directe implicaties.

Rechtmatige grondslag. Het verwerken van bijzondere categorie gezondheidsgegevens vereist zowel een rechtmatige grondslag onder artikel 6 als een aanvullende voorwaarde onder artikel 9. In klinische contexten zijn de meest toepasselijke artikel 9-voorwaarden: verwerking die noodzakelijk is voor medische diagnose of het verlenen van gezondheidszorg (artikel 9(2)(h)), verwerking om redenen van algemeen belang op het gebied van volksgezondheid (artikel 9(2)(i)), en, wanneer geen van beide van toepassing is, expliciete toestemming (artikel 9(2)(a)). Toestemming is zelden de meest geschikte grondslag in klinische settings, gezien de inherente machtsongelijkheid tussen patiënt en zorgverlener.

Gegevensminimalisatie en doelbinding. AI-systemen mogen alleen de gegevens verwerken die nodig zijn voor hun gespecificeerde doel, en die gegevens mogen niet opnieuw worden gebruikt zonder een nieuwe rechtmatige grondslag. Dit zorgt voor extra spanning wanneer leveranciers klinische gegevens willen gebruiken voor modeltraining of verbetering, een doel dat doorgaans afwijkt van het oorspronkelijke klinische doel.

Rechten van betrokkenen. Patiënten behouden rechten op inzage, rectificatie en in bepaalde omstandigheden wissing, zelfs wanneer hun gegevens door AI-systemen worden verwerkt. Zorgorganisaties moeten in staat zijn om op deze verzoeken te reageren met betrekking tot gegevens die worden bewaard of verwerkt door externe AI-leveranciers.

Een review van privacy- en governancekaders voor AI-aangedreven medische hulpmiddelen benadrukte dat AVG-naleving in AI-ondersteunde klinische settings niet alleen technische controles vereist, maar ook doorlopende governancestructuren, waaronder gegevensbeschermingseffectbeoordelingen (DPIA's), registers van verwerkingsactiviteiten en duidelijk gedefinieerde verwerkersovereenkomsten.

Gegevensopslag en grensoverschrijdende gegevensstromen in EU-gezondheidszorg-AI

De AVG legt strikte beperkingen op aan de overdracht van persoonsgegevens buiten de Europese Economische Ruimte (EER). Voor klinische AI-leveranciers betekent dit dat wanneer patiëntgegevens worden verwerkt of opgeslagen op infrastructuur buiten de EER, inclusief op cloudplatforms die in de VS of elders worden gehost, specifieke overdrachtsmechanismen aanwezig moeten zijn.

De belangrijkste mechanismen zijn:

• Adequaatheidsbeslissingen, waarbij de Europese Commissie heeft vastgesteld dat een derde land een gelijkwaardig niveau van gegevensbescherming biedt (momenteel van toepassing op een beperkt aantal rechtsgebieden)

• Standaardcontractbepalingen (SCC's), die contractuele verplichtingen opleggen aan zowel de gegevensexporteur als -importeur

• Bindende bedrijfsregels (BCR's), voornamelijk gebruikt binnen multinationale bedrijfsgroepen

Voor zorgorganisaties is de praktische vraag niet alleen of een leverancier SCC's heeft ondertekend, maar waar gegevens daadwerkelijk worden verwerkt en opgeslagen. Gegevensopslag binnen de EU betekent dat patiëntgegevens worden verwerkt en opgeslagen op infrastructuur die zich fysiek binnen de EER bevindt. Dit elimineert de noodzaak voor grensoverschrijdende overdrachtsmechanismen en vereenvoudigt de AVG-naleving aanzienlijk. Zorgorganisaties moeten van leveranciers eisen dat zij dit specificeren in contractuele documentatie.

Een vergelijkende beleidsanalyse van cyberbeveiligingsregelgeving in digitale gezondheid in de VS, EU en India merkte op dat de EU-aanpak van gegevenssoevereiniteit in de gezondheidszorg aanzienlijk meer voorschrijvend is dan in andere rechtsgebieden, een factor die van invloed is op hoe wereldwijde AI-leveranciers hun producten voor Europese markten ontwerpen.

Hoe de EU AI-verordening AI in de gezondheidszorg classificeert en wat hoog risico in de praktijk betekent

De EU AI-verordening introduceert een op risico gebaseerd classificatiesysteem met vier niveaus: onaanvaardbaar risico (verboden), hoog risico, beperkt risico en minimaal risico. De meeste klinische AI-tools, waaronder diagnostische ondersteuningssystemen, triagetools en klinische documentatie-assistenten die zorgtrajecten beïnvloeden, vallen waarschijnlijk binnen de categorie hoog risico.

Onder artikel 6(1) en bijlage I van de AI-verordening worden AI-systemen die zelf als medische hulpmiddelen onder MDR of IVDR worden gereguleerd, automatisch geclassificeerd als AI-systemen met een hoog risico. CE-gemarkeerde SaMD is daarom onderworpen aan zowel MDR-conformiteitsvereisten als het volledige nalevingsregime voor AI-verordening met hoog risico.

Hunton Andrews Kurth's analyse van de toepassing van de AI-verordening op medische hulpmiddelen beschrijft de belangrijkste verplichtingen voor AI-systemen met een hoog risico:

• Technische documentatie: Gedetailleerde verslagen van systeemontwerp, trainingsgegevens, validatiemethodologie en bekende beperkingen

• Risicobeheer: Een doorlopend risicobeheersysteem dat AI-specifieke risico's dekt, waaronder algoritmische bias en modelverschuiving

• Datagovernance: Vereisten rond trainings-, validatie- en testdatasets, inclusief biasdetectie en datakwaliteitscontroles

• Transparantie en gebruiksinstructies: Duidelijke documentatie zodat gebruikers en inzettende partijen de mogelijkheden en beperkingen van het systeem kunnen begrijpen

• Menselijk toezicht: Technische en organisatorische maatregelen die ervoor zorgen dat mensen AI-outputs effectief kunnen monitoren, overschrijven en ingrijpen

• Conformiteitsbeoordeling: Formele beoordeling vóór markttoelating, met doorlopend markttoezicht na het in de handel brengen

• Registratie: AI-systemen met een hoog risico moeten worden geregistreerd in de EU-database voor AI-systemen

De AI-verordening introduceert ook AI-geletterdheidsverplichtingen, van kracht vanaf februari 2025, die vereisen dat aanbieders en inzettende partijen ervoor zorgen dat personeel dat met AI-systemen werkt voldoende begrip heeft van de mogelijkheden en beperkingen van de technologie. Taylor Wessing merkt op dat deze verplichting van toepassing is op zorgorganisaties die AI-tools implementeren, niet alleen op de leveranciers die ze leveren.

Waar MDR, AVG en de AI-verordening overlappen en waar ze conflicteren

De drie kaders delen verschillende gemeenschappelijke thema's. Ze vereisen allemaal transparantie over hoe een systeem werkt, welke gegevens het gebruikt en wat de beperkingen zijn. Ook vereisen ze gedocumenteerd risicobeheer en leggen ze verplichtingen op voor toezicht na het in de handel brengen of doorlopend toezicht. Waar MDR markttoezicht na het in de handel brengen vereist en de AI-verordening toezicht na het in de handel brengen, kunnen deze verplichtingen in principe via een uniform proces worden ingevuld.

Een peer-reviewed analyse gepubliceerd in 2025 die de regelgevende nexus tussen de AI-verordening en MDR/IVDR onderzocht, bevestigde dat het QMS dat onder MDR vereist is, kan dienen als basis voor AI-verordeningnaleving, en dat technische documentatievereisten onder beide kaders kunnen worden geïntegreerd in plaats van gedupliceerd. Artikel 8 van de AI-verordening voorziet expliciet in deze integratie voor AI-medische hulpmiddelen.

Er bestaan echter echte spanningen.

Gegevensbewaring versus gegevensminimalisatie. De AI-verordening moedigt aan, en vereist in sommige gevallen, het bewaren van trainingsgegevens, validatiedatasets en logs voor audit- en verantwoordingsdoeleinden. De principes van gegevensminimalisatie en opslagbeperking uit de AVG duwen in de tegenovergestelde richting. Leveranciers moeten deze spanning expliciet adresseren, doorgaans via doelspecifieke bewaartermijnen en anonimisering waar mogelijk.

Transparantie versus commerciële vertrouwelijkheid. Zowel de AI-verordening als de AVG vereisen betekenisvolle transparantie over hoe AI-systemen gegevens verwerken en tot outputs komen. In de praktijk kunnen leveranciers zich verzetten tegen het openbaar maken van eigen modelarchitecturen. De kaders lossen deze spanning niet volledig op.

Algoritmische bias en het eerlijkheidsprincipe van de AVG. De AVG vereist dat geautomatiseerde verwerking eerlijk is, maar specificeert niet hoe eerlijkheid moet worden gemeten in AI-systemen. De AI-verordening introduceert meer specifieke datagovernancevereisten rond biasdetectie, maar academisch commentaar heeft opgemerkt dat geen van beide kaders definitieve methodologische begeleiding biedt voor ontwikkelaars van AI in de gezondheidszorg.

Het regelgevingslandschap is zelf in beweging. Twee concurrerende EU-wetgevingsvoorstellen, de Digital Omnibus (geleid door DG CONNECT) en de DG SANTE MDR/IVDR-wijziging, proberen beide de overlap tussen AI-verordening en MDR te vereenvoudigen. Analyse van het Petrie-Flom Center aan Harvard Law School uit zorgen dat vereenvoudigingsinspanningen onbedoeld waarborgen voor menselijk toezicht kunnen verzwakken, met name voor zorgverleners en patiënten. De uitkomst van deze voorstellen blijft onzeker vanaf medio 2026.

Wie is verantwoordelijk onder elk kader: de leverancier, het ziekenhuis of beide

Regelgevende verantwoordelijkheid onder de drie kaders is verdeeld in plaats van enkelvoudig, en de toewijzing verschilt afhankelijk van welk kader van toepassing is.

Onder MDR rust de primaire verplichting op de fabrikant, doorgaans de AI-leverancier. De fabrikant is verantwoordelijk voor conformiteitsbeoordeling, CE-markering, technische documentatie en markttoezicht na het in de handel brengen. Een zorgorganisatie die een CE-gemarkeerde SaMD implementeert zonder wijziging, treedt over het algemeen op als exploitant in plaats van als fabrikant, met meer beperkte verplichtingen.

Onder de AVG hangt de toewijzing af van wie de doeleinden en middelen van verwerking bepaalt. Een zorgorganisatie die een AI-systeem implementeert om patiëntendossiers te verwerken, is doorgaans de verwerkingsverantwoordelijke en draagt de primaire verantwoordelijkheid voor rechtmatige grondslag, patiëntenrechten en DPIA-verplichtingen. De AI-leverancier, die gegevens namens de organisatie verwerkt, is doorgaans de verwerker, gebonden aan een verwerkersovereenkomst (DPA) die de reikwijdte en voorwaarden van verwerking specificeert.

Onder de EU AI-verordening wordt een onderscheid gemaakt tussen aanbieders (degenen die AI-systemen ontwikkelen of op de markt brengen) en inzettende partijen (degenen die AI-systemen in een professionele context gebruiken). Aanbieders dragen de primaire nalevingslast voor AI-systemen met een hoog risico, inclusief technische documentatie, conformiteitsbeoordeling en registratie. Inzettende partijen hebben hun eigen verplichtingen: het implementeren van menselijk toezicht, het waarborgen van AI-geletterdheid onder personeel, het monitoren van systeemprestaties in gebruik en het opschorten van gebruik wanneer veiligheidszorgen ontstaan.

White & Case's analyse van het landschap na de AI Liability Directive, na de intrekking van die richtlijn in februari 2025, bevestigt dat de herziene Product Liability Directive nu deel uitmaakt van het aansprakelijkheidskader voor AI-aangedreven medische hulpmiddelen, met implicaties voor zowel fabrikanten als inzettende partijen wanneer schade voortvloeit uit een defect AI-systeem.

Een ziekenhuis dat een klinische AI-tool implementeert, kan niet aannemen dat regelgevende naleving volledig de verantwoordelijkheid van de leverancier is. Contractuele duidelijkheid over rollen, verplichtingen en aansprakelijkheidsverdeling is essentieel vóór implementatie.

Wat zorgorganisaties aan AI-leveranciers moeten vragen vóór implementatie

Inkoopteams en klinische leiders die AI-tools voor klinische implementatie evalueren, moeten duidelijke, gedocumenteerde antwoorden op de volgende vragen eisen.

Over MDR en medisch hulpmiddelstatus:

• Is dit product geclassificeerd als medisch hulpmiddel onder EU MDR 2017/745?

• Zo ja, wat is de risicoklasse en is CE-markering verkregen?

• Kunt u de conformiteitsverklaring en samenvatting van veiligheid en klinische prestaties verstrekken?

• Hoe wordt markttoezicht na het in de handel brengen uitgevoerd en hoe worden incidenten gemeld?

Over AVG en gegevensverwerking:

• Waar worden patiëntgegevens verwerkt en opgeslagen? Is EU-gegevensopslag gegarandeerd?

• Ondertekent u een verwerkersovereenkomst die voldoet aan AVG artikel 28?

• Is een gegevensbeschermingseffectbeoordeling beschikbaar voor review?

• Worden patiëntgegevens gebruikt voor modeltraining of verbetering? Zo ja, op welke rechtmatige grondslag?

• Hoe worden rechten van betrokkenen (toegang, wissing, rectificatie) afgehandeld?

Over de EU AI-verordening:

• Is dit systeem geclassificeerd als AI-systeem met een hoog risico onder de EU AI-verordening?

• Welke conformiteitsbeoordeling is voltooid, of gepland, onder de AI-verordening?

• Welke technische documentatie is beschikbaar over trainingsgegevens, validatie en bekende beperkingen?

• Welke menselijke toezichtmechanismen zijn in het systeem ingebouwd?

• Is het systeem geregistreerd in de EU AI-systeemdatabase?

Over beveiliging en audit:

• Heeft de organisatie ISO 27001-certificering, en is deze actueel?

• Welke audittrailmogelijkheden biedt het systeem?

• Hoe worden cyberbeveiligingskwetsbaarheden geïdentificeerd en aangepakt na implementatie?

Over AI-geletterdheid:

• Welke training of documentatie wordt verstrekt ter ondersteuning van AI-geletterdheidsverplichtingen onder de AI-verordening?

Onvolledige of ontwijkende antwoorden op deze vragen moeten worden gezien als een significant aanschafrisicosignaal.

Hoe het regelgevingslandschap evolueert: waar op te letten tot 2026 en daarna

De EU AI-verordening trad in werking in augustus 2024, maar de verplichtingen worden gefaseerd van kracht. Belangrijke mijlpalen zijn onder meer:

• Februari 2025: Verboden op AI-systemen met onaanvaardbaar risico zijn van toepassing. AI-geletterdheidsverplichtingen voor aanbieders en inzettende partijen treden in werking

• Augustus 2026: Verplichtingen voor AI-systemen met een hoog risico onder hoofdstuk III zijn volledig van toepassing, inclusief die voor AI-medische hulpmiddelen onder bijlage I

• Augustus 2027: Volledige toepasselijkheid op alle overige bepalingen

De MDX CRO-nalevingsgids merkt op dat overgangsbepalingen bestaan voor AI-systemen die al rechtmatig op de markt zijn vóór augustus 2026, maar deze bepalingen zijn tijdelijk en stellen fabrikanten niet vrij van uiteindelijke volledige naleving.

Twee verdere ontwikkelingen verdienen nauwlettende aandacht.

De Europese gezondheidsdataruimte (EHDS)-verordening trad in werking op 26 maart 2025. De EHDS creëert een kader voor het secundaire gebruik van gezondheidsgegevens, inclusief voor AI-ontwikkeling en onderzoek, in EU-lidstaten. De officiële begeleiding van de Europese Commissie over AI in de gezondheidszorg identificeert de EHDS als een belangrijke facilitator van verantwoorde klinische AI-ontwikkeling, maar de interactie met het doelbindingsprincipe van de AVG zal doorlopende verduidelijking vereisen naarmate de implementatie vordert.

Concurrerende vereenvoudigingsvoorstellen, de Digital Omnibus en de DG SANTE MDR/IVDR-wijziging, proberen beide de nalevingslast op het snijvlak van MDR en AI-verordening te verminderen. Zoals Harvard Law School's Petrie-Flom Center heeft waargenomen, zou de uitkomst van deze voorstellen het nalevingslandschap voor klinische AI aanzienlijk kunnen veranderen, hetzij door dubbele conformiteitsvereisten te stroomlijnen, of, als bepalingen voor menselijk toezicht worden verzwakt, door nieuwe patiëntveiligheidsrisico's te creëren.

Onzekerheid over de legaliteit van AI-gebruik in specifieke klinische contexten blijft een echte uitdaging voor zorgverleners, zelfs waar kaders bestaan. Regelgevende naleving in klinische AI is geen eenmalig aanschafvinkje. Het vereist doorlopende monitoring van een regelgevingsomgeving die zich blijft ontwikkelen, en een governancestructuur die in staat is te reageren naarmate verplichtingen evolueren.

Veelgestelde vragen

Welke regelgevingskaders zijn van toepassing op klinische AI in Europa

Drie EU-kaders zijn tegelijkertijd van toepassing op klinische AI. De verordening medische hulpmiddelen (MDR) 2017/745 regelt veiligheid en prestaties. De Algemene Verordening Gegevensbescherming (AVG) regelt hoe patiëntgegevens worden verzameld, verwerkt en opgeslagen. De EU AI-verordening (Verordening (EU) 2024/1689), van kracht sinds 1 augustus 2024, regelt transparantie, verantwoordelijkheid en menselijk toezicht. Een gezamenlijke FAQ van de Medical Device Coordination Group en de EU AI Board bevestigde in 2025 dat naleving van het ene kader niet de naleving van het andere vervangt.

Wanneer kwalificeert een klinische AI-tool als medisch hulpmiddel onder EU MDR

Een klinische AI-tool kwalificeert als medisch hulpmiddel wanneer de fabrikant het bedoelt voor gebruik bij diagnose, preventie, monitoring, voorspelling, prognose, behandeling of verlichting van ziekte. Software die aan deze definitie voldoet, wordt geclassificeerd als Software as a Medical Device (SaMD). Een documentatietool die klinische verslagen transcribeert zonder klinische beslissingen te beïnvloeden, valt onder een ander regelgevingsregime dan een AI-systeem dat abnormale bevindingen markeert of patiënttriage prioriteert. De laatste wordt veel eerder geclassificeerd als SaMD en moet CE-markering verkrijgen voordat het op de EU-markt wordt gebracht.

Hoe is de AVG van toepassing op gezondheidsgegevens die door AI-systemen worden verwerkt

Gezondheidsgegevens die door AI-systemen worden verwerkt, worden geclassificeerd als bijzondere categorie gegevens onder artikel 9 van de AVG, wat het hoogste beschermingsniveau oplevert dat beschikbaar is onder de EU-wetgeving inzake gegevensbescherming. Het verwerken ervan vereist zowel een rechtmatige grondslag onder artikel 6 als een aanvullende voorwaarde onder artikel 9. In klinische contexten zijn de meest toepasselijke voorwaarden verwerking die noodzakelijk is voor medische diagnose of het verlenen van gezondheidszorg, en verwerking om redenen van algemeen belang op het gebied van volksgezondheid. AI-systemen moeten ook gegevensminimalisatie toepassen, wat betekent dat ze alleen gegevens mogen verwerken die nodig zijn voor hun gespecificeerde doel, en die gegevens mogen niet opnieuw worden gebruikt zonder een nieuwe rechtmatige grondslag.

Wat betekent EU-gegevensopslag voor klinische AI-leveranciers

Gegevensopslag binnen de EU betekent dat patiëntgegevens worden verwerkt en opgeslagen op infrastructuur die zich fysiek binnen de Europese Economische Ruimte (EER) bevindt. De AVG legt strikte beperkingen op aan het overdragen van persoonsgegevens buiten de EER, dus wanneer een leverancier gegevens verwerkt op infrastructuur die zich in de VS of elders bevindt, moeten specifieke overdrachtsmechanismen aanwezig zijn, zoals standaardcontractbepalingen. EU-gegevensopslag elimineert de noodzaak voor deze mechanismen en vereenvoudigt de AVG-naleving aanzienlijk. Zorgorganisaties moeten van leveranciers eisen dat zij regelingen voor gegevensopslag specificeren in contractuele documentatie.

Hoe classificeert de EU AI-verordening AI-tools in de gezondheidszorg

De EU AI-verordening introduceert een op risico gebaseerd classificatiesysteem met vier niveaus: onaanvaardbaar risico (verboden), hoog risico, beperkt risico en minimaal risico. De meeste klinische AI-tools, waaronder diagnostische ondersteuningssystemen, triagetools en klinische documentatie-assistenten die zorgtrajecten beïnvloeden, vallen waarschijnlijk binnen de categorie hoog risico. Onder artikel 6(1) en bijlage I van de AI-verordening worden AI-systemen die als medische hulpmiddelen onder MDR worden gereguleerd, automatisch geclassificeerd als AI-systemen met een hoog risico, waardoor ze onderworpen zijn aan zowel MDR-conformiteitsvereisten als het volledige nalevingsregime voor AI-verordening met hoog risico.

Waar overlappen of conflicteren MDR, AVG en de EU AI-verordening

Alle drie de kaders vereisen transparantie, gedocumenteerd risicobeheer en doorlopende toezichtverplichtingen. Een peer-reviewed analyse gepubliceerd in 2025 bevestigde dat het kwaliteitsmanagementsysteem dat onder MDR vereist is, kan dienen als basis voor AI-verordeningnaleving, en dat technische documentatievereisten onder beide kaders kunnen worden geïntegreerd in plaats van gedupliceerd. Er bestaan echter echte spanningen. De AI-verordening moedigt het bewaren van trainingsgegevens en logs aan voor auditdoeleinden, terwijl de principes van gegevensminimalisatie en opslagbeperking uit de AVG in de tegenovergestelde richting duwen. Leveranciers moeten deze spanning expliciet adresseren, doorgaans via doelspecifieke bewaartermijnen en anonimisering waar mogelijk.

Wie is verantwoordelijk voor regelgevende naleving: de AI-leverancier of de zorgorganisatie

Verantwoordelijkheid is verdeeld over alle drie de kaders, en de toewijzing verschilt afhankelijk van welk kader van toepassing is. Onder MDR rust de primaire verplichting op de fabrikant, doorgaans de AI-leverancier, die verantwoordelijk is voor CE-markering, technische documentatie en markttoezicht na het in de handel brengen. Onder de AVG is de zorgorganisatie die het AI-systeem implementeert doorgaans de verwerkingsverantwoordelijke en draagt de primaire verantwoordelijkheid voor rechtmatige grondslag en patiëntenrechten, terwijl de leverancier optreedt als verwerker. Onder de EU AI-verordening dragen leveranciers als aanbieders de belangrijkste nalevingslast voor AI-systemen met een hoog risico, maar inzettende organisaties hebben hun eigen verplichtingen, waaronder het implementeren van menselijk toezicht en het waarborgen van AI-geletterdheid onder personeel. Een ziekenhuis dat een klinische AI-tool implementeert, kan niet aannemen dat regelgevende naleving volledig de verantwoordelijkheid van de leverancier is.

Welke vragen moeten zorgorganisaties aan AI-leveranciers stellen vóór implementatie

Inkoopteams moeten leveranciers vragen te bevestigen of het product CE-markering heeft als medisch hulpmiddel en wat de risicoklasse is. Over gegevensbescherming moeten ze vragen waar patiëntgegevens worden verwerkt en opgeslagen, of EU-gegevensopslag gegarandeerd is, en of patiëntgegevens worden gebruikt voor modeltraining en op welke rechtmatige grondslag. Over de EU AI-verordening moeten ze vragen of het systeem is geclassificeerd als hoog risico, welke conformiteitsbeoordeling is voltooid en welke menselijke toezichtmechanismen zijn ingebouwd. Over beveiliging moeten ze vragen of de leverancier actuele ISO 27001-certificering heeft. Onvolledige of ontwijkende antwoorden moeten worden gezien als een significant aanschafrisicosignaal.

Wanneer treden de verplichtingen van de EU AI-verordening voor klinische AI-systemen met een hoog risico volledig in werking

De EU AI-verordening trad in werking op 1 augustus 2024, maar de verplichtingen worden gefaseerd van kracht. Verboden op AI-systemen met onaanvaardbaar risico en AI-geletterdheidsverplichtingen voor aanbieders en inzettende partijen traden in werking in februari 2025. Verplichtingen voor AI-systemen met een hoog risico onder hoofdstuk III, inclusief die voor AI-medische hulpmiddelen, zijn volledig van toepassing vanaf augustus 2026. Volledige toepasselijkheid op alle overige bepalingen volgt in augustus 2027. Overgangsbepalingen bestaan voor AI-systemen die al rechtmatig op de markt zijn vóór augustus 2026, maar deze zijn tijdelijk en stellen fabrikanten niet vrij van uiteindelijke volledige naleving.

Wat is de Europese gezondheidsdataruimte en hoe beïnvloedt deze klinische AI

De Europese gezondheidsdataruimte (EHDS)-verordening trad in werking op 26 maart 2025. Deze creëert een kader voor het secundaire gebruik van gezondheidsgegevens, inclusief voor AI-ontwikkeling en onderzoek, in EU-lidstaten. De Europese Commissie identificeert de EHDS als een belangrijke facilitator van verantwoorde klinische AI-ontwikkeling. De interactie met het doelbindingsprincipe van de AVG, dat gegevens beperkt in hergebruik zonder een nieuwe rechtmatige grondslag, zal doorlopende verduidelijking vereisen naarmate de implementatie vordert.