AI Act voor de zorg en medische praktijken: wat moet u regelen?

Kort antwoord

Als u in de zorg AI gebruikt voor diagnostiek, behandeladvies of patiëntbeheer, valt u hoogstwaarschijnlijk onder de AI Act. Medische AI-systemen die als medisch hulpmiddel zijn gecertificeerd, vallen onder de zwaarste categorie: hoog-risico AI ingebed in gereguleerde producten (Annex I). De deadline daarvoor is 2 augustus 2028. Maar er zijn ook verplichtingen die nu al gelden.

Waarom de zorg extra aandacht verdient

AI in de zorg raakt mensen op een kwetsbaar moment. Denk aan software die röntgenfoto's analyseert, algoritmen die triageprioritering ondersteunen, of tools die medicatieadviezen genereren. De AI Act erkent dit en plaatst veel zorggerelateerde AI-toepassingen in de hoog-risico categorie.

Dat betekent niet dat u nu alles moet stilleggen. Het betekent wel dat u weet welke regels wanneer gelden, en dat u daar nu al op voorbereidt.

Twee soorten hoog-risico AI in de zorg

De AI Act maakt onderscheid tussen twee typen hoog-risico systemen die in de zorg voorkomen.

Type 1: AI ingebed in gereguleerde medische producten (Annex I)

Dit zijn AI-systemen die onderdeel zijn van een product dat al onder bestaande Europese wetgeving valt, zoals de Medical Device Regulation (MDR) of de In Vitro Diagnostics Regulation (IVDR). Denk aan:

• Diagnostische beeldsoftware (radiologie, pathologie)
• AI-gestuurde medische hulpmiddelen
• Laboratoriumsoftware met AI-component

Voor deze systemen geldt de deadline van 2 augustus 2028. Dat lijkt ver weg, maar MDR-certificering kost al snel twee tot vier jaar. Als u nu niet begint, haalt u de deadline niet.

Type 2: Standalone hoog-risico AI (Annex III, Art. 6(2))

Dit zijn AI-systemen die zelfstandig draaien en beslissingen ondersteunen die grote gevolgen hebben voor mensen. In de zorg valt hieronder onder meer:

• AI die patiënten indeelt of prioriteert voor zorg
• Systemen die toegang tot zorgdiensten beoordelen
• Biometrische identificatie van patiënten

Voor standalone hoog-risico AI geldt de deadline van 2 december 2027, uitgesteld met zestien maanden ten opzichte van de oorspronkelijke planning.

Wat geldt er nu al

Niet alles wacht op 2027 of 2028. Twee verplichtingen zijn al van kracht.

AI-geletterdheid (Art. 4), geldig vanaf 2 februari 2025

U moet aantoonbaar zorgen dat medewerkers die AI gebruiken of beheren, voldoende kennis hebben om dat verantwoord te doen. In de zorg betekent dit concreet: verpleegkundigen, artsen en administratief personeel die werken met AI-ondersteunde tools moeten begrijpen wat die tools doen, wat de beperkingen zijn en wanneer ze de uitkomst niet klakkeloos mogen overnemen.

Dit hoeft geen dure opleiding te zijn. Een interne instructie, een kort protocol of een aantoonbare bespreking in een teamoverleg volstaat als startpunt. Maar het moet aantoonbaar zijn.

Verboden praktijken (Art. 5), geldig vanaf 2 februari 2025

Sommige AI-toepassingen zijn volledig verboden, ook in de zorg. Denk aan systemen die patiënten manipuleren op basis van kwetsbaarheden, of die sociale scoring toepassen. Controleer of software die u inkoopt of gebruikt geen van deze verboden technieken toepast.

Verplichtingen als deployer

Als zorginstelling of praktijk bent u in de meeste gevallen een deployer: u zet AI in die door een andere partij is ontwikkeld. Artikel 26 beschrijft uw verplichtingen als deployer van hoog-risico AI. De belangrijkste zijn:

• Gebruik de AI alleen waarvoor die bedoeld is (conform de instructies van de provider)
• Zorg voor menselijk toezicht (Art. 14): een bevoegde medewerker moet de AI-uitkomst kunnen beoordelen en zo nodig negeren
• Houd een logboek bij van het gebruik, voor zover u daar controle over heeft
• Voer een grondrechtenbeoordeling uit voordat u hoog-risico AI inzet (Art. 26)
• Meld incidenten aan de toezichthouder als de AI schade veroorzaakt

Art. 9 verplicht providers van hoog-risico AI tot een risicobeheersysteem. Als deployer moet u controleren of uw leverancier dit heeft ingericht en of de documentatie klopt.

Transparantie richting patiënten

Gebruikt u een chatbot voor patiëntvragen, een AI-assistent voor afspraken of een geautomatiseerd systeem dat berichten stuurt? Dan geldt de transparantieplicht van Art. 50. Patiënten moeten weten dat ze met een AI-systeem communiceren, niet met een mens. Deze verplichting geldt vanaf 2 augustus 2026.

Voor zorginstellingen is dit extra gevoelig: patiënten bevinden zich in een afhankelijke positie. Duidelijkheid over wie of wat hen te woord staat, is niet alleen een wettelijke eis maar ook een kwestie van vertrouwen.

Wat u nu al kunt doen

Een overzicht van concrete stappen, ongeacht de grootte van uw praktijk of instelling:

• Inventariseer welke AI-systemen u gebruikt, ook die van softwareleveranciers
• Bepaal per systeem of het onder Annex I of Annex III valt
• Vraag uw softwareleveranciers om documentatie over hun AI-componenten (Art. 11)
• Leg vast hoe medewerkers omgaan met AI-uitkomsten en wie eindverantwoordelijk is
• Controleer of chatbots of geautomatiseerde communicatie duidelijk als AI herkenbaar zijn
• Begin nu met AI-geletterdheid: bespreek het in teamoverleg en leg dat vast

Toezicht en handhaving

De toezichthouder in Nederland is nog niet definitief aangewezen, maar de Inspectie Gezondheidszorg en Jeugd (IGJ) speelt naar verwachting een rol naast de algemene AI-toezichthouder. Boetes voor overtredingen van hoog-risico verplichtingen kunnen oplopen tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet (Art. 99). Voor het mkb in de zorg is de kans op een maximale boete klein, maar een incident met een patiënt als gevolg van onverantwoord AI-gebruik heeft ook reputatie- en aansprakelijkheidsgevolgen buiten de AI Act om.

Nuchtere volgende stap

De zorg is een sector waar AI snel oprukt en de regels streng zijn. Dat hoeft geen reden voor paniek te zijn, maar wel voor een gestructureerde aanpak. Begin met een eerlijk beeld van wat u nu al gebruikt. Doe de gratis zelfscan op nuchter.ai en ontdek in tien minuten waar uw praktijk of instelling staat.