Registreren
AI in de praktijk

AI-beleid voor de huisartsenpraktijk: voorbeeld en stappenplan

Bijgewerkt op

Kort antwoord

Een AI-beleid is een korte set afspraken over hoe uw praktijk AI gebruikt. Er staat in welke tools mogen, wat er nooit in mag, wie controleert en wie welke uitleg krijgt. De wet schrijft geen apart AI-beleid voor, maar het is de eenvoudigste manier om vast te leggen welke maatregelen u neemt voor de AVG en artikel 4 van de AI Act. Een tot twee A4 is genoeg. Op deze pagina staat een voorbeeldtekst die u kunt overnemen.

Waarom heeft uw praktijk een AI-beleid nodig?

Medewerkers gebruiken AI vaak al, soms op eigen initiatief. Ook leveranciers bouwen AI in bestaande systemen, zoals spraakherkenning bij het consult of AI in de telefonie. Zonder afspraken weet niemand precies wat wel en niet mag, en is de kans op een datalek groter.

Een AI-beleid lost dat op. Het geeft medewerkers duidelijkheid en laat zien welke maatregelen de praktijk neemt voor de AVG en voor artikel 4 van de AI Act. De wet schrijft geen apart AI-beleid voor, maar het is wel de eenvoudigste manier om die maatregelen vast te leggen.

Wat staat er in een AI-beleid?

Een tot twee A4 is genoeg. Deze onderdelen horen erin:

  • welke AI-toepassingen mogen, waarvoor, en of ze met patiëntgegevens werken
  • regels voor patiëntgegevens, zoals nooit in een openbare chatbot
  • controle door een mens van alles wat AI maakt
  • openheid naar patiënten over het AI-gebruik van de praktijk
  • wat te doen bij een vergissing, inclusief de meldplicht voor datalekken
  • uitleg of training per rol, en bijhouden wie wat heeft gevolgd
  • een aanspreekpunt en een vast moment om het beleid te evalueren

Hoe stelt u in vijf stappen een AI-beleid op?

  1. 1Inventariseer. Welke AI zit er in uw systemen, en welke tools gebruiken medewerkers zelf? Vraag het team er gewoon naar, zonder oordeel.
  2. 2Beoordeel per toepassing. Gaan er patiëntgegevens in? Mag dat onder de AVG en het beroepsgeheim? Is er een verwerkersovereenkomst? Blijven de gegevens in de EER? Is een DPIA nodig? Is het een medisch hulpmiddel, dan hoort er een CE-markering bij.
  3. 3Schrijf de afspraken op. Gebruik de voorbeeldtekst hieronder en vul de lijst met toegestane toepassingen in.
  4. 4Bespreek het met het team en zorg voor uitleg of training die past bij elke rol. Een beleid werkt pas als iedereen weet wat het in het eigen werk betekent.
  5. 5Evalueer minstens één keer per jaar en bij elke nieuwe AI-toepassing.

Voorbeeldtekst: AI-beleid om over te nemen

Neem de tekst over en vul de onderdelen tussen [haken] in. Pas aan wat niet bij uw praktijk past.

AI-beleid [naam praktijk]

Versie [datum]. Vastgesteld door [naam praktijkhouder].

1. Waar gaat dit over?

Deze afspraken gelden voor iedereen die in of voor onze praktijk werkt, ook invallers en stagiairs. Ze gaan over alle software die met kunstmatige intelligentie (AI) werkt, zoals chatbots, spraakherkenning en AI-functies in ons HIS of telefoonsysteem.

2. Welke AI gebruiken we?

We gebruiken alleen de toepassingen hieronder, voor het doel dat erbij staat. Een nieuwe toepassing gebruiken we pas na akkoord van [naam of functie].

  • [naam toepassing], voor [doel], met patiëntgegevens: [ja/nee]
  • [naam toepassing], voor [doel], met patiëntgegevens: [ja/nee]

3. Patiëntgegevens

  • We zetten nooit patiëntgegevens in een openbare of persoonlijke AI-tool, zoals de gratis versie van ChatGPT, Gemini of Copilot. Dat geldt ook voor gegevens zonder naam waaruit iemand te herkennen is.
  • Een toepassing krijgt pas "met patiëntgegevens: ja" nadat [naam of functie] heeft beoordeeld en vastgelegd op welke AVG-grondslag we de gegevens verwerken en welke uitzondering voor gezondheidsgegevens geldt, of het past binnen het beroepsgeheim, of de leverancier verwerker is (dan sluiten we een verwerkersovereenkomst), waar de gegevens worden opgeslagen (binnen of buiten de EER) en of een DPIA nodig is.
  • We gebruiken voor AI-tools alleen accounts van de praktijk, geen privéaccounts.

4. Altijd controle door een mens

  • Alles wat AI maakt, lezen en controleren we voordat we het gebruiken of versturen.
  • Een AI-verslag of AI-samenvatting in het dossier controleert de zorgverlener die het consult had.
  • AI geeft geen triage-uitkomst, diagnose of medicatieadvies zonder beoordeling door een bevoegde zorgverlener. De zorgverlener blijft verantwoordelijk.

5. Open naar patiënten

  • We vertellen patiënten wanneer we AI gebruiken, bijvoorbeeld spraakherkenning tijdens het consult, en wat dat voor hen betekent. Heeft een patiënt bezwaar, dan [afspraak, bijvoorbeeld zetten we de spraakherkenning uit].
  • Ons AI-gebruik staat ook in de privacyverklaring op onze website.

6. Vergissingen en incidenten

  • Is er per ongeluk een patiëntgegeven in een AI-tool gezet, of klopt een AI-uitkomst niet, meld het dan direct bij [naam of functie]. Melden is altijd goed, ook bij twijfel.
  • [Naam of functie] onderzoekt het direct. Is het een meldplichtig datalek, dan melden we het uiterlijk 72 uur na ontdekking bij de Autoriteit Persoonsgegevens.

7. Kennis en training

  • Iedere medewerker krijgt uitleg of training over AI die past bij de eigen rol. Dat gebeurt bij indiensttreding en bij een nieuwe AI-toepassing.
  • We houden bij wie welke training heeft gevolgd en wanneer.

8. Aanspreekpunt en evaluatie

  • [Naam of functie] is het aanspreekpunt voor AI in de praktijk.
  • We bespreken dit beleid minstens één keer per jaar en bij elke nieuwe AI-toepassing.

Wie is verantwoordelijk voor het AI-beleid?

De praktijkhouder is eindverantwoordelijk. In de praktijk is de praktijkmanager vaak het aanspreekpunt die het beleid opstelt, bijhoudt en nieuwe toepassingen beoordeelt.

Is een systeem centraal ingekocht door de zorggroep, maak dan afspraken over wie de verwerkersovereenkomst, de DPIA en de uitleg aan medewerkers regelt. Heeft de praktijk of zorggroep een functionaris gegevensbescherming, betrek die dan bij het opstellen.

Mogen medewerkers ChatGPT gebruiken als er een AI-beleid is?

Dat bepaalt de praktijk zelf in het AI-beleid. Een werkbare afspraak is dat ChatGPT of Copilot mag voor taken zonder patiëntgegevens, zoals een folder in eenvoudige taal of een standaardbrief, met een account van de praktijk en altijd met controle door een mens.

Lees meer over wat wel en niet mag met ChatGPT in de huisartsenpraktijk.

Aan de slag

Een AI-beleid werkt pas als het team het kent.

Met een e-learning per rol weet iedereen wat de afspraken betekenen in het eigen werk. Met een certificaat van deelname per medewerker.

Bekijk de trainingen

Lees ook

Bronnen

Deze pagina geeft algemene informatie en is geen juridisch advies. Twijfelt u over uw situatie, overleg dan met uw functionaris gegevensbescherming of een jurist.