ChatGPT in de huisartsenpraktijk: wat mag wel en niet?

Voor taken waarbij geen patiëntgegevens of andere vertrouwelijke informatie nodig zijn, en alleen als de praktijk de tool en het account heeft toegestaan. Bijvoorbeeld:

• een patiëntfolder of uitleg herschrijven in eenvoudige taal
• een tekst voor de website, de nieuwsbrief of het wachtkamerscherm
• een standaardbrief of e-mail zonder namen, zoals een bericht over vakantiesluiting
• een lang openbaar protocol of beleidsstuk samenvatten, en de samenvatting naast de bron leggen
• een agenda of ideeën voor het teamoverleg

Lees ook dan alles na voordat u het gebruikt. Hoe u een goede opdracht schrijft, oefent u in de gratis training Promptschrijven in de zorgpraktijk.

Gezondheidsgegevens zijn bijzondere persoonsgegevens onder de AVG, en als zorgverlener heeft u een medisch beroepsgeheim. Wat u in een openbare chatbot invoert, komt op de servers van de aanbieder terecht. Vanaf dat moment heeft de praktijk er geen controle meer over.

Bij persoonlijke accounts van ChatGPT (Free, Plus en Pro) staat het gebruik van gesprekken om modellen te trainen standaard aan. De gebruiker kan dat zelf uitzetten, maar de praktijk kan dat niet controleren.

Een naam weglaten is niet altijd genoeg. Leeftijd, klachten, woonplaats en een datum samen kunnen een patiënt al herkenbaar maken.

In augustus 2024 waarschuwde de AP voor datalekken door het gebruik van AI-chatbots op het werk. Een van de meldingen kwam van een huisartsenpraktijk. Een medewerker had medische gegevens van patiënten in een chatbot gezet, tegen de afspraken van de praktijk in.

De AP vraagt organisaties duidelijke afspraken te maken. Mag een chatbot gebruikt worden, en zo ja, welke gegevens wel en vooral niet? Gaat het toch mis, dan moet een datalek in veel gevallen binnen 72 uur gemeld worden bij de AP.

Een zakelijke versie, zoals ChatGPT Business of Enterprise, of Copilot via een zakelijk Microsoft 365-account, is een betere basis. De invoer wordt standaard niet gebruikt om modellen te trainen en er is een verwerkersovereenkomst mogelijk.

Daarmee mag u nog niet vanzelf patiëntgegevens invoeren. De praktijk moet eerst zelf beoordelen:

• of er een grondslag is om deze gezondheidsgegevens te verwerken, en of het past binnen het medisch beroepsgeheim
• of de leverancier als verwerker voor de praktijk werkt en er een verwerkersovereenkomst is afgesloten
• waar de gegevens worden opgeslagen en hoe lang, en of ze buiten de Europese Economische Ruimte terechtkomen
• of de beveiliging past bij de eisen voor de zorg, zoals NEN 7510
• of een DPIA nodig is, een risicobeoordeling voor de privacy

Zolang die beoordeling niet is gedaan, zet u er geen patiëntgegevens in, ook niet in een zakelijke versie.

AI kan overtuigend klinkende fouten maken. Het verzint soms bronnen of cijfers en kent niet altijd de nieuwste richtlijnen. Controleer daarom altijd:

• de feiten, naast een betrouwbare bron zoals de NHG-Standaarden of Thuisarts.nl
• de medische inhoud, door een bevoegde zorgverlener
• de hele tekst, voordat die naar een patiënt gaat. Klopt de toon en staat er niets in dat er niet hoort?

Wie de tekst gebruikt of verstuurt, blijft verantwoordelijk. Dat verandert niet doordat AI hem heeft geschreven.

Nee, niet over een patiënt. Een openbare chatbot is niet gemaakt of goedgekeurd voor triage, diagnose of medicatieadvies. Bovendien zijn daarvoor patiëntgegevens nodig. Volg voor triage het systeem en de afspraken van de praktijk.

Software die wel bedoeld is om te helpen bij medische beslissingen, valt meestal onder de Europese regels voor medische hulpmiddelen (MDR). Gebruikt de praktijk zo'n systeem, dan blijft de zorgverlener het advies zelf beoordelen.

1. 1Welke tools mogen, en alleen met een account van de praktijk, niet met een privéaccount.
2. 2Nooit patiëntgegevens in een openbare of persoonlijke AI-tool.
3. 3Altijd controle door een mens voordat iets gebruikt of verstuurd wordt.
4. 4Direct intern melden als er per ongeluk toch gegevens in een chatbot zijn gezet. De praktijk onderzoekt het meteen en meldt een meldplichtig datalek uiterlijk 72 uur na ontdekking bij de AP.
5. 5Uitleg of training per rol, zoals artikel 4 van de AI Act vraagt (lees of AI-geletterdheid verplicht is).

Zet deze afspraken op papier in een kort AI-beleid. Gebruik daarvoor het voorbeeld van een AI-beleid voor de huisartsenpraktijk.