AI in de zorg: wat mag er met patiëntgegevens en wat niet?

AI in de zorg klinkt als iets voor ziekenhuizen met grote IT-afdelingen, maar het gebeurt al gewoon aan de balie en achter de computer van de praktijkondersteuner. Iemand wil een brief sneller op papier hebben, een verslag korter maken of een folder begrijpelijker schrijven, en opent een chatbot. Dat kan heel nuttig zijn, zolang er geen patiëntgegevens in terechtkomen.

Precies daar gaat het mis. De Autoriteit Persoonsgegevens (AP) heeft meldingen van datalekken gekregen over medewerkers die persoonsgegevens in AI-chatbots plakten, waaronder een medewerker van een huisartsenpraktijk die medische gegevens van patiënten invoerde. In dit artikel lees je waar de grens ligt, waarom die grens in de zorg extra hard is, en waarvoor je AI aan de goede kant ervan wel kunt gebruiken.

Eén ding vooraf, omdat het in dit onderwerp niet vaak genoeg gezegd kan worden: een AI-chatbot vervangt geen arts, geen verpleegkundige en geen apotheker. Het is een schrijfhulp, geen hulpmiddel om diagnoses te stellen of behandelingen te kiezen. Dit artikel is ook geen juridisch advies; bij twijfel is je functionaris gegevensbescherming of beroepsorganisatie het aanspreekpunt.

Wat is er misgegaan bij de huisartsenpraktijk?

De AP kreeg datalekmeldingen over medewerkers die persoonsgegevens in een AI-chatbot zetten. Een van de voorbeelden was een medewerker van een huisartsenpraktijk die medische gegevens van patiënten invoerde. Waarschijnlijk met de beste bedoelingen, bijvoorbeeld om sneller een brief of samenvatting te maken.

Het probleem zit niet in de bedoeling maar in wat er gebeurt met de gegevens. Die gaan naar een externe aanbieder, worden daar verwerkt en mogelijk bewaard, en je krijgt ze niet meer terug. Doet een medewerker dat tegen de afspraken van de organisatie in, dan telt het als een datalek. Melden bij de AP is dan meestal verplicht, en vaak moeten ook de mensen om wie het gaat worden ingelicht.

De les die de AP eraan verbindt, geldt voor elke organisatie maar in de zorg het sterkst: maak duidelijke regels over welke gegevens wel en niet in een chatbot mogen. Zonder zulke regels weet een medewerker niet waar de grens ligt, en dan wordt die grens vroeg of laat overschreden.

Waarom botst dit met het medisch beroepsgeheim?

In de zorg komt er een laag bovenop de gewone privacyregels. Zorgverleners hebben een medisch beroepsgeheim, vastgelegd in de WGBO. Medische gegevens van een patiënt in een chatbot van een externe partij zetten, is daarmee niet alleen een privacyprobleem maar ook een schending van dat beroepsgeheim.

Daarom maakt het ook niet uit welke dienst je gebruikt. Een betaald abonnement waarbij training standaard uit staat, zoals bij Claude, of Europese verwerking zoals bij Mistral, is voor gewone teksten een prettiger uitgangspunt. Het verandert niets aan het feit dat je patiëntgegevens deelt met een partij die daar niet bij hoort. Hoe de aanbieders verschillen op verwerking en training, lees je in AI en privacy in Nederland.

Waarvoor kun je AI in de zorg wel gebruiken?

Er blijft veel over als je patiëntgegevens buiten de deur houdt. De vuistregel: alles wat je ook op de website of in de wachtkamer zou kunnen leggen, mag je met AI helpen schrijven.

Bij algemene kennis past extra voorzichtigheid. Een taalmodel kan een begrip helder uitleggen, maar formuleert een fout net zo overtuigend als een juist antwoord. Gebruik het om iets voor jezelf op een rij te zetten, en ga voor alles wat je in de zorg toepast terug naar de vakliteratuur, richtlijnen en je collega's.

Een patiëntenfolder in B1-taal

Hier is AI op zijn sterkst. Je hebt een bestaande folder of informatietekst die te moeilijk is, en je wilt hem begrijpelijk maken voor een breder publiek. Een prompt die goed werkt:

"Herschrijf deze tekst naar B1-taalniveau. Gebruik korte zinnen, vermijd vaktermen of leg ze in één zin uit, spreek de lezer aan met je en verander niets aan de medische inhoud. Zet onderwerpen die je niet zeker weet tussen haken."

Laat de uitkomst altijd nalezen door een zorgverlener die de inhoud kent. Het model mag de taal vereenvoudigen; het mag de boodschap niet veranderen. Meer over het schrijven van goede Nederlandse teksten met AI lees je in AI teksten maken.

Voor dit soort schrijfwerk maakt de modelkeuze verschil. In onze eigen test schrijft Claude het meest natuurlijke Nederlands, met een score van 5 uit 5. Le Chat van Mistral scoort een 4 en verwerkt in de EU, in Frankrijk en Zweden.

Wat moet een chatbot voor patiënten melden?

Sommige praktijken en instellingen overwegen een chatbot op hun website voor praktische vragen, zoals openingstijden, herhaalrecepten aanvragen of hoe je een afspraak maakt. Sinds 2 augustus 2026 gelden daarvoor de transparantieregels van de AI Act: de chatbot moet uiterlijk bij het begin van het gesprek duidelijk maken dat de patiënt met AI praat.

Voor een zorgchatbot is dat het minimum, niet het doel. Wat een patiënt ook moet weten: dat de bot geen medisch advies geeft, dat hij geen klachten beoordeelt, en hoe je direct een mens bereikt. Een algemene chatbot hoort geen vragen over symptomen te beantwoorden. Stuur die altijd door naar de praktijk, en bij spoed naar de gebruikelijke spoedroute.

Denk ook na over wat patiënten in het chatvenster typen. Je kunt vragen om geen medische informatie te delen, maar mensen doen het toch. Behandel alles wat binnenkomt als gevoelig en kies een route waarbij je weet waar de gesprekken worden verwerkt. Hoe je een chatbot met een overdracht naar een medewerker inricht, staat in klantenservice chatbot.

Wat verandert de AI Act voor medische AI?

De AI Act, zoals aangepast door de Digital Omnibus die sinds 27 juli 2026 van kracht is, maakt onderscheid tussen soorten AI. Voor de zorg zijn drie data van belang.

AI die onderdeel is van een medisch hulpmiddel valt onder de hoog-risicoregels voor gereguleerde producten. Die verplichtingen zijn uitgesteld naar 2 augustus 2028. Dat uitstel betekent niet dat er tot die tijd niets geregeld is; het betekent dat de extra AI Act-verplichtingen later ingaan.

Een algemene chatbot is niet ontwikkeld als medisch hulpmiddel. Gebruik hem dus ook niet alsof het er een is. Sinds 2 augustus 2026 is het toezicht operationeel, en in Nederland coördineert de AP het toezicht op algoritmes.

Welke afspraken maak je in je praktijk of instelling?

Het advies van de AP komt neer op duidelijke regels vooraf. Voor een zorgorganisatie zijn dit de afspraken die je minimaal op papier wilt hebben:

1. Welke gegevens nooit in een chatbot mogen. Patiëntgegevens, en alles wat naar een patiënt herleidbaar is.
2. Welke taken wel mogen. Bijvoorbeeld de lijst uit de tabel hierboven.
3. Welke diensten medewerkers mogen gebruiken. Liefst een zakelijk account met een verwerkersovereenkomst, in plaats van ieders privéaccount.
4. Wat je doet als het toch misgaat. Wie meldt het intern, wie beoordeelt of het een datalek is, en wie meldt het bij de AP.
5. Hoe medewerkers leren werken met AI. Sinds 27 juli 2026 is AI-geletterdheid een inspanningsverplichting: je neemt maatregelen die passen bij de functie, zonder verplichte cursus of certificaat.

Wat werknemers zelf mogen en wat de werkgever moet regelen, werken we verder uit in AI op het werk. Voor het bredere plaatje, van beleid tot kosten per gebruiker, is AI voor bedrijven het startpunt.

Past GoedkopeAI bij werk in de zorg?

Voor een deel van het werk wel, en voor een deel uitdrukkelijk niet. GoedkopeAI is een tekstchat met meerdere modellen, waaronder Claude Opus 5.5, GPT-6.1 Sol en GPT-6 Luna, Gemini 3.8 Flash en DeepSeek V4 Flash, voor €12,95 per maand. Daarmee kun je een folder in B1-taal laten herschrijven, een nieuwsbrief opzetten of dezelfde tekst door twee modellen laten beoordelen.

GoedkopeAI is niet bedoeld voor patiëntgegevens. Een bundelabonnement verandert niets aan waar het onderliggende model draait: vraag je iets aan een model van een Amerikaanse aanbieder, dan wordt het daar verwerkt. Zet er dus nooit namen, dossiers, klachten of andere herleidbare informatie van patiënten in. Wat een abonnement kost, zie je op onze prijzenpagina.

Conclusie