Welke AI-systemen in de zorg zijn hoog-risico onder de AI Act? Het korte antwoord: niet de sector maakt het verschil, maar wat het systeem doet. Triage, diagnose-ondersteuning en AI in medische hulpmiddelen raken het hoog-risicoregime; een spraakherkenner voor dictaten of een roosterplanner meestal niet.
De zorgsector zit vol met AI-toepassingen. Radiologen gebruiken algoritmes voor beeldherkenning in scans. Huisartsenposten zetten triage-software in bij grote drukte. Ziekenhuizen testen decision support tools die patiëntendossiers analyseren en behandelsuggesties geven. Al deze AI-systemen raken op een of andere manier de EU AI Act.
Zorginstellingen en leveranciers van medische software krijgen hier dus mee te maken. De wet noemt een aantal toepassingen die in de zorg veel voorkomen. Zo staat de triage van patiënten die dringend medische zorg nodig hebben in Bijlage III (punt 5, onder d). AI in een medisch hulpmiddel kan via Bijlage I hoog-risico zijn. De eisen zijn zwaar. Welke datum bij welke route hoort, ziet u op de tijdlijn voor AI in de zorg.
Twee routes naar hoog-risico voor zorg-AI
De AI Act kent twee routes waarlangs AI in de zorg hoog-risico wordt.
De eerste route is Bijlage III van de AI Act. Punt 5, onder d, wijst drie dingen aan: systemen die noodoproepen evalueren en classificeren, systemen die hulpdiensten inzetten of prioriteren en systemen die patiënten trieren die dringend medische zorg behoeven. Punt 5, onder a, gaat over AI die door of namens overheidsinstanties wordt gebruikt om te beoordelen of iemand in aanmerking komt voor essentiële overheidsuitkeringen en -diensten, waaronder gezondheidsdiensten. Een algoritme dat bepaalt welke patiënt met een dringende zorgvraag als eerste wordt geholpen, valt daarmee onder Bijlage III, punt 5, onder d. Een planner voor een gewone wachtlijst is geen spoedtriage. Die valt alleen onder punt 5, onder a, als een overheidsinstantie hem gebruikt om te beoordelen of iemand voor zorg in aanmerking komt. Claimafhandeling bij een zorgverzekeraar niet. Punt 5, onder c, dekt alleen risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen, dus de acceptatie- en premiekant. De beoordeling van een ingediende claim staat er niet in.
De tweede route loopt via Bijlage I: medische hulpmiddelen met een AI-component vallen onder de Medical Device Regulation (MDR) of de In-Vitro Diagnostic Medical Devices Regulation (IVDR). Automatisch hoog-risico is zo'n product niet. Artikel 6, lid 1, stelt twee voorwaarden waaraan allebei moet zijn voldaan. De AI moet een veiligheidscomponent zijn van een product dat onder Bijlage I valt, of zelf zo'n product zijn. En voor dat product moet een conformiteitsbeoordeling door een derde partij verplicht zijn. Die tweede voorwaarde is het scharnierpunt. Mag de fabrikant zelf verklaren dat het hulpmiddel voldoet, zonder aangemelde instantie, dan loopt deze route dood en is het systeem er niet via Bijlage I hoog-risico door. Komt er wel een aangemelde instantie aan te pas, dan geldt het volledige hoog-risicoregime. De eisen van de AI Act maken dan deel uit van de conformiteitsbeoordeling onder de MDR of IVDR (Artikel 43, lid 3).
Voor een radiologie-AI die beeldherkenning doet en een aangemelde instantie nodig heeft, betekent dit vanaf 2 augustus 2028 twee sets eisen: die van de MDR en die van Artikel 9 tot en met 15 van de AI Act. U legt ze vast in één technisch dossier (Artikel 11, lid 2) en laat ze in één beoordeling toetsen (Artikel 43, lid 3).
Welke AI-toepassingen komen voor in de zorg?
Er zijn vijf hoofdcategorieën.
Diagnostische AI
Bijlage IAlgoritmes die scans analyseren, pathologie-beelden interpreteren of afwijkingen signaleren in ECG's. Vrijwel altijd Bijlage I-producten in gecertificeerde medische hulpmiddelen.
Beslissingsondersteunende AI
Bijlage ISystemen die artsen helpen bij medicatiekeuze of behandelingsopties op basis van patiëntdata. Zulke software is meestal een medisch hulpmiddel van klasse IIa of hoger (MDR, Bijlage VIII, regel 11) en dan via Bijlage I hoog-risico. In Bijlage III staat voor de zorg alleen spoedtriage.
Triage-AI
Bijlage IIISorteer-algoritmes bij huisartsenposten, SEH of telefoondiensten. Bepaalt mee hoe dringend een zorgvraag is en valt daarmee onder Bijlage III, punt 5, onder d. Een systeem dat alleen een beperkte procedurele of voorbereidende taak doet en niet profileert, valt erbuiten (Artikel 6, lid 3).
Administratieve AI
Spraakherkenning voor dictaten, automatische DBC-codering, chatbots voor patiëntvragen. Meestal minimaal risico. Een chatbot die patiënten te woord staat, moet wel zo zijn gebouwd dat zij weten dat ze met AI praten (Artikel 50, lid 1, sinds 2 augustus 2026). Die plicht ligt bij de aanbieder van de chatbot.
Predictieve en operationele AI
Voorspelling van bedopnames, no-show-analyse, roosteroptimalisatie. Meestal minimaal risico. Bepaalt de voorspelling welke patiënt met een dringende zorgvraag voorrang krijgt, dan is het triage (Bijlage III, punt 5, onder d). Verdeelt een roostersysteem taken op basis van het gedrag of de kenmerken van medewerkers, of beoordeelt het hun prestaties, dan valt het onder Bijlage III, punt 4, onder b.
Wie toezicht houdt op AI in de zorg
In Nederland houdt de Inspectie Gezondheidszorg en Jeugd (IGJ) toezicht op de veiligheid en kwaliteit van zorg, ook als daar AI bij komt kijken. Onder de AI Act wijst het wetsvoorstel voor de Uitvoeringswet de IGJ aan voor medische hulpmiddelen en in-vitrodiagnostica met AI (Bijlage I). Voor triage en andere zorgtoepassingen uit Bijlage III, zoals punt 5 onder d, noemt het voorstel de AP als markttoezichthouder.
Naast de IGJ speelt de Autoriteit Persoonsgegevens (AP) een rol. Gezondheidsgegevens zijn bijzondere persoonsgegevens (artikel 9 AVG). AI-systemen die ze verwerken vallen dus onder twee kaders tegelijk: de AVG en de AI Act. Of u de gegevens mag verwerken, beoordeelt u onder artikel 9 AVG. Verwerkt een AI-systeem gezondheidsgegevens op grote schaal, dan is een Data Protection Impact Assessment (DPIA) verplicht (artikel 35, lid 3, onder b, AVG), naast de documentatie die de AI Act vraagt. Gaat het om dagelijks gebruik van tools als ChatGPT met patiëntgegevens? Lees dan AI en privacy in de zorg: mag ChatGPT met patiëntgegevens? voor wat wel en niet is toegestaan.
Voor medische hulpmiddelen speelt ook de aangemelde instantie (Notified Body) een rol bij de CE-markering. Is AI in een medisch hulpmiddel via Bijlage I hoog-risico, dan toetst die instantie vanaf 2 augustus 2028 binnen dezelfde beoordeling ook de eisen van de AI Act. Daarvoor moet zij zelf aan aanvullende eisen uit de AI Act voldoen (Artikel 43, lid 3).
Verbod op emotieherkenning raakt de zorg
Artikel 5, lid 1, onder f) verbiedt AI die emoties afleidt op de werkplek en in het onderwijs. Verder reikt dat verbod niet. Een zorginstelling raakt het dus via haar eigen personeel, niet via haar patiënten: een verpleegkundige staat op de werkplek, iemand op de IC niet.
Binnen dat verbod zit één uitzondering die voor de zorg zwaar telt: emotieherkenning die om medische of veiligheidsredenen wordt ingezet, blijft toegestaan. Een systeem dat de stress van medewerkers meet om uitval te voorspellen valt onder het verbod. Detecteert een systeem bij medewerkers vermoeidheid of pijn, dan gaat het om een fysieke toestand en valt het buiten de definitie van emotieherkenning (overweging 18).
Bij patiënten geldt het verbod niet. Emotieherkenning valt daar wel onder andere regels. Een systeem dat emoties afleidt uit biometrische gegevens staat als hoog-risico in Bijlage III, punt 1, onder c; die eisen gelden vanaf 2 december 2027. Wie zo'n systeem inzet, informeert de patiënten die eraan worden blootgesteld al sinds 2 augustus 2026 (Artikel 50, lid 3). Daarnaast blijft de AVG gelden. Leg het doel vast en laat het toetsen door uw jurist en uw FG.
Verplichtingen voor zorginstellingen
Als zorginstelling bent u meestal deployer: u koopt AI-software in en zet die in binnen uw eigen werkprocessen. AI-geletterdheid geldt voor alle AI die u gebruikt. De plichten uit Artikel 26 gaan over hoog-risicosystemen en gelden vanaf 2 december 2027 (Bijlage III) of 2 augustus 2028 (Bijlage I). Dat betekent concreet:
Gebruik het AI-systeem volgens de instructies van de leverancier
Dat is uw eigen plicht als gebruiksverantwoordelijke (Artikel 26, lid 1). Zet u het systeem in voor een ander doel dan waarvoor het is beoordeeld, of wijzigt u het substantieel, dan kunt u zelf provider worden met alle zwaardere verplichtingen die daarbij horen (Artikel 25, lid 1).
Zorg voor menselijk toezicht
U draagt het menselijk toezicht op aan mensen met de nodige bekwaamheid, opleiding en autoriteit (Artikel 26, lid 2). Een radioloog kan een door AI gesignaleerde afwijking dan toetsen en corrigeren, een triagemedewerker kan een AI-urgentie terzijde schuiven. Dat het systeem dit toelaat, is een ontwerpplicht van de aanbieder (Artikel 14, lid 4, onder d).
Informeer patiënten
Gebruikt u een hoog-risicosysteem uit Bijlage III, zoals triage, dat beslissingen over patiënten neemt of helpt nemen, dan informeert u de patiënt dat het systeem op hem wordt toegepast (Artikel 26, lid 11). Die plicht uit lid 11 gaat alleen over Bijlage III. Ook bij andere AI is openheid verstandig: via algemene informatie (patiëntenfolder, website) of in het gesprek over de behandeling.
Houd een AI-register bij
Een overzicht van alle AI-systemen in uw instelling, met risicoclassificatie, doel en verantwoordelijken. Een wettelijke plicht is het niet; het is het overzicht waarmee u de plichten hierboven aantoont. De IGJ verwacht ook dat u weet welke AI u gebruikt en met welk doel.
Train uw personeel
Voor artsen, verpleegkundigen en administratieve krachten die met AI werken neemt u maatregelen die hun AI-geletterdheid bevorderen, rekening houdend met hun kennis, ervaring en de manier waarop zij AI gebruiken. Dit geldt al sinds 2 februari 2025 (Artikel 4).
Verplichtingen voor leveranciers van medische AI
Bouwt uw organisatie zelf AI-software voor de zorg? Dan bent u provider en liggen de zwaarste verplichtingen bij u.
Conformiteitsbeoordeling
Een hoog-risico AI-systeem doorloopt een conformiteitsbeoordeling voordat het in de handel wordt gebracht of in gebruik wordt gesteld (Artikel 16, onder f). Gaat het om AI in een medisch hulpmiddel, dan volgt u de beoordelingsprocedure van de MDR. De eisen van de AI Act maken deel uit van die beoordeling (Artikel 43, lid 3).
Technische documentatie volgens Bijlage IV
Uitgebreide documentatie over het AI-systeem: architectuur, trainingsdata, evaluaties, beperkingen, risicomanagement. U stelt die op voordat het systeem in de handel komt of in gebruik wordt gesteld (Artikel 11, lid 1). Bij een medisch hulpmiddel wordt het één technisch dossier, samen met de MDR-documentatie (Artikel 11, lid 2).
Post-market monitoring
U volgt actief hoe uw AI zich gedraagt nadat het op de markt is: prestatieverschillen tussen groepen (bias), incidenten, veranderend gedrag (Artikel 72). Bij een medisch hulpmiddel mag u dit opnemen in het monitoringsplan dat u onder de MDR al heeft (Artikel 72, lid 4).
Registratie in de EU-databank
Deze plicht geldt voor systemen uit Bijlage III, zoals triage van patiënten die dringend medische zorg nodig hebben (punt 5, onder d). U registreert zo'n systeem in de EU-databank voordat het in de handel wordt gebracht of in gebruik wordt gesteld (Artikel 49, lid 1). AI die alleen als medisch hulpmiddel hoog-risico is (Bijlage I), valt buiten deze registratie.
Ernstige incidenten melden
Leidt uw AI-systeem tot overlijden of ernstige gezondheidsschade, of tot schending van grondrechten, dan meldt u dat aan de markttoezichtautoriteit (Artikel 3, punt 49; Artikel 73). Is de AI een medisch hulpmiddel, dan meldt u onder de AI Act alleen schending van grondrechten (Artikel 73, lid 10). Schade aan patiënten meldt u dan via de MDR (artikel 87 MDR) of, bij een in-vitrodiagnosticum, via de IVDR (artikel 82 IVDR).
Praktische stappen voor zorgbestuurders
Breng uw AI-landschap in kaart
Veel zorginstellingen ontdekken pas bij een inventarisatie hoeveel AI-componenten er al in hun IT-landschap zitten. Begin bij de leveranciers: vraag welke AI in hun software zit, vraag om technische documentatie, vraag naar AI Act-compliance.
Identificeer de hoog-risico toepassingen
Twee groepen zijn hoog-risico. Triage-software voor spoedeisende zorg (Bijlage III, punt 5, onder d), tenzij die alleen een beperkte procedurele of voorbereidende taak doet (Artikel 6, lid 3). En AI die zelf een medisch hulpmiddel is of daarin een veiligheidscomponent vormt, waarvoor een aangemelde instantie nodig is (Artikel 6, lid 1). Diagnostische AI en decision support vallen meestal in die tweede groep. Zet deze systemen bovenaan in uw compliance-planning.
Zorg voor DPIA-AI Act-integratie
U doet waarschijnlijk al DPIA's voor verwerkingen van medische data. Zet u een hoog-risicosysteem uit Bijlage III in, zoals triage, dan komt daar vanaf 2 december 2027 een beoordeling van de gevolgen voor de grondrechten (FRIA) bij, vóór het eerste gebruik (Artikel 27, lid 1). Een zorginstelling geldt daarbij in de regel als entiteit die een openbare dienst verleent (overweging 96). De FRIA mag naar onderdelen van uw DPIA verwijzen (Artikel 27, lid 4); het blijven twee beoordelingen.
Regel menselijk toezicht structureel
Als ingebakken proces in plaats van een losse afspraak: protocollen, verantwoordelijke rollen en traceerbare afwijkbeslissingen.
Train medisch personeel in AI-geletterdheid
Specialisten hebben zicht nodig op waar hun AI-tool goed in is, waar hij tekortschiet en wanneer ingrijpen nodig is. Bij hoog-risico AI maakt Artikel 26 lid 2 daar een plicht van zodra dat regime gaat gelden: het menselijk toezicht ligt dan bij mensen met de nodige bekwaamheid, opleiding en autoriteit.
AI-beleid op bestuurlijk niveau. Een raad van bestuur die AI-governance delegeert aan een afdeling IT, loopt risico. AI Act-compliance raakt medisch-ethische keuzes. Het moet op bestuurlijk niveau worden verankerd.
Veelgestelde vragen
Valt een AI-hulpmiddel met CE-markering al onder de AI Act?
Voor de hoog-risico-eisen nog niet. Die gelden vanaf 2 augustus 2028 voor AI in een medisch hulpmiddel waarvoor een aangemelde instantie nodig is (Artikel 6, lid 1). Is het hulpmiddel vóór die datum in de handel gebracht, dan gaan de eisen er pas voor gelden na een aanzienlijke wijziging in het ontwerp (Artikel 111, lid 2). Een CE-markering onder de MDR neemt de AI Act-eisen niet weg. Bij een nieuw hulpmiddel toetst de aangemelde instantie beide in één beoordeling (Artikel 43, lid 3).
Mag ik ChatGPT gebruiken voor een verslag over een patiënt?
Nee, niet in de standaardvorm. Patiëntgegevens in een publieke AI-dienst botsen met het medisch beroepsgeheim (artikel 7:457 BW) en met de AVG (artikel 9), ongeacht wat de AI Act zegt. Werk met een zakelijke omgeving met verwerkersovereenkomst en dataretentie uit. Leg in beleid vast welke gegevens er nooit in mogen.
Is onze roosterplanner of spraakherkenner hoog-risico?
Nee, meestal niet, zolang ze alleen dictaten uitwerken of diensten inplannen. Let op twee randen. Bepaalt een planningssysteem welke patiënt met een dringende zorgvraag voorrang krijgt, dan is het triage (Bijlage III, punt 5, onder d). Wijst een roosterplanner diensten of taken toe op basis van het gedrag of de kenmerken van medewerkers, dan is hij hoog-risico onder Bijlage III, punt 4, onder b.
Wie is binnen een zorginstelling verantwoordelijk?
De raad van bestuur is eindverantwoordelijk, net als bij andere kwaliteits- en veiligheidsthema's. Het dagelijks beheer belegt u meestal bij een AI-verantwoordelijke die samenwerkt met de FG, de medisch specialist die het systeem gebruikt en de afdeling kwaliteit. De IGJ spreekt in de eerste plaats de zorgaanbieder aan, want die moet goede zorg bieden (artikel 2 Wkkgz).
Houdt de IGJ nu al toezicht op AI in de zorg?
Ja. De IGJ toetst AI vanuit de bestaande kaders voor goede zorg: kent u de systemen, weet u wat ze doen, is er menselijk toezicht en wordt de werking gevolgd. Dat toezicht wacht niet op de AI Act-datums van 2 december 2027 en 2 augustus 2028. Het loopt via de normen die er al zijn, zoals de Wkkgz en de MDR. De IGJ riep zorgaanbieders in februari 2025 al op om bij AI het doel vast te leggen, de gegevens te valideren en de uitkomsten te controleren.
Wat u vandaag kunt doen
De eerste stap is simpel: een inventarisatie. Welke AI-systemen gebruikt uw zorginstelling en welke risicoclassificatie hoort daarbij? Begin bij de systemen die direct raken aan wie welke zorg krijgt, want daar zit de kans op Bijlage III.
Zorg en AI zijn een krachtige combinatie, maar alleen als de governance klopt. De gratis risicoscan geeft in vijf minuten een eerste beeld per systeem.