Diagnostische AI is doorgaans een medisch hulpmiddel en komt binnen via Bijlage I. Triage van spoedeisende hulp en beoordeling van toegang tot zorg staan in Bijlage III. Welke route uw systeem volgt, bepaalt wat u wanneer moet regelen.
Het misverstand dat in de zorg het hardnekkigst is: dat de AI Act medische diagnose zelf als hoog-risico aanwijst. Dat doet hij niet. Diagnostische AI wordt hoog-risico omdat het een medisch hulpmiddel is dat al een conformiteitsbeoordeling door een derde partij nodig heeft. Dat is de productroute van Bijlage I. Bijlage III raakt de zorg op een andere plek: bij spoedtriage en bij de beoordeling wie recht heeft op zorg.
MDR of IVDR en de AI Act gelden hier naast elkaar. De AI Act-eisen gaan in op 2 augustus 2028.
Bijlage III punt 5 onder a en d. De eisen gaan in op 2 december 2027, ruim een jaar eerder dan de productroute.
Veel van wat een zorginstelling dagelijks gebruikt, valt buiten beide routes. Spraakherkenning voor dossiervoering, roosterplanning, een chatbot voor afspraken, samenvattingen van overdrachtsdocumenten: geen van die toepassingen beslist over behandeling of toegang. Daar geldt AI-geletterdheid, plus transparantie zodra een patiënt met de AI praat.
Dat betekent niet dat er niets te doen is. Een samenvattingstool die een overdracht verkeerd weergeeft, raakt de patiëntveiligheid zonder ooit hoog-risico te zijn. De AI Act is hier niet uw enige meetlat.
Voor een zorginstelling lopen er vier momenten. Twee liggen achter u. De twee die nog komen, hebben verschillende data.
Wie met AI werkt, moet weten wat het systeem doet en waar het faalt. Stem het af op de rol: een radioloog heeft een ander leerpad nodig dan een planner.
Software die emoties van medewerkers afleidt, mag niet op de werkvloer. Voor medische en veiligheidsdoeleinden bij patiënten geldt een uitzondering.
Een chatbot op het patiëntportaal of een AI-triagelijn maakt zichzelf bekend. Dat geldt ook voor volledig AI-geschreven berichten aan patiënten.
Menselijk toezicht, logbestanden, controle op de invoerdata en een grondrechtentoets. Zorgaanbieders die een publiekrechtelijk orgaan zijn of die een openbare dienst verlenen, moeten die toets uitvoeren (Artikel 27).
Uw leverancier moet de conformiteitsbeoordeling rond hebben. U moet het systeem gebruiken volgens zijn instructies en dat kunnen aantonen.
Deze data zijn verschoven door het Digital Omnibus-pakket, dat op 27 juli 2026 in werking trad als Verordening (EU) 2026/1744. Bijlage III ging van 2 augustus 2026 naar 2 december 2027, Bijlage I ging van 2 augustus 2027 naar 2 augustus 2028. De transparantieplicht van Artikel 50 schoof niet mee.
In de meeste instellingen belandt dit bij de functionaris gegevensbescherming, omdat die de AVG al doet. Dat is logisch, maar het is niet genoeg. De AI Act stelt eisen aan de inrichting van het zorgproces zelf: wie beoordeelt de output, wat gebeurt er bij twijfel, hoe weet u dat het model nog werkt zoals bij aanschaf. Dat zijn vragen voor de medische staf en de kwaliteitsfunctionaris, niet alleen voor privacy.
U begint niet bij nul. De DPIA die u onder de AVG al maakt, overlapt sterk met de grondrechtentoets van Artikel 27. Uw kwaliteitssysteem onder de Wkkgz dekt een deel van het risicobeheer. Uw MDR-dossier bevat de technische documentatie die de AI Act ook vraagt. Combineer die trajecten, in plaats van ze naast elkaar te laten lopen.
Toezicht komt van twee kanten. De Inspectie Gezondheidszorg en Jeugd kijkt naar goede zorg en naar medische hulpmiddelen. De Autoriteit Persoonsgegevens kijkt naar de verwerking van patiëntgegevens en is in Nederland ook coördinerend toezichthouder voor algoritmes. Een incident met AI in de zorg wordt door beide bekeken.
Begin bij het overzicht. In vrijwel elke instelling draait meer AI dan de lijst van de inkoopafdeling laat zien, vaak als functie in software die al jaren binnen is. Die inventarisatie kost een middag en bepaalt de rest van uw traject.
U registreert uw AI per afdeling, van diagnostiek tot patiëntportaal. Het platform bepaalt per systeem welke route geldt en zet de taken klaar met de bijbehorende datum. De grondrechtentoets en het AI-beleid genereert u eruit, afgestemd op de zorgcontext. Uw medewerkers volgen een leerpad per rol en krijgen een certificaat.
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Nee. Bijlage III noemt medische diagnose niet. Diagnostische AI wordt hoog-risico via Bijlage I: als medisch hulpmiddel onder MDR of IVDR dat een conformiteitsbeoordeling door een derde partij nodig heeft (Artikel 6 lid 1). De deadline daarvoor is 2 augustus 2028. Bijlage III raakt de zorg wel bij spoedtriage en toegangsbeoordeling, met deadline 2 december 2027.
Ja. Bijlage III punt 5 onder d noemt systemen die noodoproepen beoordelen en die de inzet van spoeddiensten prioriteren, inclusief triage van patiënten. Dat is hoog-risico vanaf 2 december 2027. Klinische triage binnen een instelling die als medisch hulpmiddel op de markt is, loopt via Bijlage I.
Vaak wel, maar niet als twee losse trajecten. De DPIA volgt uit de AVG, de grondrechtentoets uit Artikel 27 AI Act en geldt voor publiekrechtelijke organen en voor particuliere entiteiten die openbare diensten verlenen. De onderwerpen overlappen sterk. Eén gecombineerd document dat beide kaders expliciet adresseert, is toegestaan en scheelt werk.
Niet zonder meer. Het knelpunt is niet de AI Act maar het medisch beroepsgeheim en de AVG: patiëntgegevens in een consumentendienst plaatsen is een verwerking zonder verwerkersovereenkomst. Met een zakelijke omgeving, een verwerkersovereenkomst en verwerking binnen de EU kan het wel.
Beperkt en met een filter ertussen. Voor de documentgeneratie en de vraagbaak gaat tekst naar Anthropic in de Verenigde Staten, onder de modelcontractbepalingen van de Europese Commissie (Standard Contractual Clauses). Wat u invoert gaat eerst langs een filter dat identificerende gegevens met een herkenbare structuur vervangt, zoals een burgerservicenummer of IBAN. Na het antwoord worden ze bij ons teruggeplaatst. Sinds 18 augustus 2026 geldt datzelfde voor de naam van uw organisatie: die vullen wij pas ná het genereren lokaal in. De automatische classificatie krijgt uw naam helemaal niet, uw vestigingsplaats sturen wij nergens mee en het aantal medewerkers alleen als grootteklasse. Vrij ingetypte namen van personen kunnen wij er niet uit halen, want een naam heeft geen vaste vorm. Het platform is bedoeld voor het vastleggen van uw AI-systemen, niet voor patiëntgegevens: die horen er niet in.
AI-geletterdheid geldt al sinds 2 februari 2025 en is de enige plicht die nu volledig van kracht is. Transparantie richting patiënten geldt sinds 2 augustus 2026. Spoedtriage en toegangsbeoordeling volgen op 2 december 2027, diagnostische AI op 2 augustus 2028.
De gratis risicoscan laat in vijf minuten zien welke AI in uw instelling welke route volgt en wat daar per datum bij hoort.
