Geldt voor uw zorg-AI de deadline van Bijlage I of die van Bijlage III?
Diagnostische AI is doorgaans een medisch hulpmiddel en komt binnen via Bijlage I. Triage van spoedeisende zorg staat in Bijlage III. Dat geldt ook voor AI waarmee een overheidsinstantie, of een partij namens haar, beoordeelt of iemand recht heeft op zorg. Welke route uw systeem volgt, bepaalt wat u wanneer moet regelen.
In het kort
- Diagnostische AI die als medisch hulpmiddel onder MDR of IVDR door een aangemelde instantie wordt gekeurd, is hoog-risico via Bijlage I (Art. 6 lid 1), vanaf 2 augustus 2028.
- AI voor de triage van patiënten die dringend medische zorg nodig hebben, is hoog-risico (Bijlage III punt 5 onder d). Beoordeelt AI door of namens een overheidsinstantie of iemand recht heeft op gezondheidsdiensten, dan geldt punt 5 onder a. Beide vanaf 2 december 2027.
- Op AI in medische hulpmiddelen houdt de IGJ toezicht als markttoezichthouder onder de MDR (Art. 74 lid 3). Voor triage en andere Bijlage III-toepassingen wijst het concept van de UAIV de AP aan; indiening bij de Tweede Kamer staat gepland in het tweede kwartaal van 2027.
- Emotieherkenning is verboden op de werkplek en in onderwijsinstellingen (Art. 5 lid 1 onder f), met een uitzondering voor medische of veiligheidsdoeleinden.
Welke zorg-AI valt onder hoog-risico?
Het misverstand dat in de zorg het hardnekkigst is: dat de AI Act medische diagnose zelf als hoog-risico aanwijst. Dat doet hij niet. Diagnostische AI wordt hoog-risico als het een medisch hulpmiddel is dat een conformiteitsbeoordeling door een derde partij nodig heeft. Dat is de productroute van Bijlage I. Bijlage III raakt de zorg op een andere plek: bij spoedtriage en bij AI waarmee een overheidsinstantie, of een partij namens haar, beoordeelt wie recht heeft op zorg.
Via Bijlage I, als medisch hulpmiddel
- Beeldanalyse van scans, foto's en coupes
- Algoritmes die een diagnose voorstellen of bevestigen
- Medicatiebewaking en doseeradvies
- Patiëntmonitoring die zelf een alarm afgeeft
Dat geldt als een aangemelde instantie bij de keuring betrokken moet zijn, vanaf klasse IIa onder de MDR of klasse B onder de IVDR. MDR of IVDR en de AI Act gelden dan naast elkaar. De AI Act-eisen gelden vanaf 2 augustus 2028.
Via Bijlage III punt 5
- Triage van spoedeisende hulp en meldkamer-prioritering
- Beoordeling door of namens de overheid of iemand recht heeft op zorg of een voorziening
- Indicatiestelling door of namens een overheidsinstantie, bijvoorbeeld voor de Wlz of de Wmo
Bijlage III punt 5 onder a en d. De eisen gelden vanaf 2 december 2027, acht maanden eerder dan de productroute.
Veel van wat een zorginstelling dagelijks gebruikt, valt buiten beide routes. Spraakherkenning voor dossiervoering, een chatbot voor afspraken, samenvattingen van overdrachtsdocumenten: geen van die toepassingen beslist over behandeling of toegang. Daar geldt AI-geletterdheid (Artikel 4), plus transparantie zodra een patiënt met de AI praat (Artikel 50). Let op bij roosterplanning: verdeelt een systeem diensten op basis van individueel gedrag of persoonlijke kenmerken van medewerkers, dan valt het onder Bijlage III punt 4 onder b.
Er blijft wel werk liggen. Een samenvattingstool die een overdracht verkeerd weergeeft, raakt de patiëntveiligheid, ook als het systeem geen hoog-risico-AI is. Uw kwaliteitssysteem kijkt hier verder dan de AI Act.
De deadlines voor medische AI en voor triage
Voor een zorginstelling lopen er vier momenten. Twee liggen achter u. De twee die nog komen, hebben verschillende data.
- Sinds 2 februari 2025Artikel 4
Zorgprofessionals worden getraind op de zwakke plekken van het systeem
U neemt maatregelen die zorgprofessionals helpen begrijpen wat het systeem doet en waar het kan falen. Stem ze af op de rol: een radioloog heeft een ander leerpad nodig dan een planner.
- Sinds 2 februari 2025Artikel 5
Emotieherkenning bij personeel is verboden, bij patiënten hoog-risico
AI die uit biometrische gegevens, zoals gezicht of stem, de emoties van medewerkers afleidt, mag niet op de werkvloer. Een uitzondering geldt alleen als het systeem om medische of veiligheidsredenen wordt ingezet. Het verbod gaat over uw personeel. Zet u emotieherkenning bij patiënten in, dan informeert u hen daarover (Artikel 50 lid 3). Het systeem valt dan ook onder Bijlage III punt 1 onder c, met de hoog-risico-eisen vanaf 2 december 2027.
- Sinds 2 augustus 2026Artikel 50
Patiënten horen dat de triagebot een bot is
Een chatbot op het patiëntportaal of een AI-triagelijn laat weten dat het een AI-systeem is (Artikel 50, lid 1). Schrijft een medewerker een patiëntbericht met hulp van AI, dan geldt de labelplicht van de AI Act alleen als u de tekst publiceert om het publiek te informeren over aangelegenheden van algemeen belang (lid 4).
- VandaagVanaf 2 december 2027Bijlage III
Spoedtriage en overheidsbesluiten over het recht op zorg
Menselijk toezicht en logbestanden, plus controle op de invoerdata voor zover u die beheert (Artikel 26). Zorgaanbieders die een publiekrechtelijk orgaan zijn of een openbare dienst verlenen, voeren vóór het eerste gebruik een grondrechtentoets uit (Artikel 27). Is een systeem al vóór 2 december 2027 in de handel gebracht of in gebruik gesteld, dan gelden deze plichten pas na een aanzienlijke wijziging in het ontwerp. Is het bedoeld voor gebruik door overheidsinstanties, dan moet het uiterlijk op 2 augustus 2030 voldoen, ook zonder wijziging (Artikel 111 lid 2).
- Vanaf 2 augustus 2028Bijlage I
Diagnostische AI voldoet aan AI Act én MDR
Uw leverancier moet de conformiteitsbeoordeling rond hebben (Artikel 43 lid 3). U gebruikt het systeem volgens de gebruiksaanwijzing, belegt het menselijk toezicht bij mensen met de nodige bekwaamheid en bewaart de logs (Artikel 26 lid 1, 2 en 6).
Verschoven door de Digital Omnibus (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026): Bijlage III van 2 augustus 2026 naar 2 december 2027, Bijlage I van 2 augustus 2027 naar 2 augustus 2028. De datum voor de transparantieplicht van Artikel 50 is gelijk gebleven.
Waar de IGJ in 2026 naar vraagt
De IGJ vraagt in 2026 bij inspecties gericht naar AI. Volgens het CBS verdubbelde in twee jaar het aandeel bedrijven in de gezondheids- en welzijnszorg dat AI gebruikt.
Inspectie Gezondheidszorg en Jeugd & Autoriteit Persoonsgegevens
De IGJ koos de inzet van technologische innovatie als jaarthema voor 2026. Tijdens inspecties in de verschillende zorgsectoren doet zij in 2026 gerichte uitvragen naar AI, zoals AI-ondersteunde diagnostiek en chatbots. Eerder riep de IGJ zorgaanbieders op zorgvuldig om te gaan met generatieve AI. Een AI-toepassing die helpt bij een diagnose of behandeling kan volgens de inspectie een medisch hulpmiddel zijn en moet dan aan de MDR voldoen. De Autoriteit Persoonsgegevens onderzocht negen AI-chatbotapps voor vriendschap en mentale gezondheid. In crisismomenten verwezen die volgens de AP nauwelijks door naar professionele hulp.
In cijfers
16%
van de bedrijven in de gezondheids- en welzijnszorg gebruikte in 2025 AI, tegen 8% in 2023. Het aandeel bedrijven dat AI gebruikt, verdubbelde dus in twee jaar (CBS, ICT-gebruik bij bedrijven, 12 december 2025; voorlopige cijfers, bedrijven met 2 of meer werkzame personen).
Bronnen
- IGJ Werkplan 2026 (11 december 2025)
- Centraal Bureau voor de Statistiek: Bron van het cijfer 16%
Wie regelt AI-governance in een zorginstelling?
In de meeste instellingen belandt dit bij de functionaris gegevensbescherming, omdat die de AVG al doet. Dat is logisch, maar de FG kan het niet alleen. De AI Act stelt eisen aan de inrichting van het zorgproces zelf: wie beoordeelt de output, wat gebeurt er bij twijfel, hoe weet u dat het model nog werkt zoals bij aanschaf. Die vragen horen ook bij de medische staf en de kwaliteitsfunctionaris.
U begint niet bij nul. Moet u een grondrechtentoets doen (Artikel 27), dan mag die verwijzen naar de relevante delen van de DPIA die u onder de AVG al maakt (Artikel 27 lid 4). Uw kwaliteitssysteem onder de Wkkgz dekt een deel van het risicobeheer. Bij een medisch hulpmiddel stelt de fabrikant één technisch dossier op dat zowel de MDR als de AI Act dekt (Artikel 11 lid 2). Combineer die trajecten.
Toezicht komt van twee kanten. De Inspectie Gezondheidszorg en Jeugd kijkt naar goede zorg en naar medische hulpmiddelen. De Autoriteit Persoonsgegevens kijkt naar de verwerking van patiëntgegevens en is in Nederland ook coördinerend toezichthouder voor algoritmes. Bij een incident met AI in de zorg kunnen ze allebei een rol spelen.
In een zorginstelling draait meestal meer AI dan de lijst van de inkoopafdeling laat zien, vaak als functie in software die al jaren binnen is. Een inventarisatie daarvan bepaalt de rest van uw traject.
Een register dat per systeem de route bepaalt
U registreert uw AI per afdeling, van diagnostiek tot patiëntportaal. Het platform bepaalt per systeem welke route geldt en zet de taken klaar met de bijbehorende datum. De grondrechtentoets en het AI-beleid genereert u eruit, afgestemd op de zorgcontext. Uw medewerkers volgen een leerpad per rol en krijgen een certificaat.
Veelgestelde vragen over AI in de zorg
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Nee. Bijlage III noemt medische diagnose niet. Diagnostische AI wordt hoog-risico via Bijlage I: als medisch hulpmiddel onder MDR of IVDR dat een conformiteitsbeoordeling door een derde partij nodig heeft (Artikel 6 lid 1). De deadline daarvoor is 2 augustus 2028. Bijlage III raakt de zorg wel bij spoedtriage en bij toegangsbeoordeling door of namens de overheid, met deadline 2 december 2027.
Ja. Bijlage III punt 5 onder d noemt systemen voor de triage van patiënten die dringend medische zorg nodig hebben, naast systemen die noodoproepen beoordelen of de inzet van hulpdiensten prioriteren. Dat is hoog-risico vanaf 2 december 2027, tenzij een uitzondering uit Artikel 6 lid 3 geldt, bijvoorbeeld omdat het systeem alleen een voorbereidende taak doet en niet profileert. Is het triagesysteem ook een medisch hulpmiddel waarvoor een aangemelde instantie nodig is, dan valt het daarnaast onder Bijlage I en de MDR.
Een DPIA vaak wel, een FRIA alleen als u hoog-risico-AI uit Bijlage III inzet, zoals een systeem voor spoedtriage. De DPIA volgt uit artikel 35 AVG. De grondrechtentoets volgt uit Artikel 27 AI Act en geldt vanaf 2 december 2027 voor publiekrechtelijke organen en voor particuliere entiteiten die openbare diensten verlenen. Diagnostische AI die via Bijlage I hoog-risico is, valt buiten die toets. Het werk overlapt wel: de grondrechtentoets mag verwijzen naar de relevante delen van uw DPIA of die delen overnemen (Artikel 27 lid 4).
Nee, niet met patiëntgegevens in de publieke ChatGPT. Het knelpunt is het medisch beroepsgeheim (artikel 7:457 BW) en de AVG, meer dan de AI Act. Met een zakelijke versie met verwerkersovereenkomst en uitgeschakelde training kan AI wel helpen bij een concept, binnen het beleid van uw instelling. Laat herleidbare gegevens weg waar het kan en lees elke brief na voordat hij de deur uitgaat.
Ja, beperkt en gefilterd. Vijf functies sturen tekst naar Anthropic in de Verenigde Staten: de vraagbaak, de Wegwijzer (de AI-assistent voor vragen over het platform), de risicoclassificatie, het genereren van documenten en de duiding van applicaties uit Entra ID, onder de modelcontractbepalingen van de Europese Commissie (Standard Contractual Clauses). Een filter vervangt eerst gegevens met een herkenbare structuur, zoals een burgerservicenummer of IBAN. De naam van uw organisatie vervangen wij vóór verzending door een code. De risicoclassificatie en de duiding uit Entra ID werken zonder die naam. Vrij ingetypte namen van personen kunnen wij er niet uit halen. Patiëntgegevens horen niet in het platform: het is bedoeld voor het vastleggen van uw AI-systemen.
Voor een deel nu al. Sinds 2 februari 2025 neemt u maatregelen voor de AI-geletterdheid van uw medewerkers (Artikel 4) en gelden de meeste verboden uit Artikel 5, waaronder emotieherkenning bij uw eigen personeel. Sinds 2 augustus 2026 gelden de transparantieplichten richting patiënten (Artikel 50). De hoog-risico-eisen gelden vanaf 2 december 2027 voor spoedtriage en voor toegangsbeoordeling door of namens de overheid (Bijlage III). Voor diagnostische AI die een medisch hulpmiddel is waarvoor een aangemelde instantie nodig is, gelden ze vanaf 2 augustus 2028 (Bijlage I).
Bijlage I of Bijlage III?
De gratis risicoscan schat de zwaarste risicocategorie van de AI in uw instelling in, met de data die daarbij horen.