Mag u patiëntgegevens in een online AI-tool invoeren?
Niet in een AI-tool voor het grote publiek die u met een persoonlijk account gebruikt. Gezondheidsgegevens worden beschermd door de AVG én door het medisch geheim, en de praktijk mag ze alleen toevertrouwen aan een dienstverlener met wie ze een contract heeft gesloten dat die gegevens beschermt. AI gebruiken voor alles wat geen patiëntgegevens bevat, mag wel, en voor de rest werkt u met een omkaderde professionele tool. Een geschreven regel van één pagina en een kwartier uitleg voor het team volstaan om te beginnen.
Het scenario in het kort
Voorbeeld, verzonnen ter illustratie. In een fictieve huisartsenpraktijk ontvangt de secretaresse een brief van een specialist: naam van de patiënt, geboortedatum, diagnose, behandeling. Om er de samenvatting van drie regels uit te halen waar de arts om vraagt, kopieert ze de volledige brief in een AI-assistent voor het grote publiek, geopend met haar gratis persoonlijke account. De samenvatting is goed, en in tien seconden klaar.
Er lijkt niets gelekt te zijn. Toch hebben gezondheidsgegevens van een patiënt net de praktijk verlaten, naar een dienst waarmee de praktijk geen enkel contract heeft, die het gesprek misschien bewaart, en waarvan niemand in de praktijk het account beheert. Precies dat willen de AVG en het medisch geheim vermijden, zonder dat u daarom aan AI moet verzaken.
Wat de wet precies beschermt
De AVG, de Europese verordening over persoonsgegevens, rekent gezondheidsgegevens tot de ‘bijzondere categorieën’: de verwerking ervan is in principe verboden, behalve in uitzonderingsgevallen. Voor zorg moeten de gegevens worden verwerkt door een zorgverlener met beroepsgeheim, of onder diens verantwoordelijkheid. De Gegevensbeschermingsautoriteit (GBA) herinnert eraan: gezondheidsgegevens genieten een strengere bescherming.
Het medisch geheim komt bovenop de AVG. De Code van medische deontologie (artikel 25) bepaalt dat het alles omvat wat de arts verneemt bij de uitoefening van zijn beroep, en dat de arts ervoor zorgt dat zijn medewerkers de vertrouwelijkheid respecteren. De wet betreffende de rechten van de patiënt beschermt ook zijn privacy, en het Strafwetboek bestraft de schending van het beroepsgeheim (artikel 352 van het nieuwe Strafwetboek, van kracht sinds 1 september 2026, dat het vroegere artikel 458 overneemt).
| Regel | Wat ze zegt | Wat dat verandert voor AI |
|---|---|---|
| AVG, gezondheidsgegevens | Verwerking in principe verboden, behalve omkaderde uitzonderingen | De gegevens mogen niet naar om het even welke dienst |
| AVG, verwerker | Een schriftelijk contract is verplicht met elke dienstverlener die de gegevens voor u verwerkt | Geen contract met de tool = geen patiëntgegevens erin |
| Medisch geheim | Omvat alles wat de zorgverlener verneemt, en geldt ook voor zijn medewerkers | Het secretariaat valt er net zo goed onder als de arts |
| Rechten van de patiënt | De patiënt heeft recht op bescherming van zijn privacy en op inzage in zijn dossier | Wat er met zijn dossier gebeurt, moet u hem kunnen uitleggen |
Waarom een AI-tool voor het grote publiek een probleem is
Een AI-assistent voor het grote publiek is een onlinedienst die voor iedereen openstaat: u typt een vraag, hij antwoordt. Met een persoonlijk account stelt hij een praktijk voor vier problemen.
- Geen contract met de praktijk. Zodra een dienstverlener gegevens voor u verwerkt, is een verwerkersovereenkomst altijd verplicht, herinnert de GBA.
- Instellingen die uw teksten bewaren. De GBA raadt aan de instellingen voor de chatgeschiedenis en de training van de AI na te kijken, die vaak standaard aanstaan. Trainen betekent hier dat uw teksten kunnen dienen om het model te verbeteren.
- Een account buiten uw controle. Het persoonlijke account van een medewerker wordt niet door de praktijk beheerd: vertrekt hij, dan gaat de geschiedenis mee. Wordt zijn wachtwoord gestolen, dan zijn de gesprekken dat ook.
- Soms foute antwoorden. Een AI kan vol overtuiging een cijfer of een geneesmiddelnaam verzinnen: alles wat ze produceert, moet worden nagelezen.
De test die de GBA voorstelt voor u iets typt: ‘Als ik tijdens een diner bij onbekende mensen zou zitten, zou ik dan deze informatie over mezelf of iemand anders met anderen delen?’
De naam weglaten volstaat niet
De naam van de patiënt wissen voor u de tekst plakt, is een goede reflex, maar volstaat bijna nooit: iemand blijft herkenbaar aan een geheel van details, zeker in een wijk of een kleine gemeente.
- De geboortedatum, het adres, het rijksregisternummer of het dossiernummer.
- De datums van de consultatie of de ziekenhuisopname.
- Een zeldzame ziekte, een ongewoon beroep, een bijzondere gezinssituatie.
- De naam van de behandelende arts of het ziekenhuis, die de patiënt situeert.
- De beelden: op een röntgenfoto, een foto van een wonde of een gescand document staan vaak de naam of de datum in het beeld.
De GBA raadt aan alles af te schermen waarmee iemand geïdentificeerd kan worden, zoals namen, adressen en leeftijd. Maar blijft de patiënt herkenbaar door de tekst met andere informatie te combineren, dan blijft het een beschermd gezondheidsgegeven. Bij twijfel plakt u niets.
Wat u in de plaats kunt doen
AI kan een praktijk echt helpen, en voor het meeste daarvan zijn geen patiëntgegevens nodig. Voor de andere hebt u een omkaderde professionele tool nodig: gekozen door de praktijk, gedekt door een contract en ingesteld om de gegevens te beschermen.
| Behoefte | Zonder patiëntgegevens | Met patiëntgegevens |
|---|---|---|
| Een standaardbrief of -sms opstellen | Ja, in een AI-tool voor het grote publiek, en daarna met de hand aanvullen | Nee, behalve in een omkaderde professionele tool |
| Een richtlijn of wetenschappelijk artikel samenvatten | Ja, de tekst is openbaar | Niet van toepassing |
| Een affiche, een FAQ of de startpagina van de praktijk voorbereiden | Ja | Niet van toepassing |
| Een brief van een specialist of een dossier samenvatten | Nee | Alleen in een omkaderde professionele tool |
| Een consultatieverslag dicteren | Nee | Gespecialiseerde tool met contract, en patiënt geïnformeerd |
De vragen die u stelt voor u een professionele tool kiest
- Is er een verwerkersovereenkomst volgens de AVG, ondertekend op naam van de praktijk?
- Dienen de gegevens om de tool te trainen? Het antwoord moet nee zijn, en zwart op wit staan.
- Waar worden ze opgeslagen, en hoe lang? Bij voorkeur in de Europese Unie, met een korte bewaartermijn en de mogelijkheid om ze te wissen.
- Wie beheert de accounts? De praktijk, met één account per persoon en tweestapsverificatie (een code op de telefoon bovenop het wachtwoord).
- Kunt u nagaan wie wat gedaan heeft? Een toegangslogboek laat toe het na te kijken bij twijfel.
- Hoe informeert u de patiënt? De AVG verplicht u de betrokkenen duidelijk te informeren over wat u met hun gegevens doet.
Een regel van één pagina en een kwartier uitleg
AI volledig verbieden werkt niet: mensen gebruiken het toch, in het geniep. Beter een duidelijke regel en een oplossing. Sinds 2 februari 2025 vraagt de Europese AI-verordening ook dat het personeel voldoende vertrouwd is met die tools; de Europese Commissie verduidelijkt dat een interne registratie van de opleiding volstaat, zonder certificaat.
Dit kunt u maandagochtend al doen:
- Vraag het team wie wat gebruikt, zonder verwijten: het gaat erom te weten, niet om te straffen.
- Schrijf de regel op één pagina: wat mag (teksten zonder patiëntgegevens), wat niet mag (namen, dossiers, resultaten, beelden van patiënten in een niet-goedgekeurde tool), en wie u contacteert bij twijfel.
- Bied een oplossing: een omkaderde professionele tool als de behoefte bestaat, anders de lijst van toegelaten toepassingen.
- Zet geschiedenis en training uit in de accounts die voor de praktijk worden gebruikt, als de tool dat toelaat.
- Leg de regel in een kwartier uit op een teamvergadering, en noteer de datum: dat is uw registratie van de opleiding.
- Lees altijd na wat de AI produceert, voor u het verstuurt of in een dossier opneemt.
En als het al gebeurd is?
Zijn er patiëntgegevens in een niet-goedgekeurde tool geplakt? Geen paniek, maar ook geen stilzwijgen: voor de AVG kan dat een gegevensinbreuk zijn.
- Noteer de feiten: wat, wanneer, door wie, in welke tool, hoeveel patiënten.
- Verwijder het gesprek in de tool en kijk de instellingen voor de geschiedenis na.
- Schat het risico in met uw functionaris voor gegevensbescherming: kon de patiënt uit de tekst geïdentificeerd worden?
- Meld het indien nodig aan de GBA: als er een risico is voor de betrokkenen, gebeurt de melding zo snel mogelijk en indien mogelijk binnen 72 uur, via het portaal van de GBA; meldingen per e-mail worden niet behandeld.
- Pak de oorzaak aan: de geschreven regel en de geschikte tool voorkomen dat het opnieuw gebeurt.
AI kan een praktijk kostbare tijd besparen. Eén ding moet u onthouden: de gegevens van uw patiënten blijven in tools die de praktijk zelf gekozen heeft, omkaderd door een contract. Om de toepassingen van uw team in kaart te brengen, een professionele tool te kiezen of uw regel van één pagina op te stellen, begeleidt DeepIT zorgpraktijken in Brussel en in heel België.
Veelgestelde vragen
Mag ik een online AI-tool gebruiken als ik de naam van de patiënt weglaat?
Alleen als niets de patiënt nog herkenbaar maakt: geen geboortedatum, geen adres, geen dossiernummer, geen zeldzaam detail, geen naam in een beeld. Voor alles wat een bepaalde patiënt betreft, gebruikt u een professionele tool die door een contract is omkaderd.
Lost de betalende versie van een AI-assistent het probleem op?
Niet automatisch. Wat telt, is het contract op naam van de praktijk, de schriftelijke garantie dat de gegevens de tool niet trainen, de plaats van opslag en het beheer van de accounts door de praktijk. Een individueel abonnement dat een medewerker zelf betaalt, biedt die garanties niet.
Zijn de secretaresse of de assistent gebonden aan het beroepsgeheim?
Ja. De Code van medische deontologie vraagt de arts ervoor te zorgen dat zijn medewerkers de vertrouwelijkheid respecteren. De regel voor het gebruik van AI geldt dus voor het hele team, het secretariaat inbegrepen.
Moet ik de patiënt verwittigen als ik een AI-tool gebruik om mijn verslagen te dicteren?
Ja, de AVG verplicht u de betrokkenen duidelijk te informeren over het gebruik van hun gegevens: een vermelding in uw informatie voor patiënten en een zin tijdens de consultatie volstaan vaak. De tool moet ook gedekt zijn door een verwerkersovereenkomst.
Wat riskeert een praktijk die patiëntgegevens in een tool voor het grote publiek heeft gezet?
Afhankelijk van het geval: een klacht van een patiënt, een procedure bij de GBA die tot een boete kan leiden, een tuchtprocedure bij de Orde der artsen en, bij opzettelijke onthulling, strafrechtelijke vervolging. Snel reageren en de feiten documenteren beperkt de schade.