Veilige AI in de zorg: van losse tool naar beheerde werkplek

Waarom een losse AI-tool niet genoeg is

AI kan zorgprofessionals helpen bij verslaglegging, het terugvinden van kennis en het voorbereiden van terugkerend werk. Tegelijk verwerken zij informatie die niet in een onbeheerde omgeving thuishoort. De vraag is daarom niet alleen wat AI kan, maar ook waar gegevens terechtkomen, wie toegang heeft en wie een resultaat controleert.

Een veilige inrichting begint met duidelijke afspraken. Niet per losse tool of medewerker, maar voor de hele organisatie. Zo worden gebruik, toegang en bewaartermijnen uitlegbaar voor professionals, bestuur, ICT en de functionaris gegevensbescherming.

Vijf vragen die iedere organisatie moet beantwoorden

1. Waar worden gegevens opgeslagen en verwerkt?

Maak onderscheid tussen opslag en verwerking. Bij Zoef wordt klantdata opgeslagen in Nederlandse datacenters. AI-verwerking vindt plaats binnen de EU/EER. Organisaties kunnen daarnaast kiezen voor een inrichting met uitsluitend Europese modelaanbieders.

2. Worden gegevens gebruikt om modellen te trainen?

Leg dit contractueel vast. Gesprekken, documenten, opnames en andere klantdata in Zoef worden niet gebruikt om AI-modellen te trainen. Op de veiligheidspagina staat ook welke subverwerkers betrokken zijn en welke retentie zij hanteren.

3. Wie heeft toegang tot welke informatie?

Toegang hoort aan te sluiten op rollen, teams en projecten. Een medewerker moet alleen de bronnen en dossiers kunnen gebruiken waarvoor diegene bevoegd is. Bestaande rechten in gekoppelde systemen blijven daarbij leidend.

4. Hoe lang blijven gegevens bewaard?

Niet ieder gegeven hoeft even lang beschikbaar te blijven. Chats, opnames, back-ups en auditlogs hebben elk een eigen doel en bewaartermijn. Organisaties moeten die termijnen kunnen afstemmen op hun beleid en wettelijke verplichtingen.

5. Wie controleert het resultaat?

AI maakt een voorstel, geen zelfstandig zorgbesluit. Een professional controleert en accordeert een verslag voordat het in een dossier wordt vastgelegd. Dezelfde menselijke controle geldt voor brieven, samenvattingen en andere gegenereerde documenten.

Begin met een afgebakende toepassing

Een veilige invoering hoeft niet direct organisatiebreed te zijn. Start met één herkenbaar werkproces, een beperkte groep gebruikers en vooraf afgesproken veiligheidskaders. Bijvoorbeeld een conceptverslag na een gesprek of het beantwoorden van vragen met een intern protocol als bron.

Tijdens zo’n start wordt zichtbaar waar de werkplek tijd bespaart, welke instructies medewerkers nodig hebben en welke inrichting past bij de organisatie. Daarna kan de toepassing stap voor stap worden uitgebreid, met vaste evaluatiemomenten voor gebruik, kwaliteit en governance.

De actuele inrichting van Zoef

Zoef slaat klantdata op in Nederlandse datacenters en verwerkt gegevens binnen de EU/EER. Klantdata wordt niet gebruikt om modellen te trainen. Rollen, logging en bewaartermijnen worden per organisatie ingericht.

Zoef is compliant ingericht met AVG en de EU AI Act. De formele certificering voor ISO 27001 en NEN 7510 wordt in Q4 2026 verwacht. De actuele technische en organisatorische inrichting staat op de veiligheidspagina. Daar kunnen ICT- en compliance-teams ook de verwerkersovereenkomst raadplegen.

Willen jullie een eigen toepassing en de bijbehorende veiligheidsvragen bespreken? Plan een intake.