AVG en HDS: spraak-AI beveiligen in een zorginstelling

Waarom conformiteit het eerste keuzecriterium is

Voor de directeur van een ziekenhuis of kliniek is de vraag niet meer of spraak-AI nuttig is voor de telefooncentrale — dat staat vast. De echte vraag is: is deze oplossing conform? In Frankrijk vallen gezondheidsgegevens onder een van de strengste juridische kaders ter wereld. De AVG (GDPR) legt verscherpte verplichtingen op voor gevoelige gegevens, en de HDS-certificering (certificering voor hosting van gezondheidsgegevens) is verplicht voor elke dienstverlener die patiëntgegevens opslaat of verwerkt. Een AI-spraakagent die oproepen beantwoordt in een zorginstelling verwerkt noodzakelijkerwijs medische informatie: namen, redenen van raadpleging, afsprakenhistoriek. Zonder gecertificeerde HDS-hosting is de uitrol gewoonweg onwettig. Volgens de CNIL kunnen sancties voor niet-conformiteit oplopen tot 20 miljoen euro of 4 % van de wereldwijde omzet.

De 5 regelgevende vereisten voor spraak-AI in de zorg

Een spraak-AI uitrollen in uw instelling betekent dat u een duidelijke regelgevende basis moet naleven. De niet-naleving van slechts één van deze punten kan leiden tot administratieve en strafrechtelijke sancties. Het Agence du Numérique en Santé (ANS) publiceert regelmatig bijgewerkte referentiekaders voor het gebruik van digitale technologieën in zorginstellingen. Dit zijn de vijf pijlers die u vóór elke uitrol moet controleren.

• Gecertificeerde HDS-hosting: de dienstverlener moet beschikken over de certificering van een door COFRAC geaccrediteerde instantie
• Geïnformeerde toestemming: de patiënt moet weten dat hij met een AI communiceert en dat zijn gegevens worden opgenomen
• Gegevensminimalisatie: alleen de gegevens die strikt nodig zijn voor de afhandeling van de oproep mogen worden verzameld
• Recht op inzage en wissing: de patiënt kan op elk moment vragen om zijn gegevens in te kijken of te laten wissen
• Gegevensbeschermingseffectbeoordeling (DPIA): verplicht vóór de ingebruikname voor elke grootschalige verwerking van gezondheidsgegevens

EU AI Act: wat verandert er in 2026 voor zorginstellingen

De Europese verordening artificiële intelligentie (EU AI Act), die sinds 2024 geleidelijk van toepassing wordt, rangschikt AI-systemen die in de zorg worden gebruikt in de categorie "hoog risico". Dat betekent dat elke spraakagent die in een ziekenhuis of kliniek wordt ingezet, het voorwerp moet zijn van een conformiteitsbeoordeling, een volledige technische documentatie en menselijk toezicht. Instellingen zijn verplicht een register bij te houden van de gebruikte AI-systemen en een verantwoordelijke voor AI-conformiteit aan te wijzen. Voor directeurs van instellingen betekent dit dat ze leveranciers moeten kiezen die deze vereisten vanaf het ontwerp integreren — wat men "compliance by design" noemt. Een dienstverlener die geen EU AI Act-conformiteitsdocumentatie kan voorleggen, is een groot juridisch risico voor uw instelling.

Hoe controleert u de conformiteit van uw AI-spraakdienstverlener

Stel een leverancier van spraak-AI vóór de ondertekening deze beslissende vragen: beschikt u over een geldige HDS-certificering? Waar worden de gegevens gehost (de servers moeten in Frankrijk of in de EU staan)? Kunt u uw EU AI Act-documentatie voorleggen? Hoe beheert u de toestemming van de patiënt? Wat is uw procedure bij een verzoek tot gegevenswissing? Een serieuze dienstverlener kan elk van deze vragen beantwoorden met gedocumenteerde bewijzen. De gegevensbeschermingseffectbeoordeling (DPIA) blijft uw verplichting als verwerkingsverantwoordelijke; de leverancier moet u daarbij helpen volgens artikel 28 van de AVG, en die hulp hoort in de verwerkersovereenkomst thuis, niet in een verkoopbrochure.

• Vraag uw dienstverlener om een kopie van het actuele HDS-certificaat
• Controleer de locatie van de servers: uitsluitend Frankrijk of de EU
• Vraag de EU AI Act-conformiteitsdocumentatie op
• Zorg ervoor dat de toestemming van de patiënt is geïntegreerd in de oproepstroom