AI-beleid schrijven voor je zorgorganisatie (met modelbeleid)

AI-beleid schrijf je niet om een document af te vinken, maar om vast te leggen wélke AI je organisatie waarvoor mag gebruiken, wie beslist en hoe je aantoonbaar veilig blijft. Begin met een korte visie en reikwijdte (voor wie en wat geldt het), en werk dan zeven bouwstenen uit: governance en rollen, naleving van wet- en regelgeving, transparantie, ethiek, technische eisen, opleiding en periodieke evaluatie [2]. Verwerk daarin drie harde verplichtingen die sinds 2024–2025 gelden: de EU AI-verordening ziet jouw organisatie als gebruiksverantwoordelijke met eigen plichten [1], je medewerkers moeten sinds 2 februari 2025 AI-geletterd zijn [1][3], en voor AI met persoonsgegevens is vaak een DPIA vereist vóór ingebruikname [5]. Regel expliciet dat er géén patiëntgegevens in vrij toegankelijke chatbots als ChatGPT gaan [4]. Hieronder vind je de bouwstenen én een invulbaar modelbeleid dat je direct kunt kopiëren en aanpassen.

Waarom je AI-beleid nodig hebt (en niet mag uitstellen)

AI is de zorg al binnengeslopen — via spraakgestuurd rapporteren, samenvat-tools en medewerkers die stiekem ChatGPT openen. Zonder beleid gebeurt dat ongecontroleerd, en dat is precies waar het misgaat. Er zijn drie redenen om het nu vast te leggen.

Ten eerste: de wet verplicht het. De EU AI-verordening is op 1 augustus 2024 in werking getreden en werkt met een risicogebaseerde aanpak — hoe hoger het risico, hoe meer verplichtingen [1]. Een zorgorganisatie die een AI-systeem onder eigen verantwoordelijkheid inzet, is "gebruiksverantwoordelijke" (deployer) en heeft eigen plichten: het systeem volgens instructies gebruiken, menselijk toezicht houden en bestaande wetgeving naleven [1]. Ten tweede: sinds 2 februari 2025 moeten medewerkers die met AI werken voldoende AI-geletterd zijn — ze moeten begrijpen wat het systeem doet en waar het misgaat [1][3]. Ten derde: voor AI die met (bijzondere) persoonsgegevens werkt, rekent de Autoriteit Persoonsgegevens de verwerking doorgaans tot de hoog-risico-categorie, waardoor een DPIA vaak verplicht is vóórdat je begint [5]. Ook de Rijksoverheid stuurt aan op duidelijke kaders voor AI bij administratieve zorgtaken [6]. Beleid is de plek waar je al deze eisen bij elkaar brengt.

De zeven bouwstenen van goed AI-beleid

Je hoeft het wiel niet zelf uit te vinden. Het AI-beleidskader voor zorg- en welzijnsinstellingen van Sigra ordent goed beleid in een aantal vaste hoofdstukken; die structuur werkt voor een kleine praktijk net zo goed als voor een grote instelling [2]. Werk deze zeven bouwstenen uit:

• Strategie en reikwijdte — je visie op AI, en glashelder voor wie en welke systemen het beleid geldt (intern gebouwd én extern ingekocht) [2].
• Governance en rollen — wie beslist over de inzet van een AI-tool, wie is eigenaar, en hoe verloopt de besluitvorming? Benoem verantwoordelijken bij naam of functie [2].
• Naleving van wet- en regelgeving — hoe je de AI-verordening toepast, welke overige wetgeving (AVG, WGBO, NEN 7510) meespeelt, en hoe je AI-systemen risico-classificeert [2].
• Transparantie en verantwoording — hoe je medewerkers én cliënten uitlegt dat en hoe AI wordt gebruikt, en hoe je resultaten en incidenten monitort [2].
• Ethische toepassing — waarborgen tegen discriminatie, aandacht voor cliëntveiligheid, privacy en kwetsbare groepen [2].
• Technische richtlijnen — eisen aan ontwikkeling en inkoop, validatie en testen in de praktijk, en beveiligingsnormen [2].
• Opleiding en evaluatie — scholing van medewerkers en een vaste cyclus waarin je het beleid herziet en lessen uit incidenten verwerkt [2].

Merk op dat de meeste bouwstenen niet over techniek gaan, maar over organisatie. De overheidsbrede handreiking voor verantwoorde inzet van generatieve AI benoemt dezelfde vier lagen: technische, organisatorische, ethische én juridische randvoorwaarden [7]. Beleid dat alleen de techniek regelt, is half beleid.

Modelbeleid: een invulbaar sjabloon

Hieronder staat een compacte skelet-versie die je kunt kopiëren naar je eigen document en invullen. Vervang alles tussen [vierkante haken]. Houd het kort: één helder A4-tot-A3 leest een team eerder dan een dik rapport.

• 1. Doel en reikwijdte. "Dit beleid beschrijft hoe [organisatie] AI verantwoord inzet. Het geldt voor alle medewerkers, vrijwilligers en leveranciers, en voor elk AI-systeem — zelf gebouwd of ingekocht."
• 2. Uitgangspunten. "AI ondersteunt, de mens beslist. Elk AI-resultaat over een cliënt is een concept tot een bevoegd medewerker het heeft gecontroleerd en goedgekeurd. We minimaliseren gegevens en zijn transparant naar cliënten."
• 3. Toegestaan / niet toegestaan. "Toegestaan: [door de organisatie goedgekeurde tools, per doel]. Niet toegestaan: patiënt- of persoonsgegevens invoeren in vrij toegankelijke externe chatbots; AI gebruiken voor klinische beslisondersteuning zonder validatie [4]."
• 4. Rollen. "Eigenaar AI-beleid: [functie]. Beoordeling nieuwe tools: [FG/DPO + kwaliteitsfunctionaris + IT]. Elke tool heeft een verantwoordelijke gebruiker."
• 5. Toetsing vóór ingebruikname. "Voor elk nieuw AI-systeem met persoonsgegevens voeren we een DPIA uit en toetsen we aan AVG en NEN 7510 vóór livegang [5]. We bepalen de AI-Act-risicoklasse [1]."
• 6. AI-geletterdheid. "Iedereen die met AI werkt, volgt vóór gebruik een basisinstructie over mogelijkheden, grenzen en risico's [1][3]."
• 7. Transparantie en toezicht. "We informeren cliënten wanneer AI hun gegevens verwerkt. Incidenten melden we bij [rol] en registreren we [waar]."
• 8. Evaluatie. "Dit beleid herzien we minimaal jaarlijks en na elk relevant incident of elke wetswijziging. Vastgesteld [datum], eigenaar [naam]."

Dit is een vertrekpunt, geen eindproduct: leg het altijd voor aan je eigen FG of DPO en pas het aan op jouw type zorg. Een tool kiezen doe je pas ná dit kader — welke eisen je dan wél en niet moet stellen, staat in aanbesteden van AI in de zorg.

De regel die je zeker moet vastleggen: chatbots en patiëntgegevens

Als je maar één ding hard in je beleid zet, laat het dit zijn. De Commissie AI van de Federatie Medisch Specialisten is expliciet: het gebruik van externe AI-chatbots binnen de directe patiëntenzorg is niet toegestaan [4]. Vrij toegankelijke chatbots zijn niet ontworpen met de gegevensbescherming die de zorg vereist; ingevoerde gegevens kunnen bij derden worden opgeslagen en gebruikt om modellen te trainen, en zelfs gepseudonimiseerde gegevens kunnen herleidbaar zijn [4]. Ook buiten de directe zorg geldt: deel geen patiëntgegevens (let op de WGBO) en geen identificerende persoonsgegevens (let op de AVG) met externe chatbots [4].

Het advies is daarom om medewerkers te wijzen op interne, door de organisatie aangeboden en goedgekeurde AI-toepassingen in plaats van vrije tools [4]. Dat is precies waarom de locatie van verwerking ertoe doet: een tool waarbij gegevens je eigen omgeving niet verlaten, maakt deze regel veel eenvoudiger na te leven en te controleren.

AI-geletterdheid en toezicht organiseren

AI-geletterdheid (artikel 4 van de AI-verordening) is een resultaatsverplichting, geen cursus met een vast aantal uren [3]. De wet schrijft geen verplicht certificaat voor; wél moet je kunnen aantonen dat mensen die met AI werken een "toereikend niveau" van kennis hebben over hoe het systeem werkt en waar het misgaat [3]. Praktisch: koppel de zwaarte van de instructie aan het risico. Iemand die AI alleen gebruikt om een folder te vertalen heeft een lichtere uitleg nodig dan iemand die AI-verslagen over cliënten reviewt.

Regel toezicht zo dat de mens het laatste woord houdt. De AI-verordening verlangt menselijk toezicht van de gebruiksverantwoordelijke [1]. In de praktijk betekent dat: een AI-verslag is een concept tot een bevoegd mens het heeft gecontroleerd, aangevuld en goedgekeurd. Hoe je die stap serieus inricht in plaats van een klik-akkoord, lees je in ons artikel over de menselijke controle als kernmaatregel. Betrek bij dit alles ook de medezeggenschap: als AI raakt aan het volgen of beoordelen van medewerkers, heeft de ondernemingsraad mogelijk instemmingsrecht.

Veelgemaakte fouten bij het schrijven

Vier valkuilen zie je steeds terug. Te abstract: een beleid vol "wij hechten aan veiligheid" zonder concrete regels stuurt niemand. Schrijf op wat wél en niet mag, per tool en per doel. Alleen op papier: beleid dat niet vertaald is naar werkinstructies en toezicht, verandert niets aan het gedrag op de werkvloer. Eenmalig: AI en wetgeving bewegen snel — zonder vaste evaluatiecyclus is je beleid binnen een jaar achterhaald [2]. En techniek-only: je beleid moet ook de organisatorische, ethische en juridische kant dekken, niet alleen de servers [7].

Tot slot: verwar beleid niet met een DPIA of een NEN 7510-audit. Ze grijpen op elkaar in, maar je beleid is het overkoepelende kader dat bepaalt wanneer je die andere instrumenten inzet. Als voorbeeld van hoe je "de mens beslist" technisch afdwingbaar maakt: Verbinn maakt gespreksverslagen volledig lokaal op één Mac in je eigen pand en geeft pas een export vrij nadat een mens het concept heeft goedgekeurd — geen review, geen verslag. Dat neemt je beleid, DPIA of toetsplicht niet weg, maar maakt de kernregels wél controleerbaar in plaats van een belofte.