Keuzehulp: 12 vragen aan elke AI-scribe-leverancier (checklist)

Een AI-scribe kies je niet op de mooiste demo, maar op de antwoorden die een leverancier durft te geven. Deze keuzehulp geeft je twaalf vragen die je aan elke aanbieder stelt — en het principe erachter: vraag om bewijs, niet om beloftes. De twaalf gaan over vier dingen. Waar staat je data en verlaat er iets je organisatie? Kun je het verslag controleren en zit er verplicht een mens tussen? Hoe zijn toestemming, bewaren en beroepsgeheim geregeld? En helpt de leverancier je met NEN 7510, een DPIA en de verwerkersovereenkomst? Een goed antwoord is altijd concreet en toetsbaar: "de data staat veilig" is geen antwoord, "de verwerking draait op één machine in je eigen pand en je meet zelf nul verbindingen die gespreksinhoud dragen" wel. Gebruik de lijst twee kanten op — als koper om aanbieders te toetsen, en als check op je eigen eisen. Geen enkele vraag vervangt een DPIA of een gesprek met je FG, maar samen laten ze in een half uur zien of een leverancier weet waar hij het over heeft.

Waarom een vragenlijst je beste keuzehulp is

AI-scribes zijn in korte tijd hard opgekomen in de Nederlandse zorg. Ze verlagen de administratiedruk, maar roepen ook nieuwe vragen op over privacy, betrouwbaarheid en verantwoordelijkheid [1]. Dat maakt het kiezen lastig: elke leverancier belooft veilig, snel en AVG-proof te zijn. Het verschil zit niet in de belofte, maar in of iemand die belofte concreet kan maken. Een vragenlijst dwingt dat af: je stelt elke aanbieder dezelfde twaalf vragen, legt de antwoorden naast elkaar en ziet meteen wie vaag blijft en wie met bewijs komt. Dit is een keuzehulp, geen juridische toets — de formele stappen zoals een afweging tussen cloud en lokaal, een DPIA en een verwerkersovereenkomst blijven nodig. Maar het is de snelste manier om je longlist terug te brengen tot de aanbieders die je serieus wilt bekijken.

Blok 1 — Waar staat de data? (vraag 1–3)

1. Waar wordt onze data verwerkt en opgeslagen — en verlaat er ooit iets de organisatie? Vraag om een fysieke plek, geen abstractie. Bij een clouddienst hoort hier een land, een regio en een datacenter te staan; bij een lokale opzet één machine in je eigen pand. En vraag door: verlaat er tijdens transcriptie of het schrijven van het verslag iets je netwerk? Het sterkste antwoord is er een dat je zelf kunt meten met een netwerkmonitor, niet een dat op papier staat.
2. Welke subverwerkers en externe diensten zijn betrokken? Elke externe partij die meekijkt — een transcriptiedienst, een taalmodel-API, een opslagpartij — is een subverwerker en telt mee in je risico. Volgens de Autoriteit Persoonsgegevens mag een verwerker alleen subverwerkers inschakelen met schriftelijke toestemming, en moet zo'n subverwerker minimaal hetzelfde beschermingsniveau bieden [2]. Vraag om de volledige lijst.
3. Gebruiken jullie onze gesprekken om AI-modellen te trainen? Voor gezondheidsdata is het enige acceptabele antwoord: nee, nooit. Let op de kleine lettertjes bij cloud-AI. De AP wijst erop dat data in AI vaak niet alleen wordt gebruikt om voorspellingen te doen, maar ook om de tool te verbeteren — waardoor de leverancier de gegevens al snel voor eigen doelen verwerkt [2]. Laat vastleggen dat dat bij jouw data niet gebeurt.

Blok 2 — Kwaliteit en controle (vraag 4–6)

4. Waarop is het model getraind, en past dat bij onze populatie? De kwaliteit van een verslag hangt af van de data waarmee het model is getraind. ICTRecht adviseert zorgorganisaties om bij inkoop na te gaan of de gebruikte trainingsdata aansluit bij de eigen patiënten- of cliëntenpopulatie, en of de leverancier voldoende transparantie biedt om dat intern en extern te kunnen uitleggen [3]. Vraag dus naar herkomst en representativiteit — niet alleen naar de nauwkeurigheidsscore in een folder.
5. Hoe leid ik elke zin in het verslag terug naar het gesprek? Beloof je geen enkele leverancier foutloosheid; taalmodellen maken fouten en kunnen dingen verzinnen. De KNMG benadrukt dat je een AI-verslag moet controleren op fouten in feitelijke informatie, in interpretatie én in wie iets gezegd heeft [4]. Dat gaat alleen snel als je bij elke zin terug kunt naar de letterlijke bronregel. Vraag of die bewijsweergave er is — dat maakt een fout vindbaar in seconden in plaats van het hele gesprek opnieuw beluisteren.
6. Zit er verplicht een mens tussen vóór het verslag gebruikt wordt? Voor zorgdata moet het antwoord ja zijn. De zorgverlener blijft eindverantwoordelijk voor een zorgvuldige verslaglegging; AI mag ondersteunen, maar het oordeel en de controle blijven menselijk [4]. Het beste ontwerp dwingt dat technisch af: elk verslag blijft een concept tot een bevoegd mens het heeft gereviewd en goedgekeurd, zodat er zonder goedkeuring niets de deur uit gaat.

Blok 3 — Toestemming, bewaren en beroepsgeheim (vraag 7–9)

7. Hoe leggen we toestemming vast vóór een opname? De KNMG adviseert je ervan te verzekeren dat een opname niet extern wordt opgeslagen, en dat je toestemming van de patiënt regelt voor het verwerken van privacygevoelige gegevens [4]. Vraag dus hoe de tool die toestemming ondersteunt: is er een vink of vastlegmoment vóór de opname begint, en wordt dat bewaard?
8. Wat gebeurt er met de opname nadat het verslag klaar is? Dataminimalisatie is een AVG-eis, en de KNMG is hier expliciet: vernietig de opname zodra er een transcript, verslag of andere schriftelijke notitie is gemaakt, want het bewaren van de opname dient geen doel [4]. Vraag of de leverancier de ruwe audio automatisch wist na goedkeuring, zodat je alleen het gecontroleerde eindproduct bewaart.
9. Hoe waarborgt de tool het beroepsgeheim? Gebruik geen AI-toepassing die het beroepsgeheim, de patiëntveiligheid of de privacy niet waarborgt [4]. Dat betekent concreet: wie kan bij de gesprekken en verslagen, hoe zijn rollen en rechten geregeld, en kan een medewerker alleen bij zijn eigen gesprekken? Een tool die gevoelige gesprekken naar buiten stuurt om ze te verwerken, staat op gespannen voet met datzelfde beroepsgeheim.

Blok 4 — Compliance, contract en continuïteit (vraag 10–12)

10. Voldoen jullie aan NEN 7510 — en wat betekent "voldoen" precies? Wees hier scherp. NEN 7510 is dé Nederlandse norm voor informatiebeveiliging in de zorg [5], maar certificering geldt voor een organisatie en haar managementsysteem, niet voor een stuk software los daarvan. Een eerlijk antwoord luidt: het product is ontworpen om jouw NEN 7510-traject te ondersteunen. Vraag door naar de scope, naar wie de audit heeft gedaan en hoe oud het rapport is. "Onze app is NEN 7510-gecertificeerd" is een rode vlag.
11. Helpen jullie ons de DPIA en de verwerkersovereenkomst rond te krijgen? Bij grootschalige verwerking van bijzondere persoonsgegevens is een DPIA vrijwel altijd verplicht, en die plicht ligt bij jou als verwerkingsverantwoordelijke — ze vervalt niet omdat een leverancier "veilig" claimt [6]. Verwerkt een externe partij namens jou gegevens, dan is een verwerkersovereenkomst nodig met afspraken over onder meer beveiliging, subverwerkers, datalekmelding en het wissen van data na afloop [7]. Vraag of de leverancier documentatie levert die je DPIA en contract voedt.
12. Mogen wij het zelf controleren, en wat gebeurt er bij een incident of als jullie stoppen? Drie dingen in één. Auditrecht: mag je zelf toetsen of de beveiliging klopt? De sterkste vorm is iets dat je vandaag kunt doen — een netwerkmonitor openen en de externe verbindingen tellen. Incident: hoe snel en hoe word je geïnformeerd bij een datalek, zodat je je eigen meldplicht kunt nakomen [7]? En continuïteit: krijg je je data terug als je stopt, en wat gebeurt er met kopieën na beëindiging [7]?

Hoe je de antwoorden weegt

Leg de antwoorden naast elkaar en let op één patroon: concreet en toetsbaar wint van vaag en geruststellend. Een paar rode vlaggen om op te letten:

• "Ons product is NEN 7510-gecertificeerd." Certificering geldt voor een organisatie, niet voor een app. Een correcte leverancier zegt "ontworpen om certificering te ondersteunen" [5].
• "Je hoeft geen DPIA meer te doen." Onjuist — de plicht ligt bij jouw organisatie en blijft bestaan [6].
• "Het model maakt geen fouten." Geen enkel taalmodel is foutloos. Vraag door naar controleerbaarheid in plaats van naar beloftes [4].

Wees ook eerlijk over wat cloud-scribes goed doen. De grote aanbieders zijn per zorgsector vaak marktleider met verschillende sterke punten [8], hebben soms diepe EPD-integratie en modellen die op grote hoeveelheden medische taal zijn getraind. Dat zijn echte voordelen; weeg ze mee. De keuze gaat er niet om welke leverancier het hardst roept, maar welke de antwoorden geeft die passen bij jouw risicoprofiel en je FG. Wil je een uitgewerkte vergelijking, lees dan verder in de beste AVG-proof AI-scribes voor de Nederlandse zorg. Verbinn is bewust rond deze twaalf vragen gebouwd — volledig lokaal, met bewijsweergave per zin en verplichte goedkeuring — maar de vragen gelden voor élke leverancier, ook voor ons.