AI governance in de zorg, een framework voor Nederlandse zorgorganisaties

AI governance in de zorg, kort samengevat: het geheel aan beleid, rollen, controles en documentatie waarmee een zorgorganisatie AI-inzet verantwoord besluit, uitvoert en achteraf verantwoordt. Vijf pijlers: beleid, verantwoordelijkheden, DPIA en risicoclassificatie, toezicht en incident-respons, en leveranciersmanagement. Werkt hetzelfde voor een huisartspraktijk van drie personen als voor een UMC met vijfduizend.

AI governance in de zorg is voor Nederlandse zorgorganisaties in 2026 een operationele discipline geworden, niet langer een compliance-agendapunt dat één keer per jaar wordt afgevinkt. Waar de AVG in 2018 vooral werd behandeld als een documenten-oefening voor de DPO, verwachten de Autoriteit Persoonsgegevens én de nieuwe AI-Verordening dat zorginstellingen kunnen laten zien hoe beslissingen over AI-inzet worden genomen, wie ze mag nemen, en welke controles achteraf mogelijk zijn. Deze gids beschrijft AI governance in de zorg als een framework van vijf pijlers, met concrete artefacten per pijler, en werkt voor zowel een huisartspraktijk van drie medewerkers als voor een universitair medisch centrum.

De doelgroep is de DPO, IT-manager, medisch directeur of bestuurder van een Nederlandse zorgorganisatie die AI structureel wil inzetten en wil weten hoe je het programma verantwoord opzet zonder eindeloos governance-overleg. Het framework hieronder is geen theorie. Het is wat je in de praktijk in mappen, DPIA's, contracten en logs moet kunnen tonen op het moment dat de AP op bezoek komt of een AI-incident zich voordoet.

Wat is AI governance in de zorg?

AI governance in de zorg is het geheel aan beleid, verantwoordelijkheden, controles en documentatie waarmee een zorgorganisatie besluit welke AI mag worden ingezet, door wie, voor welk doel, en hoe achteraf kan worden vastgesteld dat die inzet passend was. Het is een discipline, geen document. Een AI-beleid opstellen is één artefact binnen het framework, maar zonder de bijbehorende rol-definities, toezicht en incident-processen blijft dat beleid papier.

Het verschil met AVG-compliance is belangrijk om vast te leggen. AVG-compliance beantwoordt de vraag: mag deze verwerking van persoonsgegevens plaatsvinden en zijn de juiste waarborgen aanwezig? AI governance in de zorg beantwoordt een bredere vraag: klopt het dat we deze AI überhaupt inzetten voor deze taak, en zijn we voorbereid op wat er misgaat? Een DPIA is een AVG-artefact binnen een AI governance-framework, niet het framework zelf.

De vijf pijlers van AI governance in de zorg

Op één regel per pijler, zodat je weet wat je moet inrichten en wie eigenaar is:

Pijler	Belangrijkste artefact	Verantwoordelijke rol	Ritme
1. AI-beleid	Beleidsdocument met whitelist en escalatie-triggers	DPO + bestuurder	Half-jaarlijkse review
2. Verantwoordelijkheden	Rol-matrix (RACI of vergelijkbaar)	Bestuurder	Bij organisatie-wijziging
3. DPIA + risicoclassificatie	DPIA per systeem + geïntegreerd risicoregister	DPO	Bij elke nieuwe AI-inzet
4. Toezicht en incident-respons	Audit trail + incident-proces (72 uur)	IT/CISO + DPO	Continu, incident-reactief
5. Leveranciersmanagement	Verwerkersovereenkomst + subverwerkerslijst per provider	IT + inkoop	Bij contract of provider-wijziging

De volgende secties beschrijven per pijler wat er concreet in het artefact hoort te staan.

Pijler 1: AI-beleid en beleidsdocumenten

Het eerste tastbare artefact van AI governance in de zorg is een schriftelijk AI-beleid dat vier vragen beantwoordt.

• Wat mag wel en wat mag niet met patiëntgegevens? Concrete grenzen per data-categorie. BSN, medische diagnoses, DNA-informatie horen ieder in hun eigen bucket.
• Welke AI-tools zijn goedgekeurd? Een expliciete whitelist. Wat er niet op staat, mag niet worden ingezet zonder DPO-consultatie. Ook Copilot en ChatGPT persoonlijk moeten hier langs.
• Wanneer moet advies worden ingewonnen? Duidelijke triggers voor DPO- of ethiek-consultatie. Bijvoorbeeld: elke inzet die klinische besluitvorming raakt, elke inzet met bijzondere persoonsgegevens, elke inzet van een nieuw model.
• Welke DPIA hoort bij welke tool? Elk instrument in de whitelist krijgt een referentie naar de bijbehorende DPIA. Zie AI in de zorg en de AVG voor wat de DPIA moet dekken.

Het beleid heeft een versienummer en een revisiedatum. Een AI-beleid uit 2024 dekt niet de modellen die in 2026 beschikbaar zijn. Een half-jaarlijkse review is voor de meeste zorgorganisaties het juiste ritme.

Pijler 2: verantwoordelijkheden en rollen

AI governance in de zorg valt zonder duidelijke rollen uiteen. Vier rollen zijn onmisbaar, ook in kleine organisaties waar één persoon meerdere hoeden draagt.

• DPO: privacy-review, DPIA-uitvoering, contact met de AP bij incidenten. In een huisartspraktijk vaak extern ingehuurd.
• IT- of CISO-rol: technische controles, subverwerker-verificatie, audit log inrichting. Bij kleinere organisaties gecombineerd met de DPO of uitbesteed aan een MSP.
• Medisch directeur of vergelijkbaar: klinische impact-beoordeling en medische aansprakelijkheid. Deze rol moet expliciet zijn, ook in praktijken waar de eigenaar-huisarts formeel deze functie draagt.
• Bestuurder: eindverantwoordelijkheid, budget-goedkeuring, mandaat om de AI-inzet stop te zetten wanneer nodig.

In kleine zorgorganisaties combineert één persoon vaak drie van deze rollen. Governance verandert daardoor niet, alleen de aggregatie. Wat wel verandert is dat de rol-scheiding schriftelijk moet worden vastgelegd: welke pet je op hebt op welk moment. Een huisarts-eigenaar die tegelijk medisch directeur, bestuurder en informele DPO is, moet in het AI-beleid documenteren wanneer welke pet spreekt.

Pijler 3: DPIA en risicoclassificatie

Twee wettelijke kaders vereisen risicoanalyse op AI in de zorg, en ze overlappen deels.

Onder de AVG (artikel 35) is een DPIA verplicht voor grootschalige of gestructureerde verwerking van bijzondere persoonsgegevens. AI in de zorg voldoet vrijwel altijd aan beide criteria. Een DPIA beschrijft doel, aard, omvang en context van de verwerking, risico's voor de betrokkenen, en de maatregelen die de organisatie neemt om die risico's te beheersen.

Onder de AI-Verordening wordt elk AI-systeem geclassificeerd naar risicocategorie. Zorg-AI valt vaak in de "hoog risico" categorie (bijlage III van de AI-Verordening), wat aanvullende documentatie, transparantie en menselijke toezichts-vereisten oplegt aan de deployer. Voor zorgorganisaties die publieke diensten leveren geldt daarbovenop de verplichting tot een fundamental rights impact assessment onder artikel 27 van de verordening; voor private aanbieders is die specifieke verplichting beperkter, maar de risicoregistratie zelf is voor iedereen van toepassing.

In de praktijk werkt één geïntegreerd risicoregister dat beide dimensies dekt beter dan twee losse trajecten. Per AI-systeem één record met AVG-risico's én AI-Verordening-classificatie, verantwoordelijken, mitigaties en review-datum. Zie de AI in de zorg AVG gids voor wat de AP concreet in de DPIA verwacht.

Pijler 4: toezicht en incident-respons

Governance zonder toezicht is theorie. Het toezicht-onderdeel van AI governance in de zorg dekt drie processen.

• Continu monitoren van AI-output. Wat is de kwaliteit van de AI-suggesties, hoe vaak wordt de output door de zorgverlener overruled, zijn er bias-signalen? Voor zorg-AI is dit geen luxe maar een verplichting onder de AI-Verordening.
• Incident-detectie en melding. Een AI-incident (foute klinische suggestie, ongeautoriseerde data-exposure, model-uitval op een kritiek moment) moet binnen 72 uur bij de AP worden gemeld als er een datalek is (AVG artikel 33). Wie is er 24/7 bereikbaar, wie belt wie, hoe leg je vast dat de melding is gedaan?
• Audit trail per AI-inzet. Elke AI-interactie met patiëntgegevens moet reconstrueerbaar zijn: welk model, wanneer, welke prompt, welke output, welke zorgverlener. Zie AI audit logging voor de velden die gelogd moeten worden.

Zonder audit trail is een incident-onderzoek onmogelijk en is de AP-melding een reconstructie-oefening in plaats van een verwijzing naar de feiten.

Pijler 5: leveranciersmanagement

Elke AI-leverancier is onder de AVG een verwerker en meestal ook een doorgever naar subverwerkers. AI governance in de zorg vereist per leverancier vier documenten.

• Verwerkersovereenkomst met alle standaardclausules die de AP verwacht voor bijzondere persoonsgegevens.
• Subverwerkerslijst: welke cloud-provider draait de infra, welke model-host serveert het model, welke logging-partij ontvangt de audit records. Elke subverwerker apart geregistreerd.
• Transfer-basis onder AVG hoofdstuk V als een van de subverwerkers buiten de EER zit. Standaard contractuele clausules zijn de meest gebruikte, maar Transfer Impact Assessments zijn sinds Schrems II vereist per doorgifte.
• AI-Verordening documentatie die de leverancier moet leveren: technische documentatie van het model, de conformiteits-verklaring, en de instructies voor gebruik.

Voor zorgorganisaties die meerdere AI-providers gebruiken (bijvoorbeeld Anthropic voor patiëntbrieven, OpenAI voor administratie, een lokale Whisper-installatie voor consult-samenvattingen) hoeven deze documenten niet centraal te worden opgeslagen, maar wel per provider compleet te zijn. Een centrale registratie van welke provider welke rol vervult in welk zorgproces is essentieel.

Praktisch voorbeeld: 90-dagen tijdpad voor een huisartspraktijk

Om de vijf pijlers uit theorie in operatie te vertalen, hieronder een hypothetisch tijdpad voor een Nederlandse huisartspraktijk met drie huisartsen en twee praktijkondersteuners die AI wil inzetten voor consult-samenvatting (via een lokale spraak-naar-tekst tool) en voor patiëntbrieven (via een gehoste taalmodel-provider). Het tijdpad is illustratief, niet gebaseerd op een specifieke case, maar de doorlooptijden zijn realistisch voor een organisatie van deze omvang.

Week 1 tot 2: kick-off en rol-vaststelling. Praktijkeigenaar plant een half uur met de ingehuurde DPO en met de IT-partner. Uitkomst: schriftelijke afspraak wie welke rol vervult (praktijkeigenaar = bestuurder + medisch directeur; DPO extern; IT-partner draait technische controles). Rol-scheiding gedocumenteerd op één A4.

Week 3 tot 4: AI-beleid v1. DPO schrijft een beleid van vier tot zes pagina's dat de vier vragen uit pijler 1 beantwoordt: welke data mag met AI, welke tools op de whitelist, wanneer DPO-consultatie, welke DPIA hoort erbij. Beleid krijgt versienummer 1.0 en revisie-datum zes maanden verder.

Maand 2: DPIA per whitelist-tool. DPO voert twee DPIA's uit: één voor de lokale spraak-naar-tekst tool, één voor de gehoste taalmodel-provider. Elke DPIA bevat expliciete AVG artikel-35-elementen én de AI-Verordening risicoclassificatie. Beide worden vastgelegd in het geïntegreerde risicoregister. Verwerkersovereenkomsten worden getekend, subverwerkerslijst per provider ingericht.

Maand 3: toezicht-processen en go-live. IT-partner richt audit logging in bij de proxy of het gehoste platform. Incident-respons proces beschreven op één pagina (wie belt wie binnen welke tijd). Eerste week na go-live loopt een pilot met één huisarts; na feedback wordt uitbreid naar de andere twee. Aan het einde van maand drie is de praktijk operationeel met een compleet governance-dossier.

Investering: ongeveer een halve dag praktijkeigenaar-tijd per week gedurende het traject, plus vier tot zes dagen DPO-inhuur en twee dagen IT-partner-tijd. Totale doorlooptijd twaalf weken. Na go-live: half-jaarlijkse governance-review van twee uur, incident-respons on-call bij de DPO.

Dit tijdpad is korter dan wat veel zorgorganisaties verwachten omdat de vijf pijlers zich lenen voor parallellisatie: pijler 1 en 2 kunnen naast elkaar in week 1 tot 4, pijler 3 kan starten zodra beleid v1 er is, pijler 4 en 5 kunnen in maand 3 gelijktijdig. Wat het traject wel eist is één persoon met mandaat om beslissingen te nemen; zonder dat wordt elke week een consultatieronde.

AI governance in de zorg voor kleine versus grote organisaties

Grootte van de zorgorganisatie bepaalt niet of AI governance nodig is; het bepaalt alleen hoe de vijf pijlers worden ingevuld. Een huisartspraktijk met drie medewerkers die Claude gebruikt voor patiëntbrieven, ChatGPT voor administratieve teksten en een lokale Whisper-installatie voor consult-samenvattingen heeft precies dezelfde governance-vereisten als een universitair medisch centrum met vijfhonderd zorgverleners.

Wat wél verschilt:

• Rol-aggregatie. In een huisartspraktijk vervult één persoon vaak DPO, IT-lead en medisch directeur tegelijk. De rol-scheiding is schriftelijk en in het beleid gedocumenteerd; de fysieke persoon is dezelfde.
• Documentatie-ritme. Kleine praktijken kunnen met een lichtere versie van het risicoregister werken, mits alle vijf pijlers alsnog gedekt zijn. Grote instellingen hebben vaak een dedicated GRC-tool voor hetzelfde register.
• Complexiteit van subverwerkers. Grote instellingen hebben vaak private cloud-tenants en dus minder externe subverwerkers per AI-tool. Kleine praktijken werken standaard met SaaS-tools en hebben dus per tool drie tot vijf subverwerkers in de keten.

Wat NIET verschilt is de onderliggende verplichting. De AVG en de AI-Verordening kennen geen ondergrens voor zorg-AI die vrijstelt van governance. Een huisartspraktijk die AI inzet zonder DPIA en zonder subverwerkerslijst neemt hetzelfde risico als een ziekenhuis dat hetzelfde doet, alleen met minder ruimte om een boete op te vangen.

AVG en AI-Verordening in één programma

De verleiding is groot om AVG-compliance en AI-Verordening-compliance als twee losse trajecten op te tuigen. Voor de meeste Nederlandse zorgorganisaties is één geïntegreerd programma effectiever en goedkoper.

Concreet betekent dat:

• Eén risicoregister met per AI-systeem zowel AVG-DPIA-status als AI-Verordening-classificatie
• Eén incident-proces dat zowel AVG-datalek als AI-Verordening-incident kan verwerken
• Eén leveranciersmanagement-flow die verwerkersovereenkomst én AI-Verordening-documentatie in één contract-review dekt
• Eén review-ritme (half-jaarlijks werkt voor de meeste zorgorganisaties) dat beide dimensies raakt

De alternatieve aanpak, met twee losse dossiers, twee incident-processen en twee contract-reviews, verdubbelt de operationele last zonder de compliance-kwaliteit te verbeteren. Voor kleine zorgorganisaties is dat vaak het verschil tussen een werkbaar programma en een dat na een jaar stilvalt.

Veelgemaakte fouten bij AI governance in de zorg

Vijf faalmodi komen structureel terug bij Nederlandse zorgorganisaties.

Beleid schrijven en denken dat je klaar bent. Een AI-beleid zonder implementatie, zonder monitoring en zonder incident-proces is een PDF. De AP kijkt bij een controle niet naar het document, maar naar de artefacten die het document zou moeten produceren: DPIA's, contracten, logs, incident-registraties.

De AI-Verordening negeren omdat "de AVG al dekt wat we doen". De twee kaders overlappen, maar de AI-Verordening voegt vereisten toe die de AVG niet heeft: menselijke toezichts-verplichting, technische documentatie van de leverancier, conformiteits-beoordeling voor hoog-risico AI. Voor zorg-AI die vaak in de hoog-risico categorie valt, is de AI-Verordening niet optioneel.

Subverwerkers vergeten. De AI-leverancier is meestal niet de model-host. Claude wordt door Anthropic geleverd maar in verschillende regio's gehost. GPT-4 kan via OpenAI direct of via Azure worden aangeboden. Elke laag is een aparte subverwerker die in de subverwerkerslijst moet staan en waarvoor een transfer-basis geregeld moet zijn als de laag buiten de EER zit.

Multi-provider inzet zonder centrale registratie. Zodra een zorgorganisatie meer dan één AI-provider gebruikt, is een centrale registratie van welke provider welke rol vervult onmisbaar. Zonder die registratie kan geen incident-onderzoek worden uitgevoerd, geen DPIA-update per model-upgrade worden gedaan, en geen consistente rapportage aan bestuur of AP worden geproduceerd.

Geen versioning van AI-beleid. Een AI-beleid uit 2024 dekt niet de modellen, providers of Verordenings-eisen van 2026. Half-jaarlijkse review met expliciete versienummers en revisiedatums voorkomt dat een verouderd beleid als "actueel" wordt gepresenteerd bij een AP-controle.

Related reading

• AI in de zorg: de bredere gids voor AI-inzet in de Nederlandse zorg, waaronder deze governance-gids valt.
• AI informatiebeveiliging in de zorg: de operationele laag onder deze governance-gids, met TOMs en incident-response voor zorginstellingen die AI-tools inzetten.
• AI risico's in de zorg: risicoclassificatie onder de AI-Verordening, IGJ-inspectiegereedheid en beheersing.
• AI in de zorg en de AVG: de AVG-specifieke gids die de DPIA-inhoud en AP-verwachtingen verder uitwerkt.
• AI governance MKB: het parallelle framework voor Nederlandse MKB-bedrijven buiten de zorg, met dezelfde vijf pijlers maar andere klinische en regelgevende context.
• AI audit logging: de audit-trail-vereisten die pijler 4 (toezicht) technisch invullen.

Veelgestelde vragen

Wie moet AI governance in de zorg leiden binnen mijn organisatie?

Formeel de bestuurder, operationeel meestal de DPO of een aangewezen AI-governance-coördinator. Bij kleine zorgorganisaties (huisartspraktijken, tandartspraktijken, kleine GGZ) combineert één persoon vaak beide rollen. Het gaat niet om de titel maar om de mandaat: die persoon moet zowel AI-inzet kunnen stoppen als investeringen kunnen goedkeuren.

Verschilt AI governance in de zorg van AVG-compliance?

Ja. AVG-compliance beantwoordt of een specifieke verwerking mag onder privacy-wetgeving. AI governance beantwoordt de bredere vraag of we deze AI überhaupt willen inzetten, hoe we het gebruik controleren, en wie eindverantwoordelijk is. AVG-compliance is één component van AI governance, niet het geheel. Voor zorg-AI komt daar de AI-Verordening bovenop.

Hebben we een dedicated AI-ethiekcommissie nodig?

Voor grote zorginstellingen (ziekenhuizen, academische centra) is een AI-ethiekcommissie of ethische toetsingscommissie voor AI aangewezen, vaak gecombineerd met de bestaande medische ethische commissie. Voor kleinere organisaties werkt ad-hoc raadpleging bij nieuwe AI-inzetten meestal beter dan een formele commissie die twee keer per jaar bijeenkomt.

Hoe verhoudt de AI-Verordening zich tot de AVG in de zorg?

De twee kaders overlappen deels en zijn deels aanvullend. De AVG regelt de verwerking van persoonsgegevens door AI. De AI-Verordening regelt het AI-systeem zelf: risicoclassificatie, menselijke toezicht, conformiteits-beoordeling, transparantie richting eindgebruikers. Voor de meeste zorg-AI moet je aan beide voldoen, en het is efficiënt om dat in één geïntegreerd programma te doen in plaats van twee losse trajecten.

Kan een huisartspraktijk AI governance in de zorg zelf opzetten?

Ja, mits de vijf pijlers zijn gedekt. Een huisartspraktijk kan het framework zelf inrichten met externe DPO-ondersteuning voor de DPIA-uitvoering en jaarlijkse governance-review. De investering is meestal een halve dag praktijkleiders-tijd per maand plus een externe DPO op inhuur. Praktijken die AI inzetten zonder deze basis lopen precies dezelfde AP-risico's als grotere instellingen, alleen met minder buffer om een boete of reputatie-schade op te vangen.