AI compliance Limburg zorg: wat zorginstellingen nu al moeten regelen

Bijgewerkt 7 okt 2026: Digital Omnibus inzake AI (Verordening (EU) 2026/1744).

Zorginstellingen die AI inzetten voor het prioriteren van patiënten, ondersteunen van diagnoses of plannen van zorgcapaciteit: jullie zijn deployers onder de EU AI-verordening. Dat betekent concrete verplichtingen. Een deel daarvan geldt nu al, zoals AI-geletterdheid (Artikel 4) en de verboden toepassingen (Artikel 5). De zware hoog-risicoverplichtingen volgen na de Digital Omnibus vanaf 2 december 2027, en voor AI in medische hulpmiddelen vanaf 2 augustus 2028. Dat is geen reden om te wachten.

Zuid-Limburg heeft een dichte concentratie van zorginstellingen, van Maastricht UMC+ tot kleinere regionale thuiszorgorganisaties en huisartsenpraktijken. Elk van die organisaties die vandaag AI inzet, loopt mee in de eerste golf van deployers die aan de AI-verordening moet voldoen.

# Waarom zorg zo hoog op de risico-lijst staat

De EU AI-verordening deelt AI-systemen in risicocategorieën in. Zorg scoort hoog. Bijlage III van de verordening noemt expliciet AI-systemen bedoeld om te helpen bij medische diagnose, behandelbeslissingen en het prioriteren van patiënten als hoog-risico toepassingen.

Kijk, dat is geen verrassing. Een algoritme dat meebeslist over wie eerder aan de beurt komt op de spoedeisende hulp, of dat een radioloog ondersteunt bij het interpreteren van een scan, raakt direct aan de gezondheid en soms het leven van mensen. De wetgever heeft dat serieus genomen.

Voor deployers in de zorg betekent dit concreet: je valt niet in de lichte categorie waarbij je alleen een gebruiksbeleid hoeft op te stellen. Je zit in het hoog-risico regime met bijbehorende verplichtingen.

# Wat Artikel 26 van je vraagt

Artikel 26 van de AI-verordening regelt de verplichtingen voor deployers van hoog-risico AI. De kernpunten voor een zorginstelling:

Menselijk toezicht is geen optie, maar een verplichting. Je moet zorgen dat er altijd een gekwalificeerd persoon meekijkt en kan ingrijpen. Een AI-systeem dat een triagevoorstel doet, mag niet autonoom beslissen. De arts of verpleegkundige moet begrijpen wat het systeem doet en wanneer ze moeten overrulen.

AI-geletterdheid van medewerkers. Artikel 4 van de verordening geldt al sinds 2 februari 2025. Sinds de Digital Omnibus (27 juli 2026) schrijft het voor dat deployers maatregelen nemen die de AI-geletterdheid ondersteunen van iedereen die met het systeem werkt, afgestemd op hun kennis, ervaring en de context van het gebruik. Een specifiek niveau per medewerker hoef je niet te garanderen. Maar het is ook niet één cursus eenmalig afvinken. Houd aantoonbaar bij welke maatregelen je neemt, zodat medewerkers begrijpen wat het systeem wel en niet kan.

Logging en registratie. Hoog-risico AI-systemen moeten logs bijhouden. Als deployer moet jij die logs ook bewaren en beschikbaar houden voor toezichthouders. Hoelang? De verordening zegt minimaal zes maanden na de laatste interactie met het systeem, tenzij AVG-regels een kortere bewaartermijn vereisen.

Melden van incidenten. Gaat er iets mis? Dan moet je dat melden. Artikel 73 regelt de incidentmelding voor deployers. Bij ernstige incidenten gaat dat naar de nationale markttoezichthouder. De Omnibus veranderde de eigen datum van Artikel 73 niet, maar het artikel geldt voor hoog-risico AI-systemen, waarvan de hoofdverplichtingen nu vanaf 2 december 2027 (Bijlage III) en 2 augustus 2028 (Bijlage I) gelden. Plan de meldprocedure daarom mee met die data.

# De FRIA: grondrechten-impactbeoordeling

Eén van de verplichtingen die het meest over het hoofd wordt gezien: de grondrechten-impactbeoordeling, ook wel FRIA (Fundamental Rights Impact Assessment) genoemd.

Artikel 27 van de verordening verplicht bepaalde deployers van hoog-risico AI om een FRIA uit te voeren voordat ze het systeem in gebruik nemen. Dit geldt voor overheidsorganen en private organisaties die diensten verlenen die door overheidsinstanties worden gefinancierd of gemandateerd. Publiek gefinancierde zorginstellingen, en dat geldt voor vrijwel alle Limburgse ziekenhuizen en GGZ-instellingen, vallen hier direct onder.

Een FRIA is geen bureaucratisch formulier dat je eenmalig invult. Het is een serieuze analyse van de vraag: welke grondrechten van patiënten kunnen worden geraakt door dit AI-systeem, en hoe voorkomen we dat die worden geschonden?

Denk aan: het recht op gelijke behandeling (discrimineert het algoritme onbedoeld bepaalde patiëntgroepen?), het recht op privacy (welke data verwerkt het systeem?), en het recht op menselijke tussenkomst bij geautomatiseerde besluitvorming.

Voor Zuid-Limburgse instellingen speelt hier ook een specifiek element: de regio kent een relatief grote groep Duits- en Belgisch-talige patiënten die aan beide zijden van de grens zorg ontvangen. Als een AI-systeem getraind is op Nederlandse patiëntdata, kan het structureel minder goed presteren voor deze groep. Dat is precies het soort bias-risico dat in een FRIA thuishoort.

# FRIA en DPIA: twee documenten, één logica

Veel zorginstellingen hebben al ervaring met de DPIA (gegevensbeschermingseffectbeoordeling) vanuit de AVG. Goed nieuws: de FRIA bouwt hierop voort. De Autoriteit Persoonsgegevens heeft al eerder aangegeven dat AI-systemen die bijzondere persoonsgegevens verwerken (en medische gegevens zijn dat per definitie) vrijwel altijd een DPIA vereisen.

In de praktijk kun je FRIA en DPIA combineren in één traject. De overlap is groot: beide vragen om een beschrijving van het systeem, de verwerkde data, de risico's en de maatregelen. Het scheelt tijd en voorkomt dat twee teams langs elkaar heen werken.

Een aandachtspunt: de FRIA kijkt breder dan privacy. Ook grondrechten die niet direct met data te maken hebben, zoals het recht op gezondheid, gelijke behandeling en menselijke waardigheid, moeten worden meegenomen.

# Praktisch stappenplan voor Limburgse zorginstellingen

Hieronder een concrete volgorde om grip te krijgen op je compliance-situatie.

Stap 1: Inventariseer welke AI-systemen je inzet. Dit klinkt vanzelfsprekend, maar in de praktijk weet de compliance-afdeling vaak niet wat er op de werkvloer draait. Begin met een rondvraag bij afdelingshoofden en de IT-afdeling. Let op: ook AI-functionaliteit ingebouwd in EHR-systemen (elektronische patiëntendossiers) telt mee.

Stap 2: Classificeer elk systeem. Valt het onder de hoog-risico categorie van Bijlage III? Is het mogelijk zelfs een verboden toepassing (Artikel 5 noemt emotieherkenning op de werkvloer als verboden)? Of is het een laag-risico systeem zoals een chatbot voor algemene vragen?

Stap 3: Vraag technische documentatie op bij de leverancier. Hoog-risico AI-systemen moeten door de aanbieder (provider) zijn voorzien van uitgebreide technische documentatie. Als deployer mag je die documentatie inzien. Ontbreekt die documentatie, dan is dat een signaal dat het systeem mogelijk niet conform de verordening is gecertificeerd.

Stap 4: Stel een verantwoordelijke aan. Geen aparte AI-officer nodig, maar wel iemand die het dossier beheert. Dat kan de functionaris gegevensbescherming (FG) zijn, die toch al vertrouwd is met privacy-impactbeoordelingen.

Stap 5: Voer de FRIA en eventueel gecombineerde DPIA uit voor elk hoog-risico systeem voordat je er mee live gaat of als je al live bent, zo snel mogelijk alsnog.

Stap 6: Train medewerkers en leg dat vast. Niet één keer, maar periodiek. De verordening vraagt om maatregelen die AI-geletterdheid ondersteunen, en die wil je kunnen aantonen.

Stap 7: Richt logging en incidentmelding in. Weet jij waar de logs van je AI-systeem worden opgeslagen? Wie er toegang toe heeft? En wat de procedure is als een AI-aanbeveling aantoonbaar heeft bijgedragen aan een medisch incident? Dat moet geregeld zijn.

# Deadlines die er toe doen

De AI-verordening is op 1 augustus 2024 in werking getreden. De verboden toepassingen (Artikel 5) en de AI-geletterdheidsplicht (Artikel 4) gelden al sinds 2 februari 2025, en sinds 2 augustus 2026 houden nationale toezichthouders toezicht. Voor hoog-risico AI-systemen in de zorg loopt door de Digital Omnibus een overgangsperiode tot 2 december 2027 (Bijlage III, zoals triage) of tot 2 augustus 2028 (AI in medische hulpmiddelen, Bijlage I). Die periode is bedoeld om compliant te worden, niet om te wachten.

Organisaties die op die data nog niets hebben gedaan, riskeren boetes tot 15 miljoen euro of 3% van de wereldwijde jaaromzet. Voor grote organisaties geldt het hoogste van die twee bedragen; voor MKB-organisaties, en sinds de Omnibus ook voor kleine midcaps (SMC's), het laagste. Voor een regionaal ziekenhuis is dat reëel geld.

# Samenwerking in de regio

Zuid-Limburg heeft een troef die veel regio's missen: de Euregionale context. Maastricht UMC+ werkt al intensief samen met ziekenhuizen in België en Duitsland. Die samenwerking biedt een kans om compliance-kennis te delen en gezamenlijke FRIA-methodieken te ontwikkelen voor grensoverschrijdende patiëntenpopulaties.

Eerlijk gezegd zijn er in Nederland nog maar weinig zorginstellingen die de FRIA volledig op orde hebben. Wie nu begint, loopt voor op de toezichthouder. Dat is een comfortabele positie.

Wil je weten waar jouw zorginstelling nu staat? Via comply.khairos.ai doe je in twee minuten een gratis compliance-check die je laat zien welke stappen het meest urgent zijn.