AI trainen in de zorg: wat verandert er met de EHDS?

Duizenden consulten, diagnoses en behandelplannen: stuk voor stuk waardevolle data om AI mee te trainen. Algoritmes die diagnoses versnellen, behandelingen verbeteren en uiteindelijk levens redden. Maar achter elk datapunt zit een patiënt die in vertrouwen naar de zorgverlener kwam én op die gegevens rust het medisch beroepsgeheim.

Dat maakt het trainen van AI-modellen met patiëntdata juridisch complex. In dit blog zetten we uiteen wat nu mag, waar je tegenaan loopt en wat er gaat veranderen met de komst van de European Health Data Space (EHDS).

Huidige situatie

Het korte antwoord: ja, je mag patiëntdata gebruiken om AI te trainen, mits écht anoniem. Maar bij medische data is echte anonimisering technisch zeer lastig. De combinatie van diagnoses, behandeldata en demografische kenmerken maakt heridentificatie vaak mogelijk, zeker bij zeldzame aandoeningen. In de praktijk werk je dus al snel met herleidbare gezondheidsgegevens.

En dan wordt het ingewikkeld: je moet voldoen aan de AVG én aan het medisch beroepsgeheim uit de WGBO. Beide routes komen in de praktijk op hetzelfde neer, uitdrukkelijke toestemming van de patiënt. Daarbovenop is een DPIA bij grootschalige verwerking van gezondheidsdata vrijwel altijd verplicht.

Dat klinkt werkbaar, maar in de praktijk loopt het vast. Patiënten die geen toestemming geven vallen uit de dataset, waardoor het algoritme slechter kan presteren voor bepaalde groepen. Voor historische data is toestemming vragen vaak onmogelijk. En duizenden patiënten individueel benaderen is logistiek complex en kostbaar.

Kortom: het toestemmingsmodel remt innovatie. En precies daar grijpt de EHDS op in.

Toekomst: van opt-in naar opt-out

De EHDS introduceert een nieuwe route voor "secundair gebruik" van gezondheidsdata: het gebruik voor andere doeleinden dan de directe zorgverlening aan de patiënt zelf. Denk aan onderzoek, beleidsvorming én het trainen van algoritmes.

De kern van de verschuiving: waar nu uitdrukkelijke toestemming de regel is, wordt opt-out de standaard. Gezondheidsgegevens zijn in principe beschikbaar voor secundair gebruik, tenzij de patiënt actief bezwaar maakt.

Deze omkering heeft verstrekkende juridische gevolgen. De rechtsgrondslag verschuift van toestemming van de patiënt naar een wettelijke verplichting voor datahouders (zorgaanbieders) om data ter beschikking te stellen. Ook het beroepsgeheim wordt doorbroken op basis van deze wettelijke verplichting, niet langer op basis van individuele toestemming.

Voor patiënten verandert er materieel iets aan hun positie: zij moeten zelf actie ondernemen om hun gegevens buiten het secundair gebruik te houden. Zorginstellingen krijgen een actieve informatieplicht hierover.

De EHDS bepaalt limitatief waarvoor data via deze route gebruikt mogen worden. Erkende doeleinden zijn onder andere wetenschappelijk onderzoek, beleidsvorming in de volksgezondheid, onderwijs, en het trainen, testen en evalueren van AI-systemen en medische hulpmiddelen.

Health Data Access Body als poortwachter

Onder de EHDS verloopt toegang tot data niet rechtstreeks tussen zorginstelling (datahouder) en datagebruiker. Die datagebruiker kan een onderzoeker of een commerciële ICT-dienstverlener zijn. De HDAB (Health Data Access Body) fungeert als poortwachter voor alle partijen.

Wie data wil gebruiken, dient een aanvraag in bij de HDAB. Deze toetst:

• Past het gebruik binnen de limitatief opgesomde erkende doeleinden?

• Is de gevraagde data proportioneel ten opzichte van het doel?

• Worden adequate technische en organisatorische waarborgen geboden?

Bij goedkeuring volgt een data permit met specifieke voorwaarden. Doelbinding blijft strikt gelden: data ontvangen voor een diagnostisch algoritme mag je niet hergebruiken voor een ander doel zonder nieuwe vergunning. Schending hiervan kan leiden tot intrekking van de vergunning, uitsluiting van toekomstige aanvragen én AVG-handhaving. Bovendien verlaat de data in beginsel niet de beveiligde verwerkingsomgeving van de HDAB.

AI Act

Voor klinische AI-systemen geldt daarnaast nog de AI Act. Deze systemen kwalificeren in de regel als hoogrisico, met strenge eisen aan data governance. Trainingsdata moeten relevant, representatief en zoveel mogelijk vrij van bias zijn.

De AI Act bevat een eigen grondslag om bijzondere persoonsgegevens te verwerken voor biasdetectie en -correctie. Aantrekkelijk, maar erg streng: de bepaling geldt alleen voor wie als aanbieder in de zin van de AI Act kwalificeert en stelt strenge (cumulatieve) voorwaarden.

Art. 10 lid 5 staat verwerking alleen toe "mits passende waarborgen worden geboden voor de grondrechten en fundamentele vrijheden." De bepaling vult dat zelf in met AVG-georiënteerde maatregelen: pseudonimisering, toegangscontrole, korte bewaartermijnen. Voor de Nederlandse zorgcontext is dat vermoedelijk te smal. Het beroepsgeheim uit de WGBO is óók een grondrecht-gerelateerde waarborg, maar van een fundamenteel andere aard: het beschermt de vertrouwensrelatie tussen arts en patiënt, niet de technische integriteit van data. Pseudonimiseren lost dat niet op. Wie zich op lid 5 wil beroepen, zal de "passende waarborgen" naar onze mening dus moeten aanvullen met een doorbrekingsgrond voor het beroepsgeheim; in de praktijk toestemming van de patiënt. Daarmee verliest deze route veel van zijn aantrekkingskracht.

In de praktijk is synthetische data dan ook vaak de juridisch meest werkbare route: kunstmatig gegenereerde data die de statistische patronen van de oorspronkelijke dataset behouden, zonder herleidbaar te zijn naar individuele patiënten. Daarmee val je zowel buiten het AVG-regime als buiten het bereik van het beroepsgeheim, mits de kwaliteit van de synthetische data voldoende is om bias daadwerkelijk te detecteren.

Wat betekent dit in de praktijk?

De juridische ruimte om AI te trainen met patiëntdata verschuift de komende jaren ingrijpend. Op korte termijn blijft toestemming de hoofdregel met alle praktische beperkingen die daarbij horen. Op termijn opent de EHDS een nieuwe route via de Health Data Access Body, met opt-out als standaard.

Voor zorginstellingen betekent dit dat het loont nu al na te denken over drie vragen: welke data wil je beschikbaar stellen, hoe richt je het opt-out mechanisme in, en welke contractuele afspraken maak je met AI-leveranciers en ICT-dienstverleners over rollen, vergunningen en eigendom van getrainde modellen.

Heb je vragen over deze ontwikkelingen? Neem gerust contact met ons op. Wij vertellen je graag meer over de AI Act en EHDS.