Een samenvatting van een overdracht laten maken, even checken of twee medicijnen samengaan, een lastige brief herschrijven. Steeds meer zorgprofessionals gebruiken daar een AI-chatbot voor, vaak een die ze zelf op hun telefoon hebben staan. De Telegraaf meldde op 29 september 2026, op basis van onderzoek in opdracht van Philips, dat bijna twee derde van de zorgprofessionals AI gebruikt en dat daar ook eigen tools zoals ChatGPT bij horen. Duidelijke afspraken ontbreken vaak. Wat mag je als zorgverlener met patiëntgegevens in zo’n tool? Hieronder de regels op een rij.
Wat het onderzoek laat zien
Volgens Hart van Nederland, dat het nieuws van De Telegraaf overnam, gebruikt ongeveer 30 procent van de ondervraagden AI om te waarschuwen voor gevaarlijke combinaties van medicijnen. Ruim een kwart laat zich door AI mogelijke diagnoses voorstellen op basis van klachten. Een grote meerderheid geeft aan dat scholing over AI ontbreekt of niet structureel wordt aangeboden.
De IGJ waarschuwt in dezelfde berichtgeving dat algemene tools zoals ChatGPT of Gemini niet ontworpen of goedgekeurd zijn voor medische besluitvorming. Zo’n tool kan overtuigend klinken en toch onjuiste informatie geven. Daarnaast is er het privacyrisico, en daar gaat dit artikel vooral over.
Je beroepsgeheim geldt ook tegenover een chatbot
Als zorgverlener heb je een geheimhoudingsplicht. Die staat in de WGBO (artikel 7:457 BW) en voor BIG-geregistreerden ook in artikel 88 van de Wet BIG. De beroepscodes van artsen, verpleegkundigen en verzorgenden zeggen hetzelfde. Hoe dat in de praktijk werkt, lees je in ons stuk over beroepsgeheim en informatie delen.
Een publieke chatbot is in juridische zin een derde. Typ je de naam, geboortedatum of een herkenbare beschrijving van een patiënt in een tool waar je organisatie geen afspraken mee heeft, dan geef je die gegevens aan een bedrijf buiten de zorgrelatie. De patiënt heeft daar geen toestemming voor gegeven en er is geen wettelijke grond voor. Dat de tool handig is of dat je het goed bedoelt, verandert daar niets aan.
Wat de AVG en de Autoriteit Persoonsgegevens zeggen
Gegevens over gezondheid zijn onder de AVG bijzondere persoonsgegevens. Voor het verwerken ervan gelden strengere eisen dan voor gewone persoonsgegevens. De Autoriteit Persoonsgegevens (AP) kreeg al in 2024 meerdere meldingen van datalekken doordat medewerkers persoonsgegevens in een AI-chatbot hadden gezet. In een van die gevallen had een medewerker van een huisartsenpraktijk, tegen de afspraken in, medische gegevens van patiënten ingevoerd. De AP noemde dat volgens de NOS een grote inbreuk op de privacy van de betrokken patiënten.
Het probleem is dat de meeste aanbieders van chatbots ingevoerde tekst opslaan en soms gebruiken om hun systemen te trainen. Wie iets intypt, weet vaak niet waar het terechtkomt. Voor de organisatie geldt dat een datalek binnen 72 uur bij de AP gemeld moet worden. De AP adviseert organisaties om met medewerkers duidelijke afspraken te maken over welke gegevens wel en niet in een chatbot mogen, en met de aanbieder af te spreken dat ingevoerde gegevens niet worden bewaard.
Wat de beroepsorganisaties zeggen
De artsenfederatie KNMG is in haar dossier over AI duidelijk. Gebruik geen AI-toepassing die het beroepsgeheim, de patiëntveiligheid of de privacy niet waarborgt. Daarnaast blijft de arts verantwoordelijk als er een fout ontstaat door het gebruik van een tool als ChatGPT. Wie AI inzet, moet dus begrijpen hoe die met gegevens omgaat en de uitkomst zelf controleren.
Voor verpleegkundigen en verzorgenden is de beroepscode van V&VN het uitgangspunt. Daarin staat dat je zorgvuldig omgaat met vertrouwelijke informatie over zorgvragers. Voor een chatbot geldt daarbij hetzelfde principe als voor een gesprek op de gang of een foto op je telefoon. Het gaat erom wat je deelt en met wie.
Wat mag dan wel
AI is niet verboden in de zorg. Veel organisaties werken aan of met tools die wel aan de eisen voldoen. Een paar houvasten voor je eigen werk.
- Gebruik alleen tools die je werkgever heeft goedgekeurd. Bij zo’n tool horen een verwerkersovereenkomst en afspraken over opslag en beveiliging. Weet je niet welke tools mogen, vraag het dan na bij je leidinggevende of de privacy officer.
- Zet geen herleidbare gegevens in een eigen chatbot. Ook zonder naam kan een combinatie van leeftijd, woonplaats, diagnose en datum iemand herkenbaar maken. Echt anonimiseren is lastiger dan het lijkt.
- Controleer wat eruit komt. Een voorstel voor een diagnose of een interactiecheck van een algemene chatbot vervangt geen goedgekeurde bron of klinisch redeneren. Jij blijft verantwoordelijk voor wat je ermee doet.
- Is het toch gebeurd, meld het direct intern. Dan kan de organisatie beoordelen of het een datalek is en binnen de termijn melden. Verzwijgen maakt het voor jou en de patiënt alleen erger.
Ook bekwaamheid speelt mee. Een tool gebruiken die je niet begrijpt, is niet anders dan een handeling uitvoeren waar je niet voor geschoold bent. Dat het onderzoek laat zien dat scholing vaak ontbreekt, is daarom geen detail. Vraag je werkgever om duidelijke afspraken en om uitleg, voordat een handig hulpmiddel uitgroeit tot een datalek.