AI-governance in de zorg opzetten voor versnipperde regels in VK, EU en VS

U moet per AI-toepassing in uw organisatie vastleggen welke regelgeving van toepassing is — model-, medische-hulpmiddel-, privacy- en sectorregels — en per regel aantonen welke toezichtseisen, menselijk toezicht en leverancierscontroles u hebt ingesteld.

Een analyse van 10 september 2026 van overlappende AI-regelgeving in zorg in VK, EU en VS betoogt dat zorg-AI niet onder één universeel beleid valt, maar onder een reeks regelkaders die per land en per toepassing verschillen. De Britse National Commission into the Regulation of AI in Healthcare publiceerde aanbevelingen voor een toekomstig regelgevend kader dat onder meer gefaseerde toelatingen, continue monitoring in de praktijk en publieke veiligheidsinformatie omvat. In onze beoordeling bevestigt dit dat u governance niet als één centraal beleidsdocument kunt inrichten, maar als een stelsel van controleverplichtingen die per use case moeten worden gekoppeld aan de regelgeving die werkelijk op die toepassing van toepassing is.

Waarom één universeel AI-beleid onvoldoende is

Er bestaat geen enkel wereldwijd regelkader dat zorg-AI volledig dekt. In de Verenigde Staten is het toezicht verspreid over federale instanties, deelstaatwetgevers en beroeps- en standaardenorganisaties, zonder één overkoepelende zorg-AI-wet. Amerikaanse staten met eigen AI-wetten voegen daar losse regels aan toe die naast elkaar bestaan. In de Europese Unie legt de EU AI Act een eigen formeel kader over AI-systemen met een gezondheidscomponent, inclusief hoogrisicosystemen en AI-ondersteunde medische hulpmiddelen — eisen die boven op bestaande regels voor medische hulpmiddelen en gegevensbescherming komen.

De praktische gevolg is dat u niet met één beleidsdocument uit de voeten kunt. Regelgeving volgt geen organisatiestructuur, maar hangt af van wat u met welke gegevens doet en in welke rechtsgebieden u actief bent.

Welke regelkaders raken uw AI-toepassingen?

Breng per concrete toepassing in kaart welke regelkaders van toepassing zijn:

• Model-specifieke eisen — vereisten die voortvloeien uit het type AI-systeem en hoe het is getraind.
• Medische-hulpmiddel-regelgeving — classificatie en toelatingseisen als het systeem als medisch hulpmiddel wordt gebruikt.
• Gegevensbeschermingsregels — AVG in Europa, staatsregelgeving in de VS, en sector-specifieke privacyeisen in de zorg.
• Sectorale toezichtseisen — vereisten van zorgtoezichthouders in het land waar u opereert.
• Nationale AI-regelgeving — aanvullende eisen uit AI-wetten in VK, EU of Amerikaanse staten.

Welke controles moet u per use case kunnen aantonen?

Zodra u de toepasselijke regelkaders hebt geïdentificeerd, documenteert u welke controles u voor elk daarvan hebt ingesteld:

1. Registreer welk model elke workflow gebruikt en de wettelijke grondslag voor de gegevens die het verwerkt — zodat u kunt aantonen welke regel op welk moment van toepassing is.
2. Stel vast wie menselijk toezicht uitoefent en onder welke voorwaarden — regelgeving vereist vaak dat een mens een AI-aanbeveling beoordeelt voordat deze wordt toegepast.
3. Documenteer de leverancierseisen die u hebt gesteld — contractuele verplichtingen voor audits, gegevensbescherming en naleving van regelgeving.
4. Leg vast hoe u continue monitoring uitvoert nadat het systeem in gebruik is genomen — toelating is geen eenmalig moment, maar het begin van een levenscyclus.
5. Bewaar verificatiestappen, correcties en bronnen voor inspectie — zichtbaarheid van de verwerking ondersteunt controle en verantwoording.

Hoe ordent u versnippering in een samenhangend stelsel?

Governance per use case werkt beter als u het niet als losse compliance-eilanden inricht, maar als onderdeel van één governance-systeem voor privacy, cyber en AI. Een raamwerk dat beleid, organisatiestructuren, levenscyclusbeheer, risicobeoordelingen, gegevensbeheer en beheer van derden omvat, geeft u de structuur om versnippering ordelijk te maken.

Die aanpak sluit aan op hoe u AVG-verantwoordelijkheden per fase van uw AI-workflow vastlegt: verantwoordelijkheid volgt de plaats in het proces, niet één centraal beleidsdocument. Dezelfde logica geldt voor alle regelkaders die op uw toepassingen van toepassing zijn.

Welke rol speelt tooling in dit proces?

Tooling kan u helpen verwerking zichtbaar te maken en verificatiestappen vast te leggen, maar het vervangt uw professionele eindoordeel niet. Systemen die geanonimiseerde inhoud naar geselecteerde modellen sturen en verificatiestappen, correcties en bronnen zichtbaar maken, ondersteunen controle en inspectie. Zij garanderen echter geen juistheid, sluiten hallucinaties niet uit en bieden geen juridische garantie van anonimisering of volledige regelgeving-compliance. Het oordeel over wat u met welke gegevens mag doen, en hoe u dat verantwoordt, blijft altijd bij u.