Kennisartikel · Verantwoorde AI-implementatie
Van eerste idee tot geborgde praktijk: vier fasen die je helpen om AI gestructureerd en verantwoord in te voeren binnen jouw zorgorganisatie. Conform AVG, IGJ-richtlijnen en EU AI Act.
Laatst bijgewerkt 14 juni 2026 · door Arjan Woldring
AI verantwoord invoeren is een AI-toepassing gestructureerd van idee naar geborgde praktijk brengen, in vier fasen: verkennen, beoordelen, invoeren en borgen. Dat doe je binnen de kaders van de AVG, het kwaliteitsstatuut en de EU AI Act, met menselijke controle als onwrikbaar uitgangspunt.
Implementa
Definitie
Verantwoord AI invoeren betekent dat je een AI-toepassing niet zomaar uitrolt, maar dat je elk stap van idee tot dagelijks gebruik bewust inricht. Drie kenmerken staan daarbij centraal.
Aantoonbaar beheerst. Je weet welke data de tool verwerkt, wie er toegang toe heeft en wie eindverantwoordelijk is als er iets misgaat. Dat is geen formaliteit: het is de basis voor navolgbaarheid naar de IGJ, de Autoriteit Persoonsgegevens (AP) en je eigen medewerkers.
Proportioneel. Niet elke AI-toepassing vraagt dezelfde aanpak. Een interne kennisbot op niet-medische documenten heeft een ander risicoprofiel dan een tool die aantekeningen maakt bij een psychiatrisch intakegesprek. Je past de zorgvuldigheid aan het risico aan.
Ingebed in de organisatie. AI die "naast" het werk staat, wordt niet gebruikt of leidt tot schaduw-AI. Verantwoord invoeren betekent dat de tool past bij de werkwijze van medewerkers en gedragen wordt door leiding en werkvloer samen.
Dit onderscheidt gestructureerde invoering van het klakkeloos activeren van een abonnement en hopen dat het goed gaat.
Het stappenplan
Elke fase heeft een eigen doel en eigen vragen. Je hoeft ze niet altijd strikt achtereenvolgens te doorlopen, maar je kunt geen fase overslaan zonder risico te lopen.
Breng in kaart welke taken potentieel geschikt zijn voor AI. Inventariseer waar medewerkers tijd verliezen, welke processen repetitief zijn en waar de winst het grootst is. Beoordeel tegelijk het risicoprofiel: gaat het om bijzondere persoonsgegevens of klinische beslissingen? Concrete vragen: Welk probleem lost AI op? Wie raakt het? Wat mag er niet misgaan?
Voer een risico-inventarisatie uit. Bepaal of de toepassing valt onder hoog-risico AI (Annex III EU AI Act, relevant na 2 december 2027). Controleer de AVG-grondslag, stel een DPIA op als dat verplicht is en leg vast wie eindverantwoordelijk blijft voor beslissingen. De IGJ verwacht dat menselijke controle en navolgbaarheid aantoonbaar zijn.
Start met een beperkte pilot bij een of twee teams. Zorg voor heldere gebruikersinstructies, train medewerkers in AI-geletterdheid (verplicht conform artikel 4 EU AI Act, geldt al sinds 2 februari 2025) en leg de menselijke controle vast in procedures. Evalueer na vier tot zes weken en besluit daarna over bredere uitrol.
Verankerd de AI-toepassing in beleid en procedures. Stel periodieke monitoring in, leg afspraken vast in verwerkersovereenkomsten en zorg dat de organisatie weet wie eigenaar is van de toepassing. Actualiseer de risicoanalyse zodra de tool of het gebruik wezenlijk verandert.
Context
Drie ontwikkelingen maken gestructureerde invoering urgenter dan ooit.
Artikel 4 EU AI Act geldt al. Sinds 2 februari 2025 zijn organisaties verplicht om medewerkers die met AI werken, voldoende AI-geletterd te maken en dat aantoonbaar te kunnen tonen. Dit is geen toekomstige eis: het geldt vandaag. De Autoriteit Persoonsgegevens houdt toezicht op de naleving van de AI Act in samenhang met de AVG.
IGJ riep op tot zorgvuldigheid (februari 2025). De IGJ riep zorgaanbieders in februari 2025 op om zorgvuldig om te gaan met de invoering van generatieve AI. Menselijke controle en navolgbaarheid zijn leidend. Wie nu al werkt via een gestructureerde aanpak, heeft een flinke voorsprong bij een eventueel inspectiebezoek.
Schaduw-AI is een reeel risico. Medewerkers die zonder kader met AI werken, gebruiken soms tools waarbij patienten- of cliëntgegevens buiten de organisatie worden verwerkt. Een zorginstelling met 24 behandelaren en drie vestigingen die hier geen beleid over heeft, loopt AVG-risico zonder het te weten. De winnaar van de administratietijd, vertaald naar de GGZ: registratietijd daalt van gemiddeld zo’n 30 minuten naar 8–12 minuten per behandelaar per dag (bron: Coöperatie VGZ). De winst is reëel. De kunst is die verantwoord te verzilveren.
Vergelijking
Er zijn meerdere manieren om AI in te voeren. De juiste keuze hangt af van je risicoprofiel, interne capaciteit en de gevoeligheid van de data.
Risico-inventarisatie
AVG- en DPIA-ondersteuning
AI-geletterdheid medewerkers
Beleid en borging
Geschikt voor
Veelgestelde vragen
Verantwoord AI invoeren betekent dat je een AI-toepassing gestructureerd van idee naar geborgde praktijk brengt, binnen de kaders van de AVG, het kwaliteitsstatuut en de EU AI Act. Menselijke controle en navolgbaarheid staan daarbij centraal.
De vier fasen zijn: (1) Verkennen: de juiste use-case identificeren, (2) Beoordelen: risico en regelgeving doorlichten, (3) Invoeren: pilot en uitrol begeleiden, en (4) Borgen: AI verankeren in beleid en monitoring.
Artikel 4 (AI-geletterdheidsplicht) en artikel 5 (verbod op onaanvaardbaar risico) gelden al sinds 2 februari 2025. De zwaarste eisen voor hoog-risico AI zijn via de Digital Omnibus verschoven naar 2 december 2027. Je hebt ruimte om verantwoord op te bouwen, maar de basisplichten gelden nu al.
Schaduw-AI is het gebruik van AI-tools door medewerkers zonder medeweten of goedkeuring van de organisatie. Dit leidt tot onbeheersbare privacyrisico's, want patientengegevens of clientgegevens kunnen terechtkomen bij externe aanbieders zonder verwerkersovereenkomst of AVG-grondslag.
Een DPIA is verplicht als AI grootschalig bijzondere persoonsgegevens verwerkt, bij hoog risico voor betrokkenen, of bij nieuwe technologie op gevoelige data. Voor AI in de zorg is een DPIA vrijwel altijd vereist als de tool toegang heeft tot gezondheidsgegevens.
Kleinere, laag-risico toepassingen (zoals een interne kennisbot op niet-medische documenten) kun je met de juiste kennis intern aanpakken. Bij toepassingen op zorgdata, clientregistratie of klinische ondersteuning is begeleiding verstandig vanwege de AVG-complexiteit en het IGJ-toezicht.
De IGJ riep zorgaanbieders in februari 2025 op zorgvuldig om te gaan met de invoering van generatieve AI. Menselijke controle en navolgbaarheid zijn leidend. De behandelaar blijft eindverantwoordelijk en mag die verantwoordelijkheid niet overdragen aan een AI-systeem.
Over de auteur
Arjan Woldring
oprichter Implementa
Arjan is oprichter van Implementa en begeleidt zorgorganisaties bij het verantwoord invoeren van AI. Hij combineert praktijkkennis van de GGZ met een scherp oog voor AVG-compliance en de EU AI Act. Zijn vertrekpunt: AI moet mensen ondersteunen, niet vervangen. En het moet aantoonbaar kloppen.
Lees ook
Dit artikel maakt deel uit van de pilaar Verantwoorde AI-implementatie. Verwante onderwerpen:
Kennisartikel
Wat moet er in een AI-beleid staan? Een praktische gids voor zorgorganisaties die hun AI-gebruik willen vastleggen en borgen.
Lees verderKennisartikel
Medewerkers gebruiken AI buiten het zicht van de organisatie. Wat zijn de risico's en hoe voorkom je schaduw-AI in jouw team?
Lees verderPilaar
Bekijk alle artikelen over verantwoord AI invoeren, beleid opstellen, risico's beheersen en schaduw-AI voorkomen.
Naar de pilaarKlaar voor de volgende stap?
Wil je weten welke fase bij jouw organisatie past en waar de grootste risico's liggen? Plan een vrijblijvend gesprek. We kijken samen naar jullie situatie en geven eerlijk advies over de meest verstandige volgende stap.