Hoe laat u een AI-tool goedkeuren in uw ziekenhuis?
Om een AI-tool bij echte patiënten te gebruiken, heeft een ziekenhuisarts het schriftelijke akkoord van zijn ziekenhuis nodig, in de praktijk dat van de functionaris voor gegevensbescherming (DPO) of van de directie. De procedure is eenvoudiger dan ze lijkt als het hulpmiddel goed ontworpen is: enkele precieze vragen, schriftelijke antwoorden. Zo pakt u het aan, stap voor stap.
- Het ziekenhuis is verantwoordelijk voor de gegevens van zijn patiënten: het keurt goed, niet de arts alleen.
- Het eerste aanspreekpunt is de DPO; de IT-dienst en de medische directie volgen vaak.
- Een kort en precies dossier versnelt alles: gegevensstromen, termijnen, plaats, contract.
- Over een hulpmiddel dat niet geïnstalleerd hoeft te worden en geen toegang heeft tot het patiëntendossier, wordt sneller beslist.
Waarom is een goedkeuring nodig?
Een klinische nota gaat over een patiënt, ook zonder zijn naam: het is een persoonsgegeven over de gezondheid in de zin van de AVG. In het ziekenhuis is de instelling verantwoordelijk voor die verwerking. Wanneer een extern hulpmiddel die gegevens verwerkt, moet het aan het ziekenhuis gebonden zijn door een verwerkersovereenkomst (artikel 28 van de AVG)1. Een arts kan dat contract niet alleen tekenen: daarom moet het ziekenhuis ja zeggen.
Wie beslist, en in welke volgorde?
| Aanspreekpunt | Waar hij naar kijkt |
|---|---|
| De DPO | De gegevens: welke, waar, hoe lang, onder welk contract; soms een effectbeoordeling |
| De IT-dienst | Wat er geïnstalleerd, geopend of gekoppeld moet worden; de beveiliging |
| De medische directie | Het belang voor de zorg, de verantwoordelijkheid, de reikwijdte van de test |
| Het diensthoofd | De organisatie van de dienst, wie test, hoe lang |
De volgorde verschilt van ziekenhuis tot ziekenhuis. Het meest doeltreffend is vaak te beginnen bij het diensthoofd, die de vraag draagt, en dan het dossier naar de DPO te sturen.
De procedure, stap voor stap
- De steun van uw diensthoofd krijgen. Een vraag die door de dienst gedragen wordt, gaat sneller dan een individuele vraag.
- De DPO een kort dossier sturen: wat het hulpmiddel doet, welke gegevens het ontvangt, waar ze verwerkt worden, hoe lang ze bewaard worden, wie de verwerkers zijn.
- Verduidelijken wat het hulpmiddel niet doet: geen toegang tot het patiëntendossier, geen automatisch schrijven, geen opname van de patiënt. Vaak stelt dat het meest gerust.
- Een beperkte test voorstellen: één dienst, enkele artsen, enkele weken.
- De verwerkersovereenkomst tekenen tussen het ziekenhuis en de leverancier, en dan beginnen.
Wat de beslissing makkelijk maakt
- Niets te installeren: een hulpmiddel dat in de browser werkt, vraagt de IT-dienst geen enkele uitrol.
- Geen toegang tot het patiëntendossier: een hulpmiddel dat niets leest of schrijft in de software van het ziekenhuis, opent geen verbinding die beveiligd moet worden.
- Gegevens in Europa, kort bewaard: hoe minder er bewaard moet worden, hoe minder er te beschermen valt.
- Een patiënt die niet opgenomen wordt: geen toestemming om te verzamelen.
- Schriftelijke en precieze antwoorden, ook over de grenzen: een DPO vertrouwt wat precies gezegd wordt.
Solys is ontworpen om elk van die vakjes aan te vinken: het werkt in de browser, maakt geen verbinding met het dossier, neemt alleen de arts op, verwerkt de gegevens in de Europese Unie en wist de nota uiterlijk na 24 uur. Het dossier om te bezorgen ligt klaar: wat Solys bewaart, wat het wist. Solys werkt vandaag in het Frans; Nederlandstalig dicteren is in voorbereiding.
Veelgestelde vragen
Mag een arts een AI-tool in het ziekenhuis gebruiken zonder goedkeuring?
Niet voor patiëntgegevens. Het ziekenhuis is ervoor verantwoordelijk en moet het hulpmiddel goedkeuren, meestal via het schriftelijke akkoord van zijn DPO of zijn directie.
Hoe lang duurt een goedkeuring?
Dat hangt af van het ziekenhuis en van het hulpmiddel. Over een hulpmiddel dat niet geïnstalleerd hoeft te worden, geen toegang heeft tot het patiëntendossier en de vragen van de DPO schriftelijk beantwoordt, wordt meestal veel sneller beslist dan over een integratieproject.
Is een gegevensbeschermingseffectbeoordeling (DPIA) nodig?
Dat beoordeelt de DPO, volgens de verwerking. De leverancier moet de nodige technische elementen kunnen aanleveren.
Wat moet ik voor Solys naar de DPO sturen?
De link naar de pagina gegevens en DPO, die de weg van een dictee beschrijft, de bewaartermijnen, de plaats van verwerking en de rol van elk. De andere elementen worden op verzoek bezorgd.
Kan het diensthoofd een hulpmiddel alleen goedkeuren?
Hij kan de vraag dragen en de test organiseren, maar het akkoord over de gegevens komt toe aan het ziekenhuis, in de praktijk aan de DPO of de directie. Een vraag die door het diensthoofd gesteund wordt, gaat sneller.
Moet ik de patiënten informeren over het gebruik van Solys?
De patiënt wordt niet opgenomen: alleen de arts dicteert, na de visite. De informatie van patiënten over de gegevensverwerkingen hoort bij het algemene beleid van het ziekenhuis, dat de DPO kent.
Bronnen
- Verordening (EU) 2016/679 van 27 april 2016 (AVG), artikelen 4, 9, 28 en 35. eur-lex.europa.eu
Door Klaas Sabbe, oprichter van Solys · bijgewerkt op . Een fout, een aanvulling? Schrijf ons: solys@solyshealth.com.