AI in de zorg: welke regels gelden en wie is aansprakelijk bij fouten?

Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 13 oktober 2026

Een AI-systeem met een medisch doel, zoals software die röntgenfoto’s beoordeelt, is een medisch hulpmiddel en heeft een CE-markering onder de Europese verordening medische hulpmiddelen (MDR) nodig; de zwaardere AI-verordening geldt voor zulke systemen pas vanaf 2 augustus 2028. De arts blijft verantwoordelijk voor de behandeling, ook als hij een AI-advies opvolgt, terwijl de fabrikant aansprakelijk kan zijn voor schade door een gebrekkig systeem.

Daarnaast gelden de AVG voor de patiëntgegevens en de Wet op de geneeskundige behandelingsovereenkomst (WGBO) in titel 7.7 van het Burgerlijk Wetboek. Hieronder leest u wat elke regeling vraagt van ontwikkelaars, zorginstellingen en zorgverleners.

Welke regels gelden voor AI in de zorg?

Vier regelingen lopen door elkaar: de MDR, de AI-verordening, de AVG en de WGBO. Welke van toepassing zijn, hangt af van het doel van het systeem en van uw rol.

• MDR (Verordening (EU) 2017/745): veiligheid en prestaties van medische hulpmiddelen, inclusief software.
• AI-verordening (Verordening (EU) 2024/1689): risicogebaseerde regels voor AI-systemen.
• AVG en de Uitvoeringswet AVG (UAVG): verwerking van gezondheidsgegevens.
• WGBO (art. 7:446 e.v. BW) en de Wet kwaliteit, klachten en geschillen zorg (Wkkgz): de relatie met de patiënt en de kwaliteit van zorg.

Het toezicht ligt bij de Inspectie Gezondheidszorg en Jeugd (IGJ) voor medische hulpmiddelen en kwaliteit van zorg, en bij de Autoriteit Persoonsgegevens voor de gegevensverwerking. Een algemene uitleg van de AI-regels vindt u in onze gids over de AI-verordening.

Wanneer is AI-software een medisch hulpmiddel?

Software is een medisch hulpmiddel als de fabrikant haar bestemt voor een medisch doel, zoals diagnose, preventie, monitoring, voorspelling of behandeling van ziekte (art. 2 MDR). Software voor planning, administratie of algemene leefstijl zonder medisch doel valt er niet onder.

Het beoogde doel staat in de gebruiksaanwijzing, het label en de marketing. Een fabrikant die een app aanprijst als hulp bij het opsporen van huidkanker, maakt er daardoor een medisch hulpmiddel van.

In welke risicoklasse valt medische AI?

Voor software geldt classificatieregel 11 uit bijlage VIII bij de MDR. Software die informatie geeft voor diagnostische of therapeutische beslissingen is minimaal klasse IIa.

• Klasse IIa: ondersteuning bij diagnose of behandeling en het monitoren van fysiologische processen.
• Klasse IIb: als een beslissing kan leiden tot ernstige achteruitgang van de gezondheid of een chirurgische ingreep, of bij monitoring van vitale parameters waarbij afwijkingen direct gevaar opleveren.
• Klasse III: als een beslissing kan leiden tot overlijden of onherstelbare achteruitgang.
• Klasse I: alleen software die buiten deze categorieën valt.

Vanaf klasse IIa moet een aangemelde instantie (notified body) de conformiteit beoordelen; zelfcertificering is dan niet mogelijk. De fabrikant stelt technische documentatie op, voert een klinische evaluatie uit, registreert het hulpmiddel in de Europese databank Eudamed en houdt na het in de handel brengen toezicht op de prestaties.

Wat vraagt de AI-verordening en vanaf wanneer?

De AI-verordening geldt sinds 1 augustus 2024 en wordt in fasen van toepassing. Medische AI die als medisch hulpmiddel een aangemelde instantie nodig heeft, is een hoog-risicosysteem (art. 6 lid 1 en bijlage I).

• Sinds 2 februari 2025: verboden AI-praktijken en de plicht om personeel voldoende AI-geletterd te maken (art. 4).
• Sinds 2 augustus 2026: transparantieplichten, zoals melden dat iemand met een chatbot praat (art. 50).
• Vanaf 2 december 2027: hoog-risicosystemen uit bijlage III, zoals AI die toegang tot zorgdiensten of verzekeringen beoordeelt.
• Vanaf 2 augustus 2028: hoog-risico-AI in producten zoals medische hulpmiddelen.

Deze data volgen uit de Digital Omnibus over AI, Verordening (EU) 2026/1744. De MDR-eisen zijn niet uitgesteld en gelden onverkort. De boetes lopen tot € 35 miljoen of 7% van de wereldwijde jaaromzet bij verboden praktijken, en tot € 15 miljoen of 3% bij andere overtredingen (art. 99).

Wat moet een zorginstelling als gebruiker doen?

Een ziekenhuis dat een hoog-risicosysteem inzet, is ‘gebruiksverantwoordelijke’ en heeft eigen plichten (art. 26 AI-verordening). Het moet het systeem gebruiken volgens de gebruiksaanwijzing, menselijk toezicht organiseren door bekwame mensen, de werking volgen en ernstige incidenten melden.

Mag AI patiëntgegevens verwerken?

Ja, maar gezondheidsgegevens zijn bijzondere persoonsgegevens en mogen alleen worden verwerkt als een uitzondering uit art. 9 AVG geldt. Voor behandeling is dat in Nederland art. 30 lid 3 UAVG: zorgverleners mogen gezondheidsgegevens verwerken voor zover dat nodig is voor een goede behandeling of het beheer van de instelling.

Voor AI bij de eigen behandeling is daarom niet altijd aparte toestemming nodig. Gebruikt u de gegevens voor iets anders, zoals het trainen van een algoritme of onderzoek, dan heeft u een eigen grondslag nodig: toestemming of een specifieke wettelijke uitzondering voor wetenschappelijk onderzoek. Meer over de basisregels leest u bij privacywetgeving in Nederland.

• Voer een gegevensbeschermingseffectbeoordeling uit vóór de inzet (art. 35 AVG); zie ons stappenplan voor een DPIA.
• Sluit een verwerkersovereenkomst met de leverancier als die toegang tot de gegevens heeft (art. 28 AVG).
• Gebruik niet meer gegevens dan nodig en versleutel ze.
• Meld een datalek binnen 72 uur aan de Autoriteit Persoonsgegevens (art. 33 AVG); zie wanneer moet u een datalek melden.

Mag een algoritme zelfstandig beslissen over een patiënt?

In beginsel niet. Art. 22 AVG geeft de patiënt het recht niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en hem aanmerkelijk treft; bij gezondheidsgegevens is dat alleen toegestaan met uitdrukkelijke toestemming of op grond van een zwaarwegend algemeen belang, met passende waarborgen.

Wie is aansprakelijk als AI een fout maakt?

Tegenover de patiënt is in de eerste plaats de zorgverlener of de instelling aansprakelijk. De hulpverlener moet de zorg van een goed hulpverlener in acht nemen (art. 7:453 BW), en dat blijft zo als hij een hulpmiddel gebruikt.

Het ziekenhuis is mede aansprakelijk voor tekortkomingen bij de behandeling in het ziekenhuis (centrale aansprakelijkheid, art. 7:462 BW). Daarnaast is de hulpverlener ook aansprakelijk voor de ongeschiktheid van gebruikte zaken (art. 6:77 BW), al kan in de overeenkomst daarvan niet ten nadele van de patiënt worden afgeweken.

De fabrikant is aansprakelijk voor schade door een gebrekkig product (art. 6:185 BW). De nieuwe Europese productaansprakelijkheidsrichtlijn (Richtlijn (EU) 2024/2853) noemt software uitdrukkelijk als product en verlicht de bewijslast bij complexe technologie; lidstaten moeten haar uiterlijk 9 december 2026 omzetten. Het aparte voorstel voor een AI-aansprakelijkheidsrichtlijn heeft de Europese Commissie in 2025 ingetrokken. Zie ook wie is aansprakelijk bij fouten van AI.

Wat moet u de patiënt vertellen over AI?

De patiënt moet zo worden geïnformeerd dat hij kan beslissen over de behandeling (art. 7:448 BW). Speelt AI een wezenlijke rol in diagnose of advies, dan hoort dat bij die informatie, net als de beperkingen ervan.

Voor de behandeling zelf is toestemming van de patiënt nodig (art. 7:450 BW). Daarnaast heeft de patiënt de informatierechten uit de AVG, zoals inzage in welke gegevens zijn gebruikt (art. 15 AVG).

Waar let u op als ontwikkelaar of als zorginstelling?

Als ontwikkelaar of fabrikant

• Formuleer het beoogde doel precies; dat bepaalt de MDR-klasse.
• Schakel tijdig een aangemelde instantie in vanaf klasse IIa.
• Leg de herkomst en rechtmatigheid van trainingsdata vast.
• Bereid u voor op de AI-verordeningseisen per 2 augustus 2028.

Als zorginstelling of zorgverlener

• Controleer de CE-markering en de registratie in Eudamed vóór aanschaf.
• Voer een DPIA uit en sluit een verwerkersovereenkomst.
• Regel menselijk toezicht en train personeel in AI-geletterdheid.
• Leg in het contract met de leverancier aansprakelijkheid, updates en incidentmelding vast.

Wat kunnen wij voor u doen bij AI in de zorg?

• Beoordelen of uw software een medisch hulpmiddel of hoog-risico-AI is.
• Licentie-, leverings- en verwerkersovereenkomsten opstellen en toetsen, vanuit onze praktijk ICT-recht.
• Een DPIA en het privacybeleid voor AI-gebruik beoordelen.
• De invoeringstermijnen van de AI-verordening voor uw organisatie in kaart brengen.
• Bijstaan bij aansprakelijkheidsgeschillen tussen zorginstelling en leverancier, vanuit ons aansprakelijkheidsrecht.

Samengevat

• AI met een medisch doel is een medisch hulpmiddel en valt meestal in klasse IIa of hoger onder de MDR.
• De hoog-risicoregels van de AI-verordening gelden voor medische hulpmiddelen vanaf 2 augustus 2028.
• Zorgverleners mogen gezondheidsgegevens voor de behandeling verwerken (art. 30 lid 3 UAVG); voor training of onderzoek is een aparte grondslag nodig.
• De zorgverlener blijft tegenover de patiënt verantwoordelijk; de fabrikant is aansprakelijk voor een gebrekkig product.

Veelgestelde vragen

Moet een patiënt toestemming geven voor AI-gebruik?

Voor de behandeling als geheel is toestemming nodig (art. 7:450 BW), na goede informatie. Voor de gegevensverwerking bij de eigen behandeling is geen aparte AVG-toestemming nodig; voor hergebruik van gegevens voor training of onderzoek meestal wel.

Is het ziekenhuis aansprakelijk voor een fout van de software?

Tegenover de patiënt in de regel wel, omdat het ziekenhuis instaat voor de gebruikte hulpmiddelen (art. 6:77 en 7:462 BW). Het ziekenhuis kan de schade daarna verhalen op de fabrikant of leverancier.

Geldt de AI-verordening al voor medische AI?

Gedeeltelijk. De AI-geletterdheidsplicht en de verboden praktijken gelden sinds 2 februari 2025; de hoog-risico-eisen voor medische hulpmiddelen pas vanaf 2 augustus 2028.

Wie houdt toezicht?

De IGJ op medische hulpmiddelen en de kwaliteit van zorg, de Autoriteit Persoonsgegevens op de verwerking van persoonsgegevens.