AI Act-audit voor ziekenhuizen
Drie regimes lopen door elkaar. De meeste instellingen weten niet welk systeem onder welk regime valt.
Software die meebeslist over diagnose of behandeling is doorgaans een medisch hulpmiddel. Daar geldt de medische hulpmiddelenverordening, met een conformiteitsbeoordeling en een aangemelde instantie. De AI Act komt daar bovenop, met een toepassingsdatum van 2 augustus 2028.
Systemen die patiënten prioriteren voor spoedeisende hulp, staan rechtstreeks in bijlage III. Die verplichtingen gelden vanaf 2 december 2027.
Administratie, logistiek en capaciteitsplanning vallen doorgaans buiten beide. Daar geldt vooral de AI-geletterdheidsplicht, die al sinds 2 februari 2025 loopt.
Het probleem is dat die drie sporen in de praktijk in hetzelfde EPD zitten.
Klinisch of administratief
Wij gaan na welke toepassingen gegevens van een individuele patiënt gebruiken om een zorgbeslissing te onderbouwen, en welke enkel het proces organiseren. Dat onderscheid bepaalt of u in het regime van de medische hulpmiddelen zit.
Wij stellen het vast en beoordelen geen conformiteit: dat is voorbehouden aan een aangemelde instantie.
Triage en prioritering
Systemen die bepalen wie eerst wordt gezien, verdienen een aparte doorlichting.
Wij toetsen waarop de prioritering is gebaseerd en of de zorgverlener in de praktijk de tijd en de informatie heeft om ervan af te wijken.
Uw rol bij ingekochte systemen
Uw EPD en de AI-modules erin komen van leveranciers. Wij zoeken uit wie aanbieder is en wie gebruiksverantwoordelijke.
Wie een systeem onder eigen naam zet of het beoogde doel ervan wijzigt, wordt zelf aanbieder, ook als het contract iets anders suggereert.
Samenloop met bestaande kaders
Uw instelling werkt al met de AVG, met patiëntenrechten en met informatiebeveiligingsnormen.
Wij brengen in kaart waar die al voorzien in wat de AI-verordening vraagt en waar ze uit elkaar lopen, zodat u niet twee keer hetzelfde documenteert.
Wat u krijgt
Een inventaris van de AI-systemen in scope, een kwalificatie per systeem, en een lijst van vastgestelde tekorten met prioriteit. De kwalificatie is het werk van de aangesloten advocaten, in eigen naam en onder eigen beroepsaansprakelijkheid.
Wij voeren de audit uit en stellen het rapport samen. Wij beoordelen geen conformiteit en geven geen certificaat af.
Na de audit,
automatisatie
Het remediatieplan is van u. U voert het intern uit, met uw huidige leverancier, of met ons.
Komt uit de audit dat uw AI-toepassingen draaien op Amerikaanse infrastructuur en wilt u dat anders, dan is dat een apart vraagstuk.
Daarvoor ontwikkelen wij Thor: een zelfgehoste omgeving waarin uw bedrijfsdata Europa niet verlaat. De ontwikkeling start op 1 november 2026 en loopt zes maanden, met vooraf vastgelegde meetdrempels. Dat is een aparte opdracht en geen vervolg op de audit.