Het gebruik van digitale tools in de zorg: waar moet ik op letten?

In de zorg wordt regelmatig gebruikgemaakt van digitale tools. Dat is een verzamelbegrip voor uiteenlopende toepassingen, variërend van reguliere zorg-ICT (zoals het elektronisch patiëntendossier (EPD) en planning- en facturatiesoftware) tot e‑health en andere digitale hulpmiddelen die direct worden ingezet ter ondersteuning van de zorgverlening, zoals triagetools of beslisondersteunende software. Als een digitale tool door een zorgaanbieder wordt gebruikt (bijvoorbeeld op de website), dan zullen patiënten erop moeten kunnen vertrouwen dat de tool kwalitatief goed is. Dat brengt verantwoordelijkheden met zich voor de zorgaanbieder die de tool aanbiedt. 

In een eerder artikel stonden wij stil bij AI in de zorg en de eisen die daaraan worden gesteld. De opgekomen media-aandacht voor digitale tools biedt een goed moment om stil te staan bij het juridisch kader: hoe zit het ook alweer?

De beoordeling om wat voor digitale tool het gaat is belangrijk, omdat niet voor elke toepassing hetzelfde wettelijke kader geldt. Sommige software ondersteunt uitsluitend de bedrijfsvoering of administratieve processen. Andere digitale tools hebben (mede) een zorginhoudelijke functie en kunnen invloed hebben op diagnose, monitoring of behandeling van patiënten. In dat laatste geval kan sprake zijn van software als medisch hulpmiddel, waarvoor strengere regels gelden. 

In artikel 2 van de Medical Device Regulation (“MDR”) is bepaald dat software een medisch hulpmiddel is wanneer zij door de fabrikant is bestemd om te worden gebruikt voor een medisch doel, zoals diagnose, monitoring, voorspelling of behandeling van ziekte. Doorslaggevend is de beoogde bestemming van de software, zoals blijkt uit de functionaliteit, de gebruiksaanwijzing en de wijze van presentatie of marketing door de fabrikant.

In het richtsnoer [1] bij de MDR is toegelicht dat software die actief medische gegevens analyseert of interpreteert voor individuele patiënten, onder de MDR valt. Gedacht kan worden aan software die ECG-beelden analyseert of patiënten op basis van ingevoerde gegevens triageert. Software die uitsluitend gegevens opslaat, overdraagt of weergeeft zonder enige medische interpretatie of analyse, kwalificeert niet als medisch hulpmiddel, zoals het elektronisch dossier of een planningsysteem. Het verschil lijkt soms klein, maar is juridisch van groot belang voor zorgaanbieders vanwege de verdeling van verantwoordelijkheden. Zodra software wordt aangemerkt als medisch hulpmiddel, gelden de verplichtingen uit de MDR. Een aantal daarvan, zoals het verkrijgen van een CE‑markering en, waar van toepassing, betrokkenheid van een notified body, rusten primair op de fabrikant van het medisch hulpmiddel. 

Verantwoordelijkheid van de zorgaanbieder bij medische hulpmiddelen

Op grond van de Wet kwaliteit klachten en geschillen zorg (“Wkkgz”) en de Wet op de geneeskundige behandelovereenkomst (“Wgbo”) blijft de zorgaanbieder verantwoordelijk voor het leveren van goede en veilige zorg. Dat betekent onder meer dat de zorgaanbieder bij de inkoop en inzet van digitale tools moet nagaan of:

• de software kwalificeert als medisch hulpmiddel en, zo ja, of deze is voorzien van een geldige CE‑markering;
• de tool wordt gebruikt conform de beoogde bestemming en gebruiksvoorwaarden van de fabrikant;
• de organisatie beschikt over procedures voor veilig en verantwoord gebruik.

Daarnaast moet de zorgaanbieder ervoor zorgen dat medewerkers in staat zijn om met de digitale tool te werken. Zij moeten begrijpen wat de tool doet, wat de beperkingen zijn en hoe de uitkomst moet worden geïnterpreteerd in het licht van de professionele standaard. Deze verantwoordelijkheid sluit aan bij het Toetsingskader Digitale Zorg van de Inspectie Gezondheidszorg en Jeugd, waarin is uitgewerkt wat van zorgaanbieders wordt verwacht bij de inzet van technologie op grond van de Wkkgz en het vereiste van goede zorg. Ook moeten patiënten goed worden geïnformeerd over het gebruik, de beperkingen en de risico’s van digitale tools.

AI-verordening
Wanneer digitale tools een AI-component hebben, is aanvullend de AI-verordening relevant. Zij zullen dan ook als “AI-systeem” aan te merken zijn. De meeste verplichtingen uit de AI-verordening rusten op aanbieders van AI‑systemen. Dat zijn partijen die het AI-systeem op de markt brengen of (laten) ontwikkelen om onder eigen naam of merk te gebruiken. Een zorgaanbieder kan, gelet op deze brede definitie, dus ook een aanbieder van een AI-systeem zijn. AI‑systemen die als medisch hulpmiddel worden ingezet, of een veiligheidscomponent daarvan zijn, worden in beginsel aangemerkt als hoog‑risico AI. Voor die systemen gelden voor aanbieders aanvullende eisen op het gebied van risicobeheersing, transparantie, datakwaliteit en menselijk toezicht. 

Voor zorgaanbieders geldt dat zij, als zij gebruiker van hoog‑risico AI zijn, onder meer verantwoordelijk zijn voor het juiste gebruik van het systeem, het volgen van de gebruiksinstructies en het signaleren en melden van incidenten. Ook hier geldt dat de inzet van AI de eigen verantwoordelijkheid voor goede zorg niet vervangt.

Vanuit het oogpunt van gegevensbescherming gelden er bepaalde eisen voor zorgaanbieders die digitale tools gebruiken. Hierbij is al snel sprake van verwerking van persoonsgegevens, zoals gevoelige medische gegevens van patiënten. De AVG stelt aan deze verwerking van ‘bijzondere gegevens’ strenge eisen. Zo is de hoofdregel dat dit verboden is, tenzij een wettelijke uitzondering aanwezig is én een grondslag uit de AVG kan worden ingeroepen. Bijv. als de verwerking noodzakelijk is voor het verstrekken van de zorg aan een patiënt. . Verder is de passende beveiliging van de gegevens in de digitale tool essentieel, niet alleen om datalekken te voorkomen, maar ook de aansprakelijkheid voor schade als gevolg daarvan, en is er de verplichting om, als sprake is van een verhoogd privacyrisico voor de patiënten, vóór het gebruik van digitale tool, een Data Protection Impact Assessment (DPIA) uit te voeren. 

Nieuwe regelgeving

De Europese Unie is zeer actief op het gebied van digitale zorg. Het is belangrijk voor zorgaanbieders om rekening te houden met de regelgeving die op komst is, zoals de Cyberbeveiligingswet (implementatie van de NIS2-Richtlijn) en de Cyber Resilience Act. Deze regels leggen aanvullende verplichtingen op aan zowel fabrikanten als zorgaanbieders, onder meer op het gebied van transparantie, risicobeheersing en cybersecurity. Over de NIS2-Richtlijn schreven wij eerder een artikel.   

Digitale tools bieden grote kansen voor de zorg, maar brengen ook juridische risico’s met zich. Het nieuws rond de digitale triagetool benadrukt dat bewust en zorgvuldig gebruik essentieel is. Het is mogelijk digitale tools in te zetten, mits deze voldoen aan duidelijke en strikte eisen. 

Let als zorgaanbieder bij het aanschaffen of inzetten van digitale tools onder meer op of deze kwalificeert als medisch hulpmiddel en, in het bevestigende geval, of de benodigde certificering aanwezig is. Belangrijk is dat de zorgaanbieder altijd verantwoordelijk blijft voor de kwaliteit en veiligheid van de geleverde zorg. Dat vereist inzicht in het type digitale tool dat wordt ingezet, kennis van de verdeling van verantwoordelijkheden tussen fabrikant en zorgaanbieder en aandacht voor veilig gebruik en privacy.

Bovenstaand artikel is geen advies, maar biedt inzicht in de belangrijkste aspecten op hoofdlijnen. Elke toepassing en situatie is verschillend. Wil je meer weten over het gebruik van AI in de zorg of over medische hulpmiddelen, bel of mail dan met Eline of Demi.

[1] Richtsnoer - Guidance on Qualification and Classification of Software in Regulation (EU) 2017/745 – MDR and Regulation (EU) 2017/746.