Co-auteur: Stan van Riemsdijk
Ook in de gezondheidszorg is Artificial Intelligence (‘AI’) een hot topic. Deze technologie kan bijvoorbeeld bijdragen aan het voorspellen van hoe een corona-infectie verloopt, het herkennen van herseninfarcten, maar ook het automatiseren van administratieve taken of het identificeren van verbanden in veel en/of complexe materie. Zoals vaker bij nieuwe technologieën, leidt dit ook weer tot nieuwe juridische en beleidsmatige vraagstukken. Voor het trainen van AI zijn namelijk gegevens nodig, en vaak zijn dat persoonsgegevens. In dat geval is de Algemene verordening gegevensbescherming (‘AVG’) van toepassing. Hoe past het gebruik van AI in dit kader?
Wat is AI?
AI is inmiddels niet meer weg te denken uit de dagelijkse praktijk. Maar wat is AI precies? De Europese Commissie omschrijft AI als systemen die intelligent gedrag vertonen door hun omgeving te analyseren en – met een zekere mate van autonomie – acties te ondernemen om specifieke doelen te bereiken. Er worden verschillende soorten categorieën van AI onderscheiden. AI-systemen kunnen worden gecategoriseerd op basis van hun vermogen om menselijke eigenschappen na te bootsen, de technologie die daarvoor wordt gebruikt, hun toepassingen in de praktijk en de achterliggende theorie. Aan de hand van deze kenmerken vallen AI-systemen in te delen in drie categorieën, te weten:
- artificial narrow intelligence (ook wel omschreven als ‘Weak AI’); deze categorie wordt gekenmerkt doordat deze systemen een beperkt scala aan vaardigheden hebben;
- artificial general intelligence (ook wel omschreven als ‘Strong AI’); deze categorie van AI-systemen wordt gekenmerkt door het feit dat ze dezelfde intellectuele capaciteiten hebben als mensen;
- artificial superintelligence; deze categorie van AI-systemen is intelligenter dan mensen, en is dan ook beter in alles wat mensen kunnen doen.
Vooralsnog hebben we het vooral over categorie 1.
Hoe zit het met toestemming?
Machine learning algoritmes en AI’s hebben veel gedetailleerde gegevens nodig van hoge kwaliteit. Los van de beschikbaarheid van specifieke datasets voor specifieke ziektebeelden, medicatie en herstel, hebben we het in de gezondheidszorg dan vrijwel altijd over bijzondere persoonsgegevens. Die mogen volgens de AVG en de Wet op de geneeskundige behandelingsovereenkomst (‘WGBO’) in principe alleen gebruikt worden in het kader van de behandeling. Verder gebruik is wel mogelijk met toestemming van de patiënt. Toestemming dient o.a. uitdrukkelijk, specifiek en vrijwillig gegeven te zijn. Gezien de datahonger van slimme algoritmes kan dat vrij onpraktische situaties opleveren. Idealiter wordt deze algoritmes zo veel mogelijk gevoed, zodat ze hier maximaal van kunnen leren. Dan is het niet werkbaar als elke patiënt elke keer toestemming dient te geven voor specifieke AI-gerelateerde verwerkingen.
Alternatief voor toestemming
De AVG biedt een mogelijkheid. Het verwerkingsverbod kan namelijk worden doorbroken in het kader van statistiek of wetenschappelijk onderzoek. Daar zijn aanvullende waarborgen aan toegevoegd in de Uitvoeringswet AVG en in de WGBO. Een beroep op deze uitzonderingsgrond is mogelijk wanneer:
- toestemming vragen in redelijkheid niet mogelijk is en door het onderzoek de levenssfeer van de patiënt niet onevenredig wordt geschaad; of
- toestemming vragen in redelijkheid niet kan worden verlangd en door de behandelaar redelijkerwijs voorkomen wordt dat de gegevens te herleiden zijn tot individuele patiënten.
Dit is alleen mogelijk wanneer:
- het onderzoek het algemeen (volksgezondheids)belang dient. Dit is bijvoorbeeld het geval wanneer het onderzoek wordt uitgevoerd door een instelling voor wetenschappelijk onderzoek of statistiek, en als met het onderzoek publicatie wordt beoogd; en
- het onderzoek kan niet zonder deze gegevens worden uitgevoerd; en
- de patiënt heeft geen bezwaar gemaakt tegen dit gebruik van zijn gegevens (‘opt-out’); en
- van de verstrekking zonder toestemming wordt een aantekening gemaakt in het dossier van de patiënt.
De zorgverlener blijft verantwoordelijk voor het voldoen aan deze voorwaarden.
Wat zegt de AVG nog meer?
De AI-gebruiker dient daarnaast voldoende waarborgen in te stellen zodat de persoonlijke levenssfeer van de patiënt niet onevenredig wordt geschaad. Allereerst dienen de betrokkenen te worden geïnformeerd over de verwerking van persoonsgegevens, bijvoorbeeld door middel van een privacyverklaring op de website. Bij verwerking via zware apparaten in het ziekenhuis – zoals een MRI- of CT-scanmachine – kan dit wat lastiger worden. Denk dan ook aan mondeling informeren of QR-codes.
Daarnaast mogen de persoonsgegevens niet langer worden bewaard in identificeerbare vorm dan noodzakelijk is voor het doel. Indien de persoonsgegevens uitsluitend nog worden bewaard voor statistische doeleinden, dan geldt dit niet. De uitkomsten van het onderzoek moeten anoniem zijn om te kunnen spreken van statistische doeleinden, zo stelt de AVG. Ook dienen passende afspraken te worden gemaakt tussen de betrokken partijen. Zo zal er, afhankelijk van de privacyrechtelijke rol, een verwerkersovereenkomst of een data-uitwisselingsovereenkomst moeten worden gesloten tussen de betrokken partijen.
Meer weten over dit onderwerp? Lees verder:
