---
title: "AI in de BI van de zorginstelling: van experiment naar verantwoorde inrichting"
seoTitle: "Whitepaper: AI in de BI van de zorginstelling"
seoDescription: "Hoe zet een zorginstelling AI verantwoord in op de BI-omgeving? Beleid, architectuur, beheer en het wettelijk kader op een rij. Vrij te downloaden."
sectorLabel: "Zorginstellingen"
pdfHref: "/downloads/whitepapers/ai-in-de-bi-van-de-zorginstelling-v1.0.pdf"
date: 2026-09-01
isBasedOn: "https://inforeports.nl/whitepapers/ai-in-de-bi-van-het-ziekenhuis/"
themas:
  - "ai"
keywords:
  - "AI in de zorg"
  - "business intelligence"
  - "zorginstelling"
  - "datawarehouse"
  - "lokaal taalmodel"
  - "data governance"
  - "AVG"
  - "NEN 7510"
  - "AI-verordening"
faq:
  - q: "Mag een zorginstelling AI inzetten op cliëntgegevens?"
    a: "Ja, maar niet vrijblijvend. De AVG geldt bij elke verwerking van persoonsgegevens, met of zonder AI. Nodig zijn een grondslag en een duidelijk doel, opname in het verwerkingsregister, en bij hoog risico een DPIA. In de zorg is dat hoge risico snel aan de orde. Een model dat lokaal draait verandert die verplichtingen niet, maar maakt het naleven wel eenvoudiger."
  - q: "Blijven gevoelige gegevens binnen de zorginstelling?"
    a: "Standaard wel: het werk draait op een taalmodel in de eigen omgeving. Per taak kan dat anders worden ingericht. Dan ligt in code vast welke modellen zijn toegestaan en welke gegevens mee mogen, en gaan gevoelige waarden vooraf door vaste pseudonimiseringsregels. Een taak die naar buiten mag zonder zulke regels, weigert het systeem. Elke aanroep wordt geregistreerd."
  - q: "Is een zakelijk AI-abonnement genoeg om gevoelige gegevens te beschermen?"
    a: "Het is een zinvolle stap, maar niet genoeg. De gegevens gaan nog steeds naar buiten, de aanbieder wordt daarmee verwerker en dat vraagt een verwerkersovereenkomst. De toezegging gaat bovendien over trainen. Over bewaartermijnen en over wie er verder bij kan, is daarmee nog weinig gezegd."
  - q: "Zijn gegevens in een soevereine EU-cloud buiten bereik van buitenlandse overheden?"
    a: "Dat hangt af van wie de aanbieder bezit, niet van waar de server staat. Het recht van het land van het moederbedrijf reikt mee tot aan de gegevens: een aanbieder met een Amerikaans moederbedrijf valt onder Amerikaans recht, ook met datacentra in de EU. De soevereine varianten die zulke aanbieders lanceren veranderen daar weinig aan, want het eigendom verandert niet mee."
  - q: "Welke hardware is nodig om een taalmodel lokaal te draaien?"
    a: "Een server met videokaarten die voor AI-rekenwerk zijn gebouwd. Die kan in het eigen netwerk staan of gehost bij een aanbieder in Nederland of elders in de EU, via een VPN gekoppeld aan dat netwerk. In beide gevallen is de machine exclusief voor de zorginstelling. Meestal volstaat één goed gekozen machine, afgestemd op het aantal gelijktijdige gebruikers."
  - q: "Kan een lokaal model hetzelfde als een groot commercieel model?"
    a: "Voor samenvatten, vragen beantwoorden en tekst verwerken zijn de vrij beschikbare modellen ruim toereikend, en ze draaien volledig op de eigen machine. Bij Nederlandstalige zorginhoudelijke vrije tekst zijn de grote commerciële modellen op dit moment sterker. Daarvoor bestaat de vrijgave per taak: waar dat verschil telt en de gegevens het toelaten, kan een taak gericht naar buiten."
  - q: "Mag een BI-ontwikkelaar AI gebruiken bij het bouwen van rapportages?"
    a: "Ja, en daar is het risico het laagst: zo'n assistent werkt met structuur, logica en code, niet met de gegevens zelf. Er gelden drie afspraken. Werk met testdata of met structuur zonder inhoud, plak geen echte uitvoer in een extern hulpmiddel, en zodra er toch echte gegevens in beeld komen, gelden de regels voor het werken met data."
  - q: "Wie beheert AI als het eenmaal draait?"
    a: "Een AI-toepassing is een applicatie en vraagt dus applicatiebeheer, belegd bij een applicatiebeheerder AI. Modellen krijgen updates, worden vervangen of verdwijnen, en een nieuwe versie geeft op dezelfde vraag een ander antwoord. Bij die rol horen ook toegang en rechten, een vaste testset, afspraken over kosten en het beheer van het logboek."
  - q: "Kan een AI-inrichting voldoen aan NEN 7510?"
    a: "Niet als systeem: de norm certificeert een organisatie en haar managementsysteem, geen inrichting en geen product. Wat een inrichting wel levert, zijn de bouwstenen waarmee de zorginstelling haar beheersmaatregelen aantoont: toegangsbeveiliging per taak en per gebruiker, registratie van elke aanroep, beperking van gegevensstromen en wijzigingsbeheer."
---

# AI in de BI van de zorginstelling: van experiment naar verantwoorde inrichting

Ook in de VVT, GGZ en gehandicaptenzorg is AI al binnen: medewerkers gebruiken het op eigen initiatief, soms op plekken waar cliëntgegevens rondgaan. Deze whitepaper, de zorginstellingenversie van onze whitepaper over AI in de BI van het ziekenhuis, beschrijft hoe een zorginstelling dat gebruik bewust vormgeeft: van beleid en architectuur tot beheer en het wettelijk kader.

## Managementsamenvatting

AI is de zorginstelling al binnen. Medewerkers gebruiken het op eigen initiatief, ook op plekken waar gevoelige gegevens rondgaan. De vraag die daarmee op tafel ligt: hoe geeft de zorginstelling dit gebruik bewust vorm? Goed ingezet doet AI werk dat nu blijft liggen of te veel tijd kost, van het samenvatten van vrije tekst tot het versnellen van ontwikkelwerk.

Deze whitepaper beschrijft hoe AI verantwoord is in te zetten op de BI-omgeving van de zorginstelling. De belangrijkste inzichten:

- AI in de BI-omgeving betekent twee verschillende dingen: AI die helpt bouwen aan rapportages en datamodellen, en AI die met de data werkt. Het risico verschilt sterk, dus de regels moeten dat ook doen.
- Beleid en data governance geven houvast: ze leggen vast welke gegevens waarheen mogen, wie eigenaar is, wie waarover besluit en hoe gebruik wordt vastgelegd. Daarmee is per aanvraag te beoordelen wat verantwoord is.
- Veiligheid ligt het stevigst vast in de techniek. Standaard draait het werk op een AI-model in de eigen omgeving van de zorginstelling. Per taak staat in code vastgelegd of gegevens naar buiten mogen, en elke aanroep wordt geregistreerd.
- Een lokaal model draait op een eigen server, in huis of gehost binnen de EU, gekoppeld aan het netwerk van de zorginstelling. Gevoelige data blijft standaard binnen; wat bij uitzondering naar buiten gaat, ligt per taak vast en wordt geregistreerd.
- AI in de BI van de zorginstelling moet gezien worden als een applicatie, met eigen beheer: van gebruikers en rechten tot koppelingen, monitoring en probleemoplossing.

De implementatie kan gefaseerd verlopen en aansluiten op de behoefte en kennisontwikkeling van de gebruikers, begeleid door de applicatiebeheerder AI. InfoReports heeft tooling ontwikkeld waarmee AI op een veilige manier toegepast kan worden op de data van de zorginstelling, en helpt bij de inrichting, het beheer en de benodigde hardware, waarbij de inrichting, de toepassingen en de data van de zorginstelling zelf zijn en blijven.

De volledige tekst van deze whitepaper staat in de moederversie: https://inforeports.nl/whitepapers/ai-in-de-bi-van-het-ziekenhuis/