Is een interne chatbot veilig met je bedrijfs- en cliëntgegevens?

Wat betekent "veilig met bedrijfsdata" voor een interne chatbot?

Veilig betekent hier twee dingen tegelijk. Ten eerste gaan jouw documenten niet zomaar het brede internet op om een AI te trainen. Ten tweede praat de collega alleen over de informatie die jij hem geeft, en niet over wat hij ergens online heeft opgepikt. De Vraagbaak is zo'n besloten kennishulp. Hij leest mee in jouw goedgekeurde protocollen, handboeken en werkafspraken, en beantwoordt vragen daar uitsluitend uit. Niets meer.

Waarom heeft De Vraagbaak geen cliëntgegevens nodig?

Hier zit de kern van de geruststelling. Een interne kennishulp beantwoordt vragen zoals "Wat is onze procedure bij een valincident?" of "Welke stappen staan in ons medicatieprotocol?". Dat zijn vragen over je eigen werkwijze, niet over een individuele cliënt. Om die te beantwoorden hoeft er geen enkel bijzonder persoonsgegeven in het systeem te staan.

Daarom adviseren we klanten om de kennisbank bewust te vullen met beleid, protocollen en instructies, en niet met dossiers of cliëntgegevens. Je houdt de gevoelige data dus simpelweg buiten de tool. Dat maakt het risico op een datalek met persoonsgegevens veel kleiner, omdat die gegevens er niet eens in zitten. Wil je meebewegen met je organisatie en meerdere afgebakende kennisbanken aanleggen, lees dan hoe je een kennisbank koppelt aan de chatbot en hoe je je eigen protocollen als bron gebruikt.

Hoe weet ik dat het antwoord klopt en waar het vandaan komt?

De Vraagbaak werkt grounded. Dat betekent dat hij niet vrij mag associëren, maar zijn antwoord moet herleiden tot een bron die jij hebt goedgekeurd. Bij elk antwoord toont hij waar het op gebaseerd is, zodat een medewerker het kan controleren en kan doorklikken naar het oorspronkelijke document. Staat het antwoord niet in de bronnen, dan zegt hij dat eerlijk en verwijst hij door naar een mens. Zo voorkom je dat iemand een verzonnen antwoord voor waar aanneemt. Hoe dat technisch werkt en waarom dit het verschil maakt, lees je in de uitleg over grounded AI.

En de zorginhoud: doet de collega aan triage of advies?

Nee, en dat is een bewuste grens. De Vraagbaak doet geen triage, geen diagnose en geen behandeladvies. Hij is een kennishulp voor medewerkers, geen klinisch instrument. Hij helpt een verzorgende sneller de juiste werkafspraak terugvinden, maar hij neemt geen zorginhoudelijke beslissingen over. De medewerker blijft verantwoordelijk, de menselijke controle blijft staan. Die afbakening past bij de oproep van de Inspectie Gezondheidszorg en Jeugd, die in februari 2025 zorgaanbieders opriep om zorgvuldig om te gaan met de invoering van generatieve AI. Wat dit specifiek voor zorgorganisaties betekent, hebben we uitgewerkt op de pagina ImpliTeam voor de zorg.

Hoe verhoudt dit zich tot de AVG en de EU AI Act?

Omdat je geen cliëntgegevens in de kennishulp stopt, beperk je de verwerking van persoonsgegevens al aan de bron. Dat sluit aan bij het AVG-principe van dataminimalisatie. Daarbovenop geldt de EU AI Act. Sinds februari 2025 vraagt artikel 4 dat medewerkers voldoende AI-geletterd zijn, en artikel 50 dat duidelijk is dat iemand met een AI-systeem praat (transparantieplicht, zie de Autoriteit Persoonsgegevens). De Vraagbaak maakt daarom altijd kenbaar dat het om een digitale collega gaat. Wil je je invoering, je AI-beleid en je geletterdheidsplicht goed onderbouwen, dan kijkt Implementa daar in de begeleiding naar mee.

De veiligste data is de data die er niet in zit. Een goede interne kennishulp heeft je protocollen nodig, niet je cliëntdossiers.

Wat levert het op als het veilig is ingericht?

Veiligheid hoeft geen rem te zijn op tijdwinst. In de ggz zie je bij goed begeleide AI-toepassingen forse besparingen op administratie. Bij spraakgestuurd rapporteren daalt de registratietijd van gemiddeld ongeveer 30 minuten naar 8 tot 12 minuten per behandelaar per dag. Een interne kennishulp werkt op een ander vlak, namelijk het terugvinden van werkafspraken, maar het laat zien dat verantwoorde AI tijd vrijspeelt voor het echte werk zonder dat je inlevert op zorgvuldigheid. Twijfel je of je dit beter zelf bouwt of als begeleid product afneemt, vergelijk dan de afwegingen rond een interne chatbot zelf bouwen versus kant-en-klaar en lees hoe je medewerkers veilig meeneemt bij de onboarding van nieuwe medewerkers. Een uitgebreidere uitleg van de besloten opzet vind je in De Vraagbaak, onze interne kennishulp.

Over de auteur

Arjan Woldring is oprichter van Implementa en maker van ImpliTeam. Hij helpt zorgorganisaties om AI verantwoord en begeleid in te voeren, met de mens stevig aan het stuur.