Naar de inhoud
Nieuw Klantverhaal: een dag als adviseur met seef bij Samergo

Laatst gecontroleerd:

NEN 7510 en AI: waar let je op bij een AI-tool in de zorg?

Voor zorgaanbieders en andere organisaties met gezondheidsgegevens die een AI-tool willen gebruiken: wat de norm vraagt, en hoe je een leverancier beoordeelt.

Plan een demo

In het kort

  • NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Elke zorgaanbieder die persoonsgegevens in een zorginformatiesysteem verwerkt, moet ernaar werken, ook een huisartsenpraktijk of eenmanszaak. Een certificaat is niet verplicht.
  • Een NEN 7510-certificaat van een AI-leverancier zegt dat het managementsysteem van die leverancier binnen een omschreven scope is geaudit. Het certificeert geen software en is geen AVG-certificaat. De modelaanbieder en andere subverwerkers certificeert het ook niet.
  • Vraag daarom om de scopeverklaring, de lijst met subverwerkers en de plek waar je gegevens worden verwerkt, ook door het taalmodel.
  • Gezondheidsgegevens zijn bijzondere persoonsgegevens (artikel 9 AVG). Met een leverancier die ze namens jou verwerkt, sluit je een verwerkersovereenkomst, en vaak is een DPIA verplicht.
  • seef is een private AI-assistent voor de kennis van je bedrijf, in een eigen omgeving, gehost in de EU en beheerd door een Nederlands team, met de modellen die je met ons afspreekt. seef past bij zorgaanbieders die AI willen op hun eigen documenten: Timformatie, waarvan seef een dienst is, is gecertificeerd voor NEN 7510-1:2024 en ISO 27001:2022.

Wat is NEN 7510, en wat is het verschil met ISO 27001?

NEN 7510 is de norm voor informatiebeveiliging in de zorg. De norm heeft twee delen. NEN 7510-1:2024 bevat de eisen aan het managementsysteem en is de zorgversie van ISO 27001. NEN 7510-2 combineert de maatregelen uit ISO 27002 met de zorgspecifieke maatregelen uit ISO 27799.

Voor de wet gelden sinds 1 juni 2026 NEN 7510-1:2024 en NEN 7510-2:2024+A1:2026. Wie een certificaat op de oude versie heeft, moet vóór 20 februari 2027 zijn overgestapt. Door een afspraak tussen het ministerie van VWS en NEN lees je NEN 7510, 7512 en 7513 gratis via NEN Connect.

Voor wie is NEN 7510 verplicht?

Voor elke zorgaanbieder die persoonsgegevens verwerkt in een zorginformatiesysteem, ook kleine praktijken en eenmanszaken, volgens de IGJ. De basis is het Besluit elektronische gegevensverwerking door zorgaanbieders: artikel 3 verplicht werken volgens NEN 7510 en NEN 7512, artikel 5 logging volgens NEN 7513. Voor jeugdhulp geldt ISO 27001.

Een certificaat eist de wet niet. Je moet wel kunnen laten zien dat je volgens de norm werkt, en de IGJ verwacht minstens eens in de drie jaar een onafhankelijke beoordeling. Werkt je leverancier volgens NEN 7510, dan blijf jij verantwoordelijk: de IGJ verwacht beveiligingseisen in je contracten met leveranciers en een beoordeling van hun dienstverlening.

Wat zegt een NEN 7510-certificaat van een AI-leverancier?

Dat het managementsysteem voor informatiebeveiliging van die leverancier, binnen een omschreven scope, is geaudit door een certificerende instelling die elk jaar terugkomt. Alleen organisaties die structureel gezondheidsinformatie verwerken, kunnen zich laten certificeren; incidentele toegang is volgens NEN niet genoeg. Dit dekt een certificaat niet:

  • De software. Een organisatie wordt gecertificeerd, een product niet. Volgens NEN stelt de zorgorganisatie eisen en toont de leverancier aan dat de software eraan voldoet.
  • Alles buiten de scope. De gecertificeerde organisatie bepaalt die zelf, en het kan één afdeling of één dienst zijn.
  • Subverwerkers. Het taalmodel draait vaak bij een grote aanbieder zoals OpenAI, Anthropic, Google of Microsoft, en het certificaat certificeert die aanbieder niet. Vraag hoe de leverancier die partij in het eigen managementsysteem beoordeelt en bewaakt.
  • De AVG. NEN 7510 gaat over beveiliging. Of je de gegevens mag verwerken, en op welke grondslag, is een aparte vraag.
  • De verwerkingslocatie. Een certificaat laat niet zien waar een vraag wordt verwerkt, ook niet bij de modelaanbieder.
Het certificaat dekt alleen het managementsysteem van de leverancier binnen de omschreven scope.

Welke vragen stel je een AI-leverancier?

Volg één document en één vraag met patiëntgegevens: wat gaat er naar buiten bij het indexeren, wat krijgt het model, wie slaat het op en hoe lang. Vraag daarna:

Checklist voor een AI-leverancier in de zorg
VraagWaaromGoed antwoord
Mogen we het certificaat, de scope en de certificeerder zien? De scope kan smaller zijn dan de dienst Scope dekt je dienst; instelling geaccrediteerd door de RvA
Welke subverwerkers krijgen onze gegevens? Het certificaat certificeert hen niet Schriftelijke lijst: per partij welke gegevens
Waar worden gegevens verwerkt, en hoe is doorgifte geregeld? Verwerking buiten de EER vraagt een doorgiftegrondslag Locatie per partij, ook voor het model, met waarborgen
Wat gebeurt er met documenten en vragen met patiëntgegevens? Tekst kan al bij het indexeren naar buiten gaan Elke stap benoemd, met bewaartermijnen
Wie kan welke patiëntinformatie opvragen? Niet elke tool volgt de rechten van de bron Afscherming per gebruiker of groep, en getest
Traint iemand modellen op onze invoer? Gratis consumentenversies doen dat soms Nee, vastgelegd in contract of voorwaarden
Wat wordt gelogd, en kunnen wij dat inzien? NEN 7513 geldt voor toegang tot patiëntdossiers Wie wat deed en wanneer; logs beveiligd en bewaard
Is er een verwerkersovereenkomst? Artikel 28 AVG, als de leverancier namens jou verwerkt Ja, met subverwerkers, meldplicht datalekken en verwijdering

Geen NEN 7510-certificaat? Vraag dan om ISO 27001 of een rapport van een onafhankelijke beoordeling. Een certificerende instelling zoek je op in het register van de Raad voor Accreditatie; gecontroleerd op 8 november 2026.

Wat vraagt de AVG als je AI gebruikt met gezondheidsgegevens?

Gezondheidsgegevens zijn bijzondere persoonsgegevens. Artikel 9 AVG verbiedt de verwerking, tenzij een uitzondering geldt, zoals zorgverlening door iemand met een beroepsgeheim, en je hebt ook een grondslag uit artikel 6 nodig. Verwerkt de AI-leverancier de gegevens in jouw opdracht, sluit dan vóór gebruik een verwerkersovereenkomst (artikel 28). Gebruikt de leverancier de gegevens voor eigen doelen, dan is die geen verwerker meer.

Een DPIA (artikel 35) is verplicht bij grootschalige verwerking van gezondheidsgegevens; dat staat op de lijst van de Autoriteit Persoonsgegevens. De patiëntgegevens van een individuele arts gelden volgens overweging 91 niet als grootschalig. Ook dan kan nieuwe technologie zoals AI door het hoge risico een DPIA nodig maken. In de risicoanalyse die NEN 7510 al vraagt, hoort de AI-tool hoe dan ook thuis.

In augustus 2024 berichtte de AP over een datalek bij een huisartsenpraktijk, waar een medewerker medische gegevens van patiënten in een AI-chatbot had ingevoerd, tegen de afspraken in. Is een tool door de maker bedoeld voor diagnose of behandeling, dan kan het ook een medisch hulpmiddel zijn onder de MDR, met eigen eisen.

Hoe past seef bij deze checklist?

seef past bij een zorgaanbieder of andere organisatie met gezondheidsgegevens die AI wil laten antwoorden uit de eigen documenten en een leverancier zoekt met een NEN 7510-certificaat. Timformatie, waarvan seef een dienst is en waarmee je het contract sluit, is gecertificeerd voor NEN 7510-1:2024 en ISO 27001:2022 door Brand Compliance, geaccrediteerd door de RvA onder C 548. De gepubliceerde scope dekt dataconsultancy, inclusief softwareontwikkeling, implementatie en de verwerking van persoonlijke gezondheidsinformatie, plus ondersteuning van infrastructuur en hosting.

Bij gezondheidsgegevens doet de keuze van het model ertoe, dus bij seef kies je het model met ons, ook modellen die in de EU draaien. Moet de verwerking in de EU blijven, dan spreken we modellen en diensten af die daar verwerken, en de verwerkersovereenkomst legt dat vast. De lijst met verwerkers voor jouw omgeving krijg je schriftelijk. De AI-aanbieders in onze standaardopzet zeggen in hun API-voorwaarden dat ze je gegevens standaard niet gebruiken voor training. Bestanden voor een deel van je team kunnen in een eigen kennisbank, met eigen toegang. Op de beveiligingspagina staat welke dienst je gegevens ziet, waar die ze verwerkt en hoe lang gegevens bewaard blijven.

Samergo, dat samenwerkingen in zorg en welzijn adviseert en begeleidt, werkt sinds halverwege 2025 met seef. Lees hoe een adviseur van Samergo ermee werkt.

Bronnen

Lees verder

Leg seef langs de checklist

Vraag ons om het certificaat, de scopeverklaring en de lijst met verwerkers voor jouw omgeving. Stuur ons je beveiligingsvragenlijst, dan lopen we die samen met je door. In een demo laten we zien welke gegevens naar welke modelleverancier gaan, en wat er verandert als je een model kiest dat in de EU draait.

Plan een demo Neem contact op