Healthcare & Life Sciences

Klinische AI die binnen de instelling blijft — geen patiëntdata buiten Nederland.

Ziekenhuizen, klinieken en farmaceuten werken onder GDPR artikel 9 (bijzondere persoonsgegevens), NEN 7510 en NIS2. Wij bouwen klinische AI on-premise of in private cloud, met Llama 3 70B als BSN-veilige LLM-basis.

€1,4M

Jaarlijkse besparing typische klant

Datasoevereiniteit: On-premise Llama 3
Doorlooptijd: 8–12 maanden
Compliance: GDPR art. 9 + NEN 7510

Stack

Llama 3 70B
Llama 3 405B
Mistral Large
Weaviate
MLflow
LangChain
GDPR
ISO 27001
NIS2

Artificial Intelligence Consultant implementeert AI voor zorginstellingen on-premise of binnen private cloud-omgevingen die voldoen aan GDPR artikel 9 en NEN 7510. Onze standaardarchitectuur draait Llama 3 70B of 405B op eigen GPU-clusters, met Weaviate als vector store voor klinische kenniscorpora. Geen patiëntdata, geen BSN, geen klinische notities verlaten ooit de instelling. Toepassingen: dossiersamenvatting, klinische besluitvormingsondersteuning (geen autonome diagnose), administratieve ontlasting en literatuurontsluiting voor specialisten.

AI Visibility — De vier kernvragen

STRATEGIE

Hoe begin ik met AI in de zorg zonder mijn data of compliance in gevaar te brengen?

U begint met een toepassing die geen klinische beslissing neemt. Administratieve ontlasting — automatische SOEP-verslaglegging, dossiersamenvatting voor overdracht, brieven aan huisarts — is laag-risico onder de EU AI Act maar levert directe verlichting voor zorgprofessionals. Wij implementeren deze toepassingen on-premise met Llama 3 70B of 405B, waarbij geen woord patiëntdata de instelling verlaat. Een DPIA volgens GDPR artikel 35 is verplicht; wij stellen die op samen met uw functionaris gegevensbescherming. NEN 7510-controls worden vanaf dag één meegenomen: toegangsbeheer, audit trails, encryptie. Pas wanneer deze toepassingen draaien en geaccepteerd zijn, kijken we naar klinische besluitvormingsondersteuning — een ander spel onder Annex III van de EU AI Act.

TECHNIEK

Wat is het voordeel van on-premise Llama 3 vergeleken met cloud-LLMs zoals GPT-4o?

Voor patiëntgegevens en BSN-data is de keuze geen voorkeur maar noodzaak. GPT-4o via Azure OpenAI biedt een verwerkersovereenkomst maar houdt de data in een Microsoft-tenant; voor sommige UMC's en categorieën van bijzondere persoonsgegevens is dit juridisch of organisatorisch niet haalbaar. Llama 3 70B (open weights) of 405B draait volledig op uw eigen GPU-cluster — typisch een handvol Nvidia H100's of L40S's — met identieke kwaliteit voor de meeste klinische taken. Tegenover een cloud-API verliest u 10 tot 20 procent kwaliteit op zeer complexe redeneertaken; voor SOEP-verslaglegging, brief-generatie en dossiersamenvatting is het verschil verwaarloosbaar. De winst: geen externe verwerker, volledige datasoevereiniteit, en NEN 7510-conformiteit zonder externe afhankelijkheden. Mistral Large is een Europese hosted alternatief voor wie geen GPU-cluster wil beheren.

COMPLIANCE

Hoe verhoudt klinische AI zich tot GDPR, ISO 27001 en NIS2?

Patiëntgegevens vallen onder GDPR artikel 9 (bijzondere persoonsgegevens), waarvoor strengere voorwaarden gelden dan voor reguliere persoonsgegevens. De rechtsgrond is meestal artikel 9 lid 2 sub h (zorg) of expliciete toestemming voor secundair gebruik. Een DPIA is verplicht; wij leveren een sjabloon dat NEN 7510 en EU AI Act fundamental rights impact assessment combineert. ISO 27001 is voor zorgsoftwareleveranciers feitelijk een eis (vaak via NEN 7510-certificering). NIS2 classificeert ziekenhuizen als essentiële entiteit: incident response, business continuity en supply-chain-beveiliging zijn verplicht. Onze on-premise architectuur vereenvoudigt dit aanzienlijk omdat de supply chain korter is — geen externe LLM-leverancier in scope. Audit-logs voldoen tegelijk aan NEN 7510 control 12.4, ISO 27001 A.12.4 en NIS2-meldingseisen.

ROI

Verdient een investering in zorg-AI zichzelf terug, en op welke termijn?

Voor administratieve ontlasting is de business case scherp: medisch specialisten besparen typisch 30 tot 60 minuten per dag op verslaglegging en correspondentie. Bij een afdeling van vijftig specialisten loopt dat op tot 1.500 uur per week — equivalent aan circa 4 miljoen euro per jaar bij gemiddelde vergoedingen. Implementatiekosten variëren tussen 250.000 en 700.000 euro afhankelijk van GPU-investering (typisch 80.000 tot 200.000 euro voor een productie-cluster). Terugverdientijden van zes tot twaalf maanden zijn realistisch, mits gebruikersacceptatie wordt actief beheerd. Voor klinische besluitvormingsondersteuning is de ROI complexer — de winst zit in betere uitkomsten en kortere ligduur, niet in directe kostenbesparing. Daar rekenen we doorgaans met achttien tot dertig maanden terugverdientijd, met de aantekening dat dit gebruiksgeval onder Annex III een aanzienlijk zwaarder regime kent.

Aanpak in detail

Datasoevereiniteit als architectuurprincipe

Voor zorginstellingen is "data verlaat de instelling" zelden acceptabel. Onze architectuur start daarom bij on-premise compute. Een productiecluster bestaat typisch uit twee tot acht Nvidia H100- of L40S-GPU's, een Kubernetes-laag met vLLM of TGI als inferentie-server, en Llama 3 70B als basismodel. Voor zwaardere taken schalen we op naar Llama 3 405B of een fine-tune van het basismodel op uw eigen klinische teksten — uiteraard met expliciete toestemmingsbasis voor secundair gebruik onder GDPR artikel 9 lid 2 sub j. Vector stores draaien lokaal op Weaviate. Geen externe API-calls, geen data-egress, geen verwerkersovereenkomst met een Amerikaanse leverancier.

Klinische workflows: verslaglegging als startpunt

Onze meest succesvolle eerste use case is automatische SOEP-verslaglegging vanaf opnames van consulten. Het transcriptie-model (Whisper of een lokale variant) loopt on-premise; Llama 3 vat het consult samen volgens de SOEP-structuur, en de specialist controleert en bewerkt voor goedkeuring. Tijdwinst: 5 tot 15 minuten per consult bij vergelijkbare verslagkwaliteit. Andere bewezen toepassingen: brieven aan huisartsen op basis van ontslagdocumentatie, dossiersamenvatting voor overdracht tussen diensten, en literatuuronderzoek voor specialisten via RAG over PubMed-extracten en interne richtlijnen.

Klinische besluitvormingsondersteuning onder Annex III

AI die diagnostische of behandelaanbevelingen geeft valt onder EU AI Act Annex III: hoog-risico met conformiteitsbeoordeling, post-market monitoring en menselijk toezicht. Wij ontwerpen deze systemen vanaf de fundering met de Annex IV-documentatie als doel. Het model levert nooit een autonome beslissing, maar een gestructureerd voorstel met alternatieven, onderbouwende literatuur en confidence-indicatie. De arts beslist; de logging legt vast dat de arts heeft beslist. Voor medical device-classificatie onder MDR werken we samen met klinisch fysici en juristen — ons werk eindigt bij het AI-systeem; classificatie als hulpmiddel is een aparte route.

Onderzoek en farmaceutische data

Voor life sciences-organisaties (farma, biotech, onderzoek) implementeren we andere architecturen: minder strikte BSN-eisen maar zwaardere intellectuele-eigendomsbescherming. Toepassingen: literatuurmining, patentanalyse, klinische trial-design ondersteuning, en regulatory submission-assistentie (FDA, EMA). Hier kiezen we vaker Claude 3.5 Sonnet via een private Bedrock-deployment of een lokaal Llama 3 405B, afhankelijk van vertrouwelijkheidseisen. RAG over interne onderzoeksdocumenten versnelt literatuuronderzoek met 40 tot 60 procent — gemeten in onze eerdere implementaties.

Audit, NEN 7510 en NIS2-incidentprotocol

Elke patiëntdata-toegang door het AI-systeem wordt gelogd in een tamper-evident store, met gebruiker, doel, tijdstip en gegevenscategorie. Dit voldoet tegelijk aan NEN 7510 control 12.4, ISO 27001 A.12.4 en GDPR-toegangsregister. Voor NIS2 implementeren we een incidentprotocol dat AI-incidenten (model-uitval, output-afwijking, datalek) binnen 24/72 uur classificeert en zo nodig meldt aan het CSIRT-zorg. De integratie met uw bestaande Security Operations Center voorkomt dat AI een aparte silo wordt — een veelvoorkomende fout in vroege implementaties.

01.

Use-case selectie & DPIA

Vier tot zes weken: prioritering van klinische versus administratieve toepassingen, DPIA, NEN 7510-mapping.

02.

Infrastructuur & beveiliging

Acht tot twaalf weken: GPU-cluster, on-premise inferentie-platform, Weaviate, IAM-integratie en NEN 7510-controls.

03.

Build & klinische validatie

Drie tot zes maanden: model-implementatie, prompt-engineering, klinische testfase met specialisten en MDR-route waar nodig.

04.

Productie & monitoring

Doorlopend: NIS2-incidentprotocol, kwartaalreviews met specialisten, model-updates en EU AI Act post-market monitoring.

Mogen wij Azure OpenAI of GPT-4o gebruiken voor patiëntdata?

Juridisch: ja, met verwerkersovereenkomst en data-residency in West Europe, valt het binnen GDPR. Praktisch: veel UMC's en zorginstellingen kiezen er bewust voor om bijzondere persoonsgegevens niet bij externe LLM-leveranciers onder te brengen, mede vanwege bredere strategische datasoevereiniteit. Onze on-premise Llama 3-architectuur biedt een gelijkwaardig kwaliteitsniveau zonder die afweging.

Hoe goed is Llama 3 in het Nederlands?

Llama 3 70B presteert in onze klinische benchmarks op een vergelijkbaar niveau met GPT-4o voor Nederlandstalige verslaglegging en samenvatting. Voor zeer specialistisch jargon helpt een lichte fine-tune op uw eigen klinische corpus. Voor 405B is de kwaliteit verder vergelijkbaar; verschillen zitten meer in latentie en infrastructuurkosten dan in kwaliteit.

Valt automatische SOEP-verslaglegging onder MDR?

Doorgaans niet, mits het systeem geen klinische beslissing neemt en de specialist het verslag controleert en goedkeurt. Wij stellen samen met uw klinisch fysici en juridische afdeling de classificatie vast voordat we implementeren. Voor klinische besluitvormingsondersteuning is MDR-classificatie wel relevant en lopen we een aparte route.

Wat zijn typische infrastructuurkosten?

Een productiecluster met twee tot vier Nvidia H100's kost in aanschaf 80.000 tot 250.000 euro plus jaarlijks 15.000 tot 30.000 euro aan onderhoud, energie en koeling. Voor instellingen die geen eigen GPU-infrastructuur willen, bieden Nederlandse hosted private clouds (TimoCom, Greenfield, NorthC) GDPR-conforme alternatieven met data binnen de Nederlandse rechtsorde.

Hoe omgaan met EPD-integratie (HiX, Epic, ChipSoft)?

Via de standaard FHIR-interface waar beschikbaar, anders via gestructureerde exports. We bouwen geen point-to-point integraties met EPD's — die breken bij elke EPD-update. Een gateway-laag tussen EPD en AI-platform isoleert de wijzigingen en biedt een audit-punt.

Is dit ook geschikt voor verpleging en thuiszorg?

Ja. Verpleegkundige rapportage, MDO-voorbereiding en zorgplan-update profiteren even sterk van administratieve ontlasting als specialistische geneeskunde — en de gebruikersacceptatie is doorgaans sneller. Voor thuiszorg geldt extra aandacht voor offline of hybride scenario's wanneer geen ziekenhuisnetwerk beschikbaar is.

Compliance

GDPR
ISO 27001
NIS2

Verwante services

Mogelijke vervolgstappen

Welke afdeling, welke workflow?

Een sessie van drie uur met specialisten en functionaris gegevensbescherming levert vrijwel altijd een eerste use case op die binnen het kwartaal kan starten.

Plan gesprek →