Skip to main content

Artikel 10, datagovernance voor AI in de gezondheidszorg — EU AI Act

Hoe artikel 10 van de AI-verordening geldt voor AI in de gezondheidszorg: datakwaliteit, onderzoek naar bias en gezondheidsdata volgens artikel 4 bis, met datums en boetes.

Aanbieders van hoogrisico-AI in de gezondheidszorg moeten kwalitatief goede datasets gebruiken voor training, validatie en tests (artikel 10).

Gezondheidszorg is geen categorie van de verordening. AI is hoogrisico als het een medisch hulpmiddel, een medisch hulpmiddel voor in-vitrodiagnostiek of een veiligheidscomponent daarvan is. Het product moet een conformiteitsbeoordeling door een derde partij vereisen (artikel 6(1)). De regels gelden vanaf 2 augustus 2028 voor producten en vanaf 2 december 2027 voor triagesystemen uit bijlage III (punt 5, d)). Boetes bedragen maximaal 15 miljoen EUR of, voor een onderneming, 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99(4)). Volgende stap: leg de herkomst en de bias-controles van elke dataset vast.

Artikel 10 bevat geen specifieke regel voor de gezondheidszorg: dezelfde dataregels gelden voor elk hoogrisicosysteem

De verordening stelt geen minimale datahoeveelheid en geen quotum voor patiëntengroepen. Ze stelt kwaliteitscriteria en governancepraktijken vast.

  • Datagovernancepraktijken

    De praktijken moeten passen bij het beoogde doel. Ze betreffen de ontwerpkeuzes, de dataverzameling en de herkomst van de data en, bij persoonsgegevens, het oorspronkelijke doel van de verzameling. Ze betreffen de voorbereiding van de data, zoals annotatie, labeling, opschoning, actualisering, verrijking en aggregatie. Ze betreffen ook de aannames over wat de data meten en weergeven en de beoordeling van de beschikbaarheid, hoeveelheid en geschiktheid van de datasets (artikel 10(2), punten a) tot en met e)).

  • Onderzoek naar bias en maatregelen

    De praktijken betreffen ook het onderzoek naar bias die de gezondheid en veiligheid kan aantasten, grondrechten kan raken of tot verboden discriminatie kan leiden. Ze omvatten maatregelen om die bias op te sporen, te voorkomen en te beperken, en het vaststellen van datagebreken die naleving van de verordening in de weg staan (artikel 10(2), punten f) tot en met h)).

  • Kwaliteit van de datasets

    Datasets moeten relevant, voldoende representatief en, voor zover mogelijk, foutenvrij en volledig zijn met het oog op het beoogde doel. Ze moeten passende statistische kenmerken hebben, ook ten aanzien van de personen of groepen personen voor wie het systeem bedoeld is (artikel 10(3)).

  • De gebruiksomgeving

    Datasets moeten, voor zover het beoogde doel dat vereist, rekening houden met de kenmerken die eigen zijn aan de geografische, contextuele, gedragsmatige of functionele omgeving van het gebruik (artikel 10(4)).

  • Systemen zonder modeltraining

    Voor hoogrisico-AI-systemen die geen AI-modellen trainen, gelden artikel 10(2) tot en met (4) en artikel 4 bis(1) alleen voor de testdatasets (artikel 10(6)).

Gezondheidsdata brengen gegevensbeschermingsrecht in beeld, en artikel 4 bis staat bias-correctie met bijzondere categorieën toe

De verordening laat de AVG en de andere gegevensbeschermingsregels onverlet (artikel 2(7)).

  • Bijzondere categorieën van persoonsgegevens (artikel 4 bis)

    Om bias op te sporen en te corrigeren mogen aanbieders van hoogrisicosystemen bij wijze van uitzondering bijzondere categorieën van persoonsgegevens verwerken. Dit is alleen toegestaan voor zover strikt noodzakelijk en als aan alle voorwaarden van artikel 4 bis(1) is voldaan. Daartoe behoort dat andere data, ook synthetische of geanonimiseerde, niet volstaan voor het doel. De data worden niet aan andere partijen doorgegeven. De data worden gewist zodra de bias is gecorrigeerd of de bewaartermijn afloopt. Artikel 4 bis(1) staat deze verwerking toe en verplicht er niet toe.

  • Patiëntgegevens en de AVG

    Gegevens over gezondheid zijn een bijzondere categorie van persoonsgegevens volgens de AVG (Verordening (EU) 2016/679, artikel 9). De AVG blijft naast de AI-verordening en artikel 4 bis van toepassing (artikel 2(7)).

  • Eén conformiteitsbeoordeling en één set documentatie

    Voor producten uit bijlage I, afdeling A, maken de eisen van afdeling 2, artikel 10 inbegrepen, deel uit van de conformiteitsbeoordeling volgens de productwetgeving (artikel 43(3)). Als de productwetgeving een beoordeling zonder derde partij toestaat, mag de fabrikant die alleen gebruiken als hij ook geharmoniseerde normen of, in voorkomend geval, gemeenschappelijke specificaties heeft toegepast die alle eisen van afdeling 2 dekken. De aanbieder stelt één set technische documentatie op (artikel 11(2)).

  • De verordening noemt zelf geen datanorm; er zijn twee vermoedens van conformiteit

    De verordening zelf noemt geen technische norm voor datakwaliteit of medische dataformaten. Een systeem dat in overeenstemming is met geharmoniseerde normen waarvan de referenties in het Publicatieblad zijn bekendgemaakt, wordt geacht te voldoen aan de eisen van afdeling 2 voor zover die normen ze bestrijken (artikel 40(1)). Een systeem dat is getraind en getest met data die de geografische, gedragsmatige, contextuele of functionele omgeving van het beoogde gebruik weerspiegelen, wordt geacht te voldoen aan artikel 10(4) (artikel 42(1)). Elke andere norm die een aanbieder gebruikt, is een vrijwillige ontwerpkeuze.

Voorbeeld: hoe datagovernance bij een aanbieder van diagnostische AI eruit kan zien

Dit zijn voorbeelden, geen eisen.

  • Voorbeeld: representativiteit (artikel 10(3))

    De aanbieder van een classificatiesysteem voor huidafbeeldingen controleert of zijn datasets de huidtypen en leeftijdsgroepen van de beoogde patiënten bevatten. Hij legt elk gebrek vast (artikel 10(2), punt h)).

  • Voorbeeld: herkomst van de data (artikel 10(2), punt b))

    De aanbieder legt vast welke ziekenhuizen de beelden hebben geleverd, wanneer ze zijn verzameld en voor welk oorspronkelijk doel.

  • Voorbeeld: onderzoek naar bias (artikel 10(2), punten f) en g))

    De aanbieder vergelijkt de foutpercentages van het systeem tussen patiëntengroepen op de testdataset en documenteert maatregelen als de percentages verschillen.

Veelgestelde vragen: patiëntengroepen, gezondheidsdata, datums en boetes

Eist artikel 10 een evenwicht tussen patiëntengroepen in de data?

De verordening stelt geen quotum. Datasets moeten voldoende representatief zijn en passende statistische kenmerken hebben, ook ten aanzien van de personen of groepen personen voor wie het systeem bedoeld is (artikel 10(3)). Ze moeten de gebruiksomgeving weerspiegelen voor zover het beoogde doel dat vereist (artikel 10(4)).

Mag ik gezondheidsdata gebruiken om op bias te testen?

Alleen volgens de AVG en onder de voorwaarden van artikel 4 bis(1). De verwerking moet strikt noodzakelijk zijn om bias op te sporen en te corrigeren. Andere data mogen het doel niet kunnen bereiken en de genoemde waarborgen gelden. Aanbieders van hoogrisicosystemen mogen verwerken volgens artikel 4 bis(1), gebruiksverantwoordelijken van hoogrisicosystemen volgens artikel 4 bis(2). De verordening staat het toe en verplicht er niet toe.

Vanaf wanneer gelden de regels van artikel 10 voor AI in de gezondheidszorg?

Ze gelden vanaf 2 augustus 2028 voor AI-systemen die hoogrisico zijn volgens artikel 6(1) en bijlage I (artikel 113, punt c), ii)). Ze gelden vanaf 2 december 2027 voor AI-systemen die hoogrisico zijn volgens artikel 6(2) en bijlage III (artikel 113, punt c), i)). Een AI-systeem met een hoog risico dat vóór de voor dat systeem geldende datum in de handel is gebracht of in gebruik is gesteld, valt er alleen onder als het ontwerp daarna aanzienlijk wordt gewijzigd. In elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen (artikel 111(2)).

Hoe hoog zijn de boetes, en zijn ze lager voor kleine bedrijven?

Artikel 16 bepaalt de plichten van aanbieders, waartoe de naleving van de eisen van de artikelen 9 tot en met 15 behoort. Overtredingen worden beboet met maximaal 15 miljoen EUR of, voor een onderneming, 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99(4)). Voor mkb-bedrijven, inclusief start-ups, en kleine midcapondernemingen (artikel 3, punt 14 ter) is elke boete maximaal het lagere van de twee bedragen (artikel 99(6) en (6 bis)). Elke lidstaat bepaalt in hoeverre boetes kunnen worden opgelegd aan overheidsinstanties (artikel 99, lid 8).

Lees hierna: artikel 10, het overzicht voor de gezondheidszorg, risicobeheer en toezicht

Scanara bereidt bewijs voor vanuit uw repositories

Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.