Veel zorgorganisaties zijn benieuwd naar wat AI-toepassingen voor hen kunnen betekenen. Twijfels over de veiligheid van gevoelige medische gegevens kunnen daarbij als potentieel struikelblok voelen. Net als bij andere manieren van dataverwerking moeten ook bij AI de juiste privacy- en securitymaatregelen in acht worden genomen. Louise Kallen, Directeur Zorg bij PAQT, licht toe hoe zorgorganisaties veilige keuzes kunnen maken en waarom een private cloud een belangrijke component is van de infrastructuur voor AI-toepassingen in de zorg.

“De ontwikkelingen rondom AI gaan enorm snel”, benadrukt Kallen. “De mens houdt die ontwikkelingen eigenlijk niet bij. Zowel op het vlak van wat er technisch kan, als op het gebied van het inrichten van de organisatorische structuren die nodig zijn om AI goed te laten landen in het kader van governance, beleid, beoordeling van veiligheid, klinische veiligheid en datamonitoring.”

Zorgorganisaties twijfelen vaak aan welke regels en wetgeving ze moeten voldoen bij het inzetten van AI-toepassingen, ziet Kallen. “De AI Act geeft een best duidelijke richtlijn, maar er zijn ook de GDPR, AVG, MDR, NIS2, en ISO-normeringen. Hierdoor zien veel organisaties door de bomen het bos niet meer en weten ze niet meer waar überhaupt te starten. Daarnaast is het voor organisaties lastig om te garanderen dat wat ze doen met AI ook veilig en compliant is.” 

Het lijkt heel complex, maar volgens Kallen is de oplossing eigenlijk vrij simpel: draai je AI-infrastructuur lokaal waar het klinische toepassingen betreft. “Dat betekent dat je lokale modellen hebt en lokale servers, waardoor je data uitsluitend in je eigen technische omgeving blijven. Hierdoor ben je eigenlijk altijd compliant aan alle wet- en regelgevingen.”

Lokaal betekent in deze setting idealiter binnen de eigen organisatie, maar in ieder geval binnen Nederland. “Buiten Nederland kun je opeens te maken krijgen met andere wet- en regelgeving.”

Private cloud

“Lokale AI-infrastructuur noemen we ook wel private cloud”, legt Kallen uit. Bij een private cloud heeft een organisatie eigen dedicated en afgeschermde resources, die dus niet gedeeld worden met andere partijen. Hierdoor heeft de organisatie zelf de touwtjes in handen, bijvoorbeeld wat betreft de security-protocollen die gehanteerd worden. En er is sprake van beveiliging door onduidelijkheid, ofwel security by obscurity. Kallen: “Een private cloud is vaak minder zichtbaar voor aanvallers, en heeft daardoor een extra beschermingslaag.” 

Bij een private cloud vormen interne kwetsbaarheden het hoogte risico. Kallen: “Het IT-team van de organisatie moet ervoor zorgen dat de software up-to-date blijft en dat de firewall goed ingericht is. Anders is de omgeving kwetsbaar.” Toegang tot de infrastructuur blijft bij een private cloud beperkt tot de medewerkers van de organisatie, wat enerzijds beschermt tegen kwaadwillenden van buitenaf maar gelijktijdig betekent dat insiders met slechte bedoelingen meer schade aan kunnen richten. 

Public cloud

Tegenover private cloud staat public cloud, waarbij organisaties infrastructuur delen met andere partijen. Bekende voorbeelden zijn AWS, Azure en Google Cloud. Bij deze vorm van datainfrastructuur is misconfiguratie het hoogste risico. Kallen: “Fouten in beveiligingsinstellingen, zoals te ruime toegangsrechten, zijn de oorzaak van de meeste lekken in de public cloud.” Doordat de infrastructuur toegankelijk is via het openbare internet, kan public cloud daarnaast een aantrekkelijker doelwit zijn voor grootschalige scans en aanvallen.

Deze versturen we 3-4x per jaar.