AI voor sessieaantekeningen als psycholoog: wat de AVG en de GBA vragen

Een tool die je aantekeningen uitwerkt, structureert en netjes in het dossier zet: het klinkt als heel wat tijdwinst. Maar sessieaantekeningen zijn gezondheidsgegevens, en je beroepsgeheim gaat mee naar elke tool waar ze in terechtkomen. Dit artikel loopt na wat de AVG en de Gegevensbeschermingsautoriteit (GBA) vragen voor je een AI-tool gebruikt, en wat je er zeker niet in plakt.

Waarom dit meer is dan een softwarekeuze

Gezondheidsgegevens zijn bijzondere categorieën van persoonsgegevens (artikel 9 AVG). Hun verwerking is in principe verboden, tenzij een uitzondering geldt. Voor zorgverlening bestaat zo'n uitzondering (artikel 9, lid 2, onder h), maar artikel 9, lid 3 stelt een voorwaarde: de verwerking moet gebeuren door of onder de verantwoordelijkheid van een beroepsbeoefenaar die door het beroepsgeheim gebonden is, of door een andere persoon die tot geheimhouding verplicht is. Boven op de AVG ligt het beroepsgeheim van artikel 352 van het Strafwetboek (tot 1 september 2026 artikel 458; zie ons artikel over het meldrecht).

Concreet: jij blijft verantwoordelijk voor wat er met je aantekeningen gebeurt, ook wanneer een leverancier ze technisch verwerkt. Een AI-tool staat dus niet náást je dossier, hij wordt er een onderdeel van. Wat de algemene regels voor dat dossier zijn, lees je in ons artikel over het patiëntendossier.

Stap 1: wat is de leverancier voor de AVG?

Verwerkt de leverancier de gegevens uitsluitend namens jou en op jouw instructies, dan is hij je verwerker en heb je een schriftelijke verwerkersovereenkomst nodig (artikel 28 AVG). Gebruikt hij jouw invoer ook voor eigen doeleinden, bijvoorbeeld om zijn model te verbeteren, dan bepaalt hij zelf doel en middelen en geldt hij voor die verwerking als verantwoordelijke (artikel 28, lid 10). Voor cliëntgegevens is dat een rode vlag. Vraag de leverancier daarom minstens dit:

• Verwerkt hij enkel op jouw gedocumenteerde instructies, en gebruikt hij jouw invoer niet om modellen te trainen of te verbeteren?
• Zijn alle medewerkers met toegang tot de gegevens gebonden aan geheimhouding?
• Waar worden de gegevens verwerkt en bewaard? Gebeurt dat buiten de Europese Economische Ruimte, dan gelden extra regels voor doorgifte (hoofdstuk V AVG).
• Welke onderaannemers zet hij in, en hoe word je verwittigd als die veranderen?
• Hoe lang blijven invoer, uitvoer en logbestanden bewaard, en hoe laat je alles wissen of terugkrijgen?
• Verwittigt hij je zonder onredelijke vertraging bij een datalek?

Heb je een DPIA nodig?

Een gegevensbeschermingseffectbeoordeling (DPIA) is verplicht wanneer een verwerking waarschijnlijk een hoog risico inhoudt. Overweging 91 van de AVG bepaalt dat de verwerking van patiëntgegevens door een individuele zorgverlener niet als grootschalig geldt, dus dat ene criterium speelt voor een solopsycholoog doorgaans niet. Werk je in een groepspraktijk of centrum, dan geldt die uitleg niet vanzelf: de overweging spreekt over een individuele zorgverlener. Daarmee is de toets ook niet af. De GBA verwijst naar de negen criteria van de Groep 29: voldoet een verwerking aan twee ervan, dan is een DPIA in de meeste gevallen nodig. Gevoelige gegevens, kwetsbare betrokkenen (denk aan mensen met psychische problemen) en het innovatieve gebruik van een nieuwe technologie zijn er drie van. Een AI-tool voor sessieaantekeningen voldoet dus al snel aan twee of drie van die criteria.

Doe je geen DPIA, leg dan schriftelijk vast waarom niet: de GBA verwacht dat je de redenen documenteert.

Toestemming en transparantie

De verwerking van gezondheidsgegevens in de zorg steunt doorgaans op artikel 9, lid 2, onder h, en niet op toestemming. Dat neemt je transparantieplicht niet weg: je cliënt moet weten welke gegevens naar welke tool gaan en waarom. De Deontologische Code vraagt bovendien dat je cliënt vooraf is ingelicht en instemt wanneer gegevens met anderen worden gedeeld. Zet het dus in je praktijkvoorwaarden of informed consent, leg in gewone woorden uit wat de tool doet en laat "nee" zonder gevolgen. Voor opnames of transcripties van de sessie zelf, de gevoeligste vorm, vraag je best vooraf een uitdrukkelijk ja en noteer je dat in het dossier.

Wat je niet zomaar in een AI-tool plakt

Zolang de punten hierboven niet op orde zijn, blijft dit er sowieso buiten:

• Identificerende gegevens: naam, adres, geboortedatum, rijksregisternummer, e-mailadres en telefoonnummer.
• Opnames of woordelijke uitwerkingen van sessies in een gratis of consumentenversie van een chatbot, of in eender welke tool zonder verwerkersovereenkomst.
• Gegevens over derden: de partner, kinderen, ouders of collega's van je cliënt.
• Een "geanonimiseerd" verhaal met veel context. Identificeren is breder dan een naam kennen: ook iemand uitpikken ("singling out") telt (overweging 26 AVG). In een kleine gemeente volstaan een leeftijd, een beroep en een gebeurtenis om iemand te herkennen. Gepseudonimiseerde gegevens blijven voor jou bovendien persoonsgegevens, omdat jij weet over wie het gaat.

Of een getraind AI-model zelf als anoniem mag gelden, moet volgens het EDPB (advies 28/2024) per geval worden beoordeeld. Een bewering van de leverancier volstaat niet.

En de AI-verordening?

Naast de AVG bestaat er de Europese AI-verordening (Verordening (EU) 2024/1689). Die wordt gefaseerd van toepassing: de verboden praktijken en de bepalingen over AI-geletterdheid gelden sinds 2 februari 2025, een groot deel van de overige regels sinds 2 augustus 2026. Voor hoogrisicosystemen is de toepassing recent uitgesteld (Verordening (EU) 2026/1744). Controleer de actuele data bij de Europese Commissie. Wat de verordening concreet van jou als gebruiker van een AI-tool vraagt, hangt af van de tool en het gebruik, en daar gaan we hier niet op in. De AVG blijft hoe dan ook gelden. De GBA publiceerde in 2024 een infobrochure die beide teksten naast elkaar legt, en houdt een themapagina over AI bij.

In de praktijk

Bij het schrijven vonden we geen specifiek standpunt van de Psychologencommissie of de VVKP over AI-tools voor sessieaantekeningen. Vraag het dus na bij je beroepsvereniging voor je start. Wil je een tool uitproberen, doe dat dan eerst zonder echte cliëntgegevens, lees alles wat hij genereert zelf na en bewaar enkel wat jij bevestigt: de klinische inhoud en de verantwoordelijkheid voor het dossier blijven bij jou. Je cliënt kan zijn dossier bovendien inkijken.

Documenteer je keuze. Neem de tool op in je verwerkingsregister, bewaar de verwerkersovereenkomst en je DPIA (of de motivering waarom je er geen deed) bij elkaar en noteer wanneer je dat laatst nakeek. Hoe je dat register opbouwt, staat in onze checklist gegevensbescherming.

In Nerela schrijf en bewaar je je sessieaantekeningen zelf in het cliëntendossier. De gegevens zijn versleuteld tijdens verzending en opslag, gehost in de Europese Unie en per account geïsoleerd op databaseniveau. Alle vragen uit dit artikel mag je ook aan ons stellen.