Hoe moet een AI-patiëntenassistent de identiteit controleren vóór een afspraakwijziging?
Een praktisch ontwerp voor patiëntmatching, extra verificatie en mislukte controles zonder patiëntgegevens prijs te geven.
Het korte antwoord
Een AI-patiëntenassistent hoort de identiteit te controleren in verhouding tot de gevraagde handeling. Voor openingstijden is meestal geen identiteitscontrole nodig. Wie afspraakgegevens wil horen, een bezoek wil annuleren of een andere datum wil kiezen, moet eerst aan het juiste patiëntendossier worden gekoppeld voordat persoonlijke informatie wordt gedeeld of gewijzigd.
Een veilig ontwerp gebruikt goedgekeurde controlevragen voor de eerste match en een sterkere stap wanneer de handeling meer risico heeft. Mislukt de controle of kan de patiënt de gekozen methode niet gebruiken, dan stopt de transactie en volgt een gecontroleerde route naar een medewerker. De assistent mag niet gokken, iemand als fraudeur bestempelen of beslissen of iemand zorg mag ontvangen.
Koppel de controle aan de handeling
Beschrijf iedere handeling die de telefoondienst mag uitvoeren en geef die een verificatieniveau. Algemene informatie over parkeren of openingstijden kan meestal openbaar blijven. Een dossier opzoeken, een toekomstige afspraak voorlezen, een boeking wijzigen, een klinisch bericht delen en iemand anders toegang geven hebben niet hetzelfde gevolg. Iedere handeling vraagt om een eigen controle en uitwijkroute.
Zo voorkomt u twee fouten. Een te lichte controle kan het verkeerde dossier openen of wijzigen. Een te zware controle kan patiënten buitensluiten van een eenvoudige administratieve dienst en meer gegevens verzamelen dan nodig is. De AVG-uitleg van de Europese Commissie verbindt minimale gegevens, juistheid en vertrouwelijkheid aan het concrete doel. Leg de niveaus daarom vóór de start vast met privacy, security en operatie.
Match de beller zonder privégegevens als sterk geheim te behandelen
De actuele telefonierichtlijn van NHS England noemt als praktisch voorbeeld twee of drie kenmerken, zoals geboortedatum, postcode en de eerste regel van het adres. Dat is een nuttig referentiepunt, geen regel voor iedere Europese zorgorganisatie. Laat de beller de gegevens zelf noemen. Lees geen waarde voor met de vraag of die klopt, want daarmee kan de assistent informatie aan de verkeerde persoon geven.
Persoonskenmerken kunnen helpen bij een dossiermatch, maar veel ervan zijn vindbaar of bekend binnen een huishouden. Gebruik ze als bewijs voor een afgebakende handeling, niet als universeel wachtwoord. Beperk het aantal pogingen, zeg niet welk antwoord fout was en bevestig niet dat iemand in het systeem staat. Vergelijk met het leidende patiëntensysteem, niet met een losse kopie bij de spraakdienst.
Voeg een sterkere stap toe vóór inzage of wijziging
Voor een handeling met meer impact kan een extra factor nodig zijn. Afhankelijk van het goedgekeurde ontwerp kan dat een eenmalige code zijn naar een contactkanaal dat al in het patiëntensysteem staat, een ingelogd patiëntenportaal of een terugbelactie van een medewerker via een bekend nummer. Een nummer dat tijdens hetzelfde ongeverifieerde gesprek wordt opgegeven, mag niet stilzwijgend het vertrouwde kanaal voor codes of berichten worden.
Verificatie is slechts één deel van een veilige afspraakwijziging. De assistent moet ook de juiste afspraak kiezen, één herhaalbestendige schrijfactie versturen en wachten op bevestiging van het afsprakensysteem. Valt de verbinding na het verzenden weg, dan blijft het resultaat onzeker tot controle heeft plaatsgevonden. De patiënt krijgt een eerlijke melding dat de actie nog openstaat, geen stellige bevestiging die onjuist kan zijn.
Behandel inkomende gesprekken, uitgaande gesprekken en voicemail apart
Bij een inkomend gesprek kan de assistent de zorgorganisatie noemen en zeggen dat het om AI gaat. Daarna volgen de afgesproken controlegegevens voordat het patiëntendossier wordt besproken. Bij een uitgaand gesprek is meer terughoudendheid nodig, omdat iemand anders kan opnemen. NHS England adviseert de persoon eerst te verifiëren voordat de dienst of reden van een zorgoproep wordt genoemd en geen vertrouwelijke informatie op voicemail achter te laten.
Bepaal per belcampagne wat vóór verificatie gezegd mag worden. Een neutraal verzoek om het officiële nummer te bellen kan beter zijn wanneer de naam van een specialisme, test of behandeling op zichzelf al gevoelige informatie prijsgeeft. De ontvanger moet ook de zorgorganisatie kunnen controleren, bijvoorbeeld door op te hangen en het nummer op de eigen website van de organisatie te gebruiken.
Geef een mislukte controle een veilige en toegankelijke uitweg
Bij een afwijking stoppen de gegevensverstrekking en de gevraagde wijziging. Dat mag geen permanente blokkade of besluit over recht op zorg worden. Geef een neutrale reactie, begrens herhaalde pogingen en maak een taak voor een medewerker zonder de mislukte antwoorden in een breed toegankelijk dossier te kopiëren. Gebruik voor opvolging een kanaal dat al bij de organisatie bekend is of verwijs naar een officieel contactpunt.
Ontwerp alternatieven voor patiënten met een nieuw nummer, een gedeelde telefoon, geen mogelijkheid om een code te ontvangen, een beperking of behoefte aan een andere taal. Soms is een controle op locatie of een bevoegde medewerker met een andere procedure nodig. Belt iemand namens de patiënt, dan bewijst de identiteit van de beller nog geen bevoegdheid. Vertegenwoordiging, toestemming, wilsbekwaamheid en bescherming vragen een eigen proces onder menselijke controle.
Gebruik stemherkenning niet als gemakkelijke omweg
Gesproken woorden herkennen is iets anders dan met een stemprofiel vaststellen wie iemand is. De EDPB legt uit dat een stem voor unieke identificatie of authenticatie biometrische verwerking is en extra eisen meebrengt. Voeg sprekerherkenning niet toe alleen omdat het gesprek toch al audio bevat. Daarvoor zijn een aparte juridische, privacy- en securitybeoordeling, duidelijke informatie en een bruikbaar alternatief nodig.
De assistent hoort ook geen ziekte, emotie, betrouwbaarheid of wilsbekwaamheid af te leiden uit iemands stem. Achtergrondgeluid, accent, spraakbeperking en een slechte verbinding beïnvloeden de oproep zonder betrouwbare informatie over de patiënt te geven. Herhaal de vraag of draag de taak over als de audio onduidelijk is. Maak van onzekerheid in spraakherkenning geen identiteits- of klinisch oordeel.
Log de uitkomst en test de grens
Bewaar een auditgebeurtenis met de gevraagde handeling, categorie van verificatiemethode, geslaagd of mislukt, dossierkenmerk, schrijfbevestiging en overdrachtsreferentie. Zet geen volledige antwoorden, eenmalige codes of onnodige gespreksinhoud in het log. Beperk de toegang tot mislukte controles en koppel de bewaartermijn aan een vastgelegd doel, niet aan een platformstandaard.
Test dubbele namen, onjuiste gegevens, een gewijzigd telefoonnummer, een gedeeld gezinstoestel, een afgebroken gesprek na verzending, achtergrondgeluid, een taalwissel en iemand die namens de patiënt belt. Een bevoegde medewerker beheert uitzonderingen. De AI mag de controle uitvoeren en veilig stoppen, maar geen mislukking omzeilen, fraude vaststellen, vertegenwoordiging toekennen, klinische informatie onthullen of beslissen over urgentie en toegang tot zorg.
FAQ
Zijn geboortedatum en postcode genoeg om een afspraak te wijzigen?
Niet automatisch. Ze kunnen helpen om een beller aan een dossier te koppelen, maar zijn vaak vindbaar en vormen geen sterk geheim. De zorgorganisatie bepaalt per handeling een evenredige controle en voegt een sterkere stap toe als inzage of wijziging meer risico geeft.
Kan de assistent een code sturen naar het nummer dat de beller tijdens het gesprek opgeeft?
Behandel een nieuw nummer uit een ongeverifieerd gesprek niet als vertrouwd. Een code hoort alleen naar een kanaal te gaan dat via een goedgekeurd proces al is geregistreerd. Een vertrouwd kanaal wijzigen vraagt een aparte procedure of controle door een medewerker.
Wat gebeurt er als een patiënt niet door de controle komt?
De assistent stopt de inzage of wijziging, geeft een neutrale uitleg en biedt een bevoegde route, zoals terugbellen via een bekend nummer, de officiële zorglijn of controle op locatie. Een mislukking mag geen automatisch fraudeoordeel of besluit over zorgtoegang worden.
Bronnen en verder lezen
- European Commission: principles of the GDPR
- European Data Protection Board: Guidelines 02/2021 on virtual voice assistants
- European Data Protection Board: Guidelines 01/2022 on data subject rights and authentication
- NHS England Digital: protecting confidentiality and privacy on the telephone
- NIST: SP 800-63 Revision 4 Digital Identity Guidelines