AI Act-transparantie · Verordening (EU) 2024/1689

Transparant over AI.
Menselijke controle blijft leidend.

De integrale verklaring over classificatie, AI-partijen, transparantie onder artikel 50 en de waarborgen voor fysiotherapeuten en patiënten.

Versie 3.7 Laatst gewijzigd 15 juli 2026 Lees de samenvatting

Hysio AI Act-positie

Versie 3.7

Status per publicatiedatum

Niet high-risk,
wel transparant en controleerbaar.

Geen verboden praktijk en niet high-risk bij het huidige beoogde gebruik
Google LLC en Groq Inc. zijn actief; OpenAI Inc. is een inactieve fallback
Iedere output blijft concept tot betekenisvolle controle door de fysiotherapeut
Het exacte zichtbare label wordt uiterlijk 1 augustus 2026 uitgerold

Hysio B.V. KvK 98649744

15 juli 2026

AI Act artikel 4 · artikel 50 · menselijke controle

De samenvatting

Zeven punten
die je echt moet weten.

Deze samenvatting geeft je in één minuut de kern. De zeventien hoofdstukken, hoofdstuk 13bis en de volledige onderbouwing eronder blijven leidend.

17 hoofdstukken en 1 aanvullend hoofdstuk 13bis
Getoetst aan AI Act artikel 4, 50, 111 en 113
Gepubliceerd op 15 juli 2026

Hysio is geen high-risk AI-systeem. Het huidige beoogde gebruik is administratieve ondersteuning en omvat geen verboden praktijk of klinische besluitvorming.
Hysio is aanbieder van zijn AI-systemen en downstream-aanbieder in de GPAI-keten, maar geen aanbieder van het onderliggende AI-model voor algemene doeleinden.
Google LLC en Groq Inc. zijn actieve AI-partijen. OpenAI Inc. is uitsluitend een inactieve, configureerbare fallback en wordt niet gebruikt voor productieverwerking.
Iedere AI-output blijft een bewerkbaar concept dat de fysiotherapeut betekenisvol moet controleren voordat de inhoud wordt gebruikt.
Het zichtbare label "AI-gegenereerd concept, controle vereist" wordt uiterlijk 1 augustus 2026 uitgerold en wordt niet als reeds volledig operationeel gepresenteerd.
De toepasselijkheid en technische uitvoering van machineleesbare markering onder AI Act artikel 50 lid 2 worden afzonderlijk per outputtype beoordeeld.
Consultaudio wordt uitsluitend tijdelijk verwerkt en uiterlijk binnen negentig dagen verwijderd. Tekstverwerking via Google is aan de Vertex AI EU-region binnen de EER gebonden.

Versie

3.7

Publicatiedatum

15 juli 2026

Taal

Nederlands

Vervangt

Versie 3.6 van 4 mei 2026, inclusief het retentie-erratum v3.6.1 van 10 juli 2026

Deze verklaring beschrijft de positie van Hysio onder de AI Act en maakt deel uit van het achtdelige juridische pakket van Hysio.

Hoofdstuk 1

Doel van deze verklaring

Deze transparantieverklaring beschrijft hoe Hysio B.V., hierna: Hysio, omgaat met Verordening (EU) 2024/1689, hierna: de AI Act. De verklaring is bedoeld voor fysiotherapeuten en praktijken die Hysio gebruiken, voor patiënten, toezichthouders en andere belanghebbenden.

Hysio actualiseert deze verklaring bij een materiële wijziging in functionaliteit, AI-systemen, sub-verwerkers, regelgeving of officiële guidance. De actuele versie staat op hysio.nl/ai-act-transparantieverklaring en is op aanvraag in PDF beschikbaar via legal@hysio.nl.

Deze verklaring vormt een aanvulling op:

Het actuele juridische pakket bestaat uit deze acht kerndocumenten. De kerndocumenten zijn bereikbaar via hysio.nl/juridisch. De Fair Use Policy is publiek beschikbaar op hysio.nl/fair-use. Overige ondersteunende documenten, waaronder het Patiënt-informatieblad, het AI Risk Register, de Transfer Impact Assessment en het Subprocessor Register, zijn op aanvraag beschikbaar via legal@hysio.nl, voor zover geen wettelijke of contractuele beperking geldt.

Hoofdstuk 2

Toepasselijkheid en rolverdeling

Hysio is aanbieder in de zin van AI Act art. 3 punt 3. Hysio ontwikkelt het platform, brengt het onder eigen merk in de handel via app.hysio.nl en de bijbehorende mobiele applicaties van Hysio, en biedt het via abonnementen aan. Hysio draagt de aanbiederverplichtingen die voortvloeien uit de classificatie van zijn AI-systemen.

De fysiotherapeut of praktijk is gebruiksverantwoordelijke in de zin van AI Act art. 3 punt 4. De fysiotherapeut gebruikt het AI-systeem onder eigen verantwoordelijkheid binnen de behandelrelatie en blijft eindverantwoordelijk voor klinische beslissingen en voor de inhoud die in een patiëntdossier of communicatie wordt gebruikt. Hoofdstuk 13bis bevat praktische aanwijzingen voor verantwoord gebruik. Omdat Hysio niet als high-risk AI-systeem is geclassificeerd, is AI Act art. 26 niet rechtstreeks van toepassing. Hysio hanteert de relevante beginselen daaruit wel als aanvullende gedragsnorm.

Hysio is downstream-aanbieder in de zin van AI Act art. 3 punt 68 en geen aanbieder van een AI-model voor algemene doeleinden. Hysio integreert een large language model van Google LLC voor tekstgeneratie en een spraak-naar-tekst-dienst van Groq Inc. voor consultaudio. Hysio ontwikkelt de onderliggende modellen niet, laat deze niet ontwikkelen en brengt deze modellen niet onder eigen naam in de handel. Of Groq tevens kwalificeert als aanbieder van het onderliggende model, beoordeelt Hysio afzonderlijk aan de hand van de modelherkomst, de contractuele rol en de wijze waarop het model in de handel wordt gebracht. Ongeacht die kwalificatie is Groq voor de verwerking van klantgegevens een sub-verwerker van Hysio.

OpenAI Inc. is een inactieve, door de beheerder configureerbare fallback voor afzonderlijke workflows. OpenAI wordt per publicatiedatum niet gebruikt voor productieverwerking. Activering voor een klantworkflow vereist vooraf:

de sub-verwerkerprocedure uit de Verwerkersovereenkomst v3.7 art. 11 lid 7;
een geldige verwerkersovereenkomst met no-training- en passende retentievoorwaarden;
actualisering en goedkeuring van de Transfer Impact Assessment;
vaststelling van een passend doorgiftemechanisme en overige doorgiftewaarborgen;
opname in het Subprocessor Register;
gedocumenteerde interne juridische goedkeuring;
kennisgeving aan de Verantwoordelijke met ten minste dertig dagen voor bezwaar en een passende oplossing.

De verwerking start niet voordat de bezwaartermijn is verstreken en alle genoemde controles zijn afgerond. Hysio actualiseert deze verklaring en het Subprocessor Register vóór activering. Importeur en distributeur in de zin van AI Act art. 3 punten 6 en 7 zijn voor de huidige keten niet aan de orde.

Hoofdstuk 3

Classificatie van Hysio's AI-systemen

3.1 Verboden praktijken, AI Act art. 5

Het platform raakt geen van de verboden praktijken uit AI Act art. 5. Hysio gebruikt geen AI voor manipulatie, exploitatie van kwetsbaarheden, social scoring, biometrische identificatie in openbare ruimten, voorspellende rechtshandhaving, ongerichte verzameling van gezichtsbeelden, emotieherkenning op de werkplek of in het onderwijs, of biometrische categorisatie van gevoelige kenmerken.

Conclusie: AI Act art. 5 is niet van toepassing op de huidige functies van Hysio.

3.2 High-risk via Annex III, AI Act art. 6 lid 2

De categorieën uit Annex III zijn beoordeeld.

Annex III punt 1, biometrie: Hysio voert geen biometrische identificatie of categorisatie uit. Een stem wordt uitsluitend verwerkt om consultaudio om te zetten naar tekst, niet om de spreker te identificeren.
Annex III punten 2, 3 en 4: kritieke infrastructuur, onderwijs en arbeidsrelaties zijn niet van toepassing.
Annex III punt 5 onder a, toegang tot essentiële diensten: Hysio beslist niet over toegang tot zorg, zorgrechten, publieke voorzieningen of intrekking daarvan.
Annex III punt 5 onder b, kredietwaardigheid: niet van toepassing.
Annex III punt 5 onder c, verzekeringen: Hysio beoordeelt geen verzekeringsrisico en bepaalt geen premie.
Annex III punt 5 onder d, noodhulp: Hysio verricht geen spoedtriage of besluitvorming voor noodhulp.
Annex III punten 6 tot en met 8: rechtshandhaving, migratie, grenscontrole, justitie en democratische processen zijn niet van toepassing.

De huidige functies ondersteunen administratieve documentatie en verrichten geen klinische besluitvorming. Iedere output moet inhoudelijk door de fysiotherapeut worden beoordeeld voordat deze wordt gebruikt.

Conclusie: het platform valt voor zijn huidige beoogde gebruik niet onder Annex III en is niet high-risk via AI Act art. 6 lid 2.

3.3 High-risk via Annex I en AI Act art. 6 lid 1

AI Act art. 6 lid 1 kwalificeert een AI-systeem als high-risk wanneer het een veiligheidscomponent is van, of zelf een product is dat onder Annex I valt en waarvoor een conformiteitsbeoordeling door een derde is vereist. De MDR, Verordening (EU) 2017/745, staat in Annex I sectie A van de AI Act.

Zoals onderbouwd in het MDR Positiedocument v3.7, is Hysio geen medical device software, MDSW, in de zin van MDR art. 2 punt 1 en MDCG 2019-11 Rev. 1. Het beoogde doeleinde is administratieve assistentie bij consultdocumentatie, zonder diagnose, behandeladvies, klinische beoordeling, triage, red-flag-detectie, risicostratificatie, prognose, monitoring of klinische beslisondersteuning.

MDCG 2025-6 verduidelijkt de samenloop tussen de MDR en de AI Act. Deze guidance is niet bindend. Hysio heroverweegt de positie bij gewijzigde guidance, toezicht, rechtspraak, functionaliteit of marketing.

Conclusie: zolang Hysio geen MDSW is en geen andere Annex I-route van toepassing wordt, geldt geen high-risk-classificatie via AI Act art. 6 lid 1.

3.4 Eindclassificatie en overgangsrecht

Hysio's huidige AI-systemen zijn niet verboden, niet high-risk via Annex III en niet high-risk via Annex I in samenhang met de MDR. Voor zover de afzonderlijke functies binnen AI Act art. 50 vallen, past Hysio de relevante transparantieverplichtingen toe. Hysio past daarnaast AI Act art. 4 over AI-geletterdheid toe en monitort de relevante informatieverplichtingen in de GPAI-keten.

AI Act art. 111 lid 3 bepaalt dat aanbieders van GPAI-modellen die vóór 2 augustus 2025 in de handel zijn gebracht uiterlijk 2 augustus 2027 aan de toepasselijke verplichtingen moeten voldoen. Dat overgangsregime raakt de aanbieders van de onderliggende modellen. Het stelt de verplichtingen van Hysio onder art. 50 niet uit. Art. 50 wordt op grond van art. 113 lid 2 van toepassing op 2 augustus 2026.

Als Hysio door MDR-herclassificatie of een andere wijziging alsnog high-risk wordt, past Hysio de classificatie en publieke documentatie onmiddellijk aan. Daarna beoordeelt Hysio afzonderlijk of art. 111 lid 2 de toepasselijkheid van bepaalde verplichtingen voor een bestaand high-risk AI-systeem uitstelt tot een aanmerkelijke wijziging van het ontwerp. De datum 2 augustus 2030 geldt binnen dat regime uitsluitend voor de daarin bedoelde systemen die door overheidsinstanties worden gebruikt.

Hysio heroverweegt de classificatie onder meer bij:

uitbreiding richting klinische functionaliteit;
EPD-integratie zonder verplichte menselijke validatie;
autonome patiëntinteractie;
marketing die een klinische functie claimt;
wijziging van DCSPH-codering van administratieve ondersteuning naar klinische beoordeling;
activering van OpenAI voor productieverwerking;
toevoeging van een andere AI-provider;
een substantiële wijziging van het beoogde gebruik of de modelketen.

Hoofdstuk 4

AI-systeeminventaris

De inventaris beschrijft de hoofdcategorieën van workflows met een AI-component.

Workflow	Administratieve functie	Onderliggend type	AI-partij	AI Act-positie	Risiconiveau klant-DPIA
Medical Scribe	Consultaudio naar transcript en gestructureerd verslag	Spraak-naar-tekst en large language model	Groq Inc. en Google LLC	Art. 50 per toepasselijke functie	Middel
Preparation	Voorbereiding op een behandelsessie op basis van bestaande dossiertekst	Large language model	Google LLC	Art. 50 per toepasselijke functie	Laag
SmartMail	Conceptcorrespondentie aan patiënt of collega	Large language model	Google LLC	Art. 50 per toepasselijke functie	Laag
Summary	Samenvattingen en rapportages	Large language model	Google LLC	Art. 50 per toepasselijke functie	Laag
Mentor	Educatieve ondersteuning voor de fysiotherapeut	Large language model	Google LLC	Art. 50 per toepasselijke functie	Laag
EduPack	Conceptmateriaal voor patiënteducatie	Large language model	Google LLC	Art. 50 per toepasselijke functie	Laag
Intervention	Documenteren van uitgevoerde interventies, zonder aanbeveling	Large language model	Google LLC	Art. 50 per toepasselijke functie	Laag
DiagnoseCode	Voorstel voor administratieve DCSPH-codering	Large language model	Google LLC	Art. 50 per toepasselijke functie	Middel
Inactieve fallback	Technische fallback voor tekstgeneratie, niet gebruikt in productie	Large language model	OpenAI Inc.	Art. 50 bij eventuele activering	Activering vereist de procedure uit §2

Voor tekstgeneratie gebruikt Hysio een large language model van Google LLC via de Vertex AI EU-region binnen de Europese Economische Ruimte als huidige productie-binding. Voor consultaudio gebruikt Hysio een spraak-naar-tekst-dienst van Groq Inc. Actuele gegevens over de verwerkingslocatie en contractuele waarborgen staan in Bijlage 3 van de Verwerkersovereenkomst v3.7 en het Subprocessor Register v1.1.

Deze inventaris ziet op de huidige workflowcategorieën. Klinimetrie en Pre-Intake zijn niet live en staan niet op de productroadmap. Functies zonder AI vallen buiten deze inventaris.

Hoofdstuk 5

Transparantieverplichtingen, AI Act art. 50

AI Act art. 50 bevat transparantieverplichtingen die losstaan van de high-risk-classificatie. Deze verplichtingen worden op 2 augustus 2026 van toepassing. De documentaire transparantielaag is operationeel. Het uniforme zichtbare outputlabel blijft een roadmapmaatregel tot uiterlijk 1 augustus 2026. Voor de machineleesbare markering loopt een afzonderlijke beoordeling en implementatie per outputtype.

5.1 Art. 50 lid 1, directe interactie

Art. 50 lid 1 vereist dat aanbieders van AI-systemen die direct met natuurlijke personen interacteren ervoor zorgen dat die personen weten dat zij met een AI-systeem interacteren, tenzij dit voor een redelijk geïnformeerde, oplettende en omzichtige persoon evident is.

De fysiotherapeut is de natuurlijke persoon die rechtstreeks met de AI-functies van Hysio interageert. Hysio informeert de fysiotherapeut via het platform, onboarding, gebruiksinstructies en deze verklaring. De huidige AI-systemen interacteren niet rechtstreeks met patiënten.

Hysio kiest daarnaast voor patiënttransparantie via het Patiënt-informatieblad. Patiëntinformatie is beschikbaar via hysio.nl/patientinfo; het afzonderlijke Patiënt-informatieblad en een printversie voor de praktijk zijn op aanvraag beschikbaar via legal@hysio.nl. De fysiotherapeut informeert de patiënt over het gebruik van AI-ondersteuning binnen de behandelrelatie.

5.2 Art. 50 lid 2, machineleesbare markering

Art. 50 lid 2 verplicht aanbieders van AI-systemen die synthetische tekst, audio, afbeeldingen of video genereren ervoor te zorgen dat de output machineleesbaar wordt gemarkeerd en als kunstmatig gegenereerd of gemanipuleerd detecteerbaar is. De technische oplossing moet, voor zover technisch haalbaar, effectief, interoperabel, robuust en betrouwbaar zijn. Daarbij mag rekening worden gehouden met de kenmerken en beperkingen van het type content, implementatiekosten en de algemeen erkende stand van de techniek.

De verplichting geldt niet voor zover het AI-systeem uitsluitend standaardbewerking ondersteunt of de input of semantiek daarvan niet wezenlijk wijzigt. De uitzondering voor menselijke redactionele controle en redactionele verantwoordelijkheid staat in art. 50 lid 4 en heft een toepasselijke verplichting uit lid 2 niet zonder meer op.

Hysio past de volgende lagen toe of rolt deze uit:

Conceptstatus en menselijke controle: AI-output blijft een concept totdat de fysiotherapeut deze inhoudelijk beoordeelt, bewerkt, accepteert of verwerpt. De oorspronkelijke en bewerkte versie blijven traceerbaar.
Zichtbaar label: het uniforme label "AI-gegenereerd concept, controle vereist" wordt uiterlijk 1 augustus 2026 bij iedere zichtbare AI-output uitgerold. Dit is deels een waarborg voor art. 50 lid 1 en deels een vrijwillige aanvullende waarborg.
Machineleesbare markering: Hysio beoordeelt per outputtype of art. 50 lid 2 geldt, welke machineleesbare markering nodig is en binnen welke toepasselijke termijn die maatregel moet zijn ingevoerd. Exportmetadata kan daarbij één implementatiekanaal zijn. De implementatie volgt de definitieve Code en toepasselijke technische standaarden.
Klinische disclaimer: zichtbare gebruiksinstructies herinneren de fysiotherapeut eraan dat Hysio het klinische oordeel niet vervangt en dat iedere output moet worden gecontroleerd.

5.3 Art. 50 leden 3, 4 en 5

Art. 50 lid 3 over emotieherkenning en biometrische categorisatie is niet van toepassing.

Art. 50 lid 4 bevat openbaarmakingsplichten voor deepfakes en voor AI-gegenereerde of gemanipuleerde tekst die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang. Hysio genereert geen deepfakes. Behandelverslagen, patiëntbrieven en normale workflow-output zijn niet bedoeld als publicaties over aangelegenheden van algemeen belang. Wanneer art. 50 lid 4 toch van toepassing zou zijn, beoordeelt Hysio de daarin opgenomen uitzonderingen en voorwaarden per geval.

Art. 50 lid 5 vereist dat de informatie uit de leden 1 tot en met 4 uiterlijk bij de eerste interactie of blootstelling duidelijk, onderscheidbaar en toegankelijk wordt verstrekt.

De definitieve Code of Practice on Transparency of AI-Generated Content is op 10 juni 2026 gepubliceerd. De Europese Commissie concludeerde op 8 juli 2026 dat de Code de verplichtingen uit art. 50 leden 2, 4 en 5 adequaat dekt; de AI Board nam op 9 juli 2026 zijn adequacy assessment aan. De Code is vrijwillig en vervangt de AI Act niet. Hysio gebruikt de Code als actuele implementatiereferentie en beoordeelt afzonderlijk welke verplichtingen per outputtype gelden.

5.4 Status van de transparantielaag

De transparantielaag bestaat uit:

AI-output die als concept wordt aangeboden totdat de fysiotherapeut deze inhoudelijk beoordeelt;
deze AI Act Transparantieverklaring v3.7;
de Privacyverklaring v3.7 §14;
de Disclaimer v3.7 en de gebruiks- en validatiebepalingen uit de Algemene Voorwaarden v3.7;
het actuele Patiënt-informatieblad;
onboarding en helpcenterinformatie;
het AI-geletterdheidsprogramma van Hysio;
de uitrol van het exacte zichtbare label uiterlijk 1 augustus 2026 en de outputtype-specifieke beoordeling en implementatie van een toepasselijke machineleesbare markering.

De machineleesbare markering wordt per outputtype beoordeeld en ingericht aan de hand van art. 50, de definitieve Code en toepasselijke technische standaarden. Een zichtbare vermelding is een aanvullende waarborg en geen vervanging van een toepasselijke machineleesbare markeringsplicht.

Hoofdstuk 6

GPAI-modellen in de keten

6.1 Definitie

AI Act art. 3 punt 63 definieert een AI-model voor algemene doeleinden als een model met een aanzienlijke algemeenheid dat een breed scala aan verschillende taken competent kan uitvoeren. Hysio ontwikkelt of verhandelt zelf geen dergelijk model.

6.2 Diensten die Hysio integreert

Tekstgeneratie door Google LLC. Hysio gebruikt in productie een large language model van Google via de Vertex AI EU-region binnen de EER. Google sluit modeltraining op klantdata contractueel uit. De relevante verwerkingslocatie en contractuele waarborgen staan in de Verwerkersovereenkomst v3.7 en het Subprocessor Register v1.1.
Spraak-naar-tekst door Groq Inc. Hysio gebruikt een spraak-naar-tekst-dienst van Groq uitsluitend om consultaudio om te zetten naar tekst. Global Zero Data Retention is voor de productieomgeving geactiveerd. Of Groq tevens aanbieder van het onderliggende GPAI-model is, wordt afzonderlijk beoordeeld. De rol van Groq als sub-verwerker staat daarvan los.
Inactieve fallback van OpenAI Inc. OpenAI is configureerbaar als fallback voor afzonderlijke workflows, maar wordt per publicatiedatum niet gebruikt voor productieverwerking. Activering vereist vooraf de volledige procedure uit §2. Hysio publiceert een addendum en actualiseert het Subprocessor Register vóór enige activering.

6.3 Positie van Hysio als downstream-aanbieder

Hysio ontwikkelt het onderliggende GPAI-model niet, laat dit niet ontwikkelen en brengt het model niet onder eigen naam in de handel. Hysio integreert externe modellen in afgebakende AI-systemen zonder aanvullende training of fine-tuning. Deze feiten ondersteunen de positie als downstream-aanbieder, maar vormen geen zelfstandige vrijstelling.

Hysio beoordeelt bij iedere materiële wijziging of sprake is van een substantiële wijziging, een wijziging van het beoogde doel, rebranding of een andere omstandigheid waardoor aanvullende aanbiederverplichtingen ontstaan. Hysio voorkomt onbetrouwbare zelfattributie door het model. Transparantie over de werkelijke juridische partijen wordt gegeven via deze verklaring, de Privacyverklaring, de Verwerkersovereenkomst en het Subprocessor Register.

6.4 Verplichtingen in de GPAI-keten en monitoring

AI Act art. 53 legt verplichtingen op aan aanbieders van GPAI-modellen, waaronder technische documentatie, informatie voor downstream-aanbieders, naleving van tekst- en dataminingrechten en een publieke samenvatting van de categorieën trainingsdata. Voor een GPAI-model met systeemrisico gelden de aanvullende verplichtingen uit art. 55 na classificatie overeenkomstig art. 51.

Hysio controleert ieder kwartaal:

relevante wijzigingen in de geïntegreerde AI-diensten;
de geldigheid van doorgiftewaarborgen en relevante DPF-certificeringen;
wijzigingen in de GPAI Code of Practice en de Code of Practice on Transparency of AI-Generated Content;
officiële guidance van het AI Office, de Europese Commissie en Nederlandse toezichthouders.

Een materiële afwijking wordt in het AI Risk Register vastgelegd en leidt zo nodig tot een actualisering van deze verklaring, de Verwerkersovereenkomst, de Transfer Impact Assessment en het Subprocessor Register.

Wijziging	Gevolg	Kennisgeving
Nieuwe hoofdgeneratie of andere modelfamilie	Actualisering verklaring, DPA-bijlage en register	Dertig dagen vooraf indien de sub-verwerkerprocedure dat vereist
Nieuwe modaliteit met materiële impact	Impactanalyse en zo nodig documentactualisering	Dertig dagen vooraf indien relevant
Niet-materiële technische update	Registeractualisering	Binnen veertien dagen
Activering OpenAI voor productieverwerking	Volledige procedure uit §2 en addendum	Ten minste dertig dagen vooraf
Nieuwe AI-provider	Documentactualisering, sub-verwerkerprocedure en TIA	Ten minste dertig dagen vooraf

6.5 Codes of Practice en auteursrechten

De definitieve General-Purpose AI Code of Practice is op 10 juli 2025 gepubliceerd. Deze Code richt zich primair tot aanbieders van GPAI-modellen. Hysio monitort of de relevante partijen passende informatie leveren voor downstreamgebruik.

De afzonderlijke Code of Practice on Transparency of AI-Generated Content ondersteunt art. 50 leden 2, 4 en 5. Hysio beoordeelt of ondertekening en de daarin beschreven maatregelen passen bij de eigen rol en outputtypen. Niet-ondertekening doet niet af aan de wettelijke verplichtingen uit art. 50.

Hysio gebruikt geen klantcontent of patiëntgegevens om eigen of externe modellen te trainen. De auteursrechtelijke positie rond richtlijnteksten en DCSPH staat in het IP/License Memo.

Hoofdstuk 7

Logging en bewaartermijnen

AI Act art. 12 over eventlogs en art. 19 over logbewaring zijn rechtstreeks gericht op high-risk AI-systemen en zijn daarom niet rechtstreeks van toepassing op Hysio. Hysio hanteert wel logging als beheersmaatregel voor incidentonderzoek, foutanalyse en kwaliteitsbewaking.

Hysio registreert voor zover nodig:

tijdstip, account en workflow van een AI-aanroep;
de gebruikte dienstcategorie, verwerkingstijd en foutstatus;
technische statusinformatie van een sessiestap;
technische metadata en foutmeldingen van een audioverwerking.

Patiëntinhoud wordt niet in algemene toepassingslogs opgenomen. Deze logs bevatten geen vrije patiënttekst, transcriptinhoud, audio of patiëntbestanden. Algemene technische logs worden volgens de Privacyverklaring en Verwerkersovereenkomst maximaal dertig dagen bewaard.

Consultaudio volgt een afzonderlijke bewaartermijn. Audio wordt verwerkt voor transcriptie en uitsluitend naar aanleiding van een concreet signaal voor foutanalyse of gecontroleerde kwaliteitsbewaking. Audio wordt eerder verwijderd zodra het doel is bereikt en uiterlijk binnen negentig dagen. De negentig dagen zijn een maximumtermijn en geen standaardgebruiksduur. De infrastructuur voor deze opslag staat bij Contabo GmbH in Duitsland, binnen de EER.

Hysio is niet NEN 7510-, NEN 7513- of ISO 27001-gecertificeerd. Een uitgebreidere auditlogvoorziening is onderdeel van het certificeringstraject. Tot die tijd vormt de huidige technische logging een operationele basis zonder klinische inhoud.

Hoofdstuk 8

Beheer van AI-partijen

Hysio beheert de keten met AI-partijen actief.

Google LLC, Verenigde Staten, levert een large language model voor tekstgeneratie via de Vertex AI EU-region. De primaire productieverwerking vindt plaats binnen de EER. Voor zover Google LLC of personeel buiten de EER toegang kan krijgen tot persoonsgegevens, bijvoorbeeld voor ondersteuning, beveiliging of incidentafhandeling, behandelt Hysio dit als een doorgifte naar een derde land. De doorgifte rust op het EU-US Data Privacy Framework zolang de relevante entiteit en dienstverlening onder een geldige certificering vallen. Subsidiair gelden de standaardcontractbepalingen uit Uitvoeringsbesluit (EU) 2021/914, Module 3, voor zover passend bij de feitelijke rollen.

Groq Inc., Verenigde Staten, levert een spraak-naar-tekst-dienst. Groq is per publicatiedatum niet DPF-gecertificeerd. De doorgifte rust op de standaardcontractbepalingen, Module 3, en de Transfer Impact Assessment v1.1. Global Zero Data Retention is voor de productieomgeving geactiveerd. Dit beperkt de opslag bij Groq, maar neemt niet weg dat tijdens de actieve transcriptie een doorgifte plaatsvindt.

OpenAI Inc., Verenigde Staten, is uitsluitend een inactieve, configureerbare fallback. OpenAI wordt niet gebruikt voor productieverwerking. De voorwaarden voor eventuele activering staan in §2 en §6.2.

Hysio beoordeelt bij wijzigingen in de keten onder meer kwaliteit, hallucinatie- en biasrisico, beveiliging, gegevensbescherming en gevolgen voor de classificatie. Materiële wijzigingen worden vooraf gecommuniceerd volgens de Verwerkersovereenkomst.

Hoofdstuk 9

Sub-verwerkers

De volledige lijst van sub-verwerkers, met doel, locatie en doorgiftewaarborg, staat in Bijlage 3 van de Verwerkersovereenkomst v3.7 en in het Subprocessor Register v1.1.

De AI-relevante actieve sub-verwerkers zijn Google LLC voor tekstgeneratie en Groq Inc. voor spraak-naar-tekst. OpenAI Inc. is niet actief en wordt pas voor de betrokken verwerking sub-verwerker wanneer Hysio deze partij na afronding van de procedure uit §2 voor een klantworkflow activeert.

Wijzigingen worden vooraf bekendgemaakt met een bezwaarmogelijkheid van ten minste dertig dagen, voor zover de Verwerkersovereenkomst dat vereist.

Hoofdstuk 10

Risicomanagement van AI

AI Act art. 9 verplicht high-risk AI-systemen tot een formeel risicomanagementsysteem. Die verplichting is niet rechtstreeks van toepassing op Hysio. Hysio houdt wel een AI Risk Register bij als aanvullende beheersmaatregel. Dit register omvat onder meer transcriptiefouten, ontbrekende informatie, hallucinaties, onjuiste terminologie, promptinjectie, privacyrisico's, bias, meersprekersproblemen en wijzigingen in de AI-keten.

10.1 Risicoanalyse per workflow

Voor iedere workflow documenteert Hysio:

het doel en de toegestane invoer;
de beoogde output;
bekende foutmodi en mogelijke gevolgen;
de verplichte menselijke controle;
relevante MDR- en AI Act-triggers;
tests, wijzigingsbeheer en terugvalmaatregelen.

Een formele FMEA per workflow is onderdeel van het verdere certificeringstraject. Tot die formalisering vormen het AI Risk Register, de promptgovernance, het MDR Positiedocument en de verplichte menselijke beoordeling de gedocumenteerde basis.

10.2 Keuze en wijziging van AI-diensten

Hysio gebruikt in productie geen experimentele AI-diensten zonder voorafgaande beoordeling. Bij een materiële wijziging voert Hysio vooraf een impactanalyse uit op kwaliteit, hallucinaties, bias, veiligheid, gegevensbescherming, MDR-positie en AI Act-classificatie.

10.3 Promptgovernance

Systeemprompts begrenzen de output tot administratieve ondersteuning en sluiten diagnose, behandeladvies en andere klinische besluitvorming uit. Materiële promptwijzigingen worden gereviewd, getest, vastgelegd en zo nodig teruggedraaid. De Prompt/Version-Control Policy beschrijft bevoegdheden, tests, vrijgave, rollback en classificatiecontrole.

10.4 Controle in de interface

AI-output blijft een bewerkbaar concept. De fysiotherapeut kan output aanpassen, accepteren of verwerpen. Het exacte label "AI-gegenereerd concept, controle vereist" wordt uiterlijk 1 augustus 2026 bij iedere zichtbare AI-output uitgerold. Hysio biedt meldmogelijkheden voor onjuiste transcriptie of ongewenste output.

10.5 Incidenten

Inbreuken in verband met persoonsgegevens worden overeenkomstig AVG art. 33 beoordeeld. Voor verwerkingen waarbij Hysio verwerker is, meldt Hysio een inbreuk zonder onredelijke vertraging aan de betrokken Verantwoordelijke, conform AVG art. 33 lid 2 en de Verwerkersovereenkomst. De Verantwoordelijke beoordeelt vervolgens de melding aan de Autoriteit Persoonsgegevens onder art. 33 lid 1. Voor verwerkingen waarbij Hysio zelf verwerkingsverantwoordelijke is, meldt Hysio een meldplichtige inbreuk zonder onredelijke vertraging en, waar mogelijk, uiterlijk binnen 72 uur na kennisname aan de Autoriteit Persoonsgegevens.

Voor AI-incidenten hanteert Hysio aanvullend een procedure die is geïnspireerd op AI Act art. 73, hoewel die bepaling voor Hysio niet rechtstreeks geldt:

een storing met aantoonbare patiëntimpact wordt binnen vierentwintig uur na detectie aan de getroffen praktijk gemeld;
een incident met mogelijke ernstige gevolgen wordt beoordeeld op meldplicht aan de bevoegde toezichthouder;
een incident in de onderliggende AI-dienst wordt zo nodig aan de betreffende provider doorgeleid;
ieder materieel incident leidt tot corrigerende maatregelen en zo nodig actualisering van deze verklaring.

De Nederlandse toezichtstructuur voor de AI Act is per publicatiedatum nog in ontwikkeling. Hysio volgt de officiële aanwijzing van bevoegde autoriteiten.

10.6 Monitoring na ingebruikname

Hoewel AI Act art. 72 en MDR art. 83 tot en met 86 niet rechtstreeks op de huidige classificatie van Hysio van toepassing zijn, monitort Hysio:

meldingen over transcriptie- en outputfouten;
AI-incidenten en corrigerende maatregelen;
relevante wijzigingen bij AI-partijen;
kwaliteit, hallucinaties en consistentie op steekproefbasis;
officiële guidance en rechtspraak;
de MDR- en AI Act-positie bij iedere materiële uitbreiding.

Kwantitatieve monitoring van transcriptieaccuraatheid per relevante taal- en accentcategorie is een roadmapmaatregel vanaf Q3 2026. Tot de livegang daarvan berust de monitoring op meldingen, incidentanalyse en gerichte steekproeven.

10.7 AI-geletterdheid, AI Act art. 4

AI Act art. 4 verplicht aanbieders en gebruiksverantwoordelijken passende maatregelen te nemen om te zorgen voor voldoende AI-geletterdheid bij personeel en andere personen die namens hen AI-systemen gebruiken of beheren. Deze bepaling is sinds 2 februari 2025 van toepassing.

Hysio heeft sinds 4 mei 2026 een programma voor AI-geletterdheid met:

basistraining voor personen die AI-systemen ontwikkelen, beheren of ondersteunen;
onboarding en uitleg voor fysiotherapeuten;
jaarlijkse herziening en aanvullende training bij materiële wijzigingen;
een intern deelname- en actualisatieregister.

De praktijk blijft verantwoordelijk voor passende AI-geletterdheid van de eigen medewerkers. Hysio ondersteunt dit met onboarding, gebruiksinstructies en helpcenterinformatie.

10.8 Implementatie van art. 50 leden 1 en 2

AI Act art. 50 wordt op grond van art. 113 lid 2 op 2 augustus 2026 van toepassing.

Status per publicatiedatum:

De fysiotherapeut wordt via Hysio, onboarding, gebruiksinstructies en deze verklaring geïnformeerd dat AI wordt gebruikt.
AI-output blijft een concept tot de fysiotherapeut deze inhoudelijk beoordeelt.
Het uniforme label "AI-gegenereerd concept, controle vereist" wordt uiterlijk 1 augustus 2026 bij iedere zichtbare AI-output uitgerold. Dit label wordt niet als reeds volledig operationeel gepresenteerd.
Hysio beoordeelt per outputtype of art. 50 lid 2 geldt en welke machineleesbare markering nodig is.
Hysio documenteert per outputtype de toepasselijkheid van art. 50 lid 2, de benodigde machineleesbare markering en de bijbehorende implementatietermijn.

De definitieve Code of Practice on Transparency of AI-Generated Content en de adequacy assessments van de Europese Commissie en AI Board vormen de actuele implementatiereferentie. Hysio beoordeelt de maatregelen uit de Code tegen zijn eigen outputtypen en rollen.

Zolang voor een outputformaat geen toepasselijke geharmoniseerde technische standaard beschikbaar is, gebruikt Hysio bij de implementatie een technisch haalbare markering die aansluit bij de stand van de techniek en de definitieve Code. Hysio documenteert per outputtype de haalbaarheid, kosten, robuustheid en interoperabiliteit. Een zichtbare inlinevermelding wordt aanvullend gebruikt en niet als vervanging van een toepasselijke machineleesbare markering.

Hoofdstuk 11

Datakwaliteit, bias en accuraatheid

AI Act art. 10 geldt rechtstreeks voor high-risk AI-systemen en daarom niet rechtstreeks voor Hysio. Hysio benoemt de volgende risico's en maatregelen als proactieve transparantie.

11.1 Spraak-naar-tekst

Bekende risico's zijn:

kwaliteitsverschillen tussen standaard-Nederlands, regionale dialecten en accenten;
fouten bij vaktaal, eigennamen en afkortingen;
slechtere herkenning in rumoerige ruimten of bij meerdere gelijktijdige sprekers.

Mitigaties zijn verplichte inhoudelijke controle door de fysiotherapeut, een meldmogelijkheid voor transcriptiefouten, uitleg over opnamekwaliteit en gerichte kwaliteitsmonitoring. Kwantitatieve WER-monitoring is een roadmapmaatregel vanaf Q3 2026.

11.2 Tekstgeneratie

Een generatief taalmodel kan plausibel klinkende maar feitelijk onjuiste of onvolledige inhoud produceren. Bekende risico's zijn:

toevoeging van informatie die niet in de invoer staat;
ongewenste klinische redenering;
verwarring tussen verschillende personen;
bias in formulering of aannames;
promptinjectie via vrije tekst.

Mitigaties zijn begrenzende systeemprompts, gestructureerde velden, verplichte betekenisvolle controle, bewerkbaarheid, traceerbaarheid van de oorspronkelijke en bewerkte versie en monitoring.

Voor DiagnoseCode geldt aanvullend dat de output is begrensd tot een voorstel voor administratieve DCSPH-codering, Diagnosecoderingssysteem Paramedische Hulp. Hysio geeft geen klinische diagnose, rangschikking, risicoscore of behandeladvies. De fysiotherapeut beoordeelt en corrigeert het voorstel vóór gebruik.

11.3 Auteursrechten

Hysio gebruikt geen klantcontent of patiëntgegevens voor modeltraining. Hysio hergebruikt AI-output niet op een wijze die rechten van derden schendt. Gebruik van richtlijnteksten en DCSPH-verwijzingen wordt beperkt tot rechtmatig beschikbare of door de klant aangeleverde context, met menselijke beoordeling.

11.4 Geen autonome output

Geen AI-output wordt autonoom naar een patiëntdossier, patiëntcommunicatie of declaratie gestuurd. De fysiotherapeut moet iedere output inhoudelijk beoordelen. Een routinematige acceptatieklik zonder betekenisvolle controle voldoet niet aan de gebruiksinstructies van Hysio.

Hoofdstuk 12

Menselijk toezicht, AI Act art. 14 als best practice

AI Act art. 14 geldt rechtstreeks voor high-risk AI-systemen en daarom niet rechtstreeks voor Hysio. Hysio hanteert wel een human-in-the-loop-ontwerp op grond van:

Het ontwerp: output blijft concept en vereist menselijke beoordeling.
Professionele normen: de fysiotherapeut blijft verantwoordelijk voor het klinische oordeel.
AVG art. 22: Hysio voorkomt uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare significante gevolgen.

De fysiotherapeut kan output bewerken of verwerpen, een sessie annuleren en een transcript of verslag verwijderen. Hysio biedt geen functie die de verplichte controle omzeilt en geen automatische EPD-write-back zonder voorafgaande menselijke validatie.

Hoofdstuk 13

Robuustheid en cybersecurity

AI Act art. 15 bevat eisen voor high-risk AI-systemen en is daarom niet rechtstreeks op Hysio van toepassing. Hysio neemt passende technische en organisatorische maatregelen in lijn met AVG art. 32 en de uitgangspunten van NEN 7510, zonder een certificering te claimen.

Voor AI-verwerking omvatten de maatregelen onder meer:

versleutelde communicatie met AI-partijen;
uitsluitend serverzijdig beheer van toegangssleutels;
toegangsbeperking en misbruikpreventie;
invoer- en bestandstypevalidatie;
afgeschermde verwerkingsroutes zonder openbare invoer van patiëntgegevens;
promptgovernance en maatregelen tegen promptinjectie;
logging zonder klinische inhoud;
incidentonderzoek en wijzigingsbeheer.

De volledige beschrijving staat in de Privacyverklaring v3.7, Bijlage 2 van de Verwerkersovereenkomst v3.7 en het Security Policy Pack v1.1.

Hoofdstuk 13bis

Aanwijzingen voor de Verantwoordelijke

AI Act art. 26 is rechtstreeks gericht op gebruiksverantwoordelijken van high-risk AI-systemen. Hysio is niet high-risk, zodat deze bepaling niet rechtstreeks bindend is voor de fysiotherapeut of praktijk. Hysio hanteert de relevante beginselen wel als vrijwillig kader.

Hysio adviseert de Verantwoordelijke:

iedere AI-output betekenisvol te beoordelen en zo nodig te corrigeren voordat deze in een dossier, declaratie of communicatie wordt gebruikt;
het Patiënt-informatieblad zichtbaar en toegankelijk te maken;
storingen, structurele fouten en incidenten via support@hysio.nl te melden;
de AI-geletterdheid van eigen medewerkers te onderhouden;
patiënten passend te informeren over AI-ondersteuning in de behandelrelatie;
het actuele juridische pakket op hysio.nl/juridisch te raadplegen;
Hysio via legal@hysio.nl te informeren wanneer de praktijk Hysio in een wezenlijk andere context wil inzetten, zoals een patiëntportaal, autonome besluitvorming of EPD-koppeling zonder verplichte menselijke validatie.

Hoofdstuk 14

Rechten van betrokkenen rond AI

Patiënten en fysiotherapeuten hebben rechten op grond van de AVG en, waar van toepassing, de AI Act.

Informatie: Hysio en de fysiotherapeut verstrekken informatie over het doel, de werking en de beperkingen van AI-ondersteuning.
Menselijke tussenkomst: wanneer een uitsluitend geautomatiseerd besluit onder een uitzondering van AVG art. 22 lid 2 zou vallen, gelden de waarborgen van lid 3. Hysio voorkomt dit scenario in beginsel door verplichte betekenisvolle menselijke beoordeling vóór gebruik van AI-output.
Bezwaar: een patiënt kan bezwaar tegen AI-ondersteunde verwerking bij de fysiotherapeut kenbaar maken. De fysiotherapeut beoordeelt dit als verwerkingsverantwoordelijke en kan een handmatige werkwijze kiezen.
AVG-rechten: de rechten op inzage, rectificatie, beperking, verwijdering en bezwaar worden uitgeoefend volgens de Privacyverklaring en de rolverdeling met de praktijk.

14.1 Klachten, AI Act art. 85

AI Act art. 85 geeft een natuurlijke of rechtspersoon met reden om aan te nemen dat de AI Act is geschonden het recht een klacht in te dienen bij de betrokken markttoezichtautoriteit. De definitieve Nederlandse bevoegdheidsverdeling is per publicatiedatum nog in ontwikkeling. Het in april 2026 gepubliceerde wetsvoorstel voorziet in een samenwerkend stelsel met coördinerende rollen voor de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur en een sectorale rol voor onder meer de Inspectie Gezondheidszorg en Jeugd.

Zolang het stelsel niet definitief is, verwijst Hysio via hysio.nl/juridisch naar de actuele officiële klachtkanalen. Voor privacyklachten blijft de Autoriteit Persoonsgegevens het bevoegde loket. GPAI-gerelateerde signalen kunnen, voor zover passend binnen zijn bevoegdheid, aan het Europese AI Office worden voorgelegd.

Klachten kunnen ook worden gemeld bij de fysiotherapeut of bij Hysio via compliance@hysio.nl of support@hysio.nl.

14.2 Standaardtekst voor patiëntinformatie

Onderstaande tekst is een minimumvariant in formele U/Uw-aanspreking:

Uw fysiotherapeut maakt gebruik van Hysio voor administratieve ondersteuning bij het opstellen van uw behandelverslag, brief of declaratie. Hysio gebruikt kunstmatige intelligentie om gespreksopnames om te zetten naar tekst en om verslagen te structureren. Uw fysiotherapeut controleert en bewerkt iedere AI-output voordat deze in uw dossier komt. Klinische beslissingen worden uitsluitend door uw fysiotherapeut genomen. Audio-opnamen worden tijdelijk verwerkt en uiterlijk binnen negentig dagen verwijderd. Uw gegevens worden zoveel mogelijk binnen de Europese Economische Ruimte verwerkt. Voor het omzetten van consultaudio naar tekst kan een leverancier in de Verenigde Staten gegevens verwerken. Hysio gebruikt hiervoor contractuele en technische waarborgen, waaronder de standaardcontractbepalingen van de Europese Commissie. Meer informatie staat op hysio.nl/juridisch. U heeft recht op informatie, inzage en correctie van uw gegevens en kunt bezwaar maken tegen AI-ondersteunde verwerking. Daarvoor kunt U terecht bij Uw fysiotherapeut. Meer informatie: hysio.nl/patientinfo of privacy@hysio.nl.

Hoofdstuk 15

Wijzigingen en herclassificatie

Hysio actualiseert deze verklaring bij een materiële wijziging, waaronder:

een nieuwe AI-functie of uitbreiding met klinische impact;
wisseling of toevoeging van een AI-provider;
een substantiële wijziging van het modeltype, het beoogde gebruik of een modaliteit;
activering van OpenAI voor productieverwerking;
een wijziging in de sub-verwerkersketen of verwerkingslocatie;
EPD-integratie zonder verplichte menselijke validatie;
autonome patiëntinteractie;
marketing die diagnose, behandeling, triage, prognose of andere klinische functionaliteit claimt;
uitbreiding van DCSPH-ondersteuning naar klinische beoordeling;
nieuwe officiële guidance, wetgeving of rechtspraak;
wijziging van een toepasselijke Code of Practice;
heractivering van Klinimetrie of invoering van Pre-Intake;
een materiële wijziging in het aansprakelijkheidsrecht.

Een wijziging gaat niet live zolang de classificatie onduidelijk is en het risico meer dan gering is. Als de classificatie wijzigt, actualiseert Hysio de publieke documentatie onmiddellijk en beoordeelt Hysio daarna het toepasselijke overgangsrecht.

Iedere versie krijgt een versienummer en publicatiedatum. Voorgaande versies zijn op aanvraag beschikbaar via compliance@hysio.nl. Materiële wijzigingen worden via hysio.nl en, waar passend, binnen het account bekendgemaakt.

Hoofdstuk 16

Tijdslijn AI Act

Datum	Onderwerp	Status Hysio
1 augustus 2024	AI Act in werking	Voorbereiding gestart
2 februari 2025	Art. 4 AI-geletterdheid en art. 5 verboden praktijken van toepassing	Geen verboden praktijk; programma voor AI-geletterdheid operationeel sinds 4 mei 2026
2 augustus 2025	GPAI-regime en governance grotendeels van toepassing	Hysio is downstream-aanbieder en monitort de informatie uit de GPAI-keten
1 augustus 2026	Interne uiterste implementatiedatum zichtbaar label	Roadmap: exact label "AI-gegenereerd concept, controle vereist" bij iedere zichtbare AI-output
2 augustus 2026	Art. 50 en Annex III-regime van toepassing	Hysio is niet high-risk; art. 50 wordt per toepasselijke functie uitgevoerd
Na 8 december 2026	Nieuwe productaansprakelijkheidsregels voor producten waarop Richtlijn (EU) 2024/2853 volgens het overgangsrecht van toepassing is	Verwerkt in het contractuele aansprakelijkheidskader, onverminderd dwingend recht
2 augustus 2027	Volgende fase Annex I en uiterste GPAI-datum uit art. 111 lid 3	Geen MDSW volgens huidige classificatie; herbeoordeling bij iedere materiële wijziging
2 augustus 2030	Bijzondere overgangsdatum voor de in art. 111 lid 2 bedoelde overheidsinzet	Niet van toepassing op de huidige inzet van Hysio

Hoofdstuk 17

Contact

Vragen, opmerkingen, klachten en documentatieverzoeken:

AI-compliance: compliance@hysio.nl
privacy: privacy@hysio.nl
juridisch: legal@hysio.nl
ondersteuning: support@hysio.nl
algemeen: info@hysio.nl

Postadres: Hysio B.V., De Aak 11, 7908 EL Hoogeveen.

Officiële informatie en klachtkanalen:

Autoriteit Persoonsgegevens: https://autoriteitpersoonsgegevens.nl
Rijksinspectie Digitale Infrastructuur: https://www.rdi.nl
Inspectie Gezondheidszorg en Jeugd: https://www.igj.nl
Europees AI Office: https://digital-strategy.ec.europa.eu/en/policies/ai-office

Bronnen

Geraadpleegde bronnen

Primaire wetgeving

Verordening (EU) 2024/1689, AI Act.
Verordening (EU) 2016/679, AVG.
Verordening (EU) 2017/745, MDR.
Uitvoeringsbesluit (EU) 2021/914, standaardcontractbepalingen.
Uitvoeringsbesluit (EU) 2023/1795, EU-US Data Privacy Framework.
Richtlijn (EU) 2024/2853, productaansprakelijkheid.

Officiële guidance en toezicht

AI Act Service Desk van de Europese Commissie, in het bijzonder art. 4, 50, 111 en 113.
Europese Commissie, Code of Practice on Transparency of AI-Generated Content, gepubliceerd 10 juni 2026.
Europese Commissie, Opinion on the assessment of the Code of Practice on Transparency of AI-Generated Content, 9 juli 2026.
AI Board, Adequacy Assessment van de Code of Practice on Transparency of AI-Generated Content, 9 juli 2026.
Rijksoverheid, Kabinet zet stap met toezicht op Europese AI-regels, 20 april 2026.
General-Purpose AI Code of Practice, 10 juli 2025.
Guidelines for providers of general-purpose AI models, 18 juli 2025.
MDCG 2019-11 Rev. 1 en MDCG 2025-6.
Autoriteit Persoonsgegevens, Rijksinspectie Digitale Infrastructuur en Inspectie Gezondheidszorg en Jeugd.

Hysio-documenten

Algemene Voorwaarden v3.7.
Privacyverklaring v3.7.
Verwerkersovereenkomst v3.7.
MDR Positiedocument v3.7.
Disclaimer v3.7.
Regeling Datatoegang v3.7.
DPIA-template voor klanten v3.7.
Subprocessor Register v1.1.
Transfer Impact Assessment v1.1.
Actueel Patiënt-informatieblad.
AI Risk Register v1.1.
Security Policy Pack v1.1.
Prompt/Version-Control Policy v1.1.