Eerlijk over het bewijs

Dit is een verkenning van een idee, geen advies of besluit. Het is geen volledig literatuuronderzoek: het steunt op 97 bronnotities, deels volledig en deels gedeeltelijk gelezen.

Wat we weten

• Een deel van de medewerkers gebruikt AI al, op eigen initiatief. Dat zeggen twee rapporten van leveranciers, die niet specifiek over zorg of gemeenten gaan (Verizon Business, 2025) (Microsoft & LinkedIn, 2024). Of het tot schade leidt, laten ze niet zien.
• Gangbare trainingen gaven weinig effect. Bij een groot zorgbedrijf gaf training na een gesimuleerde klik een kleine verbetering (Ho e.a., 2025). Anders dan training werkten waarschuwingen in de mail wel: ze verlaagden het klikken sterk (Lain e.a., 2022). Die studie is een preprint (nog niet door vakgenoten beoordeeld). Het gaat om phishing (nepmails), in één organisatie per studie.
• Betrokkenheid wordt genoemd als voorwaarde om verbeteringen vol te houden. Een review van 24 studies in de zorg noemt betrokkenheid, verantwoordelijkheid en leercultuur (Kunnen e.a., 2023). De review gaat over volhouden, niet over effect.
• AI is geen vanzelfsprekende versneller. In een preprint over 16 ervaren ontwikkelaars waren zij met AI gemiddeld 19% langer bezig (J. Becker e.a., 2025). In een experiment met 47 deelnemers schreven deelnemers met een AI-assistent in een van de vijf taken (met een database, SQL) vaker onveilige code. Over alle taken samen was het verschil net niet significant (p = 0,056) (Perry e.a., 2023). Beide studies gaan over ontwikkelaars en studenten, niet over een bouwteam in zorg of gemeente. Geen van beide toetst een tweede lezer; of die helpt, is een hypothese.

Wat we niet weten

• De kernhypothese is niet getoetst. Dat is het idee dat samen ontwikkelen (bouwteam, business en werkvloer, binnen kaders) medewerkers beter leert omgaan met privacy, security en AI dan een les of een loket. Geen gelezen bron vergelijkt dat met een les, met een meting van privacy-, security- of AI-gedrag. De kernhypothese blijft een hypothese.
• Bewijs voor co-creatie is dun. Een review in acute ziekenhuiszorg vond waardering en kleine, praktische verbeteringen. Geen studie onderzocht of die bleven bestaan (Clarke e.a., 2017). Een review over co-creatie met burgers in de publieke sector vond weinig onderzoek dat uitkomsten systematisch vergelijkt met de doelen (Voorberg e.a., 2013). Beide gaan over patiënten of burgers, niet over samenwerking tussen een bouwteam en collega's.
• Bewijsgat in het model zelf. Geen gelezen bron laat zien dat privacy en security vanaf het begin inbouwen goedkoper is dan achteraf toevoegen, hoe een bouwteam en de business in zorg of gemeenten samenwerken, of hoe beheer na oplevering verloopt. Dat zijn aannames in dit voorstel. Een extra bronnenronde is nuttig.
• Tijdwinst is vaak zelfgerapporteerd. Wat mensen voelen, is niet wat gemeten wordt. Ervaren ontwikkelaars schatten 20% tijdwinst, terwijl de meting 19% vertraging liet zien (J. Becker e.a., 2025). Ook in een evaluatie van een Britse proef bij het ministerie DBT liepen zelfrapportage en waarneming deels uiteen (Department for Business and Trade, 2025). Een grote Britse proef meldt 26 minuten per dag, uit 7.115 enquêtereacties van ongeveer 20.000 licentiehouders, zonder controlegroep (Government Digital Service, 2025).
• Veel cijfers komen van leveranciers met een commercieel belang.
• Er is geen onderzoek naar effect bij gemeenten of in VVT-instellingen (verpleeg-, verzorgingshuizen en thuiszorg). Er zijn wel gemeentelijke bronnen, zoals de Vereniging van Nederlandse Gemeenten (VNG) en het nieuws over Eindhoven (VNG, 2025) (Hartholt, 2025), en bronnen uit de zorg. Die laten geen effect zien. Overdracht naar die sectoren is een aanname.

Hoe sterk is dit bewijs?

De sterkte-oordelen in het onderzoek zijn een eigen inschatting op basis van de bronnotities. Op de bronnenpagina staat per bron hoe grondig we hem hebben gelezen (de leescode) en wat voor bron het is.

Een kleine proef om de kernhypothese te toetsen

Dit is een eigen voorstel, te klein om statistisch iets aan te tonen. Het is bedoeld om de meetaanpak te verkennen, niet om de kernhypothese vast te stellen.

• Vraag. Gaan medewerkers die samen met het bouwteam een klein hulpmiddel ontwikkelen (co-creatie, testen, overnemen) binnen kaders na drie maanden anders om met gevoelige gegevens en AI-tools dan medewerkers die een korte les kregen?
• Opzet. Vier tot zes vrijwillige teams, per loting of op basis van vergelijkbare kenmerken verdeeld over twee groepen: samen ontwikkelen met het bouwteam, of een korte les. De lesgroep krijgt na de laatste meting alsnog het co-creatietraject.
• Meting. Een scenario-opdracht met nepgegevens als gedragsmaat, en een kennisquiz die apart wordt gerapporteerd. Meetmomenten: voor, direct na en na drie maanden.
• Let op. De co-creatiegroep krijgt meer tijd en aandacht, dus het verschil tussen samen ontwikkelen en les raakt verward met die aandacht. Wat telt als steun, als geen verschil en als tegenbewijs wordt vooraf vastgelegd.
• Voorwaarden. Akkoord van de functionaris voor gegevensbescherming (FG) en de ondernemingsraad, geen cliënt- of burgergegevens, vrijwillige deelname en geen individuele resultaten naar leidinggevenden.

Juridische punten zijn open vragen voor de FG en een jurist: de DPIA-plicht (privacy-effectbeoordeling, AVG) (Europees Parlement & Raad, 2016), de AI Act (Europese AI-verordening) (Europees Parlement & Raad, 2024) en de MDR (Europese regels voor medische hulpmiddelen) (Europees Parlement & Raad, 2017).