Anonimiseren kun je leren. Maar het duurt even.

Toen ik begon met bouwen aan Anonimix, dacht ik: anonimiseren, dat is toch gewoon zoeken en vervangen? Namen eruit, klaar. Een paar weken later begreep ik waarom die gedachte gevaarlijk naïef was.

Dit is wat ik onderweg heb geleerd.

Het begint met een schijnbaar simpele vraag

Stel je voor: een verpleegkundige typt een overdrachtsnotitie in Anonimix. De tekst bevat „1000 mg metformine‟. En drie regels lager staat het thuisadres, inclusief postcode 1000 MG.

Dezelfde vier cijfers. Dezelfde twee letters. Totaal verschillende betekenis.

De dosering moet blijven — het is klinisch relevante informatie waar de AI iets mee moet kunnen doen. De postcode moet weg — het is een persoonsgegeven dat de patiënt identificeerbaar maakt. Een simpele zoek-en-vervang ziet dat verschil niet. Die gooit alles op één hoop, of mist de helft.

Dit was het moment waarop ik begreep: anonimisering in de zorg is geen technisch klusje. Het is een ontwerpprobleem.

Wat je wel en niet moet weggooien

Neem beroepen. Mijn eerste instinct was: namen van functies kunnen ook identificerend zijn, dus weg ermee. Maar een zorgnotitie zonder „de huisarts‟, „de behandelend specialist‟ of „de wijkverpleegkundige‟ is een zorgnotitie die zijn waarde verliest. Je vraagt een AI om te helpen met zorginhoud — en dan haal je de zorgcontext eruit. Dat schiet niet op.

Hetzelfde geldt voor datums. „Geboortedatum 3 april 1948‟ is een persoonsgegeven — weg. Maar „afspraak op 14 maart‟ is dat niet, in elk geval niet zonder de persoon erbij. Die mag blijven.

Elke keuze die je maakt heeft consequenties voor de bruikbaarheid van de output. Te streng anonimiseren en de tekst wordt onbruikbaar. Te losjes en je hebt een privacyprobleem. Dat evenwicht vinden — en het uitleggen aan je gebruikers — is het echte werk.

De onzichtbare herleidbaarheid

Het lastigste zijn de gevallen die geen patroon hebben. Een BSN herken je met een regex en elfproef. Maar „de enige cardioloog van het dorp‟ herken je niet met een regex. Dat is gewoon een zin. Een onschuldige zin, totdat je bedenkt dat er in dat dorp maar één cardioloog werkt.

Of: „de langst zittende bewoner van afdeling 3‟. Voor een buitenstaander betekent dat niets. Voor iedereen die op die afdeling werkt is het glashelder wie je bedoelt.

Dit soort indirecte herleidbaarheid is het domein van de tweede laag in Anonimix — een lokaal draaiend taalmodel dat de tekst niet op patronen scant, maar op context begrijpt. Het vangt veel. Maar het vangt niet alles. Want het model kent jouw organisatie niet. Het weet niet wie de langst zittende bewoner van afdeling 3 is.

Daarom zeggen we in alle eerlijkheid: Anonimix is een krachtig hulpmiddel, geen eindverantwoordelijke. Eigen controle blijft noodzakelijk.

Wat ik er uiteindelijk van geleerd heb

Anonimisering is oplosbaar — maar alleen als je bereid bent de nuances serieus te nemen. Niet als afvinkpunt, maar als ontwerpbeslissing.

Ik heb vertrouwen in wat we gebouwd hebben, juist omdat we op elke aanname zijn teruggekomen. Waarom verwijderen we dit wel, en dat niet? Wat is de consequentie voor de gebruiker? Wat is het restrisico, en hoe communiceren we daar eerlijk over?

Het resultaat is een product dat niet belooft wat het niet kan waarmaken — maar wel degelijk doet wat het moet doen: zorgen dat medische tekst de organisatie geanonimiseerd verlaat, zonder de inhoudelijke waarde te verliezen.

Dat klinkt misschien minder sexy dan „100% privacyproof AI‟. Maar in de zorg is eerlijkheid over beperkingen geen zwakte. Het is precies wat je wil van een leverancier die je vertrouwt.

Meer weten over hoe Anonimix anonimiseert — en welke keuzes we daarin bewust hebben gemaakt? Lees de volledige uitleg op anonimix.nl →