MCP-beveiliging in de gezondheidszorg: Zo ziet een veilige medische connector eruit

Het verbinden van persoonlijke kunstmatige intelligentie-assistenten met digitale gezondheidsdiensten vereist een beveiligingsarchitectuur die softwaretools isoleert van medisch oordeel. Een veilige medische connector, gebouwd op het Model Context Protocol (MCP), vertrouwt op OAuth 2.1-authenticatie met PKCE, scope-gebaseerde patiënttoestemmingen en een onwrikbare grens waarbij klinische beslissingen strikt in menselijke handen blijven. AI-assistenten dienen als intuïtieve interfaces voor het invullen van adaptieve vragenlijsten, maar alleen geregistreerde, EU-erkende artsen behouden de bevoegdheid om te diagnosticeren, zorg goed te keuren en recepten uit te schrijven.

Belangrijkste punten

• OAuth 2.1 met PKCE: Voorkomt dat AI-clients van derden toegang krijgen tot, accounts bekijken of wachtwoorden opslaan.
• Strikte klinische grenzen: AI-assistenten kunnen geen recepten uitschrijven, diagnosticeren, doseringen aanpassen of medische vragenlijsten goedkeuren.
• Granulaire toestemmingsscopes: Patiënten bepalen expliciet welke acties een assistent kan uitvoeren en kunnen de toegang op elk moment intrekken.
• Voortgangsregistratie gewichtsverlies: Gezondheidsregistratie via de connector is strikt beperkt tot het loggen van de voortgang van gewichtsverlies.
• Gegarandeerde poortwachtersrol van de arts: Elke inzending wordt asynchroon beoordeeld door een EU-erkende arts, met volledige teruggave van kosten als de zorg wordt geweigerd.

Wat is het Model Context Protocol (MCP) in digitale gezondheidszorg?

Het Model Context Protocol (MCP) is een open standaard die AI-assistenten – zoals Claude of ChatGPT – in staat stelt om veilig te communiceren met externe systemen. In de gezondheidszorg vertaalt een MCP-server conversationele intentie naar gestructureerde medische verzoeken zonder gevoelige accountgegevens of ruwe databases bloot te stellen aan het AI-model.

Wanneer correct geïmplementeerd, stelt een MCP-connector patiënten in staat om medische vragenlijsten in te vullen, eerdere consulten te bekijken en te communiceren met klinische zorgteams via natuurlijke taal. De integriteit van een medische connector hangt echter volledig af van wat het platform het protocol expliciet verbiedt te doen.

“Een veilige medische connector maakt een AI-systeem niet slimmer over geneeskunde; het maakt de infrastructuur onwrikbaar voor AI-overdaad. Klinische beslissingen moeten volledig afwezig blijven van het tooloppervlak van de machine.”

Hoe beschermt OAuth 2.1 met PKCE patiëntauthenticatie?

Traditionele software-integraties vertrouwden historisch op statische API-sleutels of opgeslagen wachtwoorden – methoden die een ernstige kwetsbaarheid introduceren wanneer ze worden blootgesteld aan taalmodellen van derden. Een veilige medische MCP-architectuur gebruikt OAuth 2.1 met Proof Key for Code Exchange (PKCE) om autorisatie te beheren.

Onder OAuth 2.1 met PKCE authenticeert de patiënt rechtstreeks op een versleutelde, platform-eigendom webpagina. De AI-assistent ontvangt een kortstondig autorisatietoken gekoppeld aan een specifieke sessie, wat betekent dat de AI-client het wachtwoord van de patiënt nooit ziet, vastlegt of opslaat. Als een sessietoken wordt ingetrokken of verloopt, eindigt de toegang onmiddellijk op alle eindpunten.

Waarom mag een AI-assistent nooit klinische beslissingsbevoegdheid bezitten?

Taalmodellen blinken uit in het structureren van dialogen, het vertalen van tekst tussen talen en het organiseren van patiëntinvoer. Ze zijn fundamenteel niet in staat om juridische of klinische aansprakelijkheid te aanvaarden voor medische resultaten. In een veilige gezondheidszorgarchitectuur zijn klinische beslissingstools niet alleen beperkt door prompts – ze zijn volledig afwezig van het tooloppervlak van de AI-connector.

Deze structurele scheiding zorgt ervoor dat een AI-assistent een patiënt niet vooraf kan goedkeuren, een voorgeschreven dosis kan wijzigen of een recept kan uitschrijven. Medische geschiktheid wordt afgedwongen door de veilige backend wanneer een vragenlijst wordt ingediend, en elk afzonderlijk geval wordt toegewezen aan een geregistreerde EU-erkende arts voor asynchrone beoordeling.

“Grensoverschrijdende e-recepten moeten de voorschrijvende professional identificeren, zodat de verantwoordelijkheid rust bij een benoemde clinicus. Software kan context structureren, maar alleen een geverifieerde arts kan klinisch oordeel uitoefenen.”

Hoe machtigingen en scope-isolatie persoonlijke gezondheidsgegevens veilig houden

Een veerkrachtige medische connector categoriseert zijn mogelijkheden in geïsoleerde machtigingen. Hi-Doctor's gehoste MCP-server exposeert bijvoorbeeld tot 50 toegewijde tools, maar de toegang is opgesplitst in afzonderlijke beveiligingsscopes die expliciete patiënttoestemming vereisen tijdens de initiële autorisatie.

• Profielscope: Stelt de assistent in staat demografische gegevens te lezen die nodig zijn voor grensoverschrijdende receptopmaak.
• Consultatiescope: Maakt het mogelijk om voltooide consultatierecords en lopende statusupdates te lezen.
• Vragenlijstscope: Staat conversationele voltooiing van adaptieve medische vragenlijsten stap voor stap toe.
• Berichtenscope: Routeert asynchrone patiëntnotities rechtstreeks naar de beveiligde inbox van het medische team.
• Gezondheidsregistratiescope: Strikt beperkt tot het loggen van de voortgang van gewichtsverlies voor patiënten met gewichtsbeheersplannen.

Als een patiënt toestemming weigert voor een specifieke scope, worden die tools volledig uit de sessie weggelaten. Bovendien gaan financiële transacties nooit via het AI-model; betalingsverzoeken genereren een directe link naar een gehoste, PCI-DSS-conforme afrekenpagina beheerd door Stripe.

Vergelijking van traditionele web-API's met veilige medische MCP-architectuur

Het evalueren van de veiligheid van een gezondheidstechnologieconnector vereist het vergelijken van traditionele API-toegang met een zero-trust MCP-omgeving gebouwd voor klinische workflows.

De complete levenscyclus van een MCP-ondersteund consult

Een veilige medische connector integreert conversationeel gemak met strikt menselijk-in-de-lus klinisch bestuur. De onderstaande stroom illustreert hoe een patiënt interactie heeft met een AI-assistent, terwijl wordt gewaarborgd dat de medische beoordeling 100% wordt beheerd door een EU-erkende arts.

1. Patiënt start consult via AI-assistent
2. OAuth 2.1 PKCE-authenticatie op Hi-Doctor-site
3. Patiënt verleent specifieke scopemachtigingen
4. Assistent begeleidt adaptieve vragenlijstantwoorden
5. Patiënt controleert en bevestigt antwoorden
6. Indiening & Betalingslink gegenereerd via Stripe
7. Backend valideert medische geschiktheidsregels
8. EU-erkende arts beoordeelt vragenlijst asynchroon

Hoe Hi-Doctor kan helpen

Hi-Doctor biedt 100% online, niet-spoedeisende consulten aan binnen de behandelgebieden die het dekt: Haargroei, Gewichtsverlies, Seksuele Gezondheid, Voortijdige Ejaculatie, Chlamydia, Urineweginfecties, Noodanticonceptie en HIV PrEP. De kosten voor patiënten zijn volledig transparant, €25 per consult voor doorlopende abonnementscategorieën (Haargroei en Gewichtsverlies) of een eenmalige vergoeding van €35 voor acute en seksuele gezondheidscategorieën.

Via onze gehoste MCP-server op https://mcp.hi-doctor.ai/mcp kunnen patiënten hun persoonlijke AI-assistent verbinden met behulp van OAuth 2.1 om adaptieve vragenlijsten conversationeel in te vullen of de voortgang van gewichtsverlies te loggen. Een EU-erkende arts beoordeelt elke voltooide inzending asynchroon en, indien klinisch passend, geeft binnen 24 uur een officieel REMPE privé elektronisch recept af. Als de beoordelende arts besluit dat een behandeling onveilig of ongepast is, wordt er geen recept afgegeven en wordt de consultatievergoeding volledig terugbetaald.

Goedgekeurde REMPE-recepten zijn ontworpen voor grensoverschrijdende erkenning onder EU-richtlijn 2011/24/EU, hoewel een apotheker nog steeds kan weigeren deze af te leveren. Patiënten kunnen hun elektronische recept-PDF rechtstreeks downloaden in hun beveiligde account-inbox om deze bij elke erkende apotheek in de EU te presenteren. Lokale apothekers beoordelen het recept en kunnen de actieve behandeling of een equivalent afleveren volgens nationale regelgeving; zij behouden het recht om te weigeren, dus aflevering is nooit gegarandeerd.