Amazon Quick is geschikt voor medische data, maar zelf voldoen aan de regels blijft jouw taak

Amazon Web Services (AWS) heeft uitgelegd hoe zorgorganisaties in de Verenigde Staten Amazon Quick kunnen inzetten, een AI-werkomgeving met chatassistenten die documenten en bedrijfsgegevens doorzoeken en taken uitvoeren. Het opvallendste punt in het AWS-bericht: dat de dienst ‘HIPAA-eligible’ heet, betekent niet dat jouw gebruik ervan automatisch voldoet aan de wet. Parallel meldt Business AM dat Iran dreigt met aanvallen op Amerikaanse AI-datacenters in de Golfregio. De twee berichten hebben niets met elkaar te maken, maar samen tonen ze twee vragen die elke bedrijfsleider mag stellen: wie is verantwoordelijk voor mijn data, en waar staat die fysiek?

Wat betekent ‘geschikt’ bij Amazon Quick?

HIPAA is de Amerikaanse wet die regelt hoe medische gegevens worden benaderd, beveiligd en gecontroleerd. AWS maakt in zijn eigen blog een scherp onderscheid. ‘Eligible’ is een aanduiding van AWS zelf: het bedrijf heeft de dienst beoordeeld en laat je die gebruiken voor gezondheidsgegevens, op voorwaarde dat je een contract met AWS ondertekent. ‘Compliant’ is daarentegen een eigenschap van jouw volledige omgeving.

Volgens AWS moet de klant zelf nog heel wat doen: gegevens indelen, de instellingen correct zetten, personeel opleiden, risico’s analyseren en procedures bij datalekken voorzien. Het contract geldt bovendien alleen voor het account waarvoor je het aanvaardt, en alleen voor diensten die als geschikt zijn aangemerkt. AWS raadt aan de actuele voorwaarden altijd met je eigen juridische team te bekijken. Een officieel HIPAA-certificaat voor AWS bestaat volgens het bedrijf niet.

Dat is een nuchtere boodschap die ver voorbij de Amerikaanse zorg reikt. Een leverancier die zegt dat zijn product ‘geschikt’ is, neemt jouw verantwoordelijkheid niet over.

Wat doet de dienst met je gegevens?

AWS beschrijft een aantal beveiligingsmaatregelen, en dat zijn beweringen van de leverancier, niet onafhankelijk getoetst. Data wordt standaard versleuteld opgeslagen. Wie zelf de sleutel wil beheren, kan dat doen, maar enkel met een Enterprise-abonnement. AWS stelt ook dat Amazon Quick je klantgegevens niet gebruikt om de onderliggende taalmodellen te trainen of te verbeteren. Dat is voor veel kmo’s de eerste vraag bij elke AI-tool.

Eén detail verdient aandacht. Feedback die gebruikers op chatantwoorden geven, inclusief vrije opmerkingen, valt volgens AWS niet onder je eigen sleutel. Je moet die feedback dus behandelen als een plek waar gevoelige gegevens kunnen belanden. Medewerkers die in een commentaarvak een klantnaam intikken, creëren zo een risico dat je niet meteen ziet.

AWS legt ook uit dat verschillende logboeken verschillende dingen vastleggen. Het ene registreert wie wat deed en wanneer, maar niet de inhoud van de chatberichten. De inhoud van gesprekken komt in aparte logs die je zelf moet inschakelen en beheren. Wie denkt dat één logboek alles dekt, laat volgens AWS een veelvoorkomend gat in zijn controle open.

De chatassistenten kunnen bovendien niet alleen lezen, maar ook handelen, bijvoorbeeld via koppelingen met Slack, Outlook, Salesforce, Jira of SharePoint. Daarom pleit AWS voor harde grenzen op wat een assistent mag doen en voor een spoor van wat hij gedaan heeft.

Wat zegt het nieuws over datacenters in de Golf?

Business AM meldt dat Iran waarschuwt dat AI-centra, datacenters en onderzeese internetkabels in de Golfregio met banden met de Verenigde Staten doelwit kunnen worden als Washington militaire operaties hervat. Ze zijn nog niet officieel als doelwit aangewezen. Het artikel noemt investeringen van meer dan 15 miljard dollar van Microsoft in de VAE, miljarden van AWS in Saoedi-Arabië en een AI-initiatief van 10 miljard dollar van Google met een Saoedisch staatsfonds.

Het artikel stelt ook dat AWS begin 2026 te maken kreeg met droneaanvallen op faciliteiten in de VAE en schade aan infrastructuur in Bahrein, met langdurige dienstonderbrekingen tot gevolg. Dat toont volgens de bron dat fysieke vernietiging van apparatuur, en niet alleen een softwarefout, meerdere sectoren kan raken. Sommige analisten zeggen dat Iran zich wellicht te veel uitstrekt, dus de uitkomst is onzeker.

Wat de bronnen niet zeggen: of Amazon Quick of andere AWS-diensten voor Europese klanten in die regio draaien. Het AWS-bericht noemt geen regio’s. Over eventuele gevolgen voor Belgische bedrijven staat er in geen van beide bronnen iets.

Wat ontbreekt in de bronnen?

Beide bronnen zijn eenzijdig. Het AWS-bericht is een leveranciersblog, gericht op Amerikaanse zorgklanten, zonder onafhankelijke toetsing van de beveiligingsclaims. Het stuk van Business AM gaat over geopolitieke dreiging en vermeldt geen concrete gevolgen voor klanten van cloudbedrijven. Ook prijzen voor Amazon Quick noemen ze niet, en het AWS-bericht dat ons werd aangeleverd, loopt midden in de uitleg over logboeken af.