GLEIF en DirectTrust ontwikkelen een praktisch raamwerk voor verifieerbare organisatie-identiteit in de Amerikaanse gezondheidszorg
Hoe kan een ziekenhuis er zeker van zijn welke organisatie achter een digitaal systeem schuilgaat dat om informatie vraagt? En hoe kan het verifiëren dat een arts, medewerker of geautomatiseerde applicatie daadwerkelijk namens de organisatie handelt die ze beweert te vertegenwoordigen?
Deze vragen worden steeds belangrijker naarmate ziekenhuizen, laboratoria, verzekeraars en zorgorganisaties meer informatie uitwisselen via digitale systemen.
Op 19 oktober 2026 kondigden de Global Legal Entity Identifier Foundation (GLEIF) en DirectTrust, een Amerikaanse organisatie die zich richt op digitaal vertrouwen in de gezondheidszorg, een samenwerking aan om verifieerbare organisatie-identiteit in de Amerikaanse gezondheidszorg te bevorderen.
Centraal in dit initiatief staan de Legal Entity Identifier (LEI) en de digitale tegenhanger ervan, de verifieerbare LEI (vLEI).
De samenwerking gaat verder dan de vraag of LEI's nuttig kunnen zijn in de gezondheidszorg. De partners hebben specifieke toepassingen geïdentificeerd, van het verifiëren van zorgorganisaties en gedelegeerde bevoegdheden tot het gebruik van digitale credentials in API-verbindingen en geautomatiseerde transacties.
Daardoor markeert dit initiatief een belangrijke stap in het uitbreiden van de rol van de LEI buiten de financiële sector.
De gezondheidszorg heeft al identificatiesystemen. Waarom is een andere aanpak nodig?
De Amerikaanse gezondheidszorg vertrouwt op verschillende identificatiesystemen. Een van de bekendste is de National Provider Identifier (NPI), een standaard die zorgverleners identificeert bij administratieve en financiële transacties.
Het hebben van een identificatiecode beantwoordt echter niet elke vraag over de identiteit van een organisatie of over wie namens haar mag handelen.
Zorgorganisaties hebben vaak complexe structuren. Een ziekenhuis kan bijvoorbeeld deel uitmaken van een grotere groep, actief zijn op meerdere locaties, laboratoriumdiensten uitbesteden en zijn systemen koppelen aan externe technologieleveranciers.
De zorgverlener, de locatie waar de zorg wordt verleend en de rechtspersoon die verantwoordelijk is voor de dienst zijn niet noodzakelijk dezelfde.
Wanneer twee systemen met elkaar communiceren, rijzen er verschillende vragen. Welke rechtspersoon staat achter de transactie? Heeft iemand de identiteit ervan geverifieerd? Wie handelt er namens de organisatie, en welke bevoegdheid heeft die persoon?
Bestaande identificatiesystemen in de zorg geven geen eenduidig antwoord op al deze vragen. Een NPI identificeert bijvoorbeeld een zorgverlener, maar stelt niet per se de exacte rechtspersoon vast achter een specifieke zorgactiviteit. Hierdoor ontstaat een praktische behoefte aan een aanvullende manier om organisatie-identiteit te verifiëren.
DirectTrust ging in op deze uitdaging tijdens de ViVE 2026-zorgconferentie, die in februari plaatsvond, tijdens een sessie met de titel “No Identity, No Interop”. Tijdens de discussie werd onderzocht hoe verifieerbare organisatie-identiteit bestaande identificatiesystemen kan aanvullen, inclusief de mogelijke rol van LEI en vLEI.
In oktober 2026 kondigden GLEIF en DirectTrust hun samenwerking aan om deze aanpak verder te ontwikkelen.
Vier praktische gebieden waarop LEI en vLEI het verschil kunnen maken
De samenwerking tussen GLEIF en DirectTrust onderscheidt vier gebieden voor het toepassen van verifieerbare organisatie-identiteit in de gezondheidszorg.
1. Zorgorganisaties verifiëren
Een LEI biedt een wereldwijd erkende identificatiecode die gekoppeld is aan referentiegegevens over een rechtspersoon.
Bij elektronische zorgtransacties kan dit deelnemers helpen vast te stellen welke organisatie achter een interactie staat. Ze hoeven dan niet langer volledig te vertrouwen op afzonderlijke registers of bilaterale afspraken.
2. Mensen en digitale systemen koppelen aan verantwoordelijke organisaties
Niet alleen mensen initiëren zorgtransacties. Ook softwareapplicaties, geautomatiseerde systemen en steeds vaker AI-gestuurde tools wisselen informatie uit en initiëren verzoeken.
Het initiatief heeft tot doel deelnemers te helpen vaststellen welke geverifieerde organisatie verantwoordelijk is voor deze interacties.
3. Organisatierollen en gedelegeerde bevoegdheden aantonen
Een vLEI breidt de geverifieerde identiteit van een organisatie uit naar digitale credentials die deelnemers cryptografisch kunnen controleren.
Zo zou een bevoegde vertegenwoordiger van een ziekenhuis een credential kunnen tonen die zijn of haar band met het ziekenhuis en specifieke organisatierol aantoont. De voorgestelde aanpak omvat ook machtigingen en zorgspecifieke doeleinden, waardoor andere deelnemers niet alleen de betrokken organisatie kunnen verifiëren, maar ook de bevoegdheid die bij een specifieke interactie hoort.
4. Credentials gebruiken bij dagelijkse digitale transacties
De geplande toepassingen omvatten beveiligde berichtuitwisseling, API-verbindingen en geautomatiseerde workflows.
Dit is van belang omdat een groeiend aandeel van de uitwisseling van zorginformatie rechtstreeks tussen systemen plaatsvindt, vaak zonder dat een persoon elke transactie controleert.
Daardoor zou een gemeenschappelijke aanpak voor verifieerbare identiteit de noodzaak kunnen verminderen dat elke organisatie afzonderlijke identiteitscontroles bouwt voor elke nieuwe partner.
Samen laten deze toepassingen de praktische richting van het initiatief zien. Het doel is niet simpelweg om zorgorganisaties nog een identificatiecode te geven. In plaats daarvan willen de partners geverifieerde organisatie-identiteit bruikbaar maken in de dagelijkse digitale transacties van deze organisaties.
Hoe GLEIF en DirectTrust het model in de praktijk willen brengen
Een belangrijk onderdeel van de samenwerking is de ontwikkeling van een nieuw Qualification Agent-model.
Binnen het bestaande vLEI-raamwerk geven Qualified vLEI Issuers (QVI's) digitale credentials uit. Deze organisaties moeten eerst het kwalificatieproces van GLEIF doorlopen voordat ze credentials mogen uitgeven.
GLEIF beheert al een openbare lijst van gekwalificeerde vLEI-uitgevers. Dit toont aan dat het onderliggende credential-ecosysteem al bestaat.
Het nieuwe model heeft tot doel dit ecosysteem te helpen uitbreiden naar sectoren met bestaande certificerings- en accreditatienetwerken.
Volgens de voorgestelde structuur zou GLEIF Qualification Agents kwalificeren. Deze agenten zouden vervolgens vLEI-uitgevers binnen hun eigen netwerken kunnen kwalificeren. GLEIF zou toezicht houden op de Qualification Agents, terwijl elke agent toezicht zou houden op de uitgevers die hij kwalificeert.
DirectTrust brengt ervaring mee op het gebied van accreditatie, certificering en digitale identiteitsborging in de zorg. GLEIF draagt ondertussen het internationale raamwerk voor organisatie-identiteit bij, evenals de governancestructuur achter vLEI.
De partners werken aan de kwalificatie-, governance- en toezichtsvereisten voor dit voorgestelde model. Naar verwachting zal DirectTrust kwalificatie als Qualification Agent aanvragen, mits het vereiste proces wordt doorlopen. Het nieuwe raamwerk is bedoeld als aanvulling op bestaande kwalificatieregelingen, niet als vervanging ervan.
Dit is een belangrijk deel van het verhaal. De partners stellen niet alleen een technische oplossing voor. Ze werken ook aan een manier om deze te introduceren via organisaties en vertrouwensnetwerken die al actief zijn in de zorg.
In de praktijk zou dit de invoering gemakkelijker kunnen maken dan wanneer elke zorgorganisatie helemaal vanaf nul een nieuwe vertrouwensregeling zou moeten opzetten.
Geverifieerde identiteit is niet hetzelfde als toegang tot patiëntgegevens
Er is een belangrijk verschil tussen het aantonen van iemands organisatierol en het verlenen van toegang tot medische informatie.
Een digitale credential kan bevestigen dat iemand een bevoegde vertegenwoordiger van een bepaald ziekenhuis is. Dit geeft die persoon echter niet automatisch toestemming om het medische dossier van een patiënt in te zien.
Toegang tot gezondheidsinformatie blijft afhankelijk van zorgwetgeving, de relatie tussen patiënt en zorgverlener, en de toegangsregels van het betreffende informatiesysteem.
Het onderscheid is eenvoudig.
Een LEI identificeert de rechtspersoon. Een vLEI kan helpen om de identiteit en organisatierol te verifiëren van iemand die namens die rechtspersoon handelt. Afzonderlijke autorisatiecontroles moeten nog steeds bepalen of die persoon toegang heeft tot patiëntgegevens.
Daar ligt ook de potentiële waarde van vLEI. Het hoeft bestaande beveiligingssystemen in de zorg niet te vervangen. In plaats daarvan kan het die systemen een verifieerbare basis bieden om vast te stellen wie er handelt en welke organisatie die persoon vertegenwoordigt.
Europa pakt een vergelijkbare uitdaging aan
De behoefte aan betrouwbare digitale identiteit is niet uniek voor de Amerikaanse gezondheidszorg.
De Europese Unie ontwikkelt de European Health Data Space (EHDS), een raamwerk dat bedoeld is om de toegang tot en uitwisseling van elektronische gezondheidsgegevens te verbeteren.
Via MyHealth@EU wisselen deelnemende landen al bepaalde soorten gezondheidsinformatie grensoverschrijdend uit, waaronder elektronische recepten en patiëntsamenvattingen.
De EU heeft ook specifiekere regels ingevoerd voor identiteitsverificatie.
In september 2026 heeft de Europese Commissie Uitvoeringsverordening (EU) 2026/2099 aangenomen, waarin eisen worden vastgesteld voor interoperabele grensoverschrijdende identificatie en authenticatie van patiënten, zorgverleners en zorginstellingen.
De verordening is in oktober 2026 in werking getreden en is in het algemeen van toepassing vanaf 26 maart 2027. Bepaalde onderdelen, waaronder die met betrekking tot het gebruik van European Digital Identity Wallets, zijn van toepassing vanaf 26 maart 2029.
De VS en Europa pakken dus verwante vraagstukken aan. Hoe kunnen organisaties en individuen hun identiteit betrouwbaar vaststellen wanneer zorginformatie tussen verschillende systemen en instellingen beweegt?
Hun aanpak verschilt echter.
Europa bouwt interoperabiliteit rond nationale identiteitssystemen en grensoverschrijdende infrastructuur voor gezondheidsgegevens. Het Amerikaanse initiatief van GLEIF en DirectTrust verkent daarentegen een model dat is gebaseerd op internationaal verifieerbare organisatie-identiteit en rolcredentials.
De EHDS verplicht zorgorganisaties niet om LEI's of vLEI's te gebruiken.
Toch is de parallel veelzeggend. Beide ontwikkelingen weerspiegelen een groeiend besef dat het veilig uitwisselen van zorginformatie meer vereist dan beveiligde technische verbindingen. Ook de identiteit en bevoegdheid van degenen die aan de uitwisseling deelnemen, moeten betrouwbaar zijn.
Kan de gezondheidszorg de volgende grote sector voor de LEI worden?
De samenwerking tussen GLEIF en DirectTrust is opmerkelijk, ver buiten de zorgsector.
De LEI staat vooral bekend om zijn rol op financiële markten, waar het de identificatie van rechtspersonen en regelgevende rapportage ondersteunt. In de zorg is de voorgestelde toepassing echter anders.
De centrale vraag is hoe organisaties, mensen en digitale systemen die betrokken zijn bij dagelijkse informatie-uitwisseling kunnen worden geverifieerd.
Dit wordt bijzonder relevant naarmate geautomatiseerde workflows en AI-agents meer taken overnemen.
Als een software-agent bijvoorbeeld informatie opvraagt of een transactie initieert namens een zorgorganisatie, heeft het ontvangende systeem een betrouwbare manier nodig om vast te stellen welke organisatie erachter staat en welke bevoegdheid deze organisatie heeft gedelegeerd.
Het initiatief van GLEIF en DirectTrust verbindt deze uitdaging met een bestaand internationaal identiteitsraamwerk.
De volgende test is het omzetten van het voorgestelde kwalificatiemodel in praktische implementaties bij zorgorganisaties en technologieleveranciers. De aankondiging van oktober stelt niet dat er al vLEI-gebaseerde ziekenhuispilots operationeel zijn. Wel worden concrete toepassingen en een traject voor de invoering ervan beschreven.
Er zit hier ook een bredere les in.
De gezondheidszorg heeft niet per se nog een geïsoleerd identificatiesysteem nodig. Ze heeft betere manieren nodig om vertrouwen te creëren tussen organisaties, mensen en technologieplatforms die al verschillende systemen gebruiken.
Precies daar kan een internationaal verifieerbare organisatie-identiteit waardevol worden.
De Amerikaanse gezondheidszorg zou een van de belangrijkste praktijktests van vLEI buiten de financiële sector kunnen worden. De vraag is niet langer of geverifieerde organisatie-identiteit nuttig kan zijn in de zorg, maar of GLEIF en DirectTrust hun voorgestelde model kunnen omzetten in iets dat zorgorganisaties dagelijks gebruiken.