Cosa dice la legge sull'intelligenza artificiale nella sanità territoriale?
La regola italiana è la legge 132 del 2025, in vigore dal 10 ottobre 2025. L'articolo 7 è dedicato alla sanità e fissa quattro punti, che valgono per ASL, Case della Comunità e medici di base.
- L'AI non può selezionare o condizionare l'accesso alle cure con criteri discriminatori.
- Il paziente ha diritto di essere informato quando si usa l'AI.
- L'AI è un supporto a prevenzione, diagnosi e cura. La decisione resta sempre al medico.
- Sistemi e dati devono essere affidabili, verificati e aggiornati nel tempo.
Un caso di esempio, non un ente reale. Una Casa della Comunità vuole un assistente che prepari il riepilogo amministrativo dei pazienti cronici prima delle visite e mandi i promemoria degli appuntamenti. Nessuna indicazione clinica arriva al paziente in automatico. Vediamo cosa serve, passo per passo.
Quali usi sono a basso rischio e quali no?
- Amministrativi: prenotazioni, promemoria, riepiloghi delle pratiche, smistamento della posta. Non sono tra gli usi ad alto rischio dell'AI Act, ma trattano dati sanitari, quindi il GDPR vale per intero.
- Clinici: suggerimenti su diagnosi e terapie. Per la legge 132 sono un supporto e la decisione resta al medico. Si parte con sperimentazioni, un protocollo e medici formati.
- Ad alto rischio per l'AI Act: i sistemi che valutano se una persona ha diritto a servizi sanitari pubblici, e quelli che classificano le chiamate di emergenza o fanno il triage dei pazienti.
La nostra lettura: il confine dipende dall'uso. Lo stesso assistente è a basso rischio quando ricorda un appuntamento, e cambia categoria se decide chi viene visitato prima.
Cosa chiede il Garante privacy?
Nel 2023 il Garante ha pubblicato un decalogo per i servizi sanitari nazionali basati sull'AI. Non è vincolante, ma dice cosa guarda l'autorità. Chiede una base giuridica chiara e specifica per trattare i dati sanitari, una valutazione d'impatto sulla protezione dei dati prima di partire, e una supervisione umana qualificata. Per un sistema nazionale, la valutazione d'impatto va fatta a livello nazionale.
Cosa cambia per la sicurezza informatica?
Le Aziende sanitarie locali sono nell'elenco dei soggetti della normativa NIS, il decreto legislativo 138 del 2024. Devono adottare misure di sicurezza e notificare gli incidenti all'Agenzia per la cybersicurezza nazionale. Un assistente AI porta un fornitore in più, che va inserito nel piano per gli incidenti: chi avvisa chi, e in quanto tempo.
C'è già un esempio reale?
Sì, la piattaforma MIA di AGENAS, finanziata dal PNRR. Dà ai medici di assistenza primaria suggerimenti non vincolanti su diagnosi di base, gestione della cronicità e prevenzione. Secondo AGENAS la sperimentazione prevede 1.500 medici, una formazione dedicata e accordi con le Regioni, e si chiude entro la fine del 2026. Il sito di MIA indica che la piattaforma è aperta ai medici della prima fase. Sulle pagine di AGENAS non ci sono ancora risultati pubblicati.
Da dove parte un'ASL, in pratica?
- Separa gli usi amministrativi da quelli clinici, con regole e responsabili diversi.
- Per gli usi clinici avvia solo sperimentazioni con un protocollo scritto e medici formati.
- Informa il paziente che viene usata l'AI, come chiede la legge 132.
- Se il sistema è regionale o nazionale, fai la valutazione d'impatto una volta, a quel livello.
- Metti i fornitori di AI nel piano per gli incidenti previsto dalla normativa NIS.
E noi?
Dal 2014 facciamo software per sanità e scienze della vita. Il caso più grande è il LIMS in cloud di Oncologica, che ha validato oltre 6 milioni di campioni genetici. Nella pagina Sicurezza scriviamo che lavoriamo allineati agli standard del settore, tra cui ISO 27001 e IEC 62304.
Nella Casa della Comunità dell'esempio lo useremmo così. L'assistente prepara il riepilogo amministrativo e i promemoria, l'operatore li controlla e ogni accesso ai dati resta nel registro. Nessun messaggio clinico parte senza un medico.
Quindi cosa fai?
- Se l'AI serve per prenotazioni e promemoria, parti con GDPR, valutazione d'impatto e piano incidenti in ordine.
- Se l'AI suggerisce diagnosi o terapie, parti da una sperimentazione con protocollo, e la decisione resta al medico.
- Se l'AI decide l'accesso alle prestazioni o le priorità in emergenza, preparati agli obblighi dell'alto rischio e coinvolgi da subito il responsabile della protezione dei dati.
“In sanità l'AI prepara il lavoro. La diagnosi e la firma restano al medico.”
DBrothers — sull'AI nella sanità territoriale
Domande frequenti
Il paziente deve dare il consenso?
La legge 132 parla di diritto a essere informati. La base giuridica per trattare i dati sanitari va valutata caso per caso con il responsabile della protezione dei dati.
Un assistente per le prenotazioni è ad alto rischio?
Di solito no, se gestisce appuntamenti e informazioni. Chi lo usa deve però sapere che parla con un sistema di AI, salvo che sia evidente.
Le regole possono cambiare?
Sì. Le date dell'AI Act sono già state spostate una volta, e le linee guida della Commissione europea sulla classificazione dei sistemi ad alto rischio sono ancora in bozza. Il testo può cambiare: aggiorneremo questa pagina.
Se nel tuo distretto c'è una pratica amministrativa che si ripete ogni giorno, come i promemoria ai pazienti cronici, si parte da lì. Disegniamo insieme le tappe, e le decisioni cliniche restano ai medici.
