L’intelligenza artificiale nel sistema sanitario rappresenta una sfida complessa e urgente, soprattutto in un contesto normativo europeo e nazionale sempre più articolato. Le Linee Guida AgID si propongono come strumento operativo per promuovere un’adozione responsabile dell’IA nelle strutture sanitarie pubbliche, nel rispetto dei principi di trasparenza, sicurezza e tutela dei diritti.
Indice degli argomenti
Quadro normativo e impulso europeo sull’ia in sanità
Negli ultimi anni il tema dell’intelligenza artificiale o IA è un tema più che attuale e all’ordine del giorno e non passa giorno senza che il mercato offra prodotti sempre più raffinati ed avanzati capaci di sostituire una serie di attività di analisi o ripetitive in ogni contesto aziendale, compreso quello sanitario.
Uno dei maggiori pericoli che secondo gli esperti l’introduzione di tali sistemi può comportare è quella di violare i diritti delle persone qualora questi si sviluppino in assenza di regole.
Proprio per questo l’Unione Europea ha adottato il Regolamento (UE) 2024/1689 per la regolazione dell’intelligenza artificiale, l’ AI Act.
Tale Regolamento cataloga i sistemi di IA in base al livello di rischio, distinguendo tra quelli a rischio inaccettabile, quelli a rischio alto, categoria in cui si trovano i sistemi che riguardano, tra gli altri, dati di salute, quelli a rischio basso e quelli a rischio minimo e lo stesso, in analogia con la logica del GDPR o Regolamento UE 2016/679 in materia di Data Protection, individua una serie di misure che devono essere adottate per il loro utilizzo.
Proprio in quest’ottica assumono particolare rilevanza le Linee Guida dell’Agenzia per l’Italia Digitale (AgID) varate ai sensi del D.P.C.M. 12 gennaio 2024, recante “Piano triennale per l’informatica nella pubblica amministrazione 2024-2026”, la cui bozza in versione 1.0 del 14.02.2025 è stata recentemente in consultazione pubblica, appena terminata.
La bozza è stata elaborata da un apposito tavolo di concertazione ai cui lavori hanno partecipato:
- AgID – Agenzia per l’Italia Digitale;
- ACN – Agenzia per la Cybersicurezza Nazionale;
- ANAC – Autorità Nazionale Anticorruzione;
- ANCI – Associazione Nazionale Comuni Italiani;
- Conferenza delle Regioni e delle Province autonome;
- Consip;
- Dipartimento della Funzione Pubblica della Presidenza del Consiglio dei Ministri;
- Dipartimento per la Trasformazione Digitale della Presidenza del Consiglio dei Ministri;
- INAIL – Istituto Nazionale per l’Assicurazione contro gli Infortuni sul Lavoro;
- INPS – Istituto Nazionale della Previdenza Sociale;
- ISTAT – Istituto Nazionale di Statistica;
- IPZS – Istituto Poligrafico e Zecca dello Stato;
- Ministero dell’Economia e delle Finanze;
- Ministero delle Imprese e del Made in Italy;
- PagoPA;
- Unione Provincie d’Italia.
La consultazione pubblica della bozza, composta di un testo e taluni allegati per più di 150 pagine, è stata avviata con la Determinazione del Direttore Generale n. 0000017 del 17 febbraio 2025 “Avvio dell’iter di consultazione e informazione delle Linee guida per l’adozione dell’Intelligenza Artificiale nella Pubblica Amministrazione”, procedura prevista dall’articolo 71 del Codice dell’Amministrazione Digitale, il decreto Legislativo 82 del 2005.
L’articolo 71 succitato prevede a tal proposito che “L’AgID, previa consultazione pubblica da svolgersi entro il termine di trenta giorni, sentiti le amministrazioni competenti e il Garante per la protezione dei dati personali nelle materie di competenza, nonché acquisito il parere della Conferenza unificata, adotta Linee guida contenenti le regole tecniche e di indirizzo per l’attuazione del presente Codice”
Il paradigma dell’IA nel settore sanitario nazionale
L’integrazione dei sistemi di Intelligenza Artificiale (IA) nel contesto sanitario pubblico italiano rappresenta una delle sfide più significative per la digitalizzazione della Pubblica Amministrazione.
La suindicata bozza di Linee Guida dell’Agenzia per l’Italia Digitale (AgID) si colloca infatti in un quadro normativo complesso, caratterizzato dalla necessità di bilanciare l’innovazione tecnologica con le stringenti normative in materia di protezione dei dati personali, tra cui il Regolamento Generale sulla Protezione dei Dati (GDPR) e il Codice in materia di tutela dei dati personali (D.Lgs. 196/2003, adeguato al Regolamento (UE) con il D.Lgs. 101/2018).
Il presente contributo si propone di analizzare criticamente i contenuti delle bozze di Linee Guida AgID relative all’adozione, all’acquisto e allo sviluppo di sistemi di IA da parte della Pubblica Amministrazione nel contesto sanitario, con particolare attenzione agli aspetti giuridici e tecnici che ne determineranno l’implementazione.
Il contesto normativo di riferimento
L’architettura normativa entro cui si collocano le Linee Guida AgID è caratterizzata da una pluralità di fonti gerarchicamente ordinate.
Al vertice troviamo il GDPR (Regolamento UE 2016/679), direttamente applicabile in tutti gli Stati membri, che ha introdotto principi fondamentali quali la data protection by design e by default, l’accountability del titolare e la valutazione d’impatto sulla protezione dei dati (DPIA).
Il cd “Codice Privacy” (D.Lgs. 196/2003), novellato dal D.Lgs. 101/2018, ha armonizzato la normativa nazionale adeguandola alle disposizioni del GDPR, ma introducendo alcune specificità italiane nella disciplina della protezione dei dati.
A questi si aggiungono il recente AI Act europeo – il Regolamento (UE) 2024/1689 e le linee guida del Comitato Europeo per la Protezione dei Dati (EDPB). specifiche sul trattamento dei dati sanitari mediante tecnologie di IA.
In questo contesto multilivello, le Linee Guida AgID si configurano come strumenti di soft law, finalizzati a fornire indicazioni operative alle amministrazioni sanitarie per l’implementazione di sistemi di IA conformi al quadro normativo vigente e a individuare uno specifico modello di governance aziendale, nel quale è previsto il coinvolgimento del DPO o RPD, il Responsabile della Protezione dei Dat laddove sono coinvolti dati personali.i
La specificità del trattamento dei dati sanitari
I dati relativi alla salute rientrano, come a tutti noto, nelle categorie particolari di dati personali ex art. 9 GDPR, e sono soggetti a tutele rafforzate.
Il loro trattamento, in vi a generale vietato, è consentito solo in presenza di specifiche condizioni di liceità, tra cui il consenso esplicito dell’interessato, la necessità per finalità di medicina preventiva, diagnosi, assistenza sanitaria, o la sussistenza di un interesse pubblico rilevante.
La bozza delle Linee Guida AgID riconosce questa peculiarità, prescrivendo l’obbligo di adottare protocolli specifici per garantire che i sistemi di IA impiegati nel settore sanitario operino nel rispetto dei principi di necessità, proporzionalità e minimizzazione dei dati.
La governance dei sistemi di IA nel contesto sanitario
La bozza di Linee Guida delinea un framework di governance articolato, che prevede una valutazione preliminare di impatto.
Le amministrazioni sanitarie sono pertanto tenute a condurre, prima dell’implementazione di qualsiasi sistema di IA, una valutazione multidimensionale che comprenda non solo gli aspetti tecnici ed economici, ma anche l’impatto sulla protezione dei dati personali e sull’organizzazione sanitaria del sistema stesso.
All’interno all’azienda sanitaria deve essere istituito un “IA Governance Board”, composto da professionisti con competenze interdisciplinari (informatiche, mediche, giuridiche), che supervisioni, anche attraverso la costituzione di appositi gruppi tematici, l’intero ciclo di vita dei sistemi di IA.
L’attività del Board, coordinato dal Responsabile per la transizione al digitale (RTD) e supportata dal relativo Ufficio, coinvolge però anche il DPO o RPD, il Responsabile della protezione dei dati, in quanto le Linee Guida prestano molta attenzione al rispetto delle normative in materia di protezione dei dati personali, locuzione citata per più di ottanta volte nel testo.
Le Linee Guida enfatizzano inoltre l’importanza della documentazione tecnica che deve accompagnare ogni fase dello sviluppo e dell’implementazione dei sistemi di IA, garantendo la tracciabilità delle decisioni algoritmiche.
Questo approccio alla governance riflette, a bene vedere, il principio di accountability del GDPR, indicato nel paragrafo 2 dell’articolo 5 e nei paragrafi 1 e 2 del successivo articolo 24, e richiede alle organizzazioni sanitarie di dimostrare proattivamente la conformità dei propri trattamenti alle normative vigenti.
I requisiti tecnici per i sistemi di IA in ambito sanitario
Le Linee Guida AgID stabiliscono requisiti tecnici stringenti per i sistemi di IA destinati all’utilizzo nel settore sanitario, innanzitutto l’interoperabilità, dato che i sistemi da adottare devono potersi integrare con le infrastrutture esistenti (Fascicolo Sanitario Elettronico, sistemi informativi ospedalieri) nel rispetto delle regole tecniche del Sistema Pubblico di Connettività.
Anche per quanto concerne la sicurezza in senso generale e la resilienza dei sistemi vengono prescritte misure tecniche e organizzative atte a garantire la sicurezza dei dati trattati, inclusi protocolli di crittografia di livello adeguato, meccanismi di autenticazione multi-fattore e procedure di business continuity.
In linea con l’art. 22 GDPR, le Linee Guida impongono in ogni caso che i processi decisionali automatizzati siano comprensibili e verificabili, richiedendo che i fornitori di tecnologie IA forniscano documentazione dettagliata sui modelli utilizzati, riprendendo il concetto della tanto discussa necessità di trasparenza algoritmica.
Enfatizzano inoltre l’importanza di utilizzare dataset di addestramento rappresentativi, accurati e privi di bias discriminatori, con procedure di validazione e test documentate, al fine di mantenere un elevato livello qualitativo dei dati utilizzati, requisiti tecnici che mirano a garantire che i sistemi di IA implementati nel settore sanitario siano non soltanto efficaci dal punto di vista clinico, ma anche conformi ai principi di protezione dei dati sanciti dal GDPR.
Le PA deployer affidano la sorveglianza umana dei sistemi di IA ad alto rischio al RTD e al suo Ufficio (UTD) e, come sopra già chiarito, DEVONO garantire che il personale incaricato possieda le competenze, l’esperienza e l’autorità necessarie per svolgere tale funzione in modo efficace.
Le procedure di acquisizione e sviluppo dei sistemi di IA
La bozza di Linee Guida dedica una particolare attenzione alle modalità di acquisizione e sviluppo dei sistemi di IA mediante procedure di appalto pubbliche.
A tal proposito vengono fornite indicazioni specifiche per l’inserimento nei capitolati di gara di clausole relative alla protezione dei dati e alla trasparenza algoritmica, in linea con il Codice dei Contratti Pubblici.
Per le amministrazioni che optano per lo sviluppo interno di soluzioni IA, le Linee Guida raccomandano altresì l’adozione di metodologie di sviluppo agile che integrino i principi di privacy by design e privacy by default di cui all’articolo 25 del GDPR fin dalle fasi iniziali del progetto.
Viene inoltre contemplata la possibilità che la pubblica amministrazione per adottare sistemi di IA possa ricorrere a forme di partenariato anche con soggetti privati, purché vengano chiaramente definiti i ruoli di titolare e responsabile del trattamento dei dati personali ai sensi degli artt. 26 e 28 del GDPR.
In linea con il principio once-only della PA digitale, le Linee Guida promuovono ovviamente anche il riuso di soluzioni IA viluppate da altre amministrazioni sanitarie, privilegiando tecnologie open source che facilitino audit di sicurezza e compliance.
Questo approccio all’acquisizione e allo sviluppo riflette la necessità di garantire che i sistemi di IA implementati nel settore sanitario siano conformi non soltanto alle normative in materia di protezione dei dati, ma anche ai principi di trasparenza e buon andamento della Pubblica Amministrazione.
L’impatto dell’IA sul sistema sanitario italiano: i benefici
L’adozione di sistemi di IA nel settore sanitario italiano promette significativi benefici in termini di efficienza ed efficacia delle prestazioni sanitarie, ad iniziare dalla ottimizzazione della diagnostica; ad esempio i sistemi di Computer Aided Diagnosis (CAD), basati su algoritmi di machine learning, possono supportare i professionisti sanitari nell’interpretazione di immagini radiologiche, riducendo i tempi di diagnosi e minimizzando il rischio di falsi negativi.
L’analisi di big data sanitari mediante algoritmi di IA consente di identificare pattern e correlazioni non immediatamente evidenti, facilitando l’implementazione di approcci di medicina personalizzata.
Sotto l’aspetto amministrativo, l’automazione dei processi mediante sistemi di IA può ridurre il carico burocratico, liberando risorse da destinare all’assistenza diretta ai pazienti.
Un altro settore che potrebbe beneficiare immediatamente dei sistemi di IA è quello epidemiologico.
La possibilità di analizzare in tempo reale dati provenienti da diverse fonti per identificare precocemente focolai epidemici consente un efficace monitoraggio epidemiologico e può supportare altrettanto efficacemente la programmazione e la pianificazione sanitaria.
Le Linee Guida AgID riconoscono tutti questi potenziali benefici, inquadrandoli tuttavia in una cornice di responsabilità e conformità normativa, in assenza della quale non è consentito introdurre l’intelligenza artificiale.
Le criticità e i rischi derivanti dall’applicazione su larga scala dell’IA in Sanità
Ma quali sono le criticità e i rischi derivanti dall’applicazione su larga scala dell’IA in Sanità?
L’implementazione di sistemi di IA nel settore sanitario presenta tuttavia criticità significative, che le Linee Guida AgID affrontano con un approccio basato sul rischio.
Vi sono forti rischi per la protezione dei dati, in quanto l’utilizzo di algoritmi di machine learning richiede l’accesso a vasti dataset, amplificando i rischi di data breach e di utilizzi non autorizzati.
Le Linee Guida prescrivono quindi l’implementazione su vasta scala di tecniche di anonimizzazione e pseudonimizzazione, nonché l’adozione di misure di sicurezza tecniche ed organizzative commisurate al rischio del trattamento.
Vi sono poi i rischi algoritmici, in quanto i sistemi di IA possono perpetuare o amplificare bias presenti nei dati di addestramento, con potenziali impatti discriminatori.
Per ovviare a questo problema, le Linee Guida richiedono procedure di validazione algoritmica e test di fairness (equità dei risultati) prima dell’implementazione di nuovi sistemi.
Non vanno trascurati i rischi di natura organizzativa; l’introduzione di sistemi di IA richiede significative modifiche organizzative e formazione specifica del personale sanitario, la cui consapevolezza è indispensabile per un uso corretto e puntuale degli stessi.
Le Linee Guida, considerato tale bisogno, dedicano quindi particolare attenzione alla gestione del cambiamento e alla formazione degli operatori.
Non da ultimi vanno considerati i rischi di natura economica, in quanto gli investimenti in tecnologie IA sono significativi e a rapida obsolescenza.
Su questo fronte le Linee Guida forniscono indicazioni per la valutazione dell’impatto economico a medio-lungo termine.
Per ciascuna di queste categorie di rischio le Linee Guida AgID definiscono procedure di valutazione e mitigazione, in linea con l’approccio risk-based del GDPR.
Prospettive future
La lettura della bozza di Linee Guida AgID sulla IA nella PA evidenzia che il più significativo punto di forza risiede nella metodologia d’approccio integrato.
Le Linee Guida adottano un approccio olistico, che considera non solo gli aspetti tecnologici, ma anche quelli organizzativi, economici e giuridici dell’implementazione dei sistemi di IA, mantenendo nel contempo la conformità al vigente framework normativo e in particolare a quello relativo alla protezine dei dati personali.
Tali indicazioni sono quindi pienamente allineate con il quadro normativo europeo e nazionale in materia di protezione dei dati e di digitalizzazione della PA.
Pur definendo requisiti stringenti, le Linee Guida lasciano comunque ampi margini di flessibilità organizzativa alle amministrazioni sanitarie nella scelta delle soluzioni tecniche più appropriate al proprio contesto, nell’ottica di un orientamento all’innovazione responsabile.
Viene infatti promossa l’adozione di tecnologie innovative, ma all’interno di un quadro di responsabilità e conformità normativa, sotto l’attento coordinamento del Board succitato che si avvale, e non potrebbe essere altrimenti, dell’apporto dedicato del DPO o Responsabile della Protezione Dati, chiamato a svolgere un compito ulteriore e sfidante che si aggiunge a quelli indicati dall’articolo 39 del GDPR.
Questi elementi configurano le Linee Guida come uno strumento potenzialmente molto efficace per guidare la trasformazione digitale del settore sanitario italiano.
Le criticità da superare
Come in tutte le rivoluzioni copernicane derivanti da un repentino balzo in avanti delle potenzialità offerte dall’innovazione tecnologica, emergono tuttavia alcune criticità di cui è necessario tener conto e che andranno approfondite.
Le Linee Guida dovrebbero rafforzare ulteriormente le indicazioni relative alla formazione del personale sanitario e amministrativo, elemento cruciale per l’efficace implementazione dei sistemi di IA; sarebbe auspicabile una maggiore enfasi sul coinvolgimento attivo dei pazienti, attraverso la partecipazione delle associazioni che li rappresentano nei processi di implementazione dei sistemi di IA, in linea con i principi di trasparenza e autodeterminazione informativa.
Le procedure di verifica e audit dei sistemi di IA dovrebbero essere maggiormente dettagliate, con l’introduzione di benchmark standardizzati per la valutazione delle performance e della dimensione economica dell’implementazione dei sistemi di IA, che è particolarmente rilevante nel contesto delle risorse limitate del SSN.
In questo contesto, anche l’introduzione di strumenti obbligatori di valutazione costi-benefici potrebbe essere particolarmente utile.
L’integrazione di questi tre ulteriori elementi nelle versioni definitive delle Linee Guida potrebbe rafforzarne ulteriormente l’efficacia operativa.
Conclusioni
Le indicazioni riportate nella bozza di Linee Guida AgID sull’adozione, l’acquisto e lo sviluppo di sistemi di IA nel settore sanitario rappresentano certamente un significativo passo in avanti verso la digitalizzazione responsabile della sanità pubblica italiana.
Le Linee Guida, collocandosi perfettamente all’intersezione tra innovazione tecnologica e tutela dei diritti fondamentali, forniscono in tutta evidenza un framework operativo che, se sarà adeguatamente compreso e implementato, potrà consentire di cogliere i benefici dell’IA, minimizzandone i rischi, grazie anche al costante rapporto che dovrà instaurarsi tra il Board, l’RTD e il DPO.
La vera sfida per le Amministrazioni sanitarie sarà quella di tradurre queste indicazioni in prassi operative concrete, investendo seriamente e con intelligenza nelle necessarie competenze tecniche e organizzative e promuovendo una cultura della digitalizzazione che ponga al centro la tutela della dignità e dei diritti dei pazienti, e supportando adeguatamente i suoi professionisti dedicati , il Responsabile della Transizione Digitale e il DPO o Responsabile della Protezione Dati, di adeguate risorse, in particolare di quelle elencate nel secondo paragrafo dell’articolo 39 del GDPR.
In questa prospettiva, le Linee Guida AgID si configurano non solo come un potente strumento di compliance normativa, ma anche come catalizzatore di un processo di innovazione responsabile, che potrà contribuire significativamente all’evoluzione del sistema sanitario nazionale verso modelli personalizzati centrati sul paziente, quindi più efficienti ed efficaci.
