L’intelligenza artificiale in medicina: governare l’innovazione senza subirla

Con l’approvazione definitiva del disegno di legge 1146-B sull’intelligenza artificiale, l’Italia compie un passo decisivo verso una medicina più digitale, ma anche più regolata e consapevole. Per la prima volta, l’uso dell’intelligenza artificiale in ambito sanitario viene incardinato in una cornice normativa organica, che si integra con l’AI Act europeo e stabilisce principi fondamentali di trasparenza, responsabilità e tutela della relazione medico-paziente.

Cosa dice la legge

La legge afferma con chiarezza che l’intelligenza artificiale deve essere considerata uno strumento di supporto, non un surrogato della decisione clinica. La responsabilità dell’atto medico rimane saldamente nelle mani del professionista, mentre il paziente ha diritto di sapere quando una tecnologia basata sull’intelligenza artificiale è impiegata nel suo percorso di cura.

Il testo riconosce inoltre l’interesse pubblico del trattamento dei dati sanitari per fini di ricerca, prevedendo la possibilità di riutilizzare, in condizioni controllate, dati pseudonimizzati anche senza un nuovo consenso esplicito. È prevista, infine, la creazione di una piattaforma nazionale di intelligenza artificiale integrata al fascicolo sanitario elettronico, gestita da Agenas, che offrirà suggerimenti non vincolanti a medici e cittadini, promuovendo una sanità più connessa e basata sull’evidenza.

Dietro ogni sistema di supporto decisionale si nasconde un gigantesco cervello collettivo: l’insieme delle banche dati cliniche.

Dietro ogni sistema di supporto decisionale basato su intelligenza artificiale si nasconde però un gigantesco cervello collettivo: l’insieme delle banche dati cliniche. Esse costituiscono il substrato cognitivo della medicina digitale contemporanea. Dentro vi si trovano referti, anamnesi, esami, codici standardizzati, linee guida, revisioni sistematiche, registri di patologia e dati provenienti dal mondo reale. Affinché tutto questo patrimonio informativo diventi davvero utile alla pratica clinica, è necessario che i dati siano governati in modo rigoroso: servono qualità, coerenza, aggiornamento, tracciabilità e un’infrastruttura semantica che consenta alle diverse fonti di “dialogare” tra loro. Senza questa architettura, l’intelligenza artificiale rischia di produrre l’effetto opposto a quello desiderato: quello che gli informatici chiamano garbage in, garbage out, cioè raccomandazioni sbagliate generate da dati incoerenti.

Quando invece i sistemi sono costruiti con rigore, l’intelligenza artificiale diventa un vero assistente cognitivo per il medico. Può suggerire percorsi diagnostici più efficienti, individuare terapie personalizzate, segnalare possibili controindicazioni, richiamare nuove evidenze scientifiche o scoprire correlazioni non evidenti nei dati. La condizione essenziale è che ogni suggerimento sia spiegabile e tracciabile: il medico deve poter comprendere perché il sistema propone una determinata opzione e su quali fonti si basa.

Un’intelligenza artificiale che consiglia senza spiegare non è medicina, ma magia.
Il cuore etico di questa trasformazione resta la figura del medico. La legge ribadisce un principio non negoziabile: l’intelligenza artificiale non decide, ma assiste. È il concetto, ormai classico, dell’“human in the loop”: la tecnologia entra nel processo clinico come supporto al ragionamento, non come sostituto del giudizio professionale. Il medico deve poter valutare criticamente ogni raccomandazione, accettarla o respingerla, e soprattutto accedere ai log decisionali, ossia ai registri che documentano in modo strutturato i passaggi attraverso cui il sistema è giunto a una determinata conclusione – dai dati in ingresso ai modelli utilizzati, fino ai parametri e alle ponderazioni che hanno influenzato l’esito. Questi registri costituiscono la base della auditabilità, cioè la possibilità di ricostruire, verificare e motivare a posteriori il percorso decisionale seguito dall’algoritmo. L’auditabilità rappresenta la condizione tecnica ed etica che consente di esaminare come e perché l’algoritmo abbia generato una certa raccomandazione, assicurando trasparenza, controllo umano e responsabilità verificabile. La responsabilità ultima dell’atto clinico resta umana, e la tecnologia non deve indebolire ma potenziare la competenza.

Da un punto di vista regolatorio, il riferimento principale è l’AI Act europeo (Regolamento del Parlamento Europeo e del Consiglio sull’intelligenza artificiale, approvato nel 2024), che introduce un sistema armonizzato di classificazione del rischio per le applicazioni di intelligenza artificiale.

In questo quadro, i sistemi di supporto alle decisioni cliniche (clinical decision support systems) che influenzano direttamente decisioni diagnostiche o terapeutiche rientrano nella categoria dei software as a medical device, secondo la definizione del Regolamento Ue 2017/745 sui dispositivi medici (Mdr). Essi sono classificati come “ad alto rischio” perché possono incidere in modo sostanziale sulla salute e sulla sicurezza del paziente: un errore algoritmico potrebbe portare a una diagnosi errata o a un trattamento inappropriato, con conseguenze cliniche gravi. Questa classificazione comporta requisiti stringenti in termini di qualità, sicurezza, gestione del rischio, validazione clinica e usabilità. Il produttore deve garantire che il sistema sia stato sviluppato e testato secondo standard riconosciuti (per esempio: ISO 13485 per la qualità, ISO 14971 per la gestione del rischio, IEC 62304 per il ciclo di vita del software e IEC 62366 per l’usabilità) e che le prestazioni cliniche siano validate attraverso evidenze documentate.

Sul piano della privacy, resta pienamente applicabile il Regolamento Ue 2016/679 (Gdpr), che disciplina il trattamento dei dati personali, compresi quelli sensibili o relativi alla salute.
Tra gli obblighi fondamentali vi sono la pseudonimizzazione, la minimizzazione, la tracciabilità e la valutazione d’impatto sulla protezione dei dati. Per pseudonimizzazione si intende il processo mediante il quale i dati personali vengono trattati in modo che non possano più essere attribuiti a un interessato specifico senza l’uso di informazioni aggiuntive, conservate separatamente e protette da adeguate misure tecniche e organizzative. Essa differisce dall’anonimizzazione completa, in quanto quest’ultima elimina in modo irreversibile ogni possibilità di identificazione, rendendo i dati definitivamente non riconducibili a una persona fisica. I dati pseudonimizzati, invece, restano potenzialmente riconducibili al soggetto mediante una chiave di corrispondenza, e quindi sono tuttora considerati dati personali ai sensi del Gdpr.

La normativa europea prevede inoltre modalità agevolate per l’uso secondario dei dati sanitari a fini di ricerca, in particolare attraverso il Regolamento sullo spazio europeo dei dati sanitari (Ehds), che introduce un quadro per la condivisione sicura dei dati a scopo scientifico. Tuttavia, tale utilizzo è subordinato all’adozione di garanzie tecniche e organizzative rigorose per la protezione dei diritti fondamentali dei pazienti, tra cui l’uso di infrastrutture sicure, la supervisione etica e la tracciabilità completa dei processi di accesso e analisi dei dati.

I punti critici

Tuttavia, non mancano le criticità. Una delle principali è che molti aspetti tecnici e procedurali sono demandati ai decreti attuativi del Ministero della salute, che dovranno essere emanati nei prossimi mesi per rendere effettiva la legge. In assenza di regole operative chiare, il rischio concreto è che la normativa resti un contenitore di principi generali senza tradursi in strumenti realmente applicabili e verificabili nella pratica clinica.

Un’altra zona grigia riguarda la distribuzione delle competenze tra i diversi organismi coinvolti nella governance dell’intelligenza artificiale in sanità – AgID, Agenzia per la cybersicurezza nazionale, Agenas e Ministero della salute – con il pericolo di sovrapposizioni e rallentamenti burocratici. La chiarezza nel riparto delle competenze tra questi enti sarà cruciale per evitare duplicazioni, incoerenze normative e ritardi nell’attuazione delle misure di controllo e certificazione. Solo una governance integrata, coordinata e fondata su regole tecniche condivise potrà garantire che l’intelligenza artificiale in medicina si traduca da promessa tecnologica in pratica clinica sicura, trasparente e realmente utile ai pazienti.

AgID (Agenzia per l’Italia Digitale): è l’ente che definisce le linee guida tecniche e gli standard per la trasformazione digitale della Pubblica Amministrazione, inclusi gli aspetti di interoperabilità, sicurezza informatica e certificazione dei sistemi informativi sanitari.
Agenzia per la Cybersicurezza Nazionale (ACN): ha il compito di garantire la protezione delle infrastrutture digitali critiche e dei dati sensibili, assicurando che i sistemi di intelligenza artificiale rispettino i requisiti di sicurezza e resilienza informatica.
Agenas (Agenzia Nazionale per i Servizi Sanitari Regionali): svolge un ruolo di coordinamento tecnico e monitoraggio sull’adozione dell’innovazione digitale in sanità, con particolare riferimento alla valutazione delle tecnologie sanitarie (HTA, Health Technology Assessment) e all’integrazione nei percorsi clinico-assistenziali.

Sul fronte dei dati, il riconoscimento dell’interesse pubblico per la ricerca è certamente un passo avanti, ma solleva questioni delicate. La pseudonimizzazione, se non accompagnata da controlli rigorosi, non garantisce sempre l’anonimato effettivo, e il paziente deve essere messo nelle condizioni di comprendere davvero come i propri dati vengono utilizzati. Serve quindi una vigilanza costante del Garante per la Privacy e una cultura della trasparenza che ancora oggi non è diffusa in modo uniforme.

C’è poi un aspetto più sottile, ma forse ancora più cruciale: il rischio che l’introduzione dell’intelligenza artificiale in sanità alimenti una nuova forma di medicina difensiva. Se il medico segue l’algoritmo e sbaglia, resta responsabile; se non lo segue e l’algoritmo aveva ragione, potrebbe essere accusato di negligenza. È un dilemma che la legge non risolve esplicitamente e che richiederà interpretazioni giurisprudenziali e deontologiche attente. Il rischio è che, per paura, i medici finiscano per affidarsi più del dovuto alla macchina, riducendo la propria autonomia critica.

Un’intelligenza artificiale che consiglia senza spiegare non è medicina, ma magia.

Un’ulteriore criticità riguarda la velocità con cui gli algoritmi evolvono. I modelli di intelligenza artificiale devono essere continuamente aggiornati per riflettere nuove evidenze scientifiche, ma il processo di certificazione è complesso e costoso. Una normativa troppo rigida può rallentare l’innovazione, mentre una troppo permissiva può esporre a rischi di sicurezza. Servirà un equilibrio dinamico tra controllo e flessibilità, capace di adattarsi al ritmo della ricerca.

Infine, non va trascurato il rischio di creare nuove disuguaglianze. Le grandi strutture ospedaliere e le regioni dotate di solide infrastrutture digitali potranno adottare rapidamente sistemi di intelligenza artificiale sofisticati; le realtà più piccole e periferiche, prive di risorse tecniche o di dati adeguati, rischiano di restare escluse, accentuando il divario tecnologico tra centro e periferia.

Nonostante questi limiti, il nuovo decreto segna una svolta storica. È un atto di maturità istituzionale che riconosce l’importanza di governare l’innovazione, non di subirla. Ma perché diventi davvero efficace, serviranno decreti attuativi rigorosi, formazione diffusa, investimenti nelle infrastrutture e, soprattutto, una cultura clinica capace di comprendere l’intelligenza artificiale senza farsi dominare da essa.

La legge fissa un principio fondamentale: l’intelligenza artificiale aiuta, ma non decide.

L’intelligenza artificiale non è magia né minaccia: è uno strumento cognitivo che, se costruito con integrità e trasparenza, può migliorare la qualità delle cure, ridurre la variabilità e sostenere il giudizio clinico del medico. La nuova legge fissa un principio fondamentale – l’intelligenza artificiale aiuta, ma non decide – che dovrà tradursi in prassi quotidiana. Perché ciò accada, occorre costruire un’architettura di fiducia fondata su dati ben governati, sistemi trasparenti e medici formati e consapevoli. Solo così la medicina potrà davvero diventare “aumentata”, restando pienamente umana.

Fabio Di Bello
Ingegnere matematico, esperto in intelligenza artificiale applicata alla medicina
Senior AI Development Manager, Wiley

La legge sull’intelligenza artificiale in medicina
Per la FNOMCeO è un passo avanti nella tutela della sicurezza e del ruolo del medico

“Oggi è un buon giorno per i medici, per i cittadini, per il Servizio sanitario nazionale: la Legge quadro sull’intelligenza artificiale, approvata in via definitiva dal Senato, circoscrive in maniera chiara il perimetro di applicazione dell’intelligenza artificiale in medicina. E, nel ribadire che l’intelligenza artificiale è strumento prezioso nelle mani del medico, e non suo surrogato, definisce, per la prima volta, nero su bianco e in maniera inequivocabile, l’atto medico, vale a dire le decisioni nei processi di prevenzione, diagnosi, cura e scelta terapeutica, che spettano agli esercenti la professione medica”. Così il Presidente della FNOMCeO, la Federazione nazionale degli Ordini dei Medici Chirurghi e degli Odontoiatri, Filippo Anelli, ha commentato, insieme al Comitato centrale, l’approvazione in via definitiva da parte del Senato del disegno di legge delega sull’intelligenza artificiale, che diventa così legge. Il testo, in 28 articoli, al Capo II disciplina le applicazioni in settori specifici, tra i quali il Servizio sanitario nazionale e la ricerca scientifica. In quest’ambito, all’articolo 7, dichiara che “l’utilizzo di sistemi di intelligenza artificiale contribuisce al miglioramento del sistema sanitario, alla prevenzione, alla diagnosi e alla cura delle malattie, nel rispetto dei diritti, delle libertà e degli interessi della persona, anche in materia di protezione dei dati personali”. E ribadisce che “i sistemi di intelligenza artificiale in ambito sanitario costituiscono un supporto nei processi di prevenzione, diagnosi, cura e scelta terapeutica, lasciando impregiudicata la decisione, che è sempre rimessa agli esercenti la professione medica”.
Per la FNOMCeO questa normativa rappresenta un passo avanti nel riconoscimento delle applicazioni dell’intelligenza artificiale in medicina e nella tutela della sicurezza delle cure. “La legge valorizza le applicazioni dell’intelligenza artificiale nella prevenzione, diagnosi, terapia e nel supporto alle persone con disabilità, nel rispetto dei diritti dei cittadini e della sicurezza delle cure”, ha spiegato Anelli sottolineando che il testo ribadisce due principi fondamentali: l’intelligenza artificiale deve essere un supporto per il medico e non un sostituto, e restano centrali le competenze professionali nelle decisioni su prevenzione, diagnosi, cura e prescrizione.
Anelli ha inoltre espresso apprezzamento anche per le misure che promuovono la ricerca e la formazione e per gli interventi sul Codice penale che puniscono gli utilizzi illeciti, compresi i deepfake. La FNOMCeO era stata tra le prime a denunciare l’uso distorto dell’intelligenza artificiale per generare video falsi in cui comparivano medici a scopo di disinformazione o pubblicità ingannevole. Altrettanto condannabile è l’utilizzo di deepfake che mettano a rischio la dignità delle persone.
Con la nuova normativa, ha concluso Anelli, l’Italia si allinea all’AI Act europeo e crea il presupposto giuridico per la valorizzazione del ruolo della professione medica all’interno dei sistemi sanitari.
Fonte: Comunicato stampa FNOMCeO