AI Act, 2 agosto, tra innovazione e tutela paziente

Il settore Life Science si prepara a una data che segnerà uno spartiacque: il 2 agosto. Non si tratta di una semplice scadenza burocratica, ma dell’applicabilità dei primi obblighi dell’AI Act, il regolamento europeo che ambisce a governare l’intelligenza artificiale. In un contesto dove la tecnologia corre più veloce della penna del legislatore, le aziende healthcare si trovano a un bivio: abbracciare l’automazione per migliorare la vita dei pazienti o restare intrappolate in un intricato reticolo di obblighi legali e complessità procedurali. Una sfida tecnica, ma anche etica e giuridica, poiché nell’intersezione tra codice informatico e codice genetico il margine di errore non è un semplice bug, ma una questione che riguarda la salute delle persone.

Trasparenza e vigilanza nazionale

Il primo grande cambiamento riguarda la governance e il dovere di chiarezza verso l’utente finale. Con l’avvicinarsi della scadenza ormai imminente, l’Italia ha definito i propri assetti di controllo, compiendo una scelta di campo significativa rispetto ad altri partner europei. «Per quanto riguarda il 2 agosto, abbiamo un obbligo trasversale che riguarda tutti, compreso il settore sanitario, infatti è stato dato potere di vigilanza reale ad AgID (l’Agenzia per l’Italia Digitale), l’ente tecnico della Presidenza del Consiglio dei ministri che guida la trasformazione digitale del Paese», spiega l’avvocato Giuseppe Vaciago, partner di 42 Law Firm.

L’esperto sottolinea come la scelta italiana di affidarsi all’Agenzia rappresenti un forte un segnale. «In Spagna, per esempio, è il Garante della privacy. In Italia, invece, è stata presa una decisione interessante perché è stato scelto Agid, un’agenzia governativa». Oltre alla vigilanza, il cuore dell’impatto immediato risiede nell’articolo 50 dell’AI Act, dedicato alla trasparenza. Questo significa che il paziente deve sapere quando sta interagendo con una macchina.

E se l’uso di un chatbot su un sito ospedaliero può apparire palese, le nuove frontiere della sintesi vocale rendono il confine più labile. «Oggi la GenAI è in grado di avere una sintesi vocale che le permette di essere molto umana. Quindi, in questo caso, la persona potrebbe non rendersi conto di stare dialogando con un’intelligenza artificiale». La trasparenza diventa dunque un pilastro per mantenere la fiducia nel rapporto medico-paziente.

AI Literacy: la formazione come obbligo

Un aspetto spesso sottovalutato, ma reso stringente dalle nuove norme, è quello della formazione. Non basta implementare l’algoritmo; è necessario che chi lo utilizza ne comprenda rischi e potenzialità. L’articolo 4 dell’Ai Act impone a chi crea (fornitori) e a chi usa (deployer) sistemi di intelligenza artificiale di garantire al proprio personale un adeguato livello di AI Literacy. «La formazione obbligatoria e i poteri dell’AgID sono effettivi, ci sono anche i poteri sanzionatori senza voler creare nessun tipo di terrore», avverte Vaciago.

È fondamentale che le strutture sanitarie non vedano questo passaggio come un mero onere amministrativo. «È importante, nel settore sanitario, che tutti inizino a fare anche attività di formazione, soprattutto per quanto riguarda i rischi, ma anche le opportunità che l’intelligenza artificiale può dare». Sebbene la regolamentazione dei sistemi ad “alto rischio” – quelli che impattano più direttamente le diagnosi e le terapie – sia stata posticipata all’anno prossimo, la base culturale per gestirli deve essere gettata oggi.

Il caso ReportAId: l’intelligenza artificiale che cura la burocrazia

Per capire come l’innovazione possa convivere con i diritti dei pazienti, è utile guardare a casi concreti, come ReportAId, una startup nata nel 2024 con una missione: trasformare le informazioni cliniche in relazioni significative.

Il progetto si concentra sulla lettura del referto e il follow-up del paziente, automatizzando i reminder per le visite di controllo. La startup, grazie all’intelligenza artificiale, interpreta i referti medici, organizzando a partire dai dati in essi contenuti tutto quello che il paziente deve fare in seguito alla visita: controlli annuali, approfondimenti diagnostici, interventi chirurgici, piani di cura.

«L’idea è quella di creare in maniera selettiva, nel rispetto della privacy, un reminder al paziente rispetto a quella visita perché, a volte, può essere che se ne sia banalmente dimenticato», spiega Vaciago, che attraverso 42 Law Firm ricopre il ruolo di DPO di ReportAId, responsabile della protezione dei dati. Questo sistema non entra nel merito della diagnosi medica, ma agisce come un supporto logistico che il personale medico, per ragioni di tempo, non potrebbe garantire. «Non credo che vada né a togliere del lavoro né ad intaccare la centralità dell’essere umano nella decisione sanitaria», aggiunge.

Il dilemma del consenso: tra ricerca e business model

Una delle sfide più complesse per le aziende è la gestione dei dati sanitari sotto l’egida del GDPR e delle leggi nazionali. Se da un lato la Legge 132/2025 ha aperto spiragli significativi per l’utilizzo dei dati a fini di ricerca senza eccessivi oneri burocratici, il problema rimane per le realtà commerciali. «Una startup deve avere un modello di business, non può avere solo finalità di ricerca, ma deve vendere un prodotto», dice il partner di 42 Law Firm.

In questo scenario, la base giuridica principale resta il consenso del paziente, un processo che Vaciago descrive come estremamente farraginoso dal punto di vista tecnico e organizzativo. La proposta è quella di una riflessione sul legittimo interesse. «Bisognerebbe poter dire: mi assumo questa responsabilità, previa valutazione legale, ritenendo di agire nell’interesse del paziente, purché non siano violati i suoi diritti fondamentali».

Sicurezza e vita umana: il compromesso etico

Il rigore normativo europeo, pur essendo percepito come un freno, ha una ragion d’essere profonda: la tutela della vita. Vaciago cita un caso emblematico avvenuto in Brasile, dove un avvocato ha tentato di condizionare un’intelligenza artificale giudiziaria con dei “prompt nascosti” (testo bianco su fondo bianco) per influenzare le decisioni. Trasporre un rischio del genere in sanità è impensabile: «se trasponiamo quello che è successo nel mondo della sanità, non stiamo più parlando di una causa di lavoro ma di una vita umana».

Il compromesso tra velocità d’innovazione e protezione dei diritti è, quindi, necessario. «Bisogna stare molto attenti a come viene regolamentata la sanità, perché non si possono banalizzare questi aspetti». La sfida, per le startup, è mantenere saldo questo equilibrio, evitando che la tutela della privacy diventi un ostacolo al diritto fondamentale alla cura.

Verso lo Spazio europeo dei dati sanitari (EHDS)

Guardando al futuro, in merito alla creazione e alla piena operatività di uno spazio comune per i dati sanitari entro il 2029, la chiave per arrivarci senza rischi di “profilazione opaca” risiede nell’applicazione rigorosa dei principi di Privacy by Design e by Default previsti dall’articolo 25 del GDPR. «Il modo migliore per poter ottenere questa garanzia è pensare fin dall’inizio all’interoperabilità».

Tuttavia, Vaciago nota una resistenza culturale nel mondo aziendale: «se l’imprenditore non mostra quelle volontà, allora diventa una sfida impossibile. La privacy by design è stata pensata in università, non in azienda». Spesso, la paura di condividere asset preziosi spinge verso sistemi chiusi e opachi, contrari allo spirito della norma. Per l’avvocato, la soluzione non sono nuove leggi, ma l’applicazione di quelle esistenti: «non abbiamo bisogno di nuove norme – conclude – abbiamo bisogno di applicare quelle che ci sono già».