Un’analisi completa delle nuove previsioni, anche se confinata al loro impatto in ambito sanitario, esigerebbe ampi spazi di trattazione. Ci si limiterà qui, senza alcuna pretesa di esaustività, a una sintetica disamina del contenuto delle norme (artt. 7-10) dirette a normare l’impiego di IA nella pratica medica e nella ricerca scientifica.
L’impiego di IA nelle prestazioni sanitarie: non discriminazione, responsabilità umana e obblighi informativi
Partendo dal presupposto di come l’impiego di sistemi di IA possa contribuire al “miglioramento del sistema sanitario, alla prevenzione, alla diagnosi e alla cura delle malattie”, l’art. 7 della legge precisa – in modo forse pleonastico – che l’utilizzo di tali strumenti deve rispettare i “diritti”, le “libertà” e gli “interessi della persona, anche in materia di protezione dei dati personali”; e che non può condurre a esiti quali il condizionamento dell’accesso alle prestazioni sanitarie “secondo criteri discriminatori”.
Quanto agli obblighi informativi, la legge riconosce il diritto dell’interessato “a essere informato sull’impiego di tecnologie di intelligenza artificiale” nella prestazione medica, ma si discosta dalla versione originaria del d.d.l., la quale ricomprendeva nell’oggetto dell’informazione elementi ulteriori, tra cui anche “informazioni sulla logica decisionale” sul quale si basa il funzionamento del sistema di IA in questione. Tale rimodulazione del contenuto degli obblighi informativi è da molti imputata alle criticità evidenziate dal parere C(2024) 7814 reso dalla Commissione UE il 5 novembre 2024, con il quale, come è dato apprendere dal resoconto di una seduta plenaria della IV Commissione permanente del Senato tenutasi il 27 novembre 2024, aveva evidenziato come un obbligo informativo tanto ampio potesse rischiare di andare oltre quanto previsto sul punto dall’AI Act (Regolamento UE 2024/1689).
Il medesimo art. 7 della legge n. 132/2025 precisa, poi:
- il ruolo unicamente strumentale e di supporto dei sistemi di IA, riaffermando il primato della decisione umana, sempre rimessa agli esercenti la professione medica;
- la necessità di costante aggiornamento e verifica dell’affidabilità dei sistemi di IA utilizzati in ambito sanitario;
- l’impegno a promuovere lo sviluppo e la diffusione di sistemi di IA idonei a migliorare le condizioni di vita delle persone con disabilità.
IA e ricerca scientifica in ambito sanitario
Tra le più interessanti disposizioni della nuova legge, l’art. 8 qualifica come “di rilevante interesse pubblico in attuazione degli articoli 32 e 33 della Costituzione” i trattamenti di dati, anche personali – in quanto necessari ai fini della realizzazione e dell'utilizzazione di banche di dati e modelli di base – eseguiti da soggetti pubblici e privati senza scopo di lucro per la ricerca e sperimentazione nella realizzazione di sistemi di IA destinati a essere impiegati in ambito medico, quale uso secondario, per un novero ampio di finalità: prevenzione, diagnosi e cura di malattie; sviluppo di farmaci, terapie e tecnologie riabilitative; realizzazione di apparati medicali; salute pubblica, salute e sicurezza sanitaria; studio della fisiologia, della biomeccanica e della biologia umana anche in ambito non sanitario.
La legge prevede inoltre che:
- fermo restando l’obbligo di informativa, da assolversi anche mediante una informativa generale pubblicata sul web, non è necessario l’ulteriore consenso del paziente a tali tipologie di uso secondario;
- i dati personali in questione devono essere resi privi degli elementi identificativi diretti, eccezion fatta per “i casi nei quali la conoscenza dell’identità degli interessati sia inevitabile o necessaria al fine della tutela della loro salute”;
- tali trattamenti devono essere comunicati, almeno 30 giorni prima del loro avvio, al Garante per la protezione dei dati personali, il quale può esercitare poteri ispettivi, interdittivi e sanzionatori.
In relazione a tali previsioni, resta aperto soprattutto il tema di quale debba essere la loro interazione con le norme di cui al Regolamento sullo Spazio Europeo dei Dati Sanitario (Regolamento UE 2025/327), le cui norme sull’uso secondario dei dati sanitari elettronici diverranno applicabili nel marzo 2029.
L’art. 9, inoltre, conferisce un’ampia delega al Ministero della Salute per disciplinare con decreto, entro 120 giorni dal 10 ottobre 2025, il trattamento di dati personali, anche particolari, per finalità di ricerca e sperimentazione anche tramite sistemi di IA, anche mediante l'uso secondario dei dati personali.
Fascicolo Sanitario Elettronico e “governo della sanità digitale”
L’art. 10 della legge, infine, rimanda a uno o più decreti del Ministero della Salute la disciplina delle soluzioni di IA di supporto al funzionamento del Fascicolo Sanitario Elettronico.
Viene, inoltre, costituita una piattaforma di IA per il supporto alle finalità di cura e in particolare per l’assistenza territoriale, le cui progettazione, realizzazione, messa in servizio e titolarità sono attribuite all’AGENAS in qualità di Agenzia nazionale per la sanità digitale. Tale piattaforma dovrà erogare servizi di supporto:
- ai professionisti sanitari per la presa in carico della popolazione assistita, anche fornendo “suggerimenti non vincolanti”;
- ai medici nella pratica clinica quotidiana, ai quali pure verranno forniti “suggerimenti non vincolanti”;
- agli utenti per l’accesso ai servizi sanitari delle Case della comunità.
Tra le principali criticità relative a tali previsioni si segnala la mancanza, allo stato, della destinazione di risorse aggiuntive per il raggiungimento degli obiettivi di cui sopra; criticità che, peraltro, sembra affliggere l’intera legge n. 132/2025, in ragione anche della clausola di invarianza finanziaria di cui all’art. 27.