Dove si nasconde l'IA in uno studio medico
Quando chiedo a un titolare se usa intelligenza artificiale, la risposta quasi sempre è no. Poi si guarda il gestionale e si scopre che c'è dentro almeno una funzione di IA attiva. I casi più frequenti:
- Trascrizione automatica della visita o dettatura vocale del referto
- Suggerimenti di refertazione o generazione di bozze di documenti clinici
- Chatbot o assistenti virtuali per prenotazioni e informazioni ai pazienti
- Assistenti di segreteria per email, promemoria, gestione agenda
- Supporto diagnostico integrato in apparecchiature o software di refertazione
- Strumenti generativi usati spontaneamente dal personale, come ChatGPT per riscrivere una comunicazione ai pazienti
L'ultimo punto è quello che sfugge sempre e crea più rischio: nessuno l'ha autorizzato, nessuno l'ha censito, e spesso finiscono nei prompt informazioni che non dovrebbero uscire dallo studio.
Come si classificano questi sistemi
L'AI Act assegna obblighi in base al livello di rischio. Per un poliambulatorio o uno studio associato la mappa tipica è questa.
| Sistema | Classe tipica | Cosa comporta |
|---|
| Chatbot prenotazioni | Rischio limitato | Il paziente deve sapere che sta parlando con un sistema di IA (art. 50, dal 2 agosto 2026) |
| Trascrizione e bozze di referto | Rischio limitato / minimo | Verifica umana obbligatoria nella pratica clinica, trasparenza sui contenuti generati, formazione del personale |
| Assistente di segreteria | Rischio minimo | Nessun obbligo specifico dall'AI Act, ma restano GDPR e formazione art. 4 |
| IA integrata in un dispositivo medico | Alto rischio (Allegato I) | Obblighi pieni sul fornitore, dal 2 agosto 2028. Lo studio resta utilizzatore, con doveri di uso conforme e sorveglianza umana |
| Triage o priorità di accesso alle cure | Alto rischio (Allegato III) | Obblighi dal 2 dicembre 2027. Riguarda soprattutto strutture strutturate, non il piccolo studio |
La conclusione pratica: il piccolo e medio studio quasi mai ha sistemi ad alto rischio. Ha però obblighi di trasparenza in arrivo il 2 agosto 2026 e un obbligo di formazione già scaduto dal febbraio 2025.
Il riconoscimento delle emozioni è vietato sul luogo di lavoro, ma l'AI Act prevede un'eccezione per finalità mediche e di sicurezza. Se un fornitore vi propone strumenti di questo tipo, fatevi mettere per iscritto su quale base si colloca l'eccezione: è il tipo di dettaglio che in un controllo fa la differenza.
Cosa verificare nel contratto con il gestionale
È qui che si gioca la partita vera, perché il sistema di IA non è vostro: è del fornitore, e le condizioni le scrive lui. Cinque domande da porre, per iscritto, prima di attivare qualsiasi funzione:
- I dati vengono usati per addestrare o migliorare i modelli? Molti contratti prevedono un riutilizzo per finalità di miglioramento del servizio, a volte attivo per impostazione predefinita, con un'opzione di disattivazione da cercare nelle impostazioni
- Quali sub-responsabili sono coinvolti? Le funzioni generative poggiano quasi sempre su fornitori terzi di modelli linguistici, che vanno elencati nel contratto
- Dove sono i server? Se il trattamento resta nell'Unione europea la questione dei trasferimenti si semplifica molto
- Per quanto tempo sono conservati gli input inseriti nel sistema, incluse le trascrizioni
- Quali funzioni di IA sono attive di default e quali si possono spegnere, con evidenza documentale della scelta fatta
Le risposte vanno conservate insieme all'accordo sul trattamento ex art. 28 GDPR: in caso di verifica, dimostrare di aver chiesto e ottenuto queste informazioni è già metà del lavoro.
Cosa fare adesso, in ordine
- Censimento dei sistemi di IA effettivamente in uso, incluse le funzioni dentro software che non chiamate "IA" e gli strumenti usati spontaneamente dal personale.
- Formazione del personale (art. 4): è già dovuta dal febbraio 2025 ed è l'adempimento più rapido da assolvere. Serve documentarla con attestati e registro delle ore.
- Trasparenza verso i pazienti: avviso sul chatbot, aggiornamento dell'informativa privacy, indicazione dei contenuti generati dove pertinente. Da fare entro il 2 agosto 2026.
- DPIA: il trattamento su larga scala di dati sanitari con tecnologie innovative rientra tipicamente tra i casi che la richiedono. Se ne avete già una, va aggiornata.
- Registro dei sistemi di IA, tenuto accanto al registro dei trattamenti e non come documento separato.
- Policy interna sull'uso dell'IA: cosa si può inserire nei prompt, chi verifica gli output, quali strumenti sono autorizzati.
Il pezzo GDPR che nessuno collega
Introdurre uno strumento di IA in uno studio medico non è mai solo una questione di AI Act. Cambiano la base giuridica del trattamento, i responsabili coinvolti, i tempi di conservazione, il contenuto dell'informativa. Se queste cose vengono aggiornate da una parte e non dall'altra, si ottiene documentazione che si contraddice — ed è esattamente ciò che emerge in un controllo.
È il motivo per cui conviene affidare i due fronti alla stessa figura: ne ho scritto in GDPR e AI Act: perché serve un DPO che li conosca entrambi. Per il quadro normativo completo e le scadenze aggiornate, vedi la guida al 2 agosto 2026.
Domande frequenti
Uno studio medico è fornitore o utilizzatore ai sensi dell'AI Act?
Nella quasi totalità dei casi è utilizzatore, perché usa software sviluppati da altri. Diventa fornitore solo se sviluppa un proprio sistema di IA o lo immette sul mercato con il proprio nome. La distinzione è decisiva perché gli obblighi del fornitore sono molto più pesanti.
Il software gestionale con trascrizione automatica è ad alto rischio?
Di norma no. Trascrizione e generazione di bozze rientrano nel rischio limitato, con obblighi di trasparenza. Diventa alto rischio quando l'IA è integrata in un dispositivo medico soggetto a valutazione di conformità, oppure quando incide su decisioni cliniche in modo autonomo.
Devo informare i pazienti che uso l'intelligenza artificiale?
Sì, quando il paziente interagisce direttamente con un sistema di IA — per esempio un chatbot per le prenotazioni — o quando riceve contenuti generati artificialmente. L'obbligo di trasparenza dell'art. 50 è applicabile dal 2 agosto 2026. Sul fronte GDPR l'informativa va comunque aggiornata.
Cosa devo verificare nel contratto con il fornitore del gestionale?
Se i dati sono usati per addestrare o migliorare i modelli e se esiste un'opzione per disattivarlo, quali sub-responsabili sono coinvolti, dove sono i server, i tempi di conservazione e quali funzioni di IA sono attive per impostazione predefinita.
L'obbligo di formazione riguarda anche il personale sanitario?
Sì. L'art. 4 si applica dal 2 febbraio 2025 a chiunque utilizzi sistemi di IA per conto dell'organizzazione: medici, infermieri, segreteria, collaboratori esterni. È l'adempimento già scaduto e il più semplice da mettere in regola.
Serve una DPIA per i sistemi di IA in ambito sanitario?
Molto spesso sì. Il trattamento su larga scala di dati relativi alla salute con tecnologie innovative rientra tipicamente tra i casi che richiedono una valutazione d'impatto ai sensi dell'art. 35 GDPR. Va aggiornata ogni volta che si introduce un nuovo sistema di IA.
A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Studio Cravero Consulting segue poliambulatori, studi medici e strutture sanitarie private su GDPR e AI Act in tutta Italia. Chi sono.
Il tuo studio usa l'IA senza saperlo?
Partiamo dal censimento dei sistemi e dalla formazione del personale, che è già obbligatoria. La prima call di valutazione è gratuita.
Studio Cravero Consulting