Introduzione al nuovo scenario normativo

Dal 2 agosto 2026 l’utilizzo dell’intelligenza artificiale (IA) in ambito sanitario in Italia deve confrontarsi con tre quadri giuridici distinti, nati in tempi diversi e concepiti senza considerare le altre normative. L’intersezione di AI Act, Legge 132/2025 e Gelli‑Bianco crea un “triangolo” di regole che governa il medico quando prende decisioni assistito da un algoritmo.

L’AI Act e la classificazione “ad alto rischio”

Il regolamento europeo sull’IA (AI Act) individua come “ad alto rischio” tutti i sistemi impiegati per diagnosi, supporto decisionale clinico, indicazioni terapeutiche, triage e monitoraggio del paziente. Non si tratta di una valutazione soggettiva: qualsiasi strumento che operi in questi ambiti è automaticamente inserito nella categoria a rischio.

Le principali implicazioni a partire dal 2 agosto 2026 sono:

    • Obbligo di valutazione di conformità prima della commercializzazione.
    • Produzione di documentazione tecnica dettagliata (dossier di conformità, manuale d’uso, registri di incidenti).
    • Implementazione di una governance dei dati conforme al principio di “data‑by‑design”.
    • Supervisione umana obbligatoria per ogni decisione clinica supportata dall’IA.

Se il software è anche un dispositivo medico, l’AI Act si sovrappone alle direttive MDR (Medical Device Regulation) e IVDR (In‑Vitro Diagnostic Regulation). Gli Organismi Notificati dovranno integrare la valutazione AI Act nelle revisioni MDR/IVDR. Per i dispositivi già certificati CE, la transizione è prevista entro agosto 2027, ma il pacchetto “Digital Omnibus” della Commissione europea potrebbe posticipare ulteriormente i termini, mantenendo una certa instabilità normativa.

La Legge 132/2025: la svolta italiana sull’IA in sanità

Entrata in vigore il 10 ottobre 2025, la Legge 132/2025 è la prima normativa organica italiana sull’intelligenza artificiale. Per la sanità, gli articoli chiave sono 7, 8, 9 e 10.

Articolo 7 – Principio generale

L’IA deve contribuire al miglioramento del sistema sanitario, alla prevenzione, alla diagnosi e alla cura delle malattie, nel rispetto dei diritti e della riservatezza dei dati personali.

Articoli 8 e 9 – Uso dei dati sanitari per la ricerca

Facilitano l’utilizzo di dati sanitari mediante anonimizzazione, pseudonimizzazione e sintesi, a condizione che l’interessato sia adeguatamente informato.

Articolo 10 – Piattaforma nazionale di IA per la sanità

L’art. 10 introduce l’art. 12‑bis nel D.L. 179/2012 e istituisce una piattaforma nazionale, gestita da AGENAS, che acquisisce anche la qualifica di “Agenzia nazionale per la sanità digitale”. La piattaforma, finanziata dal PNRR, è destinata soprattutto alla gestione dei pazienti cronici nelle Case della Comunità.

Caratteristiche fondamentali della piattaforma:

    • Fornisce “suggerimenti non vincolanti” – espressione ripetuta tre volte nella legge – per i professionisti sanitari, per i medici nella pratica clinica quotidiana e per gli utenti nell’accesso ai servizi delle Case della Comunità.
    • AGENAS è titolare del trattamento dei dati, ma deve ottenere pareri preventivi da Ministero della Salute, Garante della Privacy e Agenzia per la Cybersicurezza Nazionale riguardo a tipologia di dati, operazioni consentite e misure di sicurezza proporzionate al rischio.
    • La responsabilità sul dato rimane esclusivamente a carico di AGENAS (in qualità di titolare GDPR), mentre la responsabilità clinica resta in capo al professionista sanitario.

Il Gelli‑Bianco e la responsabilità clinica

Il decreto legislativo 8 marzo 2017, n. 24 – noto come “Gelli‑Bianco” – rimane il riferimento principale per la responsabilità medica. Gli articoli 5, 6 e 7 fissano gli obblighi di diligenza, il nesso di causalità e la disciplina delle forme contrattuali di responsabilità. Nonostante l’avvento dell’IA, il principio fondamentale resta invariato: “l’algoritmo assiste, il professionista decide e risponde”.

Questo principio impone al medico un onere di valutazione critica dell’output dell’IA, anche quando lo strumento è certificato, istituzionalizzato e validato. L’assenza di linee guida dettagliate su come documentare in cartella clinica l’interazione con il suggerimento algoritmico può, paradossalmente, aggravare la responsabilità del professionista.

Come si intrecciano le tre norme

L’Italia possiede un impianto normativo più articolato rispetto a molti altri Paesi, dove la responsabilità per l’IA in sanità è ancora gestita prevalentemente per via giurisprudenziale. I tre livelli – AI Act, Legge 132/2025 e Gelli‑Bianco – convergono su un principio condiviso, ma introducono dinamiche diverse:

    • AI Act impone requisiti tecnici, valutazione di conformità e supervisione umana.
    • Legge 132/2025 stabilisce la governance dei dati, la creazione della piattaforma AGENAS e la distinzione tra responsabilità sul dato e sulla decisione clinica.
    • Gelli‑Bianco fissa gli standard di diligenza professionale e il criterio di colpa per la responsabilità medica.

Il risultato è una struttura a tre livelli in cui l’algoritmo è un “assistente” obbligato a essere sorvegliato da un professionista che, a sua volta, mantiene il ruolo di decisore responsabile.

Il ruolo decisivo del provvedimento attuativo di AGENAS

Il prossimo passo cruciale sarà il provvedimento attuativo di AGENAS, ancora non pubblicato al momento della stesura di questo articolo. Tale provvedimento dovrà precisare:

    • Tipologie di dati trattati nella piattaforma.
    • Operazioni di trattamento consentite (raccolta, analisi, condivisione).
    • Misure di sicurezza tecniche e organizzative in relazione al livello di rischio.

Solo una volta definito questo quadro sarà possibile valutare se l’impianto a tre livelli ridurrà realmente l’incertezza nel contenzioso sanitario o se resterà un mero “formalismo” che non risolve il nodo centrale: chi risponde concretamente quando l’algoritmo sbaglia?

Conseguenze pratiche per la prova in giudizio

Nel contenzioso sanitario, la prova si sposterà su tre fronti:

    • Conformità AI Act: il richiedente dovrà dimostrare che il sistema IA era conforme alle valutazioni di conformità, alla documentazione tecnica e alla supervisione umana al momento dell’evento.
    • Responsabilità del dato (AGENAS): eventuali violazioni della privacy o errori nell’elaborazione dei dati saranno attribuiti all’ente titolare, previa verifica dei pareri di Garante e Agenzia per la Cybersicurezza.
    • Diligenza professionale (Gelli‑Bianco): il giudice valuterà se il professionista ha esercitato un “giusto giudizio critico” sull’indicazione dell’IA, tenendo conto dell’obbligo di supervisione prevista dall’AI Act.

Questa articolazione richiederà ai legali specializzati in diritto sanitario una maggiore capacità di analisi tecnica, poiché dovranno interpretare documenti di conformità, log di sistema e report di supervisione.

Prospettive future e considerazioni finali

L’Italia, con il suo modello a tre livelli, si pone in una posizione avanzata rispetto a molti ordinamenti che ancora attendono una disciplina organica. Tuttavia, la reale efficacia di questo quadro dipenderà dalla capacità delle autorità di fornire linee guida operative, soprattutto per la documentazione dei suggerimenti algoritmici in cartella clinica.

In sintesi, dal 2 agosto 2026 l’uso dell’IA in sanità sarà soggetto a:

    • Obblighi tecnici e di supervisione stabiliti dall’AI Act.
    • Una piattaforma nazionale gestita da AGENAS, con regole precise sul trattamento dei dati (Legge 132/2025).
    • Il mantenimento degli standard di diligenza e responsabilità medica del Gelli‑Bianco.

Solo la sinergia tra questi tre elementi potrà offrire certezza giuridica a medici, pazienti e istituzioni, evitando che la tecnologia, per quanto avanzata, continui a rappresentare una zona d’ombra nel panorama della responsabilità sanitaria.