Legal AI e norme per il settore sanitario: la legge 132/2025

Indice

• Dati e intelligenza artificiale
• Strutturazioni e normative
• Il quarto comma
• Concludendo

Quando parliamo di AI ACT e legislazione annessa ci riferiamo per la nostra realtà alla legge italiana 132/2025 che rappresenta un passaggio normativo cruciale per regolamentare l’utilizzo dell’AI soprattutto nel settore sanitario. Questo ponte, se possiamo chiamarlo così, si pone come strumento di raccordo tra le esigenze della ricerca scientifica e le garanzie fondamentali in materia di protezione dei dati personali. Il provvedimento si inserisce in un contesto europeo come sappiamo bene, già delineato dal Regolamento AI ACT (UE 2024/1689) e dal GDPR, e va a configurarsi come una disciplina nazionale che cerca di bilanciare l’innovazione tecnologica con i diritti degli individui.

Dati e intelligenza artificiale

L’articolo 8 della legge è il cuore della normativa, e si articola in una serie di commi che definiscono con precisione ambiti, soggetti e modalità operative per il trattamento dei dati nell’ambito dell’intelligenza artificiale sanitaria. Questo è un argomento davvero importante.

Il primo comma della disposizione, sul piano oggettivo, pone la norma in linea con i trattamenti di dati personali, inclusi quelli sensibili, destinati alla ricerca e alla sperimentazione scientifica nella realizzazione di sistemi di AI. Le finalità spaziano dalla prevenzione alla diagnosi e cura delle malattie, dallo sviluppo di farmaci e terapie riabilitative fino alla realizzazione di dispositivi medicali, senza trascurare obiettivi più ampi come la salute pubblica e l’incolumità delle persone. Particolarmente interessante è l’estensione anche allo studio della fisiologia, biomeccanica e biologia umana, persino in ambiti non strettamente sanitari, quando questi risultino necessari per la creazione e l’impiego di banche dati e modelli di base per l’intelligenza artificiale.

Sul versante soggettivo, il legislatore ha operato una scelta non priva di implicazioni pratiche. La norma si applica ai soggetti pubblici, ai privati senza scopo di lucro, agli IRCCS (Istituti di Ricovero e Cura a Carattere Scientifico), ma anche ai soggetti privati operanti nel settore sanitario, a condizione però che questi ultimi partecipino a progetti di ricerca insieme a soggetti pubblici, o anche privati, non profit. Questa architettura normativa esclude la possibilità per le aziende private di condurre in autonomia ricerche e sperimentazioni sui sistemi di AI sanitaria utilizzando dati personali sensibili senza il consenso degli interessati. Si tratta di una scelta che privilegia una dimensione collaborativa della ricerca, ponendo un argine alla commercializzazione indiscriminata dei dati sanitari.

Strutturazioni e normative

Il secondo comma introduce il concetto di uso secondario dei dati, una pratica che consente di usare le informazioni raccolte per scopi primari in contesti di ricerca differenti da quelli originari. La condizione imprescindibile per questa operazione è che i dati vengano privati degli elementi identificativi diretti, attraverso robuste tecniche di anonimizzazione. Questa disposizione impone agli enti di ricerca un investimento abbastanza importante in tecnologie che possano garantire trasformazioni efficaci dei dataset, nel pieno rispetto della normativa sulla protezione dei dati personali. Il mettere in pratica questo comma richiederà un’attenzione particolare alla conformità normativa e alle sue evoluzioni, con ricadute organizzative non trascurabili per tutti i soggetti coinvolti, che dovranno assicurare per ogni progetto una corretta identificazione, strutturazione e trasformazione dei dati.

Il terzo comma è senza dubbio quello che ha suscitato il dibattito più acceso nel settore. Il legislatore ha introdotto una base giuridica autonoma, rappresentata dalla legge stessa, per i trattamenti finalizzati all’anonimizzazione, alla pseudonimizzazione e, soprattutto, alla sintetizzazione di dati sanitari. Prima di questo intervento normativo, operazioni di questo tipo, potevano essere realizzate solo previo consenso dell’interessato, con tutte le complessità operative che ciò comportava. Questa nuova base giuridica si applica però solo quando i trattamenti rientrino nelle attività di ricerca e sperimentazione scientifica di sistemi di AI che hanno come scopi quelli indicati nel primo comma, oppure quando siano diretti ad attività di programmazione, gestione, controllo e valutazione dell’assistenza sanitaria, le cosiddette finalità di governo della salute.

In questo senso parliamo sempre di sintetizzazione dei dati, ovvero quel processo attraverso il quale vengono creati dati fittizi, generati artificialmente, che mantengono le caratteristiche statistiche e le correlazioni presenti nei dati originali senza però contenere informazioni riferibili a persone reali. Il legislatore sa però molto bene che la sintetizzazione, da sola, non costituisce una garanzia assoluta per la privacy. È necessario che questo processo sia accompagnato da adeguate misure di valutazione del rischio, poiché anche dati sintetici, se non generati correttamente e se combinati con altre informazioni, potrebbero potenzialmente consentire in qualche modo, l’identificazione degli individui.

Il quarto comma

Il quarto comma affronta una delle principali criticità del sistema, ossia la mancanza di una definizione autentica di dato sintetico e l’assenza di regole chiare sulle modalità di sintetizzazione che tengano conto sia degli aspetti tecnico-informatici sia dei profili giuridici ed etici. Per colmare questo vuoto normativo, il legislatore attribuisce ad AGENAS (Agenzia Nazionale per i Servizi Sanitari Regionali) la facoltà, ma attenzione, non l’obbligo, di stabilire e aggiornare linee guida per le procedure di anonimizzazione e le tecniche di sintetizzazione. Questa attività di normazione secondaria dovrà comunque passare attraverso il vaglio preventivo dell’Autorità Garante per la Protezione dei Dati Personali, garantendo così un controllo di conformità rispetto ai principi fondamentali della privacy.

La legge 132/2025 rappresenta un tentativo molto ambizioso di rispondere alle trasformazioni profonde che stanno caratterizzando la ricerca scientifica, specialmente nei settori medico, biomedico ed epidemiologico. L’integrazione crescente tra infrastrutture digitali complesse, sistemi algoritmici e dataset sintetici ha portato ad una dimensione della ricerca, profondamente artificializzata, che rischia però di ridurre l’attività scientifica a una mera operazione di raccolta e processamento di dati, con una conseguente deumanizzazione della ricerca stessa.

Cosa vuol dire tutto ciò? Vuol dire che attualmente l’aspetto forse più critico evidenziato dal documento è che i fornitori di tecnologia stanno acquisendo un ruolo sempre più centrale nella digitalizzazione sanitaria e nella ricerca, qualificandosi come partner strategici, se non addirittura come sponsor, nei progetti scientifici. Questa evoluzione, per quanto naturale nell’era digitale, non può prescindere da un governo rigoroso e da una compliance scrupolosa nella gestione dei dati. La protezione dei dati personali non può essere considerata un ostacolo all’innovazione da rimuovere, ma deve essere integrata sin dalle fasi iniziali nel processo di analisi e valutazione complessiva di ogni singolo progetto di ricerca.

Concludendo

Un punto abbastanza delicato è quello che riguarda il ruolo dei Comitati Etici, nelle cui composizioni attualmente non sono previste competenze specifiche in materia di privacy. Questa lacuna è sempre più avvertita come un problema in un contesto dove le questioni etiche e quelle relative alla protezione dei dati sono inestricabilmente intrecciate. La verità è che solo attraverso un approccio interdisciplinare e multispecialistico sarà possibile affrontare i cambiamenti continui messi sul tavolo dall’innovazione tecnologica, evitando così di allontanare troppo la dimensione umana dalla ricerca e dall’innovazione scientifica, mantenendo così quel legame imprescindibile tra progresso tecnologico e tutela dei diritti fondamentali della persona.