Con l’entrata in vigore dell’AI Act e l’avanzamento dell’European Health Data Space (EHDS), i sistemi di intelligenza artificiale in ambito sanitario rientrano nella categoria ad alto rischio ex art. 6 e Allegato III del Regolamento UE 2024/1689. Questo significa obblighi di conformità immediati per chi assiste clienti che sviluppano, distribuiscono o utilizzano AI medicale. La qualità dei dati sanitari non è più solo un problema tecnico: diventa un elemento di accountability giuridica verificabile.
Punti chiave
- Punto 1 — I sistemi AI in diagnostica e triage rientrano nella categoria ad alto rischio dell’AI Act, Allegato III.
- Punto 2 — L’EHDS obbliga al trattamento secondario dei dati sanitari solo con basi giuridiche specifiche e misure tecniche certificate.
- Punto 3 — Le linee guida EDPB del 2024 sulla pseudonimizzazione fissano standard minimi vincolanti per i dataset medici usati in AI.
Chi assiste clienti nel settore healthtech o strutture sanitarie deve già aggiornare i propri framework contrattuali e di compliance. L’AI Act classifica come ad alto rischio i sistemi AI destinati a diagnosi, triage, decisioni terapeutiche e gestione di cartelle cliniche — con obblighi di registrazione, documentazione tecnica e supervisione umana che scattano prima della messa in commercio.
La notizia di riferimento è l’analisi pubblicata da Agenda Digitale sul quadro regolatorio europeo in materia di AI sanitaria, che coinvolge EHDS, AI Act e le più recenti linee guida EDPB su pseudonimizzazione e dati di salute.
Il contesto normativo
Il Regolamento UE 2024/1689 (AI Act), all’art. 6 e nell’Allegato III, elenca esplicitamente i sistemi AI per uso medico tra quelli ad alto rischio. Per questi sistemi scattano gli obblighi del Titolo III: sistema di gestione del rischio, documentazione tecnica, log automatici delle operazioni, trasparenza verso l’utente e supervisione umana obbligatoria. Il Regolamento EHDS — ancora in fase di trilogo ma con orientamento politico definito — introduce il concetto di accesso secondario ai dati sanitari per finalità di ricerca e sviluppo AI, vincolato all’autorizzazione degli organismi di accesso ai dati (HealthData@EU). Sul versante privacy, il Garante europeo e l’EDPB hanno pubblicato nel 2024 linee guida specifiche sulla pseudonimizzazione dei dati di salute, che integrano gli artt. 9 e 89 del GDPR (Reg. UE 2016/679) per il trattamento a fini di ricerca. La responsabilità civile del fornitore AI in caso di danno sanitario resta invece ancorata alla proposta di Direttiva sulla responsabilità AI (COM/2022/496), non ancora adottata, ma già orientativa per la contrattualistica.
Cosa cambia per lo studio
- Nei contratti di fornitura di software AI a strutture sanitarie, inserire clausole specifiche di conformità all’AI Act, Allegato III, con obbligo di documentazione tecnica aggiornata e diritto di audit del committente.
- Rivedere le informative privacy dei clienti che usano dati di pazienti per addestrare modelli AI: la base giuridica non può essere il consenso ex art. 9 GDPR se il trattamento è su larga scala — serve l’art. 9, par. 2, lett. j) con misure adeguate ex art. 89.
- Monitorare l’iter EHDS: una volta adottato, imporrà agli Stati membri di istituire organismi nazionali di accesso ai dati sanitari. Chi assiste ospedali o ASL dovrà ridisegnare i flussi di data governance interna.
- Nelle due diligence di M&A healthtech, verificare se il target ha già registrato i propri sistemi AI ad alto rischio nella banca dati UE prevista dall’art. 71 AI Act — l’assenza di registrazione è un rischio regolatorio immediato.
- Attenzione ai contratti di ricerca con università o CRO: l’uso di dataset sanitari per addestrare AI richiede ora una valutazione d’impatto (DPIA) aggiornata alle linee guida EDPB 2024 sulla pseudonimizzazione.
Attenzione a
Il primo rischio è classificare erroneamente un sistema AI sanitario come a rischio limitato o minimo per evitare gli oneri del Titolo III AI Act. La Commissione UE ha già chiarito che qualsiasi sistema che influenza una decisione clinica — anche come supporto alla decisione — rientra nell’Allegato III. Sottovalutare questo aspetto espone il cliente a sanzioni fino a 30 milioni di euro o il 6% del fatturato globale ex art. 99 AI Act.
Il secondo rischio riguarda i contratti già in essere: molti accordi di fornitura software in sanità non contengono clausole di adeguamento normativo automatico. Se il fornitore non aggiorna il sistema ai requisiti AI Act entro i termini di applicazione (agosto 2026 per i sistemi ad alto rischio), il committente sanitario potrebbe risultare inadempiente senza strumenti contrattuali per rivalersi.
Domande frequenti
Un software di supporto alla diagnosi è sempre considerato AI ad alto rischio dall’AI Act?
Sì, se il sistema influenza una decisione clinica — anche in modo indiretto — rientra nell’Allegato III del Regolamento UE 2024/1689. La Commissione UE ha adottato un’interpretazione estensiva: non è necessario che il sistema prenda la decisione finale, basta che la orienti. Questo attiva tutti gli obblighi del Titolo III, incluse documentazione tecnica, log e supervisione umana.
Quale base giuridica usare nel GDPR per trattare dati sanitari e addestrare modelli AI?
Il consenso ex art. 9 GDPR non regge per trattamenti su larga scala a fini di sviluppo AI. La base corretta è l’art. 9, par. 2, lett. j) — finalità di ricerca scientifica — abbinata alle misure di cui all’art. 89 GDPR, tra cui pseudonimizzazione e minimizzazione. Le linee guida EDPB 2024 sulla pseudonimizzazione dei dati di salute definiscono gli standard tecnici minimi.
Cosa prevede l’EHDS per l’accesso ai dati sanitari da parte di aziende che sviluppano AI?
L’European Health Data Space (EHDS) disciplina l’uso secondario dei dati sanitari per ricerca, innovazione e sviluppo di AI. L’accesso sarà consentito solo previa autorizzazione degli organismi nazionali di accesso (HealthData@EU), con finalità specifiche e misure tecniche certificate. Le aziende non potranno accedere ai dati raw dei pazienti senza questo percorso autorizzativo, indipendentemente dal consenso individuale.
Fonte di riferimento: AgendaDigitale