Intelligenza artificiale in sanità: cosa prevede il testo del ddl approvato in Consiglio dei Ministri

È stato approvato dal Consiglio dei Ministri, nella riunione del 23 aprile scorso, il testo del ddl “Norme di principio in materia di intelligenza artificiale”, che si propone di fornire una prima disciplina nazionale dei sistemi di intelligenza artificiale, sulla scia del Regolamento europeo sull’Ai – cosiddetto Ai Act – la cui pubblicazione è attesa nelle prossime settimane. Il testo dovrà passare ora al vaglio dei due rami del Parlamento.

Gli ambiti specifici

Il disegno di legge interviene in particolare su alcuni ambiti specifici, quali la “strategia nazionale” per l’Ai, le autorità nazionali, le azioni di promozione e la tutela del diritto di autore, introducendo disposizioni dedicate a settori determinati, tra cui il settore sanitario.

È inoltre prevista una delega in favore del governo per adeguare la normativa nazionale all’Ai Act attraverso l’adozione di uno o più decreti legislativi, sulla base di alcuni criteri direttivi quali fra i quali spicca la predisposizione di percorsi di “alfabetizzazione e formazione” sull’uso dei sistemi di Ai dedicati a cittadini e a professionisti, con il coinvolgimento delle istituzioni universitarie e dei competenti ordini professionali.

In ambito sanitario, il ddl si sofferma in primo luogo sui temi dell’accessibilità e della trasparenza dei sistemi di Ai utilizzati nei contesti di ricerca e di cura, attraverso una serie di previsioni che non sembrano per la verità aggiungere molto a quanto già previsto – in termini più generali e slegati da specifici settori – dall’AI Act. Più interessanti invece i passaggi dedicati ai temi del trattamento dei dati nelle attività di ricerca e sperimentazione per lo sviluppo di sistemi di Ai utilizzati nel contesto sanitario, che tuttavia non brillano per coerenza se messi a confronto con la recentissima modifica dell’articolo 110 del Codice Privacy nazionale – dlgs 196/2003 – ad opera della legge di conversione del cosiddetto “decreto Pnrr”, decreto legge numero 19/2024. Degna di nota è anche la volontà di istituire una “piattaforma di intelligenza artificiale” per il supporto alle attività di cura e all’assistenza territoriale, la cui progettazione e realizzazione saranno demandate ad Agenas.

Trasparenza e accessibilità alle cure

L’articolo 7 della proposta si sofferma sull’utilizzo di sistemi di intelligenza artificiale per migliorare le attività di cura e le possibilità di accesso alle stesse, con un particolare riferimento alle persone con disabilità, garantendo al contempo l’assenza di discriminazioni di qualsiasi sorta. Inoltre, è sancito il diritto in capo a ciascun soggetto interessato a essere informato riguardo l’utilizzo di queste tecnologie e sui vantaggi diagnostici e terapeutici derivanti dal loro utilizzo nel contesto delle cure, incluse le informazioni sulla logica decisionale utilizzata.

Queste previsioni sembrano nei fatti calare nello specifico contesto sanitario alcuni degli obblighi di trasparenza già previsti dal testo dell’AI Act per i sistemi di AI ad alto rischio. In particolare, l’articolo 13 della proposta di Regolamento prescrive che gli utenti siano informati, tra gli altri, circa “le caratteristiche, le capacità e i limiti delle prestazioni del sistema di IA”. Anche ai sensi del Gdpr il titolare del trattamento deve informare gli interessati sull’eventuale esistenza di un “processo decisionale automatizzato” e sulle logiche di funzionamento utilizzate da questi sistemi, quando i dati personali non sono raccolti direttamente presso interessato (articolo 14, par. 2, lett. g). Similmente, i temi dell’accessibilità ai sistemi di Ai e dell’assenza di discriminazioni sono già trattati, a livello generale, dall’Ai Act.

Inoltre, sempre l’articolo 7 del ddl attribuisce espressamente ai sistemi di Ai utilizzati nel contesto sanitario una funzione di supporto ai processi di prevenzione, diagnosi, cura e scelta terapeutica, mentre rimane impregiudicata la responsabilità del medico o di altro professionista sanitario coinvolto riguardo la decisione finale sullo specifico trattamento.

Sul tema dell’intervento umano e dell’interazione fra persone fisiche e intelligenza artificiale, il testo dell’AI Act (articolo 14) prevede, in maniera più ampia, alcuni obblighi di “sorveglianza umana” durante tutto il ciclo di vita dei sistemi di Ai ad alto rischio, prima e dopo la loro immissione sul mercato, per garantire il controllo umano sul funzionamento del sistema e la possibilità di intervenire in qualsiasi momento anche sull’output generato dal sistema stesso.

Ricerca e sperimentazione scientifica

Tra gli articoli del ddl dedicati al settore della salute spicca l’articolo 8 sul tema del trattamento di dati “anche personali” per la ricerca e la sperimentazione scientifica nella realizzazione di sistemi di Ai con finalità di prevenzione, diagnosi e cura di malattie, o di sviluppo di nuovi farmaci e terapie. Questi trattamenti, ove necessari alla creazione e utilizzazione di banche dati e modelli di base, se realizzati da soggetti pubblici e privati senza scopo di lucro sono espressamente dichiarati di “rilevante interesse pubblico” ai sensi dell’articolo 9, lett. g, del Gdpr, che autorizza il trattamento dei dati relativi alla salute quando “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”. Tali trattamenti possono prescindere dal consenso degli interessati purché siano adottate misure di sicurezza specifiche e sia fornita idonea informativa agli stessi. Questa previsione riguarda essenzialmente i dati, compresi i dati personali dei pazienti, utilizzati per allenare gli algoritmi di Ai impiegati nell’ambito della ricerca scientifica.

Inoltre, da parte degli stessi soggetti e per le medesime finalità di ricerca, è sempre autorizzato l’uso secondario di dati personali “privi degli elementi identificativi diretti” (dunque pseudonimizzati) senza l’ulteriore consenso dell’interessato anche ove previsto dalla legge, fermo restando l’obbligo di informativa che può essere assolto anche mediante messa a disposizione agli interessati di un’informativa generale sul sito web del titolare del trattamento.

In entrambi i predetti casi il trattamento dei dati deve:

• essere oggetto di approvazione da parte dei comitati etici interessati;
• essere comunicato al Garante per la protezione dei dati personali “con l’indicazione di tutte le informazioni previste dagli articoli 24, 25, 32 e 35 Gdpr nonché l’indicazione espressa, ove presenti, dei soggetti individuati ai sensi dell’articolo 28”.

Il trattamento può iniziare decorsi trenta giorni da tale comunicazione, salvo intervento del Garante. Non è chiaro come queste previsioni possano coordinarsi con la normativa esistente, che prevede eccezioni alla regola del consenso anche nell’ambito della ricerca medica, biomedica ed epidemiologica. La soluzione prospettata nel disegno di legge appare quanto meno “semplicistica” e ci si devono aspettare modifiche nel momento in cui il Garante sarà chiamato ad esprimersi sul testo durante il suo iter approvativo.

Una nuova procedura?

Si introduce una nuova procedura autorizzatoria per i trattamenti di dati personali per finalità di ricerca e connesse all’intelligenza artificiale che non pare perfettamente coerente né con le previsioni del Gdpr né con il Codice Privacy italiano, che non richiedono il coinvolgimento positivo dell’autorità nazionale quando il trattamento è qualificato come rilevante per l’interesse pubblico.

Inoltre, con riferimento all’uso secondario dei dati, tale procedura e il coinvolgimento del Garante non appaiono coordinati con la previsioni attuali che prevedono rarissime eccezioni al consenso e nemmeno coerenti con la recentissima e attesa modifica dell’articolo 110 del Codice Privacy ad opera del dl 19/2024, cosiddetto “decreto PNNR” (la modifica è stata introdotta con la legge di conversione del 29 aprile 2024, numero 56).

Circa l’uso secondario dei dati a fini di ricerca medica biomedica ed epidemiologica, il decreto ha invece eliminato la necessità di consultare preventivamente il Garante, qualora a causa di particolari ragioni, informare gli interessati risulti impossibile o implica uno sforzo sproporzionato, oppure rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca. Il decreto ha inoltre previsto il solo rispetto delle “garanzie” che saranno adottate dal Garante nell’ambito delle regole deontologiche per i trattamenti a fini di ricerca (articolo 106, co. 2. Lett. d, Codice Privacy) mentre rimane necessario in ogni caso il parere favorevole del competente comitato etico.

Peraltro, quanto previsto dall’articolo 8 della bozza di ddl riguarda come detto i soli soggetti pubblici e privati “senza scopo di lucro”, rimanendo dunque esclusi – senza una chiara motivazione e dimostrando una scarsa conoscenza delle modalità in cui viene svolta la ricerca in Italia (inclusa quella medica)– gli operatori economici, quali le società farmaceutiche, che nel ruolo di sponsor conducono attività sperimentali presso i centri di ricerca sul territorio italiano.

Una nuova piattaforma per l’intelligenza artificiale

Il disegno di legge all’articolo 9 affida ad Agenas il compito di progettare, realizzare e mettere in servizio una piattaforma nazionale di intelligenza artificiale che possa supportare le attività di cura e l’assistenza sul territorio, erogando servizi che possano coadiuvare:

• i professionisti sanitari nella presa in carico degli assistiti;
• i medici nella loro pratica quotidiana con “suggerimenti non vincolanti”;
• gli utenti per l’accesso ai servizi sanitari.

Agenas dovrebbe determinare, previo parere di altre autorità (ACN, Ministero della Salute e Garante per la protezione dei dati personali) i tipi di dati trattati e le operazioni eseguite all’interno della piattaforma, nonché le misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio e per tutelare i diritti degli interessati, agendo come titolare del trattamento.

Stando all’attuale testo del ddl, la realizzazione della piattaforma è legata a una clausola di invarianza finanziaria che la subordina all’assenza di maggiori oneri per la finanza pubblica, circostanza che certamente, se rimarrà tale, potrebbe non andare a favore di una effettiva e pronta implementazione della piattaforma. Peraltro Agenas era già impegnata nella realizzazione di una piattaforma di intelligenza artificiale a supporto dell’assistenza primaria quale parte degli obbiettivi del Pnrr (Missione 6 “Salute”, sub investimento 1.2.2.4), tuttavia la procedura di dialogo competitivo in corso per l’affidamento dei lavori è stata sospesa all’inizio di questo anno dopo l’intervento del Garante per la protezione dei dati personali, che ha evidenziato la mancanza di una base giuridica adeguata per il trattamento dei dati che si intende realizzare attraverso la piattaforma. Che questa sia la volta buona?

Quali prospettive?

Questa iniziativa legislativa presenta certamente grandi potenzialità per lo sviluppo dell’Ai in Italia in svariati settori, incluso quello sanitario. Allo stato attuale, tuttavia, è troppo presto per prevedere quale sarà il suo effettivo impatto. Bisognerà in primo luogo attendere il completamento dell’iter legislativo che attende la proposta e che potrebbe comportare una modifica anche sostanziale del testo – eliminando auspicabilmente anche alcune incongruenze segnalate sopra – oltre all’emanazione dei decreti ministeriali di attuazione, che saranno sicuramente di fondamentale importanza visto che alcune previsioni del ddl appaiono molto generali e di principio. Il percorso che porterà alla sua concreta attuazione è certamente ancora lungo e ricco di ostacoli.