In sanità l'intelligenza artificiale è arrivata prima e meglio che altrove: refertazione assistita, supporto alla diagnostica per immagini, triage, trascrizione delle visite. Ed è anche l'ambito dove sbagliare costa di più, perché in mezzo ci sono persone malate e dati della categoria più protetta che esista.
La buona notizia è che le regole, qui, sono meno confuse di quanto sembri. Si riducono a tre principi.
Primo principio: decide il medico
La legge 132/2025, in vigore dal 10 ottobre 2025, lo scrive: i sistemi di IA in sanità sono di supporto alla prevenzione, diagnosi, cura e scelta terapeutica, e la decisione resta in capo al professionista sanitario. Il paziente va informato dell'impiego di questi sistemi.
Non è una novità concettuale: la diagnosi è atto medico, e il Codice di deontologia della FNOMCeO non prevedeva sconti nemmeno prima. La legge lo mette nero su bianco perché serviva chiudere la porta a una tentazione organizzativa: usare l'IA per sostituire tempo di medico, non per liberarlo.
Secondo principio: i dati sanitari sono categoria 9
Questo è il punto dove si producono i danni veri, e non serve immaginare scenari futuri.
Il Garante ha sanzionato Synlab per 2,5 milioni di euro nel 2024 sulla gestione dei dati sanitari. Ha bloccato ChatGPT nel marzo 2023 e sanzionato OpenAI per 15 milioni nel dicembre 2024. Nessuna di queste vicende riguarda l'AI Act: riguardano il GDPR, che si applica oggi.
Quindi la regola pratica in ambulatorio è netta: referti, cartelle, anamnesi e immagini diagnostiche non si incollano in servizi generici. Servono strumenti con garanzie contrattuali adeguate e assenza di uso per addestramento, oppure modelli che girano su infrastruttura controllata dalla struttura sanitaria.
Per il medico che opera in libera professione si aggiunge l'obbligo informativo dell'articolo 13 della legge 132/2025 sulle professioni intellettuali: comunicare al paziente, in linguaggio chiaro, l'uso dei sistemi di IA.
Terzo principio: attenzione a cosa è dispositivo medico
Qui sta la parte tecnica che riguarda soprattutto le strutture. Un software di IA destinato a finalità diagnostiche o terapeutiche è, con ogni probabilità, un dispositivo medico ai sensi del regolamento MDR, con la sua marcatura CE e il suo percorso di conformità.
Nell'AI Act quei sistemi ricadono nell'Allegato I, cioè l'IA incorporata in prodotti già regolati da altra normativa europea. Il Digital Omnibus ha spostato l'applicabilità di quegli obblighi al 2 agosto 2028, proprio per far incastrare i due impianti senza duplicazioni.
Attenzione però: il rinvio riguarda gli obblighi AI Act. La disciplina sui dispositivi medici si applica già. Un software diagnostico senza marcatura CE è un problema oggi, non nel 2028.
Cosa deve fare una struttura, adesso
Fare l'inventario di quello che gira: molti strumenti sono entrati dal basso, portati da singoli reparti o da singoli professionisti. Verificare, per ognuno, se è dispositivo medico e se ha la marcatura. Verificare dove finiscono i dati e con quali garanzie contrattuali.
Poi mettere per iscritto chi rivede cosa: la sorveglianza umana in sanità non è un principio, è un turno assegnato a una persona. E formare il personale, come chiede l'articolo 4 dell'AI Act nella versione applicabile dal 27 luglio 2026.
Infine, l'informativa al paziente: aggiungere la voce sull'uso di sistemi di IA fra i trattamenti dichiarati. Costa una riga e chiude un problema.
La cosa che nessun software risolve
Un modello che assiste la refertazione riduce il tempo per referto. Non riduce la responsabilità del referto. Se la firma è tua, la responsabilità è tua — e il fatto che il sistema abbia suggerito diversamente non è una difesa, è al massimo un elemento da documentare.
Per questo il pezzo di conformità più utile in sanità non è la carta: è il log di chi ha verificato cosa, e quando.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
L'IA in corsia fa risparmiare tempo. Non fa risparmiare responsabilità: quella non si delega, e non è mai stata trasferibile.
Domande frequenti
Posso usare l'IA per la refertazione?
Come supporto sì, con verifica e firma del professionista. Se il software ha finalità diagnostica è verosimilmente un dispositivo medico e deve avere la marcatura prevista dalla normativa di settore.
Serve informare il paziente?
Sì. La legge 132/2025 prevede l'informazione del paziente sull'impiego di sistemi di IA, e per il libero professionista si aggiunge l'obbligo informativo dell'articolo 13. Conviene inserire la voce nell'informativa privacy.
Il rinvio al 2028 mi lascia tranquillo?
No. Riguarda solo gli obblighi AI Act sui sistemi dell'Allegato I. Normativa sui dispositivi medici, GDPR e regole deontologiche si applicano già oggi.