Il Garante Privacy ha già sanzionato studi medici per uso scorretto di IA. Per i veterinari ancora poco ma è questione di tempo. I dati di un animale sono dati personali del proprietario perché lo identificano (chip + anagrafica padrone). Quindi: sì, GDPR vale anche per noi.
Cosa è dato personale in vet
- Nome, cognome, indirizzo, telefono, email del proprietario.
- Codice fiscale.
- Microchip animale (collegato al proprietario in anagrafe).
- Nome animale + razza + età: identificabile combinato.
- Cartella clinica completa.
- Diagnosi sull'animale: in alcuni casi può rivelare informazioni sul proprietario (zoonosi, animali immunodepressi).
Quando carichi dati su ChatGPT
I dati vanno su server OpenAI (USA). Possono essere usati per training (puoi disattivare), conservati 30 giorni a fini sicurezza, accessibili a personale OpenAI in caso di review.
Per dati pseudonimizzati non ci sono problemi GDPR. Per dati identificabili sì, a meno di accordo enterprise specifico.
Soluzione 1: anonimizzare prima
- Sostituisci nome cliente con "Cliente A".
- Sostituisci nome animale con "cane meticcio M.E.".
- Niente indirizzo, niente telefono.
- Sintomi, esami, terapie: invariate.
Soluzione 2: ChatGPT Team o Enterprise
OpenAI offre piani Team (25-30€/utente/mese) ed Enterprise con: niente uso dei dati per training, retention configurabile, SSO, audit logs, compliance migliore.
Soluzione 3: Claude e Anthropic
Claude Pro (20€/mese) ha policy anti-training di default. Anthropic ha posizionamento marketing su sicurezza/privacy.
Soluzione 4: modelli locali
Llama, Mistral via Ollama: il dato non esce mai dal tuo computer. Massima privacy. Velocità minore. Per studi grandi: investimento 1-3k€ in hardware.
Modulo consenso clienti aggiornato
Aggiorna il modulo accettazione per includere: "Lo studio può utilizzare strumenti di intelligenza artificiale per supporto alla pratica clinica. I dati saranno trattati in forma anonimizzata. Il proprietario può richiedere in qualsiasi momento di non utilizzare tali strumenti sui propri dati."
Registro trattamenti
GDPR richiede registro dei trattamenti. Aggiungi: "Trattamento X: utilizzo IA per supporto clinico. Base giuridica: consenso informato. Dati: anonimizzati. Conservazione: nessuna su sistemi esterni."
DPIA
Per uso strutturato di IA su dati clinici, può servire un Data Protection Impact Assessment. Per studio piccolo che usa ChatGPT in modalità anonimizzata, probabilmente no. Per studio grande: sì.
Sanzioni reali
Garante Privacy ha sanzionato studi medici italiani per cartelle su Google Drive condiviso senza criptazione (8-15k€), foto pazienti pubblicate senza consenso (3-10k€), email mediche non criptate (5-20k€).
Privacy by design
Quando scegli un nuovo gestionale: dove sono i server? Hanno DPA? Posso esportare i dati? Scegli fornitori italiani/europei quando possibile.
In pratica, oggi
- Anonimizza dati prima di usare IA.
- Aggiorna modulo consenso.
- Aggiorna registro trattamenti.
- Per dati molto sensibili: modelli locali o servizi enterprise.
- Forma lo staff su privacy.
- Tieniti aggiornato (newsletter Garante, FNOVI).
Se vuoi confrontarti con altri colleghi che usano l'IA in ambulatorio, c'è il gruppo Telegram Squalogruppo. Si parla di tool, errori da evitare e casi pratici. Niente fuffa.