Classificazione del rischio secondo l'AI Act per gli strumenti di salute mentale

L'EU AI Act classifica la maggior parte degli strumenti di intelligenza artificiale per la salute mentale come ad alto rischio. Gli obblighi di conformità ricadono anche sugli psichiatri in quanto distributori. Capire questa classificazione determina cosa può essere implementato, a quali condizioni e con quali obblighi verso i pazienti.

Perché la salute mentale attira il controllo normativo più stringente

L'EU AI Act non applica uno standard uniforme a tutte le applicazioni di intelligenza artificiale in ambito sanitario. Il suo sistema di classificazione del rischio tiene conto del contesto clinico, della natura delle decisioni influenzate e delle caratteristiche della popolazione coinvolta. La pratica della salute mentale si trova all'intersezione di diversi fattori che attivano i requisiti più stringenti dell'Atto: la vulnerabilità della popolazione di pazienti, la gravità dei potenziali danni derivanti da output errati e il grado in cui le decisioni cliniche in psichiatria dipendono da un giudizio sfumato, radicato nella relazione terapeutica e difficile da verificare.

Questo non è solo un problema di classificazione formale. Un'analisi sottoposta a revisione paritaria pubblicata nel 2024 ha concluso che l'uso dell'intelligenza artificiale generativa nella salute mentale comporta rischi significativi, e che l'EU AI Act, pur essendo direttamente applicabile, potrebbe non essere sufficiente da solo ad affrontare le specifiche lacune legali ed etiche che emergono nei contesti psichiatrici. È la ragione più concreta per cui gli psichiatri non possono considerare la conformità normativa come una responsabilità esclusiva del fornitore.

Come l'Atto classifica gli strumenti di IA sanitaria

L'Atto stabilisce un sistema a livelli. Al vertice si trovano le pratiche vietate: sistemi banditi del tutto. Subito sotto si colloca la categoria ad alto rischio, che comporta gli obblighi di conformità più estesi. L'articolo 6 definisce due percorsi per la classificazione ad alto rischio. Il primo si applica quando un sistema è componente di sicurezza di un prodotto coperto dalla legislazione di armonizzazione UE elencata nell'Allegato I, che include il Regolamento sui dispositivi medici (MDR). Il secondo si applica quando il sistema rientra in una delle categorie dell'Allegato III.

Le voci dell'Allegato III relative alla salute sono più ristrette di una generica categoria di "IA clinica". La maggior parte degli strumenti progettati per assistere nella diagnosi psichiatrica, prevedere il deterioramento, stratificare il rischio o supportare le decisioni terapeutiche raggiunge lo stato di alto rischio tramite il percorso dell'articolo 6(1)/Allegato I: questi strumenti sono classificati come componenti di sicurezza di prodotti già regolamentati dall'MDR. Il percorso legale è diverso dall'Allegato III ed è rilevante per determinare quale processo di valutazione della conformità si applica, ma l'effetto pratico è simile. Si applicano gli obblighi completi previsti per i sistemi ad alto rischio.

La distinzione tra sistema vietato e sistema ad alto rischio è importante. I sistemi vietati non possono essere implementati in alcun modo. I chatbot per la salute mentale che usano dialoghi persuasivi o meccaniche di gioco per influenzare il comportamento dei pazienti potrebbero rientrare in questa categoria, a seconda del design e del contesto. I sistemi ad alto rischio, al contrario, possono essere implementati, ma solo dopo aver soddisfatto un insieme rigoroso di requisiti di conformità.

Classificare le categorie comuni di strumenti rispetto ai criteri dell'Atto non è semplice, perché la classificazione dipende dallo scopo previsto e dal contesto di implementazione. Detto questo, diversi tipi di strumenti usati nella pratica psichiatrica hanno costantemente buone probabilità di essere classificati come ad alto rischio.

Gli strumenti di stratificazione del rischio e triage, cioè i sistemi che valutano il rischio di suicidio, prevedono il deterioramento psichiatrico o danno priorità ai pazienti per una revisione urgente, rientrano tra i casi più chiari. Una revisione sistematica pubblicata nel 2026 ha rilevato che la prevenzione del suicidio e il rilevamento delle crisi erano ambiti comuni per i chatbot di IA per la salute mentale, e che gli output errati in questo contesto producono le conseguenze più gravi. Gli strumenti di supporto diagnostico che suggeriscono diagnosi, diagnosi differenziali o codici diagnostici per condizioni di salute mentale si qualificano generalmente come dispositivi medici e raggiungono lo stato di alto rischio tramite il percorso MDR/Allegato I. Per gli agenti di psicoterapia abilitati dall'IA, la ricerca accademica sugli agenti basati su modelli linguistici di grandi dimensioni (LLM) ha evidenziato l'assenza di metodi standardizzati di valutazione della sicurezza per questa categoria, documentando danni causati da chatbot non regolamentati usati da popolazioni vulnerabili. Infine, i sistemi di monitoraggio dell'umore e dei sintomi e gli strumenti di supporto decisionale clinico che generano output i quali informano direttamente le decisioni cliniche, o che raccomandano trattamenti farmacologici o percorsi di cura, hanno anch'essi probabilità di essere classificati come ad alto rischio.

Ai sensi dell'articolo 6(4), i fornitori che ritengono che il loro sistema dell'Allegato III non raggiunga la soglia dell'alto rischio devono documentare tale valutazione. L'onere di dimostrare una classificazione a rischio inferiore spetta al fornitore, non all'autorità di regolamentazione.

Dove si collocano gli strumenti di documentazione clinica

Gli assistenti di documentazione ambientale occupano una posizione più dibattuta nel sistema di classificazione. Uno strumento che trascrive passivamente il parlato e presenta testo non strutturato per la revisione del clinico si trova in un punto diverso dello spettro rispetto a uno che genera note cliniche strutturate, applica codici diagnostici o produce output che i clinici usano abitualmente senza modifiche significative per prendere decisioni di cura.

In un contesto di salute mentale, la soglia alla quale uno strumento di documentazione diventa ad alto rischio è probabilmente più bassa rispetto ad altre specialità, e questo è il punto che più spesso viene sottovalutato nella pratica. Le note cliniche in psichiatria vengono spesso usate per supportare decisioni sul trattamento obbligatorio, valutazioni della capacità e segnalazioni di salvaguardia. Quando le note generate dall'IA alimentano direttamente tali decisioni, anche se il clinico le rivede formalmente, l'output dello strumento sta di fatto influenzando una decisione ad alto rischio che riguarda un individuo vulnerabile. Come conferma l'analisi accademica dell'AI Act in ambito sanitario, se uno strumento di documentazione si qualifica come Software come dispositivo medico ai sensi dell'MDR, è probabile che ricada anche nella classificazione ad alto rischio ai sensi dell'AI Act. Gli psichiatri non dovrebbero presumere che uno strumento commercializzato come assistente di documentazione, anziché come ausilio diagnostico, sia soggetto a requisiti normativi più leggeri senza aver verificato la classificazione effettiva con il fornitore.

Requisiti di conformità da verificare con i fornitori prima dell'implementazione

Per i sistemi classificati come ad alto rischio, l'Atto impone un insieme di obblighi che devono essere soddisfatti prima dell'implementazione. Dal punto di vista di uno psichiatra o di un responsabile di studio che acquista uno strumento di IA, i requisiti chiave da verificare con qualsiasi fornitore sono i seguenti.

• Marcatura CE e conformità MDR: quando lo strumento si qualifica come dispositivo medico, la marcatura CE ai sensi dell'MDR è obbligatoria. Gli strumenti di IA ad alto rischio che sono anche dispositivi medici devono soddisfare sia la valutazione di conformità MDR sia i requisiti dell'AI Act: si tratta di obblighi paralleli, non alternativi.

• Documentazione tecnica e gestione del rischio: i fornitori devono mantenere documentazione completa su design, dati di addestramento e validazione delle prestazioni, e devono disporre di un processo documentato di gestione del rischio allineato con gli standard ISO 14971 o equivalenti. Vale la pena sottolineare quanto sia rara questa documentazione nella pratica: la revisione sistematica del 2026 sui chatbot per la salute mentale ha rilevato che il 78,8 per cento degli studi esaminati presentava un alto rischio riguardo al rigore della valutazione della sicurezza informatica, e i test avversari formali rimangono l'eccezione. Gli psichiatri dovrebbero indagare direttamente su questa lacuna quando valutano un fornitore.

• Meccanismi di supervisione umana: i sistemi ad alto rischio devono essere progettati in modo che i clinici possano ignorare, disattendere o intervenire sull'output. Questo è un requisito legale esplicito dell'Atto, non una funzionalità opzionale lasciata alla discrezione del fornitore.

• Registrazione e tracce di audit: il sistema deve registrare automaticamente le proprie operazioni a un livello che consenta la revisione successiva degli output generati. Questo è particolarmente rilevante in psichiatria, dove le decisioni cliniche possono essere soggette a controllo legale.

Una guida orientata ai clinici pubblicata su Psychiatria Danubina ha raccomandato che i professionisti sanitari sviluppino una conoscenza sufficiente del quadro normativo per valutare criticamente gli strumenti di IA prima di adottarli.

Trasparenza, consenso e protezione dei dati nelle consultazioni di salute mentale

I requisiti di trasparenza dell'AI Act si traducono in doveri concreti che ricadono sul soggetto che distribuisce il sistema, nella maggior parte dei casi l'istituzione sanitaria o lo studio, non il fornitore. Quando un sistema di IA è coinvolto in un'interazione clinica, che generi note, supporti una decisione diagnostica o svolga qualsiasi parte di una valutazione, i pazienti hanno il diritto di essere informati. Nella pratica della salute mentale, questo obbligo ha un peso particolare: la relazione terapeutica è centrale per la cura psichiatrica e la fiducia dei pazienti dipende anche dalla loro comprensione di come vengono prese le decisioni sulla loro cura.

L'articolo 26(11) impone a chi distribuisce il sistema di informare le persone interessate quando un sistema ad alto rischio dell'Allegato III viene usato per prendere o supportare decisioni che le riguardano. L'articolo 50 impone separatamente la divulgazione per i sistemi che interagiscono direttamente con i pazienti, come l'IA conversazionale. Al di fuori di queste disposizioni specifiche, l'Atto non impone un obbligo autonomo di comunicare il coinvolgimento dell'IA in ogni caso. Gli psichiatri dovrebbero comunque trattare l'informazione al paziente come buona pratica, in linea con gli obblighi professionali e con la trasparenza richiesta dal Regolamento generale sulla protezione dei dati (GDPR).

Il GDPR classifica i dati sulla salute mentale come categoria speciale, applicando il massimo livello di protezione. Quando i sistemi di IA trattano questi dati, anche attraverso la trascrizione di consultazioni, la base giuridica per il trattamento, le politiche di conservazione e i diritti di accesso e cancellazione devono essere chiaramente definiti. In psichiatria, alcuni pazienti hanno condizioni che influenzano la loro capacità di dare il consenso: un protocollo di governance del 2025 per la psicoterapia abilitata dall'IA ha proposto processi di consenso stratificati, esplicitamente allineati con i requisiti dell'EU AI Act e del GDPR, come risposta pratica a questa sfida. La guida ufficiale della Commissione europea segnala inoltre che il Regolamento sullo spazio europeo dei dati sanitari, entrato in vigore nel 2025, aggiunge un ulteriore livello di governance per l'uso dei dati di IA clinica.

Come l'AI Act si affianca a MDR, GDPR e legislazione nazionale

L'AI Act è una regolamentazione orizzontale: si applica a tutti i settori e si affianca alla legislazione settoriale esistente, senza sostituirla. Uno strumento di IA usato nella pratica psichiatrica può essere soggetto contemporaneamente agli obblighi ad alto rischio dell'EU AI Act, agli obblighi MDR se si qualifica come Software come dispositivo medico, agli obblighi GDPR poiché i dati sulla salute mentale sono una categoria speciale, e alla legislazione nazionale sui dati psichiatrici in alcuni Stati membri, che può imporre restrizioni aggiuntive. La conformità all'AI Act non esaurisce gli obblighi previsti dall'MDR o dal GDPR, e viceversa.

C'è anche un limite che merita di essere detto esplicitamente: l'Atto non risolve le questioni di responsabilità clinica quando l'IA contribuisce a una decisione dannosa. I quadri nazionali di responsabilità medica continuano a governare tali questioni in modo indipendente. L'analisi politica di Healthy Europe segnala che il mercato europeo delle app per la salute mentale contiene migliaia di prodotti con una valutazione clinica limitata o assente. Gli psichiatri non dovrebbero interpretare la presenza di un prodotto sul mercato come indicazione di piena conformità normativa, in particolare durante l'attuale periodo di transizione.

Scadenze di conformità e cosa chiedere ai fornitori oggi

L'AI Act viene attuato in fasi. Le disposizioni sulle pratiche vietate sono entrate in vigore a febbraio 2025. Gli obblighi relativi ai modelli di IA per scopi generali, inclusi gli LLM usati come base di strumenti clinici, sono entrati in vigore ad agosto 2025. In seguito al Regolamento Omnibus dell'AI Act (UE 2026/1744), entrato in vigore a luglio 2026, il quadro completo di conformità ad alto rischio per i sistemi dell'Allegato III si applica da dicembre 2027, anziché da agosto 2026 come originariamente previsto. Una transizione estesa fino ad agosto 2028 si applica specificamente ai sistemi di IA che sono anche dispositivi medici regolamentati ai sensi dell'MDR o del Regolamento sui dispositivi medico-diagnostici in vitro (IVDR). Chi sta valutando o avviando acquisti di strumenti di IA dovrebbe trattare queste scadenze come priorità operative attuali, dato che i processi di valutazione della conformità e di due diligence sui fornitori richiedono tempo considerevole.

Ai sensi dell'Atto, gli psichiatri e i responsabili di studio sono classificati come distributori di sistemi di IA. Questo comporta obblighi legali diretti, ma li posiziona anche come acquirenti informati che possono e devono chiedere conto ai fornitori. Come minimo, le domande da porre a qualsiasi fornitore prima dell'acquisto includono:

• Questo sistema è classificato come ad alto rischio ai sensi dell'EU AI Act? In caso contrario, quale valutazione documentata supporta tale conclusione?

• Il sistema si qualifica come dispositivo medico ai sensi dell'MDR? In tal caso, possiede la marcatura CE e quale organismo notificato ha condotto la valutazione di conformità?

• Il sistema è stato clinicamente validato in una popolazione di salute mentale? I dati di validazione possono essere condivisi, incluse le metriche di prestazione disaggregate per sottogruppo di pazienti?

• Dove vengono elaborati e archiviati i dati dei pazienti? Il fornitore conferma la residenza dei dati nell'UE e quali sono le politiche di conservazione e cancellazione?

• Quale traccia di audit genera il sistema e come è possibile accedere ai registri per scopi di governance clinica o revisione legale?

• Come gestisce il fornitore gli aggiornamenti del modello? Le versioni aggiornate sono soggette a rivalidazione prima dell'implementazione?

• Qual è il processo del fornitore per segnalare e rispondere a incidenti in cui output generati dall'IA potrebbero aver contribuito a danni al paziente?

La revisione sistematica del 2026 sui chatbot di IA per la salute mentale ha rilevato che la maggior parte dei sistemi si basa su LLM per scopi generali e viene distribuita tramite piattaforme rivolte ai consumatori senza supervisione clinica, un modello incompatibile con i requisiti dell'AI Act per i sistemi ad alto rischio in contesti psichiatrici. Una revisione legislativa di 50 stati degli Stati Uniti pubblicata su JMIR Mental Health ha identificato un pattern ricorrente: i clinici sono assenti dalla formulazione delle politiche sull'IA, con il risultato che i quadri normativi divergono dalle realtà cliniche. Lo stesso rischio esiste in Europa, e gli psichiatri che si confrontano attivamente con i requisiti dell'AI Act, come acquirenti, come distributori e come contributori alla guida professionale, sono nella posizione migliore per influenzare il modo in cui questi strumenti vengono implementati nella pratica.

Domande frequenti

▶ Perché gli strumenti di IA utilizzati in contesti di salute mentale sono soggetti a una regolamentazione più rigorosa ai sensi dell'EU AI Act?

La vulnerabilità della popolazione psichiatrica, la gravità dei danni da output errati e la difficoltà di verificare il giudizio clinico in psichiatria si combinano in modo tale che quasi ogni strumento di IA in questo contesto attiva i requisiti più stringenti dell'Atto, anche quando funzioni analoghe in altre specialità riceverebbero una classificazione più bassa.

▶ Quali strumenti di IA utilizzati nella pratica psichiatrica hanno maggiori probabilità di essere classificati come ad alto rischio?

Gli strumenti di stratificazione del rischio suicidario, di supporto diagnostico, di monitoraggio dell'umore e gli agenti di psicoterapia abilitati dall'IA rientrano tutti in questa categoria. La classificazione dipende dallo scopo dichiarato e dal contesto di implementazione, quindi uno stesso modello di base può ricevere classificazioni diverse a seconda di come viene configurato e distribuito.

▶ Gli strumenti di documentazione clinica, come gli scribe ambientali, sono automaticamente classificati come ad alto rischio in contesti di salute mentale?

La classificazione dipende da come lo strumento viene usato nella pratica. In psichiatria, le note cliniche alimentano spesso decisioni su trattamento obbligatorio e valutazioni della capacità. Se il clinico accetta l'output senza modifiche sostanziali, il punto di rischio si sposta di fatto sullo strumento, indipendentemente da come il fornitore lo commercializza.

▶ Quali requisiti di conformità deve soddisfare uno strumento di IA ad alto rischio prima di poter essere implementato in uno studio psichiatrico?

Documentazione tecnica completa, gestione del rischio documentata, meccanismi di supervisione umana e registrazione automatica delle operazioni sono tutti obbligatori. Quando lo strumento è anche un dispositivo medico, la marcatura CE ai sensi dell'MDR si aggiunge come obbligo parallelo. La revisione sistematica del 2026 sui chatbot per la salute mentale ha rilevato che il 78,8 per cento degli studi presentava un alto rischio riguardo al rigore della valutazione della sicurezza informatica: chiedere al fornitore documentazione specifica su questo punto è quindi particolarmente utile.

▶ Quali obblighi di trasparenza si applicano quando si utilizza l'IA nelle consultazioni di salute mentale?

Gli articoli 26(11) e 50 impongono obblighi specifici di informazione al paziente in determinati casi. Al di là di questi, il GDPR richiede una base giuridica chiara per il trattamento dei dati sulla salute mentale, classificati come categoria speciale. In psichiatria, dove alcuni pazienti hanno condizioni che influenzano la capacità di dare il consenso, è utile adottare processi di consenso stratificati, come proposto dal protocollo di governance del 2025.

▶ Uno strumento di IA vietato ai sensi dell'EU AI Act può essere utilizzato in un contesto di salute mentale se è clinicamente vantaggioso?

No. Il divieto è assoluto e il beneficio clinico percepito non costituisce un'eccezione. I chatbot che usano dialoghi persuasivi o gamification per influenzare il comportamento dei pazienti possono rientrare nelle pratiche vietate a seconda del design. I sistemi ad alto rischio, invece, possono essere implementati dopo aver soddisfatto i requisiti di conformità previsti dall'Atto.

▶ Quali domande dovrebbe porre uno psichiatra o un responsabile di studio a un fornitore prima di acquistare uno strumento di IA?

Oltre alle domande elencate nel corpo dell'articolo, vale la pena chiedere esplicitamente se il fornitore ha mai ricevuto segnalazioni di incidenti da altri clienti in ambito psichiatrico e come le ha gestite. La risposta a questa domanda rivela spesso il livello reale di maturità del processo di sorveglianza post-mercato del fornitore.

▶ Come interagisce l'EU AI Act con il Regolamento sui dispositivi medici e il GDPR nella pratica psichiatrica?

I tre quadri si applicano in parallelo e la conformità a uno non esaurisce gli obblighi previsti dagli altri. In pratica, uno strumento di IA psichiatrico può richiedere una valutazione di conformità MDR, un'analisi ai sensi dell'AI Act e una valutazione d'impatto sulla protezione dei dati ai sensi del GDPR, condotte separatamente e con tempistiche diverse.

▶ Quali sono le scadenze chiave di conformità dell'EU AI Act di cui gli psichiatri dovrebbero essere consapevoli?

Pratiche vietate: febbraio 2025. Obblighi sui modelli di IA per scopi generali: agosto 2025. Quadro completo ad alto rischio per i sistemi dell'Allegato III: dicembre 2027, dopo il Regolamento Omnibus (UE 2026/1744). Per i sistemi che sono anche dispositivi medici ai sensi dell'MDR o dell'IVDR, la transizione si estende fino ad agosto 2028. I processi di due diligence sui fornitori richiedono tempo, quindi queste scadenze vanno trattate come priorità operative immediate.

▶ L'EU AI Act risolve le questioni di responsabilità clinica quando l'IA contribuisce a una decisione dannosa in psichiatria?

No. L'Atto stabilisce obblighi di conformità per fornitori e distributori, ma la responsabilità per i danni clinici rimane disciplinata dai quadri nazionali di responsabilità medica. Gli psichiatri dovrebbero verificare con un legale della propria giurisdizione come l'uso di uno strumento di IA specifico incide sulla loro esposizione personale, prima dell'implementazione.