I professionisti della salute mentale in tutta Europa vengono sempre più spesso contattati da fornitori che propongono assistenti di documentazione basati su intelligenza artificiale (IA), sistemi che promettono di ridurre il tempo dedicato alla stesura delle note cliniche dopo le sedute di terapia. L'attrattiva è concreta: l'onere amministrativo nella pratica psicologica e psicoterapeutica è rilevante, e tutto ciò che libera risorse cognitive ed emotive per il lavoro clinico merita attenzione. Ma la terapia non è un incontro clinico standard. Ciò che viene rivelato in una seduta di terapia (storie di traumi, ideazione suicidaria, identità sessuale, violenza nelle relazioni, esperienze psicotiche) si colloca all'estremità più sensibile dello spettro dei dati personali. Prima che qualsiasi terapeuta in Europa introduca un assistente di documentazione IA nella propria pratica, ci sono questioni legali, etiche e cliniche che richiedono risposte attente.

Perché gli assistenti di documentazione IA pongono questioni specifiche in terapia

La sfida della documentazione nella salute mentale è categoricamente diversa, ad esempio, da quella di un medico di base che registra una misurazione della pressione arteriosa o di un fisioterapista che annota l’ampiezza di movimento. Le sedute di terapia generano rivelazioni che i pazienti potrebbero non aver mai condiviso con nessun altro. Il contenuto di quelle sedute (il linguaggio preciso che un paziente usa, le associazioni che fa, le paure che nomina) non è solo clinicamente sensibile. In molti casi, è parte integrante della relazione terapeutica stessa.

Un assistente di documentazione IA che ascolta, trascrive e struttura quel contenuto introduce un livello di trattamento dei dati che non ha equivalenti nella maggior parte degli altri contesti clinici. Una revisione narrativa peer-reviewed del 2025 pubblicata su DIGITAL HEALTH ha rilevato che gli strumenti IA nella salute mentale operano frequentemente in zone grigie legali riguardo al consenso, all'uso dei dati e ai flussi di dati transfrontalieri. Il Regolamento generale sulla protezione dei dati (GDPR) offre solo protezioni di base che non tengono ancora conto delle sfumature etiche e cliniche uniche degli interventi di salute mentale basati sull'IA.

Gli obblighi professionali sono altrettanto stratificati. I terapeuti sono vincolati non solo dalla legge sulla protezione dei dati, ma anche dai codici etici delle loro associazioni professionali, dagli obblighi di riservatezza propri della loro modalità terapeutica e, in molte giurisdizioni europee, da specifiche tutele statutarie per le cartelle cliniche di salute mentale che vanno oltre le regole generali sui dati sanitari.

Come il GDPR si applica in modo diverso ai dati sulla salute mentale

Nell'ambito della conformità GDPR nell'assistenza sanitaria, i dati che rivelano lo stato di salute di una persona sono già una categoria speciale ai sensi dell'articolo 9. Ma il contenuto di una seduta di terapia va ancora oltre. Può coinvolgere simultaneamente più categorie dell'articolo 9: dati sanitari, dati relativi all'orientamento sessuale o all'identità di genere, dati che rivelano convinzioni religiose o filosofiche e dati sullo stato mentale di una persona. Questo non è un punto teorico. Ha implicazioni dirette sulla base giuridica che un professionista può invocare quando tratta il contenuto di una seduta tramite uno strumento IA.

La posizione di principio ai sensi dell'articolo 9 è che il trattamento di dati di categoria speciale è vietato, salvo che si applichi una delle eccezioni di un elenco chiuso. Per la maggior parte della documentazione terapeutica, l'eccezione operativa sarà il consenso esplicito (articolo 9(2)(a)) oppure il trattamento necessario ai fini della medicina preventiva o del lavoro e della fornitura di assistenza sanitaria (articolo 9(2)(h)), combinato con l'articolo 9(3), che richiede che il trattamento ai sensi di (h) sia effettuato da o sotto la responsabilità di un professionista soggetto a un obbligo di segreto professionale.

In pratica, ciò significa che un terapeuta non può semplicemente invocare il "legittimo interesse" per giustificare l'inserimento del contenuto della seduta in uno strumento di documentazione IA. Il legittimo interesse è una base disponibile per i dati personali ordinari, non per quelli di categoria speciale. Come osservato in una revisione arXiv del 2025 sull'IA per la salute mentale che preserva la privacy, le sedute di terapia devono essere registrate solo con il consenso esplicito e informato del paziente, con dettagli chiari su anonimizzazione, archiviazione sicura e uso dei dati. La soglia è più alta, i requisiti di documentazione sono più rigorosi e le conseguenze di errori sono più gravi.

Un'implicazione pratica: i terapeuti che sono lavoratori autonomi o che operano in piccoli studi privati portano direttamente questa responsabilità di conformità. Sono il titolare del trattamento dei dati. Il fornitore di IA, se tratta i dati per conto del terapeuta, è un responsabile del trattamento, e la relazione legale tra i due deve essere formalizzata in un Accordo sul trattamento dei dati scritto prima che qualsiasi dato venga condiviso.

Il consenso in terapia non è lo stesso del consenso in un appuntamento dal medico di base

Il GDPR richiede che il consenso sia dato liberamente, specifico, informato e inequivocabile. In una relazione terapeutica, il requisito "dato liberamente" merita particolare attenzione. I pazienti in terapia si trovano spesso in una posizione di vulnerabilità psicologica e dipendenza emotiva. Esiste un differenziale di potere intrinseco tra terapeuta e paziente che non si ritrova, ad esempio, in una consultazione di routine dal medico di base. Il consenso alla documentazione assistita da IA in terapia deve quindi essere gestito con particolare cura per garantire che sia realmente volontario.

Le linee guida etiche dell'American Psychological Association del 2025 sull'IA nella pratica psicologica sottolineano l'importanza del consenso informato e l'obbligo dei professionisti di valutare criticamente il contenuto clinico generato dall'IA prima di applicarlo. Sebbene queste linee guida siano di origine statunitense, le associazioni professionali europee vi fanno ampio riferimento e i principi si traducono direttamente nei quadri etici europei.

Un processo di consenso valido e conforme al GDPR per la documentazione IA in terapia dovrebbe includere, come minimo:

• Una spiegazione chiara di cosa fa lo strumento IA, in particolare che ascolta, trascrive e/o struttura il contenuto della seduta

• L'identità del fornitore di IA e il paese in cui i dati vengono trattati e archiviati

• Quali dati vengono conservati, per quanto tempo e chi può accedervi

• Una dichiarazione esplicita che il consenso è separato dal consenso al trattamento e che rifiutare o ritirare il consenso per la documentazione IA non influirà sulla qualità delle cure fornite

• Un meccanismo che consenta al paziente di ritirare il consenso in qualsiasi momento, con una spiegazione chiara di cosa succede ai dati precedentemente trattati al momento del ritiro

Quest'ultimo punto è cruciale. Se un paziente ritira il consenso e il fornitore non può dimostrare che i suoi dati sono stati cancellati dai set di addestramento, dai log o dall'infrastruttura di elaborazione, il professionista potrebbe trovarsi di fronte a un problema di conformità difficile da risolvere retroattivamente.

Residenza e trattamento dei dati: cosa chiedere al fornitore di IA

Per i terapeuti europei, la residenza dei dati non è un dettaglio tecnico, ma un requisito legale. Ai sensi del GDPR, il trasferimento di dati personali al di fuori dello Spazio economico europeo è consentito solo se sono in atto garanzie specifiche (decisioni di adeguatezza, clausole contrattuali standard o meccanismi equivalenti). Dato che il contenuto della seduta di terapia è costituito da dati di categoria speciale ai sensi dell'articolo 9, la soglia per dimostrare una protezione adeguata in qualsiasi trasferimento verso paesi terzi è corrispondentemente alta.

Prima di selezionare un assistente di documentazione IA, i professionisti dovrebbero ottenere risposte scritte chiare alle seguenti domande da qualsiasi fornitore:

• Dove vengono trattati i dati? La trascrizione audio viene eseguita sul dispositivo, su server all'interno dell'UE/SEE o in un paese terzo?

• Dove vengono archiviati i dati? L'integrazione del sistema di cartelle cliniche o l'infrastruttura di archiviazione delle note si trova all'interno dell'UE/SEE?

• Il fornitore agisce come responsabile del trattamento dei dati? In tal caso, è in vigore un Accordo sul trattamento dei dati conforme prima che qualsiasi dato venga condiviso?

• Cosa specifica l'Accordo sul trattamento dei dati? Deve coprire l'oggetto e la durata del trattamento, la natura e lo scopo del trattamento, il tipo di dati personali e le categorie di interessati, e gli obblighi e i diritti del titolare del trattamento.

• Il fornitore possiede la certificazione ISO 27001 (uno standard di sicurezza delle informazioni riconosciuto a livello internazionale) o equivalente, ed è stata condotta una valutazione d'impatto sulla protezione dei dati per questa attività di trattamento?

• I dati vengono utilizzati per l'addestramento del modello? Se il contenuto della seduta viene utilizzato per addestrare o mettere a punto modelli IA, ciò costituisce uno scopo di trattamento separato che richiede una propria base giuridica e, quasi certamente, il consenso esplicito.

Una revisione arXiv del 2025 sui dataset IA per la salute mentale clinica osserva che il GDPR pone limiti rigorosi sull'uso e la condivisione di informazioni sanitarie sensibili, complicando sia la creazione di dataset rappresentativi sia la distribuzione di strumenti IA in contesti psicoterapeutici. Considerate qualsiasi fornitore che sia vago sulla residenza dei dati o riluttante a fornire un Accordo sul trattamento dei dati scritto come un rischio di conformità significativo.

La relazione terapeutica e il problema della "terza presenza"

Oltre al quadro giuridico, c'è una preoccupazione clinica ed etica che non ha una risposta normativa semplice: la presenza di un assistente di documentazione IA, anche se opera silenziosamente in background, altera la relazione terapeutica?

Questa non è una preoccupazione ipotetica. L'alleanza terapeutica, ovvero la qualità della relazione collaborativa tra terapeuta e paziente, è uno dei predittori più solidi degli esiti della terapia, indipendentemente dalla modalità. Tutto ciò che influisce sul senso di sicurezza percepita, sulla fiducia o sulla disponibilità del paziente a rivelarsi è quindi clinicamente rilevante. Alcuni pazienti, sapendo che le loro parole vengono trascritte e trattate da un sistema IA, potrebbero autocensurarsi. Altri potrebbero trovare rassicurante la trasparenza. L'effetto non è uniforme e i ricercatori non l'hanno ancora studiato a fondo nel contesto specifico degli strumenti di documentazione IA.

Uno studio fondamentale pubblicato su JAMA Psychiatry nel marzo 2026, il più ampio studio fino ad oggi sugli scribe IA ambientali nella documentazione psichiatrica, ha rilevato che mentre gli scribe IA nell'assistenza primaria aumentavano la documentazione dei sintomi neuropsichiatrici, erano associati a una probabilità significativamente inferiore di intervento psichiatrico documentato (invio, nuova diagnosi o prescrizione di antidepressivi) rispetto alle visite contemporanee senza scribe (odds ratio aggiustato 0,83, IC 95%, da 0,72 a 0,95). Gli autori sottolineano che sono necessari ulteriori studi per determinare se questi cambiamenti siano associati a esiti differenti per i pazienti. Questo risultato non stabilisce una causalità e lo studio è stato condotto nell'assistenza primaria, non in contesti di psicoterapia specialistica. Rappresenta comunque un'importante cautela contro l'assunzione che una maggiore documentazione si traduca automaticamente in una migliore assistenza clinica.

I professionisti dovrebbero valutare, prima dell'adozione e su base continuativa, se la presenza dello strumento stia influenzando la rivelazione del paziente o la qualità dell'incontro terapeutico. Questo può comportare il chiedere direttamente ai pazienti la loro esperienza, monitorare i cambiamenti nel contenuto della seduta o nella profondità della rivelazione ed essere pronti a interrompere l'uso dello strumento con pazienti specifici laddove il giudizio clinico suggerisca che stia influenzando il lavoro.

Cosa va nelle note cliniche e cosa non dovrebbe

Gli assistenti di documentazione IA non prendono decisioni di documentazione: questa responsabilità resta al clinico. Non si tratta solo di un principio etico, ma anche legale. Come chiarisce una spiegazione legale rivolta ai professionisti, i clinici hanno la piena responsabilità dell'accuratezza delle note generate dall'IA. Una bozza generata dall'IA salvata nel sistema di cartelle cliniche senza revisione diventa il documento del clinico, con lo stesso valore legale e professionale di una nota scritta interamente a mano.

In terapia, questo obbligo di revisione è particolarmente rilevante. Il contenuto della seduta che può essere opportuno tenere nella mente del terapeuta, come la rivelazione di un paziente su una relazione abusiva passata, un'espressione di ambivalenza sull'autolesionismo o un riferimento a una terza persona nominata, non è necessariamente opportuno da registrare testualmente in una nota clinica strutturata. Quella nota può essere accessibile ad altri operatori sanitari, soggetta a una richiesta di accesso o citata in procedimenti legali.

I professionisti dovrebbero stabilire, prima dell'adozione, un flusso di lavoro chiaro per ciò che l'assistente IA cattura e ciò che viene rivisto, modificato e redatto prima del salvataggio. Le categorie specifiche che richiedono particolare attenzione includono:

• Rivelazioni di salvaguardia: il contenuto che può attivare obblighi di segnalazione obbligatoria dovrebbe essere documentato con precisione e in conformità con i protocolli di salvaguardia locali, non lasciato a una bozza IA

• Identificatori di terze parti: i nomi di persone menzionate dal paziente (partner, familiari, colleghi) generalmente non dovrebbero apparire nelle note cliniche strutturate

• Marcatori di identità sensibili: orientamento sessuale, identità di genere, stato di immigrazione e informazioni simili rivelate in seduta richiedono una gestione attenta; la loro presenza in una nota generata dall'IA potrebbe non essere appropriata o necessaria

• Valutazioni del rischio: la documentazione di ideazione suicidaria, autolesionismo o rischio per gli altri ha un peso clinico e legale specifico e dovrebbe essere scritta o rivista con corrispondente attenzione

La ricerca che utilizza l'elaborazione del linguaggio naturale delle note di psicoterapia per la previsione del rischio di suicidio ha dimostrato che il linguaggio utilizzato nelle note di terapia è clinicamente informativo, ma anche che il valore predittivo di tale analisi è modesto e dipendente dal contesto. Il fatto che i sistemi IA possano estrarre segnali significativi dalle note di terapia è proprio il motivo per cui i professionisti devono essere deliberati su ciò che inseriscono in quelle note.

Obblighi ai sensi della legge nazionale sulla salute mentale e sulla protezione dei dati

Il GDPR stabilisce un minimo, non un massimo. Diversi paesi europei hanno emanato legislazioni nazionali che impongono requisiti aggiuntivi sul trattamento dei dati sulla salute mentale, e i professionisti devono verificare i propri obblighi ai sensi della legge nazionale prima di adottare qualsiasi strumento di documentazione IA.

Una panoramica non esaustiva del panorama nazionale:

• Germania: Il Bundesdatenschutzgesetz (Legge federale sulla protezione dei dati) integra il GDPR con disposizioni aggiuntive, e gli psicoterapeuti sono soggetti a rigorosi obblighi di segreto professionale (Schweigepflicht) ai sensi del §203 del Codice penale. La violazione del segreto professionale, anche tramite accordi di trattamento dei dati inadeguati, comporta responsabilità penale.

• Francia: La Commission Nationale de l'Informatique et des Libertés (Commissione nazionale per l'informatica e le libertà) ha emesso linee guida specifiche sul trattamento dei dati sanitari e ha la supervisione normativa dei sistemi IA che gestiscono dati sanitari. I professionisti francesi dovrebbero consultare queste linee guida prima dell'adozione.

• Paesi Bassi: L'Autoriteit Persoonsgegevens (Autorità olandese per la protezione dei dati) applica il GDPR con particolare attenzione ai dati sanitari. I professionisti della salute mentale olandesi sono anche soggetti alla WGBO (legge sul contratto di trattamento medico) e agli obblighi del registro BIG.

• Irlanda: La Data Protection Commission ha autorità di applicazione ed è stata attiva nei casi di trasferimento di dati transfrontalieri. I professionisti irlandesi dovrebbero anche essere consapevoli del Mental Health Act 2001 e dei relativi obblighi di documentazione.

• Italia: L'Autorità italiana per la protezione dei dati (Garante) ha intrapreso azioni di enforcement contro aziende IA che gestiscono dati sanitari, comprese restrizioni temporanee e multe significative. I professionisti italiani dovrebbero consultare le decisioni pubblicate dal Garante prima di adottare strumenti di documentazione IA.

Il consiglio pratico è semplice: prima di adottare qualsiasi strumento di documentazione IA, verificate i vostri obblighi con la vostra autorità nazionale per la protezione dei dati, il vostro ordine professionale e il vostro assicuratore di responsabilità professionale.

Regolamento sui dispositivi medici: quando un assistente di documentazione IA diventa un dispositivo medico

Il confine tra uno strumento di documentazione IA e un dispositivo medico non è sempre chiaro, e la distinzione è importante perché gli obblighi normativi sono sostanzialmente diversi.

Ai sensi del Regolamento UE sui dispositivi medici (MDR 2017/745), il software è classificato come dispositivo medico se è destinato a essere utilizzato per uno scopo medico, inclusa la diagnosi, la prevenzione, il monitoraggio, la previsione o il trattamento di malattie. Un'analisi peer-reviewed del 2025 pubblicata sull'European Heart Journal – Digital Health ha esaminato come il Regolamento UE sull'IA interagisce con il Regolamento sui dispositivi medici per l'IA sanitaria, osservando che i dispositivi medici IA ad alto rischio sono soggetti a doppia regolamentazione ai sensi di entrambi i quadri, con corrispondenti obblighi di trasparenza e valutazione della conformità.

Per gli assistenti di documentazione IA in terapia, la distinzione rilevante è:

• Uno strumento che trascrive solo il parlato e struttura le note cliniche, senza interpretare il contenuto clinico, segnalare il rischio o generare raccomandazioni cliniche, generalmente non è classificato come dispositivo medico ai sensi del Regolamento sui dispositivi medici.

• Uno strumento che analizza il contenuto della seduta per segnalare il rischio di suicidio, suggerire diagnosi o supportare il processo decisionale clinico probabilmente richiede la classificazione MDR e la valutazione della conformità, e può anche essere classificato come IA ad alto rischio ai sensi del Regolamento UE sull'IA.

L'analisi del Regolamento UE sull'IA da PMC segnala una disposizione specifica nel Considerando 29 che esclude i sistemi IA utilizzati per il trattamento psicologico legale con consenso esplicito del paziente. Questa esclusione si applica alle pratiche IA vietate come il riconoscimento delle emozioni, non agli obblighi normativi generali sui sistemi IA ad alto rischio. I professionisti non dovrebbero presumere che qualsiasi strumento IA utilizzato in un contesto terapeutico sia automaticamente esente dai requisiti del Regolamento sui dispositivi medici o del Regolamento UE sull'IA.

Prima di adottare qualsiasi assistente di documentazione IA, chiedete direttamente al fornitore: qual è la classificazione normativa di questo strumento ai sensi del Regolamento UE sui dispositivi medici e del Regolamento UE sull'IA? Un fornitore affidabile dovrebbe essere in grado di fornire una risposta chiara e documentata.

Checklist pratica pre-adozione per i professionisti della salute mentale

I seguenti passaggi rappresentano uno standard minimo di due diligence prima di introdurre un assistente di documentazione IA in una pratica terapeutica in Europa. Non sono esaustivi e i professionisti dovrebbero integrarli con i consigli della propria associazione professionale e del consulente legale, se necessario.

Due diligence sul fornitore

• Confermare la residenza dei dati UE/SEE sia per il trattamento che per l'archiviazione

• Ottenere e rivedere un Accordo sul trattamento dei dati firmato prima che qualsiasi dato venga condiviso

• Verificare la certificazione ISO 27001 o una postura di sicurezza equivalente

• Confermare la classificazione normativa dello strumento ai sensi del Regolamento UE sui dispositivi medici e del Regolamento UE sull'IA

• Chiarire se i dati della seduta vengono utilizzati per l'addestramento del modello e su quale base giuridica

Consenso e comunicazione con il paziente

• Elaborare un processo di consenso scritto che sia separato dal consenso generale al trattamento

• Assicurarsi che il documento di consenso spieghi cosa fa lo strumento, chi è il fornitore, dove vanno i dati e per quanto tempo vengono conservati

• Confermare che i pazienti possono rifiutare la documentazione IA senza alcun effetto sulla loro cura

• Stabilire un processo chiaro per gestire il ritiro del consenso, comprese le richieste di cancellazione dei dati

Flusso di lavoro di revisione delle note

• Definire quali parti del contenuto della seduta l'assistente IA è autorizzato a catturare

• Stabilire un passaggio obbligatorio di revisione e modifica prima che qualsiasi nota generata dall'IA venga salvata nel sistema di cartelle cliniche

• Identificare le categorie di contenuto (salvaguardia, nomi di terze parti, marcatori di identità sensibili, valutazioni del rischio) che richiedono particolare attenzione o documentazione manuale

• Documentare il flusso di lavoro di revisione nella politica di protezione dei dati della vostra pratica

Obblighi normativi e professionali

• Verificare i requisiti nazionali con la vostra autorità per la protezione dei dati e l'ordine professionale

• Condurre una valutazione d'impatto sulla protezione dei dati (obbligatoria ai sensi dell'articolo 35 del GDPR per il trattamento su larga scala di dati di categoria speciale, e fortemente consigliata anche per le pratiche più piccole)

• Notificare il vostro assicuratore di responsabilità professionale e confermare che la documentazione assistita da IA sia coperta dalla vostra polizza

Monitoraggio continuo

• Rivedere regolarmente se la presenza dello strumento sta influenzando la rivelazione terapeutica o la qualità delle sedute

• Monitorare le note generate dall'IA per accuratezza, completezza e appropriatezza del contenuto

• Rimanere aggiornati sugli sviluppi relativi al Regolamento UE sull'IA, alle linee guida del Regolamento sui dispositivi medici e alle normative nazionali

Le linee guida etiche dell'American Psychological Association chiariscono la responsabilità del clinico: l'obbligo di valutare criticamente il contenuto clinico generato dall'IA prima di applicarlo non è una valutazione una tantum, ma un dovere professionale continuo. Nel contesto della terapia, dove la posta in gioco degli errori di documentazione è alta e il contenuto è particolarmente sensibile, tale dovere è ancora più impegnativo.

Domande frequenti

Perché la documentazione IA in terapia solleva preoccupazioni diverse rispetto ad altri contesti clinici?

Le sedute di terapia generano rivelazioni che i pazienti potrebbero non aver mai condiviso con nessun altro. Il contenuto (storie di traumi, ideazione suicidaria, identità sessuale, violenza nelle relazioni) coinvolge simultaneamente più tipi di dati di categoria speciale ai sensi dell'articolo 9 del GDPR. Una revisione narrativa peer-reviewed del 2025 pubblicata su DIGITAL HEALTH ha rilevato che gli strumenti IA nella salute mentale operano frequentemente in zone grigie legali riguardo al consenso, all'uso dei dati e ai flussi di dati transfrontalieri. Questa combinazione di sensibilità clinica e complessità normativa rende la terapia un ambiente categoricamente diverso rispetto, ad esempio, a quello di un medico di base che registra una misurazione della pressione arteriosa.

Su quale base giuridica può fare affidamento un terapeuta quando tratta il contenuto della seduta tramite un assistente di documentazione IA?

I terapeuti non possono fare affidamento sul legittimo interesse, che è disponibile solo per i dati personali ordinari, non per quelli di categoria speciale. La base operativa sarà tipicamente il consenso esplicito ai sensi dell'articolo 9(2)(a) del GDPR, o il trattamento necessario per la fornitura di assistenza sanitaria ai sensi dell'articolo 9(2)(h), combinato con l'articolo 9(3), che richiede che il trattamento sia effettuato da o sotto la responsabilità di un professionista soggetto a un obbligo di segreto professionale. La soglia è più alta rispetto ai dati sanitari generali, i requisiti di documentazione sono più rigorosi e le conseguenze di errori sono più gravi.

Cosa deve includere un processo di consenso valido per la documentazione IA in terapia?

Un processo di consenso conforme al GDPR dovrebbe includere una spiegazione chiara di cosa fa lo strumento IA, l'identità del fornitore e il paese in cui i dati vengono trattati e archiviati, quali dati vengono conservati e per quanto tempo, e una dichiarazione esplicita che rifiutare o ritirare il consenso per la documentazione IA non influirà sulla qualità delle cure fornite. Deve inoltre prevedere un meccanismo che consenta al paziente di ritirare il consenso in qualsiasi momento, con una spiegazione chiara di cosa succede ai dati precedentemente trattati al momento del ritiro. Poiché i pazienti in terapia si trovano spesso in una posizione di vulnerabilità psicologica, il requisito "dato liberamente" merita particolare attenzione.

Quali domande dovrebbe porre un terapeuta a un fornitore di IA prima di condividere qualsiasi dato della seduta?

Prima di selezionare un assistente di documentazione IA, i professionisti dovrebbero ottenere risposte scritte alle seguenti domande: dove vengono trattati e archiviati i dati (in particolare, se rimangono all'interno dello Spazio economico europeo), se il fornitore agisce come responsabile del trattamento dei dati e se è in vigore un Accordo sul trattamento dei dati conforme, se il fornitore possiede la certificazione ISO 27001 o equivalente, se è stata condotta una valutazione d'impatto sulla protezione dei dati, e se i dati della seduta vengono utilizzati per l'addestramento del modello. Qualsiasi fornitore che sia vago sulla residenza dei dati o riluttante a fornire un Accordo sul trattamento dei dati scritto dovrebbe essere considerato un rischio di conformità significativo.

La presenza di un assistente di documentazione IA può influenzare la relazione terapeutica?

Questa è una preoccupazione clinica reale. L'alleanza terapeutica (la qualità della relazione collaborativa tra terapeuta e paziente) è uno dei predittori più solidi degli esiti della terapia. Alcuni pazienti, sapendo che le loro parole vengono trascritte e trattate da un sistema IA, potrebbero autocensurarsi. Uno studio fondamentale pubblicato su JAMA Psychiatry nel marzo 2026, il più ampio studio fino ad oggi sugli scribe IA ambientali nella documentazione psichiatrica, ha rilevato che gli scribe IA erano associati a una probabilità significativamente inferiore di intervento psichiatrico documentato rispetto alle visite senza scribe. I professionisti dovrebbero valutare, prima dell'adozione e su base continuativa, se la presenza dello strumento stia influenzando la rivelazione del paziente o la qualità dell'incontro terapeutico.

Chi è legalmente responsabile dell'accuratezza delle note di terapia generate dall'IA?

Il clinico ha la piena responsabilità. Una bozza generata dall'IA salvata nel sistema di cartelle cliniche senza revisione diventa il documento del clinico, con lo stesso valore legale e professionale di una nota scritta interamente a mano. In terapia, questo obbligo di revisione è particolarmente rilevante perché il contenuto della seduta che può essere opportuno tenere nella mente del terapeuta non è necessariamente opportuno da registrare testualmente in una nota clinica strutturata. Quella nota può essere accessibile ad altri operatori sanitari, soggetta a una richiesta di accesso o citata in procedimenti legali.

Quali categorie di contenuto della seduta richiedono particolare attenzione quando si rivedono le note generate dall'IA?

I professionisti dovrebbero prestare particolare attenzione a quattro categorie. In primo luogo, le rivelazioni di salvaguardia che possono attivare obblighi di segnalazione obbligatoria dovrebbero essere documentate con precisione e in conformità con i protocolli di salvaguardia locali, non lasciate a una bozza IA. In secondo luogo, i nomi di terze persone menzionate dal paziente generalmente non dovrebbero apparire nelle note cliniche strutturate. In terzo luogo, i marcatori di identità sensibili come orientamento sessuale, identità di genere e stato di immigrazione richiedono una gestione attenta. In quarto luogo, la documentazione di ideazione suicidaria, autolesionismo o rischio per gli altri ha un peso clinico e legale specifico e dovrebbe essere scritta o rivista con corrispondente attenzione.

Il GDPR fornisce una protezione sufficiente per i dati sulla salute mentale trattati da strumenti IA?

Il GDPR stabilisce un minimo, non un massimo. Una revisione narrativa peer-reviewed del 2025 pubblicata su DIGITAL HEALTH ha rilevato che il GDPR offre solo protezioni di base che non tengono ancora conto delle sfumature etiche e cliniche uniche degli interventi di salute mentale basati sull'IA. Diversi paesi europei hanno emanato legislazioni nazionali che impongono requisiti aggiuntivi. Gli psicoterapeuti tedeschi sono soggetti a rigorosi obblighi di segreto professionale ai sensi del §203 del Codice penale, con responsabilità penale per le violazioni. Francia, Paesi Bassi, Irlanda e Italia hanno ciascuno autorità nazionali per la protezione dei dati con linee guida specifiche o attività di enforcement rilevanti per l'IA nella salute mentale. I professionisti dovrebbero verificare i propri obblighi con la propria autorità nazionale per la protezione dei dati e l'ordine professionale prima di adottare qualsiasi strumento di documentazione IA.

Quando un assistente di documentazione IA diventa un dispositivo medico ai sensi della legge UE?

Uno strumento che trascrive solo il parlato e struttura le note cliniche, senza interpretare il contenuto clinico o generare raccomandazioni cliniche, generalmente non è classificato come dispositivo medico ai sensi del Regolamento UE sui dispositivi medici (MDR 2017/745). Uno strumento che analizza il contenuto della seduta per segnalare il rischio di suicidio, suggerire diagnosi o supportare il processo decisionale clinico probabilmente richiede la classificazione MDR e la valutazione della conformità, e può anche essere classificato come IA ad alto rischio ai sensi del Regolamento UE sull'IA. Un'analisi peer-reviewed del 2025 pubblicata sull'European Heart Journal – Digital Health osserva che i dispositivi medici IA ad alto rischio sono soggetti a doppia regolamentazione ai sensi di entrambi i quadri. I professionisti dovrebbero chiedere direttamente a qualsiasi fornitore la classificazione normativa dello strumento sia ai sensi del MDR che del Regolamento UE sull'IA.

È richiesta una valutazione d'impatto sulla protezione dei dati prima di adottare un assistente di documentazione IA in una pratica terapeutica?

Una valutazione d'impatto sulla protezione dei dati è obbligatoria ai sensi dell'articolo 35 del GDPR per il trattamento su larga scala di dati di categoria speciale, ed è fortemente consigliata anche per le pratiche più piccole. Oltre a ciò, i professionisti dovrebbero notificare il proprio assicuratore di responsabilità professionale e confermare che la documentazione assistita da IA sia coperta dalla propria polizza. Si applicano anche obblighi continui: i professionisti dovrebbero rivedere regolarmente se la presenza dello strumento stia influenzando la rivelazione terapeutica, monitorare le note generate dall'IA per accuratezza e appropriatezza e rimanere aggiornati sugli sviluppi relativi al Regolamento UE sull'IA e alle normative nazionali.