Documentazione IA in terapia: cosa devono sapere i professionisti europei

Gli assistenti di documentazione basati su intelligenza artificiale promettono di alleggerire il carico amministrativo nella pratica psicoterapeutica. Il contenuto di una seduta di terapia, però — storie di traumi, ideazione suicidaria, identità sessuale, violenza nelle relazioni — si colloca all'estremità più sensibile dello spettro dei dati personali. Prima di adottare qualsiasi strumento, i professionisti europei devono rispondere a domande precise sul piano legale, etico e clinico.

Perché la terapia è un contesto categoricamente diverso

La sfida della documentazione nella salute mentale è ben più complessa di quella affrontata da un medico di base che registra una misurazione della pressione arteriosa. Le sedute di terapia producono rivelazioni che i pazienti potrebbero non aver mai condiviso con nessun altro. Il linguaggio preciso che un paziente usa, le associazioni che fa, le paure che nomina: tutto questo è clinicamente sensibile e, in molti casi, parte integrante della relazione terapeutica stessa.

Un assistente di documentazione IA che ascolta, trascrive e struttura quel contenuto introduce un livello di trattamento dei dati senza equivalenti nella maggior parte degli altri contesti clinici. Una revisione narrativa peer-reviewed del 2025, pubblicata su DIGITAL HEALTH, ha rilevato che gli strumenti IA nella salute mentale operano spesso in zone grigie legali riguardo al consenso, all'uso dei dati e ai flussi di dati transfrontalieri, e che il GDPR offre solo protezioni di base che non tengono ancora conto delle sfumature etiche e cliniche proprie degli interventi di salute mentale basati sull'IA. Gli obblighi professionali sono altrettanto articolati: i terapeuti sono vincolati dai codici etici delle loro associazioni, dagli obblighi di riservatezza della loro modalità terapeutica e, in molte giurisdizioni europee, da specifiche tutele di legge per le cartelle cliniche di salute mentale che vanno oltre le regole generali sui dati sanitari.

Come il GDPR si applica ai dati sulla salute mentale e cosa non copre

Nell'ambito della conformità GDPR nell'assistenza sanitaria, i dati che rivelano lo stato di salute di una persona sono già una categoria speciale ai sensi dell'articolo 9. Il contenuto di una seduta di terapia va però ancora oltre: può coinvolgere simultaneamente dati sanitari, dati relativi all'orientamento sessuale o all'identità di genere, dati che rivelano convinzioni religiose o filosofiche e dati sullo stato mentale. Questo ha conseguenze dirette sulla base giuridica che un professionista può invocare.

Il trattamento di dati di categoria speciale è vietato salvo eccezioni tassative. Per la documentazione terapeutica, l'eccezione applicabile sarà il consenso esplicito ai sensi dell'articolo 9(2)(a), oppure il trattamento necessario per la fornitura di assistenza sanitaria ai sensi dell'articolo 9(2)(h), combinato con l'articolo 9(3), che richiede che il trattamento sia effettuato da un professionista soggetto a obbligo di segreto professionale, o sotto la sua responsabilità. Il legittimo interesse, base disponibile per i dati personali ordinari, non è invocabile in questo contesto.

I terapeuti che operano come lavoratori autonomi o in piccoli studi privati portano direttamente questa responsabilità: sono il titolare del trattamento dei dati. Il fornitore di IA, se tratta i dati per conto del terapeuta, è un responsabile del trattamento. Il rapporto legale tra le due parti deve essere formalizzato in un Accordo sul trattamento dei dati scritto prima che qualsiasi dato venga condiviso. Una revisione arXiv del 2025 sull'IA per la salute mentale che preserva la privacy lo chiarisce senza ambiguità: le sedute di terapia possono essere registrate solo con il consenso esplicito e informato del paziente, con informazioni chiare su anonimizzazione, archiviazione sicura e uso dei dati.

Consenso in terapia: requisiti più alti, rischi più gravi

Il GDPR richiede che il consenso sia libero, specifico, informato e inequivocabile. In una relazione terapeutica, il requisito della libertà merita attenzione particolare. I pazienti si trovano spesso in una posizione di vulnerabilità psicologica e dipendenza emotiva, con uno squilibrio di potere che non si ritrova in una consultazione di routine. Le linee guida etiche del 2025 dell'American Psychological Association (APA) sull'IA nella pratica psicologica sottolineano l'importanza del consenso informato e l'obbligo dei professionisti di valutare criticamente il contenuto clinico generato dall'IA prima di applicarlo.

Un processo di consenso valido dovrebbe includere almeno questi elementi: una spiegazione chiara di cosa fa lo strumento IA; l'identità del fornitore e il paese in cui i dati vengono trattati e archiviati; quali dati vengono conservati, per quanto tempo e chi può accedervi; una dichiarazione esplicita che rifiutare o ritirare il consenso per la documentazione IA non influirà sulla qualità delle cure; un meccanismo che consenta al paziente di ritirare il consenso in qualsiasi momento, con spiegazione di cosa accade ai dati già trattati.

Quest'ultimo punto merita attenzione operativa. Se un paziente ritira il consenso e il fornitore non riesce a dimostrare che i suoi dati sono stati cancellati dai set di addestramento, dai log o dall'infrastruttura di elaborazione, il professionista si trova di fronte a un problema di conformità difficile da risolvere retroattivamente.

Cosa chiedere al fornitore prima di condividere qualsiasi dato

Per i terapeuti europei, il luogo in cui risiedono i dati è un requisito legale vincolante. Il trasferimento di dati personali al di fuori dello Spazio economico europeo (SEE) è consentito solo se sono in atto garanzie specifiche, e la soglia è particolarmente alta per i dati di categoria speciale. Una revisione arXiv del 2025 sui dataset IA per la salute mentale clinica osserva che il GDPR pone limiti rigorosi sull'uso e la condivisione di informazioni sanitarie sensibili, il che complica sia la creazione di dataset rappresentativi sia la distribuzione di strumenti IA in contesti psicoterapeutici.

Prima di scegliere qualsiasi strumento, i professionisti dovrebbero ottenere risposte scritte su questi punti. Dove vengono trattati e archiviati i dati? La trascrizione audio viene eseguita sul dispositivo, su server all'interno dell'UE/SEE o in un paese terzo? È in vigore un Accordo sul trattamento dei dati conforme, che copra oggetto e durata del trattamento, natura e scopo, tipo di dati e categorie di interessati, obblighi e diritti del titolare? Il fornitore possiede la certificazione ISO 27001 o equivalente, ed è stata condotta una valutazione d'impatto sulla protezione dei dati? I dati vengono usati per l'addestramento del modello? In caso affermativo, questo costituisce uno scopo di trattamento separato che richiede una propria base giuridica e, quasi certamente, il consenso esplicito.

Qualsiasi fornitore che sia vago sulla residenza dei dati, o riluttante a fornire un Accordo sul trattamento dei dati scritto, va considerato un rischio significativo per la conformità.

La "terza presenza" nella stanza: impatto clinico degli strumenti IA

Al di là del quadro giuridico, c'è una preoccupazione clinica che non ha una risposta normativa semplice: la presenza di un assistente di documentazione IA, anche se opera silenziosamente in background, modifica la relazione terapeutica?

L'alleanza terapeutica, intesa come la qualità del rapporto collaborativo tra terapeuta e paziente, è uno dei predittori più solidi degli esiti della terapia, indipendentemente dalla modalità. Tutto ciò che incide sul senso di sicurezza percepita dal paziente, o sulla sua disponibilità ad aprirsi, è quindi clinicamente rilevante. Alcuni pazienti, sapendo che le loro parole vengono trascritte da un sistema IA, potrebbero autocensurarsi. Altri potrebbero trovare rassicurante la trasparenza. L'effetto non è uniforme, e i ricercatori non l'hanno ancora studiato a fondo nel contesto specifico degli strumenti di documentazione IA.

La prova empirica più diretta disponibile al momento viene da un contesto adiacente. Uno studio pubblicato su JAMA Psychiatry il 1 marzo 2026, il più ampio fino ad oggi sugli scribe IA ambientali nella documentazione psichiatrica, ha rilevato che, mentre gli scribe IA nell'assistenza primaria aumentavano la documentazione dei sintomi neuropsichiatrici, erano associati a una probabilità significativamente inferiore di intervento psichiatrico documentato rispetto alle visite senza scribe (odds ratio aggiustato 0,83, intervallo di confidenza al 95% da 0,72 a 0,95). Lo studio è stato condotto nell'assistenza primaria, non in contesti di psicoterapia specialistica, e non stabilisce causalità. Rappresenta comunque un'importante cautela contro l'idea che una maggiore documentazione si traduca automaticamente in una migliore assistenza clinica.

I professionisti dovrebbero valutare, prima dell'adozione e su base continuativa, se la presenza dello strumento stia influenzando la rivelazione del paziente o la qualità dell'incontro terapeutico. Questo significa chiedere direttamente ai pazienti la loro esperienza, monitorare i cambiamenti nel contenuto delle sedute ed essere pronti a interrompere l'uso con pazienti specifici quando il giudizio clinico lo suggerisca.

Responsabilità clinica sulle note generate dall'IA e contenuti da trattare con cura

Gli assistenti di documentazione IA non prendono decisioni di documentazione: questa responsabilità resta al clinico. Come chiarisce una spiegazione legale rivolta ai professionisti, una bozza generata dall'IA salvata nel sistema di cartelle cliniche senza revisione diventa il documento del clinico, con lo stesso valore legale e professionale di una nota scritta interamente a mano.

In terapia questo obbligo di revisione è particolarmente rilevante. Il contenuto che può essere opportuno tenere nella mente del terapeuta non è necessariamente opportuno da mettere per iscritto in una nota strutturata, accessibile ad altri operatori sanitari, soggetta a una richiesta di accesso o citabile in procedimenti legali. Quattro categorie richiedono attenzione specifica.

Le rivelazioni di salvaguardia che possono attivare obblighi di segnalazione obbligatoria devono essere documentate con precisione e in conformità con i protocolli locali, non lasciate a una bozza IA. I nomi di persone menzionate dal paziente non dovrebbero in genere comparire nelle note cliniche strutturate. I marcatori di identità sensibili, come orientamento sessuale, identità di genere e stato di immigrazione, richiedono una gestione attenta: la loro presenza in una nota generata dall'IA potrebbe non essere né appropriata né necessaria. Infine, la documentazione di ideazione suicidaria, autolesionismo o rischio per gli altri ha un peso clinico e legale specifico e deve essere scritta o rivista con la corrispondente attenzione.

Di queste quattro, le valutazioni del rischio sono quelle con le conseguenze più gravi in caso di errore. La ricerca che usa l'elaborazione del linguaggio naturale delle note di psicoterapia per la previsione del rischio di suicidio ha dimostrato che il linguaggio nelle note di terapia è clinicamente informativo: ciò che finisce in quella nota, e come viene formulato, influenza concretamente la valutazione clinica. Accettare una bozza IA senza revisione attenta in questo ambito espone il professionista a rischi difficilmente giustificabili.

Obblighi nazionali e classificazione normativa degli strumenti IA

Il GDPR stabilisce un livello di protezione minimo che i singoli Stati membri possono superare con legislazione nazionale più stringente. Diversi paesi europei hanno adottato leggi nazionali che impongono requisiti aggiuntivi. In Germania, gli psicoterapeuti sono soggetti a rigorosi obblighi di segreto professionale (Schweigepflicht) ai sensi del §203 del Codice penale: le violazioni comportano responsabilità penale, anche quando derivano da accordi di trattamento dei dati inadeguati. In Francia, la Commission Nationale de l'Informatique et des Libertés (CNIL) ha emesso linee guida specifiche sul trattamento dei dati sanitari e supervisiona i sistemi IA che li gestiscono. Nei Paesi Bassi, l'Autoriteit Persoonsgegevens applica il GDPR con particolare attenzione ai dati sanitari; i professionisti sono inoltre soggetti alla Wet op de geneeskundige behandelingsovereenkomst (WGBO) e agli obblighi del registro BIG. In Irlanda, la Data Protection Commission è stata attiva nei casi di trasferimento transfrontaliero. In Italia, il Garante per la protezione dei dati personali ha avviato azioni di enforcement contro aziende IA che gestiscono dati sanitari, comprese restrizioni temporanee e sanzioni significative.

C'è poi la questione della classificazione normativa dello strumento stesso. Ai sensi del Regolamento UE sui dispositivi medici (MDR 2017/745), il software è classificato come dispositivo medico se è destinato a uno scopo medico, inclusa la diagnosi, il monitoraggio o il trattamento di malattie. La distinzione pratica è questa: uno strumento che trascrive il parlato e struttura le note senza interpretare il contenuto clinico non è classificato come dispositivo medico. Uno strumento che analizza il contenuto per segnalare il rischio di suicidio, suggerire diagnosi o supportare il processo decisionale clinico probabilmente lo è, ed è in quel caso soggetto a una doppia regolamentazione ai sensi sia del MDR sia del Regolamento UE sull'IA, con corrispondenti obblighi di trasparenza e valutazione della conformità, come osservato in un'analisi peer-reviewed del 2025 pubblicata sull'European Heart Journal – Digital Health. L'analisi del Regolamento UE sull'IA pubblicata su PMC segnala inoltre che l'esclusione prevista dal Considerando 29 per i sistemi IA usati nel trattamento psicologico legale si applica alle pratiche IA vietate, non agli obblighi normativi generali sui sistemi ad alto rischio. I professionisti dovrebbero verificare direttamente con il fornitore la classificazione normativa dello strumento ai sensi di entrambi i quadri regolatori, senza dare per scontata alcuna esenzione automatica.

Checklist pre-adozione: standard minimo di due diligence

I seguenti passaggi rappresentano uno standard minimo prima di introdurre un assistente di documentazione IA in una pratica terapeutica in Europa. Non sono esaustivi: i professionisti dovrebbero integrarli con i consigli della propria associazione professionale e del proprio consulente legale.

Due diligence sul fornitore

• Confermare la residenza dei dati UE/SEE sia per il trattamento che per l'archiviazione

• Ottenere e rivedere un Accordo sul trattamento dei dati firmato prima che qualsiasi dato venga condiviso

• Verificare la certificazione ISO 27001 o una postura di sicurezza equivalente

• Confermare la classificazione normativa dello strumento ai sensi del MDR e del Regolamento UE sull'IA

• Chiarire se i dati della seduta vengono usati per l'addestramento del modello e su quale base giuridica

Consenso e comunicazione con il paziente

• Elaborare un processo di consenso scritto separato dal consenso generale al trattamento

• Assicurarsi che il documento di consenso spieghi cosa fa lo strumento, chi è il fornitore, dove vanno i dati e per quanto tempo vengono conservati

• Confermare che i pazienti possono rifiutare la documentazione IA senza alcun effetto sulla loro cura

• Stabilire un processo chiaro per gestire il ritiro del consenso, comprese le richieste di cancellazione dei dati

Flusso di lavoro di revisione delle note e obblighi normativi

Definire quali parti del contenuto della seduta l'assistente IA è autorizzato a catturare e stabilire un passaggio obbligatorio di revisione e modifica prima che qualsiasi nota generata dall'IA venga salvata nel sistema di cartelle cliniche. Le categorie di contenuto che richiedono particolare attenzione o documentazione manuale vanno identificate e il flusso di lavoro corrispondente va documentato nella politica di protezione dei dati dello studio.

Sul piano normativo: verificare i requisiti nazionali con la propria autorità per la protezione dei dati e l'ordine professionale; condurre una valutazione d'impatto sulla protezione dei dati (obbligatoria ai sensi dell'articolo 35 del GDPR per il trattamento su larga scala di dati di categoria speciale, e fortemente consigliata anche per gli studi più piccoli); notificare il proprio assicuratore di responsabilità professionale e confermare che la documentazione assistita da IA sia coperta dalla polizza. Rivedere regolarmente se la presenza dello strumento stia influenzando la rivelazione terapeutica o la qualità delle sedute, e tenersi aggiornati sugli sviluppi del Regolamento UE sull'IA e delle normative nazionali.

Le linee guida etiche dell'APA chiariscono che l'obbligo di valutare criticamente il contenuto clinico generato dall'IA è un dovere professionale continuo, da esercitare a ogni utilizzo dello strumento. Nel contesto della terapia, dove gli errori di documentazione hanno conseguenze gravi e il contenuto è particolarmente sensibile, questo dovere richiede strutture di revisione robuste e un monitoraggio sistematico nel tempo.

Domande frequenti

▶ Perché la documentazione IA in terapia solleva preoccupazioni diverse rispetto ad altri contesti clinici?

Il contenuto di una seduta può attivare simultaneamente più categorie speciali ai sensi dell'articolo 9 del GDPR in un unico scambio verbale. Nessun altro contesto clinico di routine produce questa sovrapposizione con tale frequenza, il che rende impossibile trattare la documentazione terapeutica come un semplice caso di dati sanitari.

▶ Su quale base giuridica può fare affidamento un terapeuta quando tratta il contenuto della seduta tramite un assistente di documentazione IA?

Le opzioni praticabili sono il consenso esplicito ai sensi dell'articolo 9(2)(a) oppure l'articolo 9(2)(h) combinato con l'articolo 9(3). La scelta tra le due ha conseguenze operative concrete: il consenso esplicito può essere ritirato in qualsiasi momento, mentre la base dell'assistenza sanitaria richiede che il trattamento avvenga sotto la responsabilità diretta di un professionista vincolato al segreto.

▶ Cosa deve includere un processo di consenso valido per la documentazione IA in terapia?

Il documento di consenso deve essere separato dal consenso generale al trattamento e specificare fornitore, paese di archiviazione, durata della conservazione e procedura di cancellazione in caso di ritiro. Preparare in anticipo una risposta scritta alla domanda "cosa succede ai miei dati se cambio idea" riduce il rischio di contestazioni successive.

▶ Quali domande dovrebbe porre un terapeuta a un fornitore di IA prima di condividere qualsiasi dato della seduta?

Chiedere se i dati vengono usati per addestrare il modello è spesso la domanda più trascurata. Se la risposta è affermativa, questo costituisce uno scopo di trattamento separato che richiede una propria base giuridica, quasi sempre il consenso esplicito del paziente, indipendentemente da qualsiasi altro accordo già firmato.

▶ La presenza di un assistente di documentazione IA può influenzare la relazione terapeutica?

Lo studio su JAMA Psychiatry del marzo 2026 (il più ampio fino ad oggi sugli scribe IA ambientali nella documentazione psichiatrica) ha rilevato un odds ratio aggiustato di 0,83 per l'intervento psichiatrico documentato nelle visite con scribe IA. Chiedere direttamente ai pazienti la loro esperienza dopo le prime sedute è il modo più rapido per rilevare un effetto sul proprio contesto specifico.

▶ Chi è legalmente responsabile dell'accuratezza delle note di terapia generate dall'IA?

Il clinico. Una bozza salvata senza revisione nel sistema di cartelle cliniche ha lo stesso valore legale di una nota scritta interamente a mano. Definire per iscritto nella politica dello studio quali passaggi di revisione sono obbligatori prima del salvataggio è la misura più diretta per rendere questo obbligo verificabile.

▶ Quali categorie di contenuto della seduta richiedono particolare attenzione quando si rivedono le note generate dall'IA?

Le valutazioni del rischio suicidario sono la categoria con le conseguenze più gravi in caso di errore. La ricerca sull'elaborazione del linguaggio naturale nelle note di psicoterapia ha dimostrato che il linguaggio usato in quelle note influenza concretamente le valutazioni cliniche successive, il che rende la revisione attenta di questa categoria un obbligo professionale difficilmente delegabile a una bozza automatica.

▶ Il GDPR fornisce una protezione sufficiente per i dati sulla salute mentale trattati da strumenti IA?

Il GDPR stabilisce un minimo. In Germania le violazioni del segreto professionale ai sensi del §203 del Codice penale comportano responsabilità penale, anche quando derivano da accordi di trattamento dei dati inadeguati. Verificare i requisiti aggiuntivi con il proprio ordine professionale prima dell'adozione è quindi parte integrante della due diligence, non un passaggio opzionale.

▶ Quando un assistente di documentazione IA diventa un dispositivo medico ai sensi della legge UE?

La linea di confine pratica è se lo strumento interpreta il contenuto clinico. Trascrivere e strutturare le note non attiva il MDR. Segnalare il rischio di suicidio o suggerire diagnosi quasi certamente sì, con conseguente doppia regolamentazione ai sensi del MDR e del Regolamento UE sull'IA. Chiedere al fornitore la classificazione normativa per iscritto è l'unico modo per verificarlo.

▶ È richiesta una valutazione d'impatto sulla protezione dei dati prima di adottare un assistente di documentazione IA in una pratica terapeutica?

È obbligatoria ai sensi dell'articolo 35 del GDPR per il trattamento su larga scala di dati di categoria speciale. Per gli studi più piccoli non è formalmente obbligatoria, ma condurla comunque serve a identificare in anticipo i rischi residui e a documentare le scelte fatte, il che può risultare determinante in caso di ispezione o reclamo successivo.