I programmi di salute comunitaria municipali occupano una posizione distinta nell’erogazione dell’assistenza sanitaria. Sono distribuiti tra scuole, visite domiciliari e ambulatori locali, con personale prevalentemente infermieristico e operatori sanitari di comunità, e rispondono a mandati a livello di popolazione piuttosto che a metriche basate su singoli episodi di cura. Quando l’assistenza alla documentazione tramite intelligenza artificiale (IA, tecnologia che consente ai computer di eseguire compiti che normalmente richiedono l’intelligenza umana) entra in questo contesto, le domande di valutazione che si applicano in uno studio medico o in un reparto ospedaliero non si adattano facilmente a ciò che un comune deve effettivamente valutare. Questa guida delinea un quadro strutturato per gli amministratori della sanità pubblica che affrontano tale valutazione per la prima volta, attingendo agli attuali obblighi normativi europei, alle evidenze di implementazione pubblicate e alle realtà pratiche dell’erogazione dell’assistenza sanitaria comunitaria.

Perché i contesti sanitari municipali richiedono un quadro di valutazione separato

La principale base di evidenze per gli strumenti di documentazione IA in contesti clinici proviene da ospedali di assistenza specialistica e, in misura minore, da studi di medici di base. Entrambi i contesti condividono caratteristiche che non riflettono il funzionamento dei programmi di salute comunitaria: sale di consultazione fisse, infrastrutture informatiche dedicate e clinici con tempo protetto per la documentazione.

L’erogazione dell’assistenza sanitaria comunitaria municipale è tipicamente guidata da infermieri, svolta in molteplici sedi diffuse e strutturata attorno a incontri brevi, spesso informali: un controllo sanitario scolastico, una visita domiciliare a una neo-mamma, una sessione aperta in un centro comunitario. Il personale si sposta frequentemente tra sedi, la connettività è intermittente e la stessa persona può svolgere contemporaneamente le funzioni di clinico, coordinatore dell’assistenza e case manager.

La valutazione dell’Organizzazione Mondiale della Sanità (OMS)/Europa sulla preparazione all’IA negli Stati membri dell’Unione europea (UE) ha rilevato che la preparazione della forza lavoro e le strutture di governance dei dati variano significativamente tra i sistemi sanitari nazionali e i livelli di erogazione sub-nazionali. Gli amministratori municipali non possono presumere che uno strumento validato a livello ospedaliero funzionerà in modo appropriato nel loro contesto.

L’analisi della Commissione europea sulle barriere alla diffusione dell’IA nella pratica clinica identifica quattro categorie distinte di sfide: sfide tecnologiche e relative ai dati, complessità normativa, barriere organizzative e finanziarie, e fattori sociali e culturali. Nei programmi di salute comunitaria municipali, tutte e quattro le categorie si presentano con particolare intensità.

Una revisione sistematica dei fattori di implementazione della sanità digitale in contesti di assistenza primaria, specialistica e domiciliare ha rilevato che il successo della diffusione dipendeva da fattori operanti simultaneamente a livello della tecnologia stessa, del contesto organizzativo esterno, del contesto di erogazione interno e dei singoli professionisti coinvolti. I programmi di salute municipali abbracciano tutti questi livelli in modi che le implementazioni ospedaliere tipicamente non fanno.

Cosa fa effettivamente un assistente di documentazione IA in un contesto di salute comunitaria

Prima che inizi qualsiasi valutazione normativa o di approvvigionamento, gli amministratori necessitano di una definizione funzionale precisa dello strumento in valutazione. Una classificazione errata in questa fase genera errori di conformità a valle difficili da correggere.

Un assistente di documentazione IA in un contesto di salute comunitaria:

• Ascolta una conversazione clinica tra un professionista sanitario e un paziente o un familiare

• Converte il contenuto parlato in testo in tempo reale utilizzando la tecnologia da voce a testo (riconoscimento vocale automatico)

• Genera una nota clinica strutturata o un riepilogo a partire da quella trascrizione

• Riduce l’onere documentale sul clinico automatizzando la creazione delle note

Ciò che non fa, e questa distinzione ha rilevanza normativa, è interpretare i reperti clinici, suggerire diagnosi, raccomandare trattamenti o segnalare rischi clinici. Quelle funzioni definiscono il supporto decisionale clinico, che comporta obblighi normativi diversi sia ai sensi del Regolamento sui dispositivi medici dell’UE (MDR) sia dell’AI Act dell’UE.

Il quadro di The Lancet Primary Care per la categorizzazione delle applicazioni IA nell’assistenza primaria utilizza la tassonomia degli interventi di salute digitale dell’OMS per tracciare precisamente questa distinzione, separando gli strumenti che supportano la documentazione e la comunicazione da quelli che forniscono orientamento clinico. Gli amministratori che confondono le due categorie rischiano di sovraregolamentare uno strumento di documentazione o, più pericolosamente, di sottoregolarne uno che svolge effettivamente funzioni cliniche.

Un test pratico: se rimuovere l’output dello strumento IA da una consultazione lascerebbe invariato il giudizio clinico del professionista, lo strumento sta funzionando come assistente di documentazione. Se invece l’output dello strumento altererebbe ciò che il clinico decide di fare successivamente, sta funzionando come supporto decisionale clinico.

Classificazione MDR: cosa devono determinare per primi gli amministratori municipali

La classificazione ai sensi dell’MDR (Regolamento 2017/745) è la prima determinazione formale che deve essere effettuata prima di qualsiasi decisione di approvvigionamento. Sbagliare questo passaggio espone il comune a responsabilità legali e, cosa più importante, a rischi per la sicurezza del paziente.

La questione centrale è se l’assistente di documentazione IA soddisfi la definizione MDR di dispositivo medico, in particolare se sia destinato alla diagnosi, prevenzione, monitoraggio, trattamento o alleviamento di malattie. Uno strumento che si limita a catturare e strutturare conversazioni cliniche, senza interpretarne il contenuto, generalmente si colloca al di fuori dell’ambito dell’MDR. Uno strumento che genera raccomandazioni cliniche, punteggi di rischio o suggerimenti diagnostici vi rientra.

La convergenza di MDR, Regolamento generale sulla protezione dei dati (GDPR) e AI Act dell’UE significa che anche uno strumento classificato come non-dispositivo può comunque comportare obblighi ai sensi dell’AI Act se è considerato un sistema IA ad alto rischio, ad esempio se viene utilizzato in modo da influenzare decisioni cliniche che riguardano la sicurezza del paziente.

Quando uno strumento è classificato come dispositivo medico:

• Il produttore deve possedere la marcatura CE ai sensi dell’MDR

• Deve essere stata completata una valutazione di conformità, potenzialmente coinvolgendo un Organismo Notificato

• Si applicano obblighi di documentazione tecnica, sorveglianza post-commercializzazione e segnalazione di incidenti

• Il comune, come utilizzatore, assume obblighi specifici come operatore economico

L’analisi delle implicazioni dell’AI Act dell’UE per l’assistenza sanitaria rileva che esiste un collo di bottiglia pratico nella disponibilità di Organismi Notificati con la capacità di valutare dispositivi medici basati su IA. Gli amministratori dovrebbero chiedere direttamente ai fornitori lo stato attuale della loro valutazione di conformità e non presumere che la marcatura CE sia imminente se non è ancora stata concessa.

Gli amministratori dovrebbero richiedere a qualsiasi fornitore:

• Una dichiarazione scritta dello scopo previsto

• Conferma della classificazione MDR e della base per essa

• Documentazione della marcatura CE, se applicabile, o una spiegazione chiara del motivo per cui lo strumento rientra al di fuori dell’ambito MDR

• Evidenza di qualsiasi coinvolgimento di Organismi Notificati

GDPR e residenza dei dati: domande chiave per i comuni che trattano dati dei pazienti

Un assistente di documentazione IA tratta dati personali di categoria speciale ai sensi del GDPR, in particolare dati sanitari relativi a individui identificabili. Questo attiva il livello più rigoroso di obblighi GDPR, e i comuni, in qualità di titolari del trattamento, hanno la responsabilità primaria di garantire che tali obblighi siano rispettati.

Le domande chiave GDPR che gli amministratori municipali devono risolvere prima dell’approvvigionamento sono:

Base giuridica: I programmi di salute comunitaria si baseranno tipicamente sull’articolo 9(2)(h), trattamento necessario per la medicina preventiva o del lavoro, la diagnosi medica o la fornitura di assistenza sanitaria, combinato con l’articolo 6(1)(e) per compito pubblico. Gli amministratori dovrebbero confermare con il proprio Responsabile della protezione dei dati (DPO) che questa base sia adeguatamente documentata.

Accordo sul trattamento dei dati: Quando un fornitore tratta dati dei pazienti per conto del comune, un Accordo sul trattamento dei dati (DPA) conforme all’articolo 28 GDPR deve essere in vigore prima che qualsiasi dato venga trattato. Il DPA deve specificare l’oggetto, la durata, la natura e lo scopo del trattamento, il tipo di dati personali e le categorie di interessati, nonché gli obblighi e i diritti del titolare.

Residenza dei dati: I requisiti di residenza dei dati nell’UE per i dati sanitari sono un filtro significativo per l’approvvigionamento. I comuni dovrebbero richiedere che i dati dei pazienti siano archiviati e trattati all’interno dell’UE o dello Spazio economico europeo (SEE) e dovrebbero ottenere garanzie contrattuali in tal senso. Quando un fornitore utilizza sub-responsabili, ad esempio fornitori di infrastrutture cloud, la posizione di ciascun sub-responsabile deve essere divulgata e valutata.

Trasparenza sui sub-responsabili: I fornitori devono essere in grado di fornire un elenco completo dei sub-responsabili coinvolti nel trattamento dei dati dei pazienti, con le loro posizioni e le garanzie in atto per eventuali trasferimenti al di fuori dell’UE o del SEE.

Minimizzazione e conservazione dei dati: Gli amministratori dovrebbero confermare quali dati lo strumento conserva dopo una consultazione, per quanto tempo e secondo quale politica di cancellazione o anonimizzazione.

Lo Spazio europeo dei dati sanitari (EHDS), entrato in vigore nel 2025, aggiunge un ulteriore livello di obblighi di governance dei dati che i comuni negli Stati membri dell’UE devono considerare nella loro valutazione, in particolare quando i dati dei pazienti possono essere accessibili oltre i confini.

Valutazione della postura di sicurezza del fornitore: quali certificazioni e controlli cercare

La valutazione della sicurezza di un fornitore di assistente di documentazione IA non è un esercizio una tantum. Richiede agli amministratori di valutare sia le certificazioni formali del fornitore sia i controlli pratici che ha in atto.

ISO 27001 è la certificazione di base che gli amministratori dovrebbero richiedere. Dimostra che il fornitore ha implementato un sistema di gestione della sicurezza delle informazioni (ISMS) che è stato verificato in modo indipendente. Gli amministratori dovrebbero chiedere il certificato corrente, il suo ambito e la data dell’audit di sorveglianza più recente.

Oltre a ISO 27001, gli amministratori dovrebbero chiedere direttamente ai fornitori informazioni su:

• Controlli di accesso: Chi, all’interno dell’organizzazione del fornitore, può accedere ai dati dei pazienti, in quali condizioni e con quale tracciabilità?

• Crittografia: I dati sono crittografati in transito e a riposo? Quali standard di crittografia vengono utilizzati?

• Registri di audit: Gli eventi di accesso e trattamento sono registrati e il comune può accedere a tali registri?

• Notifica di violazione: Qual è l’impegno contrattuale del fornitore sui tempi di notifica delle violazioni? Il GDPR richiede la notifica alle autorità di controllo entro 72 ore dalla conoscenza di una violazione, e i fornitori devono essere in grado di supportare tale tempistica.

• Test di penetrazione: Con quale frequenza il sistema viene testato in modo indipendente per vulnerabilità e i rapporti sono disponibili?

• Sicurezza dei sub-responsabili: Quali requisiti di sicurezza impone il fornitore ai suoi sub-responsabili e come viene verificata la conformità?

I requisiti dell’AI Act dell’UE per i sistemi IA ad alto rischio includono obblighi relativi a robustezza, accuratezza e sicurezza informatica che i fornitori di strumenti nell’ambito devono dimostrare attraverso documentazione tecnica. Gli amministratori dovrebbero chiedere se lo strumento è stato valutato ai sensi dell’AI Act e, in tal caso, a quale classificazione di rischio.

I quadri nazionali di sicurezza dei dati sanitari, come quelli gestiti dalle agenzie nazionali di sicurezza informatica in Francia, Germania o Paesi Bassi, possono imporre requisiti aggiuntivi oltre a ISO 27001. I comuni dovrebbero verificare se il proprio quadro nazionale si applica ai sistemi di dati sanitari municipali e se la certificazione del fornitore lo copre.

Adattamento al flusso di lavoro dell’assistenza comunitaria: perché gli strumenti validati in ospedale potrebbero non trasferirsi direttamente

Uno strumento che funziona bene in un ambulatorio ospedaliero o in uno studio medico può funzionare in modo sostanzialmente diverso in un contesto di salute comunitaria. Gli amministratori non dovrebbero considerare le evidenze di validazione ospedaliera o di medicina generale come prova sufficiente di idoneità per l’implementazione nella salute comunitaria.

Le caratteristiche del flusso di lavoro che distinguono l’erogazione della salute comunitaria includono:

• Consultazioni mobili e domiciliari: Il clinico non si trova in un ambiente acustico fisso. Il rumore di fondo, la qualità variabile del microfono e la distanza fisica dal dispositivo influenzano l’accuratezza della trascrizione in modi che gli ambienti clinici controllati non prevedono.

• Connettività intermittente: Molte visite di salute comunitaria avvengono in luoghi con accesso a Internet inaffidabile. Gli amministratori devono determinare se lo strumento richiede connettività continua o può funzionare offline con sincronizzazione alla riconnessione.

• Consultazioni brevi: Gli incontri di salute comunitaria sono spesso più brevi e meno strutturati rispetto agli appuntamenti ospedalieri o di medicina generale, con linguaggio clinico meno prevedibile e più scambio conversazionale.

• Personale multi-ruolo: Gli operatori sanitari di comunità e i visitatori sanitari svolgono frequentemente funzioni che abbracciano valutazione clinica, coordinamento dell’assistenza sociale e monitoraggio della salute pubblica. I modelli di nota dello strumento e l’output strutturato devono riflettere questa ampiezza.

• Dispositivi condivisi o personali: A differenza dei contesti ospedalieri in cui i dispositivi sono tipicamente fissi e gestiti, il personale sanitario comunitario può utilizzare tablet condivisi o dispositivi personali, sollevando ulteriori questioni di sicurezza e controllo degli accessi.

Il quadro di The Lancet Primary Care sottolinea che gli strumenti IA nell’assistenza primaria e comunitaria devono essere valutati rispetto al modello di erogazione effettivo, non a un incontro clinico generalizzato. Gli amministratori dovrebbero chiedere ai fornitori specificamente se lo strumento è stato testato o implementato in contesti di salute comunitaria, visite domiciliari o salute scolastica e richiedere dati sulle prestazioni da tali contesti piuttosto che da ambienti ospedalieri.

Uno studio di implementazione multicentrico del supporto decisionale clinico in diversi contesti di assistenza primaria ha rilevato che la progettazione centrata sull’utente e i test di integrazione del flusso di lavoro erano determinanti critici del successo dell’adozione. Questi risultati si applicano direttamente agli strumenti di documentazione IA nella salute comunitaria.

Ruoli del personale e requisiti di formazione nei servizi guidati da infermieri e nella salute scolastica

La forza lavoro nei programmi di salute comunitaria municipali differisce dai contesti ospedalieri o di medicina generale in modi che influenzano sia i requisiti di formazione sia le strutture di responsabilità. Gli amministratori devono affrontare esplicitamente queste differenze prima dell’implementazione.

Chi utilizzerà lo strumento? Nei servizi guidati da infermieri, nei programmi di visite sanitarie e nei team di salute scolastica, gli utenti principali sono infermieri registrati, visitatori sanitari e operatori sanitari di comunità, non medici. La formazione e la gestione del cambiamento devono essere progettate per questa forza lavoro, non adattate da materiali sviluppati per contesti di medicina generale o ospedalieri.

Formazione tecnica versus costruzione della fiducia: Un’indagine trasversale sui professionisti sanitari sugli strumenti di documentazione IA ha rilevato che la familiarità con gli strumenti IA e la consapevolezza delle politiche istituzionali erano entrambe basse, anche tra i professionisti che lavoravano in contesti in cui gli strumenti IA erano disponibili. La formazione tecnica, che copre come utilizzare lo strumento, è necessaria ma non sufficiente. Il personale ha anche bisogno di esperienza supportata per costruire fiducia nell’output dello strumento e per sviluppare il giudizio critico necessario a identificare quando la nota generata dall’IA non riflette accuratamente l’incontro clinico.

Responsabilità per l’accuratezza delle note: Quando un assistente IA genera una nota clinica, il clinico che ha condotto l’incontro mantiene la piena responsabilità professionale e legale per l’accuratezza di quella nota. Questo deve essere comunicato in modo chiaro e inequivocabile a tutto il personale prima dell’implementazione e integrato nei materiali di formazione. La nota generata dall’IA è una bozza per la revisione del clinico, non un registro finale.

Gestione del cambiamento: La valutazione regionale dell’OMS/Europa identifica la preparazione della forza lavoro come una delle barriere più significative all’adozione dell’IA nei sistemi sanitari della Regione europea. Gli amministratori dovrebbero pianificare un processo strutturato di gestione del cambiamento che includa:

• Consultazione del personale prima dell’implementazione

• Implementazione graduale con early adopter designati

• Meccanismi di feedback continui

• Responsabili clinici nominati per la governance e l’assicurazione della qualità

Qualità e accuratezza delle note cliniche: come valutare prima di implementare

La valutazione dell’accuratezza non è qualcosa che gli amministratori dovrebbero delegare interamente ai fornitori. Un processo di valutazione strutturato pre-implementazione, condotto nel contesto clinico proprio del comune, è essenziale.

Definire cosa significa “accurato” per il proprio contesto. Una nota clinica generata per la visita domiciliare di un visitatore sanitario ha requisiti strutturali diversi da una nota di consultazione di medicina generale o da una lettera di dimissione ospedaliera. Gli amministratori dovrebbero definire in anticipo come appare una nota soddisfacente per ciascun tipo di incontro nel loro programma: quali campi devono essere presenti, quale linguaggio clinico è appropriato e quali omissioni costituirebbero un errore sostanziale.

Condurre un pilota strutturato. Prima dell’implementazione completa, un pilota a tempo limitato con un gruppo definito di personale e un insieme definito di tipi di incontro consente agli amministratori di valutare l’accuratezza nel loro contesto specifico. Il pilota dovrebbe includere:

• Un campione di consultazioni reali attraverso diversi tipi di incontro

• Revisione indipendente delle note generate dall’IA rispetto alle note scritte dal clinico o al ricordo del clinico

• Registrazione strutturata di errori, omissioni e allucinazioni (casi in cui l’IA genera contenuti che non sono stati detti)

• Feedback del personale su usabilità e adattamento al flusso di lavoro

Stabilire soglie di accettazione. Gli amministratori dovrebbero definire, prima che inizi il pilota, quale livello di accuratezza è accettabile e quale tasso di errore attiverebbe una decisione di non procedere. Questo previene la razionalizzazione post-hoc di risultati scadenti.

Stabilire una revisione della qualità continua. L’implementazione non dovrebbe concludere il processo di valutazione dell’accuratezza. Una revisione regolare di un campione di note generate dall’IA, condotta da un responsabile della governance clinica, dovrebbe essere integrata nel quadro di governance del programma fin dall’inizio.

Uno studio randomizzato a cluster belga sul supporto decisionale clinico nell’assistenza primaria ha rilevato che i registri strutturati incompleti erano una causa primaria di bassi tassi di utilizzo del sistema. Questo sottolinea l’importanza di garantire che le note generate dall’IA soddisfino i requisiti di dati strutturati del sistema di cartelle cliniche del comune prima dell’implementazione.

Considerazioni su lingua, dialetto e diversità della popolazione

I programmi di salute comunitaria municipali servono frequentemente popolazioni linguisticamente diverse. Questo è particolarmente vero nei comuni urbani con significative comunità di migranti o rifugiati e nelle regioni con popolazioni di lingue minoritarie. Gli strumenti di documentazione IA che funzionano bene con l’inglese, l’olandese o il tedesco standard parlato possono funzionare in modo sostanzialmente peggiore quando elaborano discorsi con accento, dialetti regionali o code-switching tra lingue.

The Lancet Primary Care identifica l’equità come principio fondamentale per l’integrazione dell’IA nell’assistenza primaria e comunitaria, notando che gli strumenti che funzionano in modo diverso tra i gruppi di popolazione rischiano di amplificare le disuguaglianze sanitarie esistenti piuttosto che ridurle. Per i programmi di salute municipali con un mandato esplicito di salute della popolazione, questa non è una preoccupazione astratta, ma un obbligo di governance.

Gli amministratori dovrebbero chiedere ai fornitori:

• In quali lingue e varianti linguistiche lo strumento è stato validato?

• Qual è il differenziale di accuratezza documentato tra varietà di discorso standard e non standard in quelle lingue?

• Come gestisce lo strumento le consultazioni condotte parzialmente o interamente tramite interprete?

• Qual è la roadmap del fornitore per espandere la copertura linguistica?

I test dovrebbero includere consultazioni con personale e pazienti rappresentativi dell’effettiva diversità della popolazione del comune, non solo del gruppo linguistico maggioritario. Se lo strumento non può dimostrare un’accuratezza accettabile tra i principali gruppi linguistici del comune, non dovrebbe essere implementato nei servizi in cui tali popolazioni sono servite.

Integrazione con i sistemi di cartelle cliniche esistenti e l’IT municipale

L’integrazione tecnica è spesso l’elemento con il tempo di consegna più lungo in un’implementazione di assistente di documentazione IA. Gli amministratori dovrebbero iniziare questa valutazione presto e non trattarla come una questione di implementazione in fase finale.

Le domande chiave sull’integrazione sono:

Compatibilità del sistema di cartelle cliniche: Con quali sistemi di cartelle cliniche lo strumento si integra attualmente e attraverso quale meccanismo? L’integrazione diretta tramite interfaccia di programmazione delle applicazioni (API), HL7 Fast Healthcare Interoperability Resources (FHIR) o connettore proprietario comporta ciascuna una diversa complessità di implementazione e obblighi di manutenzione.

Vincoli dei sistemi legacy: L’analisi della Commissione europea identifica l’infrastruttura dati frammentata e i sistemi legacy come una delle quattro barriere primarie all’implementazione dell’IA nei contesti sanitari europei. Gli ambienti informatici di salute pubblica municipali includono frequentemente sistemi più vecchi che precedono gli standard di interoperabilità moderni. Gli amministratori dovrebbero ottenere una valutazione tecnica chiara se lo strumento IA può operare all’interno della loro infrastruttura esistente o richiede aggiornamenti di sistema come precondizione.

Conformità MyHealth@EU e FHIR: Un tutorial JMIR sulla conformità all’AI Act all’interno del quadro MyHealth@EU descrive la doppia sfida di conformità che affrontano gli implementatori di IA sanitaria: controlli verticali di sicurezza ed etica ai sensi dell’AI Act e requisiti orizzontali di interoperabilità ai sensi di MyHealth@EU utilizzando gli standard FHIR/HL7. I comuni che fanno parte di programmi di scambio di dati sanitari transfrontalieri devono garantire che l’output dello strumento IA sia compatibile con questi standard.

Funzionalità offline: Per i contesti di salute comunitaria con connettività intermittente, gli amministratori devono confermare se lo strumento può acquisire ed elaborare consultazioni offline e come viene gestita la sincronizzazione con il sistema centrale di cartelle cliniche quando la connettività viene ripristinata.

Mappatura del flusso di dati: Prima dell’implementazione, deve essere prodotta e rivista dal DPO una mappa completa del flusso di dati, che mostri dove i dati vengono creati, elaborati, archiviati ed eliminati. Questo è sia un requisito GDPR sia uno strumento pratico di governance.

Approvvigionamento e governance: costruire il caso interno per l’approvazione

L’approvvigionamento municipale di un assistente di documentazione IA coinvolge stakeholder di molteplici funzioni, e la sequenza in cui vengono coinvolti è importante. Gli amministratori che affrontano l’approvvigionamento principalmente come un acquisto tecnologico, piuttosto che come un processo di governance, incontrano tipicamente ritardi e obiezioni che avrebbero potuto essere anticipati.

Gli stakeholder interni che devono essere coinvolti, e la sequenza che riflette una buona pratica di governance, sono:

Responsabile della protezione dei dati: Il DPO dovrebbe essere coinvolto fin dall’inizio, non consultato alla fine. Il DPO deve condurre o supervisionare una Valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 GDPR, che è obbligatoria quando il trattamento è probabile che comporti un alto rischio per gli individui, come nel caso del trattamento IA di dati sanitari su larga scala.

Responsabile della governance clinica: Questa persona deve definire gli standard di qualità clinica che lo strumento deve soddisfare, supervisionare la valutazione pilota e assumersi la responsabilità del processo di revisione dell’accuratezza continua.

IT e sicurezza informatica: Questo team deve valutare la fattibilità dell’integrazione tecnica, l’architettura di sicurezza e la compatibilità con l’infrastruttura esistente prima che una decisione di approvvigionamento sia finalizzata.

Consulenza legale: La consulenza legale deve rivedere i contratti dei fornitori, incluso il DPA, e valutare la posizione di responsabilità del comune ai sensi dell’MDR, dell’AI Act e della legge nazionale applicabile.

Finanza e approvvigionamento: Questa funzione deve garantire che il processo di approvvigionamento sia conforme alle norme applicabili sugli appalti pubblici, che negli Stati membri dell’UE significa tipicamente conformità alla Direttiva sugli appalti pubblici per contratti superiori ai valori soglia.

Rappresentanti del personale clinico: Il personale dovrebbe essere coinvolto nella definizione dei requisiti e nella progettazione del pilota. La valutazione dell’OMS/Europa identifica il coinvolgimento degli stakeholder come determinante chiave del successo dell’adozione dell’IA a livello di sistema. Questo si applica ugualmente a livello di programma.

Il business case per l’approvazione dovrebbe affrontare:

• Riduzione quantificata dell’onere documentale per il personale infermieristico e sanitario comunitario

• Fidelizzazione del personale e riduzione del burnout come argomento di sostenibilità della forza lavoro

• Conformità normativa come obbligo di gestione del rischio, non come miglioramento opzionale

• Costi di implementazione inclusi formazione, integrazione e governance continua

• Rischi del non agire, incluso l’onere documentale continuo e l’associato logoramento del personale

L’iniziativa AICare@EU dell’UE e i finanziamenti EU4Health possono fornire percorsi di co-finanziamento per i comuni negli Stati membri. Gli amministratori dovrebbero verificare i criteri di ammissibilità attuali come parte della valutazione finanziaria.

Una checklist pre-implementazione per gli amministratori sanitari municipali

La seguente checklist consolida le domande chiave di valutazione da ciascuna sezione di questa guida. È progettata come riferimento pratico per gli amministratori che passano dalla valutazione alla decisione di approvvigionamento.

Classificazione normativa

• Il fornitore ha fornito una dichiarazione scritta dello scopo previsto?

• La classificazione MDR è stata determinata ed è documentata la base per tale classificazione?

• Se marcato CE, il certificato corrente è disponibile e all’interno del suo periodo di validità?

• La classificazione dello strumento ai sensi dell’AI Act dell’UE è stata valutata?

GDPR e governance dei dati

• Una DPIA è stata avviata e assegnata al DPO?

• Un DPA conforme è in vigore o pronto per la firma prima del go-live?

• Il fornitore ha confermato la residenza dei dati UE o SEE per l’archiviazione e il trattamento?

• Un elenco completo dei sub-responsabili è stato ottenuto e rivisto?

• Una mappa del flusso di dati è completa e rivista?

Sicurezza

• Il fornitore possiede la certificazione ISO 27001 corrente e il suo ambito copre i sistemi rilevanti?

• I controlli di accesso, la disponibilità dei registri di audit e i tempi di notifica delle violazioni sono stati confermati per iscritto?

• Il fornitore ha divulgato il suo programma di test di penetrazione e reso disponibili i risultati?

• I requisiti del quadro nazionale di sicurezza dei dati sanitari sono valutati e soddisfatti?

Adattamento al flusso di lavoro

• Lo strumento è stato testato o implementato in contesti di salute comunitaria, visite domiciliari o salute scolastica?

• I dati sulle prestazioni sono disponibili specificamente da tali contesti?

• Lo strumento funziona in condizioni di bassa connettività o offline?

• I modelli di nota e l’output strutturato sono appropriati per i tipi di incontro del comune?

Preparazione del personale

• È in atto un programma di formazione progettato per la forza lavoro specifica (infermieri, visitatori sanitari, operatori sanitari di comunità)?

• La responsabilità per l’accuratezza delle note è chiaramente comunicata e documentata?

• È in atto un piano di gestione del cambiamento, inclusi responsabili clinici e meccanismi di feedback?

Qualità delle note cliniche

• Le soglie di accettazione per l’accuratezza sono definite prima che inizi il pilota?

• È in atto un piano pilota strutturato, inclusa la revisione indipendente delle note?

• Un processo di revisione della qualità continua è integrato nel quadro di governance?

Lingua e diversità della popolazione

• Lo strumento è stato validato nelle lingue e nei dialetti presenti nella popolazione del comune?

• L’accuratezza è stata testata con personale e pazienti rappresentativi della popolazione effettiva?

• La gestione delle consultazioni mediate da interprete è documentata e valutata?

Sistema di cartelle cliniche e integrazione IT

• La compatibilità del sistema di cartelle cliniche è confermata ed è documentato il meccanismo di integrazione?

• Una valutazione tecnica dei vincoli dei sistemi legacy è stata completata?

• La compatibilità FHIR/HL7 è confermata dove rilevante per lo scambio di dati transfrontaliero?

Governance interna e approvvigionamento

• Tutti gli stakeholder interni richiesti (DPO, governance clinica, IT, legale, finanza) sono stati coinvolti?

• Il processo di approvvigionamento è conforme alle norme applicabili sugli appalti pubblici?

• Il business case è stato preparato, affrontando sia i guadagni di efficienza sia gli obblighi di gestione del rischio?

Questo quadro struttura la complessità dell’implementazione dell’assistenza alla documentazione IA nei contesti di salute comunitaria municipali in domande valutabili e sequenziate che gli amministratori possono affrontare sistematicamente. L’ambiente normativo tra MDR, GDPR e AI Act dell’UE è genuinamente impegnativo, e le evidenze da tutta la Regione europea dell’OMS suggeriscono che i sistemi sanitari a ogni livello stanno ancora sviluppando la capacità di governance per affrontarlo. Iniziare con un quadro chiaro, piuttosto che con un approccio incentrato sulla tecnologia, è il percorso più affidabile verso un’implementazione che sia sia legalmente solida sia realmente utile per il personale e le comunità che è destinata a servire.

Domande frequenti

▶ Perché i programmi di salute comunitaria municipali necessitano di un quadro di valutazione separato per gli strumenti di documentazione IA?

La maggior parte delle evidenze per gli strumenti di documentazione IA proviene da ospedali e studi di medicina generale, che hanno sale di consultazione fisse, infrastrutture informatiche dedicate e tempo protetto per la documentazione. L’erogazione della salute comunitaria municipale è tipicamente guidata da infermieri, distribuita su sedi diffuse e costruita attorno a incontri brevi e informali come visite domiciliari e controlli sanitari scolastici. Il personale si sposta tra sedi, la connettività è intermittente e la stessa persona spesso agisce contemporaneamente come clinico, coordinatore dell’assistenza e case manager. Uno strumento validato in un contesto ospedaliero non può essere dato per scontato che funzioni in modo appropriato in questo contesto.

▶ Cosa fa effettivamente un assistente di documentazione IA in un contesto di salute comunitaria?

Un assistente di documentazione IA ascolta una conversazione clinica, converte il contenuto parlato in testo utilizzando la tecnologia da voce a testo (riconoscimento vocale automatico) e genera una nota clinica strutturata o un riepilogo a partire da quella trascrizione. Non interpreta i reperti clinici, non suggerisce diagnosi, non raccomanda trattamenti né segnala rischi clinici. Quelle funzioni definiscono il supporto decisionale clinico, che comporta obblighi normativi diversi. Un test pratico: se rimuovere l’output dello strumento lascerebbe invariato il giudizio del clinico, sta funzionando come assistente di documentazione. Se l’output altererebbe ciò che il clinico decide di fare successivamente, sta funzionando come supporto decisionale clinico.

▶ Come si applica il Regolamento sui dispositivi medici dell’UE (MDR) agli strumenti di documentazione IA nella salute municipale?

La questione centrale ai sensi del Regolamento sui dispositivi medici (Regolamento 2017/745) è se lo strumento sia destinato alla diagnosi, prevenzione, monitoraggio, trattamento o alleviamento di malattie. Uno strumento che si limita a catturare e strutturare conversazioni cliniche, senza interpretarne il contenuto, generalmente si colloca al di fuori dell’ambito dell’MDR. Uno strumento che genera raccomandazioni cliniche, punteggi di rischio o suggerimenti diagnostici vi rientra. Quando uno strumento è classificato come dispositivo medico, il produttore deve possedere la marcatura CE, completare una valutazione di conformità e soddisfare gli obblighi di documentazione tecnica e sorveglianza post-commercializzazione. Gli amministratori dovrebbero richiedere una dichiarazione scritta dello scopo previsto e la conferma della classificazione MDR da qualsiasi fornitore prima dell’approvvigionamento.

▶ Quali obblighi GDPR si applicano quando un comune utilizza un assistente di documentazione IA per trattare dati dei pazienti?

Un assistente di documentazione IA tratta dati personali di categoria speciale ai sensi del Regolamento generale sulla protezione dei dati (GDPR), in particolare dati sanitari relativi a individui identificabili. Questo attiva il livello più rigoroso di obblighi GDPR. I comuni che agiscono come titolari del trattamento devono confermare una base giuridica per il trattamento, tipicamente l’articolo 9(2)(h) combinato con l’articolo 6(1)(e) per compito pubblico. Un Accordo sul trattamento dei dati conforme all’articolo 28 GDPR deve essere in vigore prima che qualsiasi dato venga trattato. Gli amministratori devono anche confermare che i dati dei pazienti siano archiviati e trattati all’interno dell’UE o dello Spazio economico europeo, ottenere un elenco completo dei sub-responsabili e delle loro posizioni e documentare le politiche di conservazione ed eliminazione dei dati.

▶ Quali certificazioni e controlli di sicurezza dovrebbero richiedere gli amministratori dai fornitori di documentazione IA?

ISO 27001 è la certificazione di base che gli amministratori dovrebbero richiedere. Dimostra che il fornitore ha implementato un sistema di gestione della sicurezza delle informazioni che è stato verificato in modo indipendente. Oltre a ciò, gli amministratori dovrebbero confermare per iscritto che i dati dei pazienti siano crittografati in transito e a riposo, che l’accesso ai dati dei pazienti all’interno dell’organizzazione del fornitore sia controllato e registrato, che il fornitore possa supportare il requisito GDPR di notificare le autorità di controllo entro 72 ore da una violazione e che i test di penetrazione indipendenti siano condotti regolarmente. I quadri nazionali di sicurezza dei dati sanitari, come quelli gestiti dalle agenzie di sicurezza informatica in Francia, Germania o Paesi Bassi, possono imporre requisiti aggiuntivi oltre a ISO 27001.

▶ Perché uno strumento di documentazione IA validato in ospedale potrebbe funzionare diversamente nei contesti di salute comunitaria?

L’erogazione della salute comunitaria presenta caratteristiche di flusso di lavoro che non esistono nei contesti ospedalieri o di medicina generale. Le visite domiciliari e i controlli sanitari scolastici comportano ambienti acustici variabili, accesso a Internet inaffidabile e conversazioni più brevi e meno strutturate rispetto agli appuntamenti ospedalieri. Il personale svolge frequentemente funzioni cliniche, di assistenza sociale e di salute pubblica all’interno di un singolo incontro. I dispositivi condivisi o personali sollevano ulteriori questioni di sicurezza che i dispositivi ospedalieri fissi non pongono. Gli amministratori dovrebbero chiedere ai fornitori specificamente se lo strumento è stato testato in contesti di salute comunitaria, visite domiciliari o salute scolastica e richiedere dati sulle prestazioni da tali contesti piuttosto che da ambienti ospedalieri.

▶ Chi è responsabile dell’accuratezza delle note cliniche generate dall’IA in un servizio di salute comunitaria guidato da infermieri?

Il clinico che ha condotto l’incontro mantiene la piena responsabilità professionale e legale per l’accuratezza di qualsiasi nota clinica generata dall’IA. La nota generata dall’IA è una bozza per la revisione del clinico, non un registro finale. Questo deve essere comunicato chiaramente a tutto il personale prima dell’implementazione e integrato nei materiali di formazione. La ricerca pubblicata in un’indagine trasversale sui professionisti sanitari ha rilevato che la familiarità con gli strumenti IA e la consapevolezza delle politiche istituzionali erano entrambe basse, anche dove gli strumenti erano disponibili. La formazione tecnica su come utilizzare lo strumento è necessaria, ma il personale ha anche bisogno di esperienza supportata per costruire il giudizio critico necessario a identificare quando una nota generata dall’IA non riflette accuratamente ciò che è accaduto nella consultazione.

▶ Come dovrebbero gli amministratori valutare l’accuratezza dello strumento di documentazione IA prima di implementarlo in un programma di salute comunitaria?

Gli amministratori dovrebbero definire in anticipo come appare una nota soddisfacente per ciascun tipo di incontro nel loro programma, inclusi quali campi devono essere presenti e quali omissioni costituirebbero un errore sostanziale. Dovrebbe quindi essere condotto un pilota a tempo limitato con un gruppo definito di personale e tipi di incontro, con revisione indipendente delle note generate dall’IA rispetto alle note scritte dal clinico o al ricordo del clinico e registrazione strutturata di errori, omissioni e allucinazioni (casi in cui l’IA genera contenuti che non sono stati detti). Le soglie di accettazione per l’accuratezza dovrebbero essere stabilite prima che inizi il pilota, non dopo. La revisione continua della qualità di un campione di note generate dall’IA, condotta da un responsabile della governance clinica, dovrebbe essere integrata nel quadro di governance del programma fin dall’inizio.

▶ Come dovrebbero gli amministratori valutare se uno strumento di documentazione IA può servire popolazioni di salute comunitaria linguisticamente diverse?

I programmi di salute comunitaria municipali servono frequentemente popolazioni con lingue, dialetti e modelli di comunicazione diversi, in particolare nelle aree urbane con significative comunità di migranti o rifugiati. Gli strumenti di documentazione IA che funzionano bene con l’olandese, il tedesco o l’inglese standard parlato possono funzionare in modo sostanzialmente peggiore con discorsi con accento, dialetti regionali o consultazioni condotte tramite interprete. Gli amministratori dovrebbero chiedere ai fornitori in quali lingue e varianti linguistiche lo strumento è stato validato, qual è il differenziale di accuratezza documentato tra discorso standard e non standard e come vengono gestite le consultazioni mediate da interprete. I test dovrebbero includere personale e pazienti rappresentativi dell’effettiva popolazione del comune, non solo del gruppo linguistico maggioritario.

▶ Quali stakeholder interni devono essere coinvolti nell’approvvigionamento di un assistente di documentazione IA per un programma sanitario municipale?

Il Responsabile della protezione dei dati deve essere coinvolto fin dall’inizio e deve condurre o supervisionare una Valutazione d’impatto sulla protezione dei dati, che è obbligatoria ai sensi dell’articolo 35 GDPR quando l’IA tratta dati sanitari su larga scala. Un responsabile della governance clinica deve definire gli standard di qualità, supervisionare il pilota e assumersi la responsabilità della revisione dell’accuratezza continua. I team IT e di sicurezza informatica devono valutare l’integrazione tecnica e la compatibilità dell’infrastruttura. La consulenza legale deve rivedere i contratti dei fornitori e la posizione di responsabilità del comune ai sensi del Regolamento sui dispositivi medici, dell’AI Act dell’UE e della legge nazionale applicabile. Finanza e approvvigionamento devono garantire la conformità alle norme sugli appalti pubblici. I rappresentanti del personale clinico dovrebbero essere coinvolti nella definizione dei requisiti e nella progettazione del pilota fin dall’inizio.