Strumenti di documentazione IA nella sanità pubblica europea: cosa devono sapere gli amministratori

Gli strumenti di documentazione assistita da intelligenza artificiale convertono gli incontri clinici parlati in note strutturate, pronte per la revisione del clinico. Per gli amministratori della sanità pubblica municipale europea, valutarli significa muoversi contemporaneamente tra il Regolamento generale sulla protezione dei dati (GDPR), la Legge sull'IA dell'UE, il Regolamento sui dispositivi medici e le norme sugli appalti pubblici. Questo articolo illustra quello che è utile sapere prima di iniziare.

Cosa fanno questi strumenti e perché il contesto municipale è diverso

Gli strumenti di documentazione assistita da IA ascoltano una visita del paziente, trascrivono l'incontro e generano una bozza di nota clinica. Il clinico rivede e approva quella bozza prima che entri nel sistema di cartelle cliniche. Questi strumenti non diagnosticano, non prescrivono e non generano raccomandazioni cliniche: la loro funzione è amministrativa.

In un contesto di sanità pubblica municipale, questo fa una differenza concreta rispetto agli ambulatori di medicina generale o ai reparti ospedalieri. I programmi di comunità, come le visite infermieristiche domiciliari, i follow-up di salute mentale, le sedute di riabilitazione e la gestione delle malattie croniche, producono grandi volumi di documentazione ripetitiva, distribuita su una forza lavoro dispersa che spesso opera in più sedi senza un supporto amministrativo costante. Il vantaggio pratico è la restituzione di tempo al personale clinico.

Le evidenze disponibili sono incoraggianti. Il riferimento più diretto per chi lavora in un contesto municipale rimane il progetto pilota di sei settimane nel Comune di Farsund, Norvegia: venti dipendenti in tre team di assistenza, tempo giornaliero dedicato alla documentazione sceso da circa tre ore a dieci-quindici minuti. Su scala più ampia, uno studio osservazionale condotto nelle strutture Capio/Ramsay Santé in Svezia ha valutato un assistente medico IA su 375.000 note cliniche, riscontrando riduzioni costanti del tempo di documentazione auto-riferito in più livelli di assistenza, con pre-registrazione e adesione alle linee guida SQUIRE. Entrambi gli studi si basano su risultati auto-riferiti: quando possibile, vale la pena incorporare misurazioni oggettive nella progettazione del proprio progetto pilota.

Il quadro normativo: quattro regimi che si sovrappongono

La decisione di sperimentare uno strumento di documentazione IA si colloca all'intersezione di quattro quadri normativi distinti. Ciascuno ha i propri requisiti e i propri referenti interni.

Legge sull'IA dell'UE. Entrata in vigore nell'agosto 2024, la Legge sull'IA dell'UE classifica come ad alto rischio i sistemi usati per diagnosi, decisioni terapeutiche o supporto decisionale clinico che influenza direttamente gli esiti dei pazienti. Uno strumento la cui unica funzione è trascrivere e strutturare incontri clinici, senza generare raccomandazioni, si trova in una posizione diversa. Chiedete ai fornitori una motivazione scritta della classificazione del rischio. Verificate anche che lo strumento non includa funzionalità di supporto decisionale che ne modificherebbero la classificazione: funzionalità aggiuntive introdotte con un aggiornamento potrebbero cambiare la categoria senza preavviso esplicito. La Legge introduce inoltre obblighi di trasparenza: quando i sistemi di IA interagiscono con individui, compresi i pazienti, questi devono essere informati.

GDPR. I dati sanitari sono dati di categoria speciale ai sensi dell'articolo 9 del GDPR. Il loro trattamento richiede una base giuridica ai sensi dell'articolo 6 e una condizione aggiuntiva ai sensi dell'articolo 9: le più comuni sono il consenso esplicito oppure il trattamento necessario per la fornitura di assistenza sanitaria, previsto dall'articolo 9, paragrafo 2, lettera h). Prima di qualsiasi progetto pilota, è obbligatoria una valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'articolo 35, e deve essere firmato un accordo sul trattamento dei dati con il fornitore ai sensi dell'articolo 28 prima di condividere qualsiasi dato. Durante la sperimentazione, verificate che le registrazioni audio non vengano conservate oltre il necessario e che il fornitore non usi i dati dei pazienti per addestrare il modello senza autorizzazione esplicita. Anche il personale le cui voci vengono acquisite è interessato: anche per loro deve essere stabilita una base giuridica.

Regolamento sui dispositivi medici (MDR). L'MDR si applica al software destinato a uno scopo medico. Uno strumento la cui unica funzione è trascrivere e strutturare incontri clinici, senza produrre output che influenzino le decisioni cliniche, generalmente non rientra nella definizione di dispositivo medico. Se invece include funzionalità come la segnalazione di anomalie cliniche o il suggerimento di diagnosi, quelle funzionalità potrebbero farlo rientrare nell'ambito di applicazione dell'MDR. Chiedete ai fornitori una motivazione scritta della classificazione MDR e verificate se lo strumento possiede un marchio CE come dispositivo medico e, in caso affermativo, in quale classe e per quale versione specifica. Lo studio sulle strutture sanitarie svedesi è utile anche su questo punto: lo strumento valutato era marcato CE, il che offre un riferimento concreto per capire come si presenta nella pratica la certificazione del fornitore.

Appalti pubblici. Gli strumenti di documentazione IA acquistati dagli enti municipali sono soggetti alla direttiva 2014/24/UE. Per gli enti sub-centrali, la soglia attuale per i contratti di servizi è di 215.000 euro al netto dell'IVA, cifra da verificare rispetto al più recente regolamento delegato della Commissione. I contratti al di sopra di questa soglia richiedono una procedura di gara formale, pubblicata nella Gazzetta ufficiale dell'UE. Al di sotto della soglia si applicano comunque le norme nazionali, e anche gli appalti sotto soglia dovrebbero seguire un processo competitivo documentato per soddisfare i requisiti di revisione contabile. Le specifiche tecniche devono descrivere requisiti funzionali e di conformità: indicare il prodotto di un singolo fornitore è vietato dalla direttiva. I termini contrattuali devono includere disposizioni chiare sulla proprietà dei dati, clausole di uscita che consentano il recupero dei dati senza costi proibitivi e diritti di verifica per controllare la conformità per tutta la durata del contratto.

Residenza dei dati: cosa confermare prima di firmare qualsiasi accordo

Per la maggior parte degli enti di sanità pubblica europei, il trattamento di dati sanitari al di fuori dell'UE o dello Spazio economico europeo (SEE) non è consentito dai quadri nazionali di protezione dei dati. Questo vale indipendentemente da ciò che il GDPR consente tecnicamente attraverso i meccanismi di trasferimento: diversi Stati membri hanno una legislazione nazionale più restrittiva, e molte politiche di appalto municipale richiedono una conferma esplicita che i dati rimangano all'interno dell'UE.

Prima della sperimentazione, ottenete conferma scritta dal fornitore su dove vengono trattati i dati audio al momento della trascrizione, dove vengono archiviate le note strutturate e per quanto tempo, se sono coinvolti sub-responsabili del trattamento e dove si trovano, e se qualsiasi dato viene trasferito al di fuori dell'UE o del SEE in qualsiasi fase, incluso per l'addestramento del modello o il controllo qualità. I fornitori che usano infrastrutture al di fuori del SEE devono specificare quale meccanismo legale di trasferimento usano, ad esempio le clausole contrattuali standard, e confermare che nessun dato sanitario viene trattato su server extra-SEE nel corso delle normali operazioni.

Lo Spazio europeo dei dati sanitari (EHDS), entrato in vigore nel 2025, introduce un'infrastruttura aggiuntiva per la condivisione transfrontaliera dei dati sanitari all'interno dell'UE. Vale la pena monitorare come l'EHDS interagirà con i requisiti nazionali di residenza dei dati man mano che la sua attuazione procede.

Come strutturare un progetto pilota a basso rischio

Un progetto pilota ben definito riduce l'esposizione normativa, produce evidenze utilizzabili e crea una base solida per una decisione di implementazione che possa essere giustificata. Gli elementi essenziali sono i seguenti.

Limitate l'ambito a un team o sito specifico. Sei-dodici settimane sono sufficienti per raccogliere dati significativi sul tempo di documentazione, sull'esperienza del personale e sulla qualità delle note. Il pilota di Farsund è durato sei settimane e ha prodotto risultati chiari e misurabili.

Concordate i criteri di successo prima dell'avvio: tempo di documentazione per visita, punteggi di usabilità riferiti dal personale, tassi di errore nelle note generate, feedback dei pazienti sull'esperienza di avere lo strumento presente durante la visita.

Le approvazioni di governance devono essere documentate prima dell'avvio. Servono approvazione scritta dal responsabile della protezione dei dati (con DPIA completata), dal responsabile degli appalti (con contratto e accordo sul trattamento dei dati in vigore) e dal responsabile clinico.

Tutto il personale partecipante deve capire come funziona lo strumento, quali sono le proprie responsabilità di revisione e come segnalare eventuali errori. I pazienti devono ricevere una spiegazione chiara in linguaggio semplice, disponibile nelle lingue parlate dalla popolazione servita. Il rapporto dell'Organizzazione mondiale della sanità (OMS)/Europa sull'IA in sanità individua nella formazione della forza lavoro uno dei fattori più importanti per un'implementazione riuscita.

Stabilite in anticipo un piano di uscita che specifichi cosa succede ai dati, alle note e ai diritti di accesso se il progetto pilota viene interrotto o se il rapporto con il fornitore termina prima dell'implementazione completa. Questo passaggio viene rimandato più spesso di qualsiasi altro e genera le difficoltà più difficili da risolvere a posteriori.

Valutazione del fornitore: cosa verificare in modo indipendente

I seguenti elementi devono essere verificati in modo indipendente, non accettati sulla base dei materiali di marketing del fornitore.

• Certificazione ISO 27001, con ambito che copre i sistemi usati per trattare dati sanitari.

• Accordo sul trattamento dei dati conforme all'articolo 28 del GDPR.

• Documentazione di conformità alla Legge sull'IA dell'UE, con classificazione del rischio motivata per iscritto.

• Stato MDR: se viene rivendicato un marchio CE, richiedete la dichiarazione di conformità per la versione specifica che intendete usare.

• Conferma scritta della residenza dei dati in ogni fase del trattamento, inclusi i sub-responsabili.

• Trasparenza sull'addestramento del modello: chiedete esplicitamente se i dati dei pazienti verranno usati per addestrare o perfezionare il modello e, in caso affermativo, qual è la base giuridica.

• Evidenze provenienti da implementazioni in contesti di sanità pubblica o municipale europei, preferibilmente sottoposte a revisione tra pari o pre-registrate.

• Accuratezza linguistica nella o nelle lingue specifiche del vostro personale clinico, inclusi dialetti regionali o terminologia propria del sistema sanitario nazionale.

Quando valutate la qualità delle evidenze presentate dai fornitori, è utile avere un riferimento metodologico solido. Uno studio controllato randomizzato con disegno crossover ha valutato la codifica clinica assistita da IA in Svezia e Norvegia, condotto dal Centro norvegese per la ricerca sull'e-health. La valutazione della codifica clinica è diversa dalla valutazione degli strumenti di documentazione ambientale, ma la sua metodologia offre un termine di paragone utile per giudicare il rigore delle valutazioni che i fornitori vi presentano.

Come allineare i team interni e costruire il caso

Gli strumenti di documentazione IA richiedono in genere l'approvazione di almeno tre funzioni interne: appalti, legale/protezione dei dati e leadership clinica. In contesti municipali, queste funzioni non lavorano abitualmente insieme, e ciascuna ha una preoccupazione principale diversa.

Iniziate con il responsabile della protezione dei dati. La DPIA è un prerequisito per qualsiasi progetto pilota che coinvolga dati sanitari di categoria speciale, e coinvolgerlo prima della selezione del fornitore evita la situazione comune in cui si individua un fornitore preferito che poi non supera la valutazione sulla protezione dei dati. Con la leadership clinica, presentate il caso in termini operativi: i dati di Farsund e dello studio multi-sito svedese offrono cifre concrete per sostenere questa conversazione sul peso della documentazione. Fornite agli appalti un riepilogo chiaro di quali obblighi si applicano e quali responsabilità spettano al fornitore rispetto al comune. Documentate ogni decisione: in un ambiente di appalti regolamentato, la traccia di audit è essenziale.

Uno studio sottoposto a revisione tra pari sull'acquisto di tecnologie sanitarie nei comuni svedesi ha rilevato che l'uso strutturato delle evidenze nelle decisioni di appalto è incoerente e che le linee guida nazionali esistenti non sono sufficienti per aiutare i comuni a prendere decisioni ben fondate. Questa lacuna è reale. Sviluppare capacità di valutazione interna, piuttosto che affidarsi esclusivamente alle evidenze fornite dai fornitori, è la risposta più praticabile nell'attesa che le linee guida migliorino. L'Organizzazione per la cooperazione e lo sviluppo economico (OCSE) ha osservato che la maggior parte dei sistemi sanitari dell'UE non dispone di strutture di rimborso dedicate per gli strumenti di IA e ha indicato gli acquisti collettivi come un meccanismo per garantire un'implementazione equa. I comuni che valutano appalti congiunti con autorità vicine o enti sanitari regionali dovrebbero considerare se questo modello potrebbe ridurre i costi di valutazione e rafforzare la loro posizione negoziale.

Standard emergenti per la valutazione in Europa

L'approccio alla valutazione degli strumenti di documentazione IA in contesti di sanità pubblica è ancora in fase di sviluppo. Il progetto SHAIPED della Commissione europea, avviato nel marzo 2025, sta sperimentando lo sviluppo e la validazione di modelli di IA usando l'infrastruttura HealthData@EU. Il rapporto OMS/Europa pubblicato nell'aprile 2026, basato su dati raccolti da tutti e 27 gli Stati membri dell'UE, ha rilevato che l'81 per cento degli Stati membri sta coinvolgendo attivamente gli stakeholder nella governance dell'IA e che la maggioranza sta già usando strumenti di IA in contesti clinici.

Gli approcci di valutazione più credibili condividono alcune caratteristiche: pre-registrazione dei protocolli; uso di strumenti di usabilità validati insieme a misurazioni basate sul tempo; inclusione di dati sull'esperienza del paziente, non solo del personale; revisione indipendente delle evidenze fornite dai fornitori; comunicazione trasparente dei risultati negativi o delle limitazioni. Lo strumento open-source Berta, implementato in 105 strutture da 198 medici di emergenza tra novembre 2024 e luglio 2025, è l'esempio metodologicamente più solido disponibile oggi. La sua documentazione è pubblica, il che consente un controllo esterno che la maggior parte delle valutazioni commissionate dai fornitori non permette, e rappresenta quindi il riferimento più utile quando si giudica il rigore di ciò che un fornitore presenta.

Il contesto normativo è in rapida evoluzione. Le autorità sanitarie nazionali e le autorità di vigilanza sulla protezione dei dati stanno già pubblicando orientamenti sempre più specifici sull'IA, e ciò che oggi, a metà 2026, rappresenta la migliore pratica potrebbe essere superato da linee guida formali nei prossimi dodici-diciotto mesi. I quadri di valutazione dovrebbero essere progettati con la flessibilità necessaria per adattarsi a questi sviluppi.

Domande frequenti

▶ Cosa fanno effettivamente gli strumenti di documentazione assistita da IA durante una visita di sanità di comunità?

Lo strumento ascolta, trascrive e produce una bozza di nota clinica. Il clinico la rivede e la approva prima che entri nel sistema di cartelle cliniche. La funzione è interamente amministrativa: nessuna diagnosi, nessuna raccomandazione terapeutica.

▶ Quali evidenze esistono per i risparmi di tempo in contesti di sanità pubblica municipale?

Il pilota di Farsund e lo studio Capio/Ramsay Santé su 375.000 note sono i riferimenti più diretti. Entrambi si basano su misurazioni auto-riferite. Incorporate rilevazioni oggettive del tempo nel vostro progetto pilota fin dall'inizio, così i vostri dati saranno più solidi di quelli disponibili in letteratura.

▶ La legge sull'IA dell'UE classifica gli strumenti di documentazione come ad alto rischio?

La classificazione dipende dalle funzionalità effettive. Chiedete al fornitore una motivazione scritta e tenetela aggiornata: un aggiornamento del prodotto che introduce funzionalità di supporto decisionale può cambiare la categoria senza che il fornitore vi avvisi esplicitamente, con conseguenze dirette sugli obblighi di conformità del vostro ente.

▶ Quali obblighi GDPR si applicano prima dell'inizio di un progetto pilota?

La DPIA e l'accordo sul trattamento dei dati ai sensi dell'articolo 28 devono essere completati e firmati prima di condividere qualsiasi dato con il fornitore. Coinvolgete il responsabile della protezione dei dati prima di selezionare il fornitore: scoprire problemi dopo aver scelto il prodotto preferito è la situazione più comune e più costosa da gestire.

▶ Come confermano i comuni che i dati dei pazienti rimangono all'interno dell'UE?

Richiedete conferma scritta per ogni fase: trascrizione audio, archiviazione delle note, sub-responsabili del trattamento e addestramento del modello. Verificate anche i requisiti interni del vostro ente prima di valutare le risposte del fornitore, perché molte politiche di appalto municipale sono più restrittive di quanto il GDPR richieda tecnicamente.

▶ Quando si applica il Regolamento sui dispositivi medici dell'UE a uno strumento di documentazione IA?

La soglia è lo scopo medico dichiarato. Se il fornitore rivendica un marchio CE come dispositivo medico, richiedete la dichiarazione di conformità specifica per la versione che intendete usare: le certificazioni variano tra versioni dello stesso prodotto e una versione precedente certificata non copre automaticamente quella attuale.

▶ Quali norme sugli appalti si applicano quando un comune acquista uno strumento di documentazione IA?

Si applica la direttiva 2014/24/UE. La soglia per gli enti sub-centrali è attualmente 215.000 euro IVA esclusa, ma viene aggiornata periodicamente: verificatela prima di avviare la procedura. Anche sotto soglia, documentate il processo competitivo per soddisfare i requisiti di revisione contabile.

▶ Chi è responsabile se una nota clinica generata dall'IA contiene un errore?

La responsabilità clinica e legale rimane al clinico che approva la nota. Verificate che il contratto lo espliciti e che lo strumento produca una traccia di audit completa con indicazione di chi ha approvato ogni nota e quando. Questi registri sono essenziali in caso di contestazione.

▶ Come dovrebbe un comune strutturare un progetto pilota a basso rischio?

Limitate l'ambito a un team, fissate i criteri di successo prima dell'avvio e ottenete approvazione scritta da protezione dei dati, appalti e leadership clinica. Predisponete anche un piano di uscita che specifichi cosa succede ai dati e alle note se il progetto pilota viene interrotto: è il passaggio che più spesso viene rimandato e che crea i problemi maggiori.

▶ Cosa dovrebbero verificare in modo indipendente gli amministratori quando valutano un fornitore?

Certificazione ISO 27001 con ambito che copre i sistemi sanitari, accordo sul trattamento dei dati conforme all'articolo 28, classificazione del rischio motivata per iscritto ai sensi della legge sull'IA dell'UE, stato MDR documentato e conferma scritta della residenza dei dati per ogni fase. Richiedete evidenze da contesti di sanità pubblica europei comparabili e verificatele in modo indipendente.