AI in sanità, le tre norme che ridefiniscono la responsabilità

Dal 2 agosto 2026, chi usa l’intelligenza artificiale in ambito sanitario in Italia deve fare i conti con tre norme diverse, che si sono aggiunte una all’altra nel tempo:

• il Regolamento europeo sull’IA (AI Act, Regolamento UE 2024/1689),
• la Legge italiana sull’intelligenza artificiale (Legge 23 settembre 2025, n. 132)
• e la Legge Gelli-Bianco (Legge 8 marzo 2017, n. 24) sulla responsabilità sanitaria.

Nessuna delle tre è stata scritta pensando alle altre due. Ma oggi tutte e tre disciplinano la stessa situazione: il medico che decide con l’aiuto di un algoritmo. Per orientarsi nelle cause di responsabilità sanitaria dei prossimi anni, bisogna capire come si combinano.

Responsabilità medica e intelligenza artificiale: gli obblighi dell’AI Act

L’AI Act considera “ad alto rischio” i sistemi di IA usati per diagnosi, supporto alle decisioni cliniche, indicazioni terapeutiche, triage e monitoraggio del paziente. Non è una scelta interpretativa: qualsiasi strumento che opera in questi ambiti rientra automaticamente in questa categoria. Dal 2 agosto 2026 questi sistemi devono rispettare obblighi più stringenti: valutazione di conformità, documentazione tecnica, governance dei dati e, punto centrale, supervisione umana obbligatoria.

Un aspetto tecnico da conoscere: se il software è anche un dispositivo medico, si applicano insieme l’AI Act e le norme sui dispositivi medici (MDR e IVDR), con gli Organismi Notificati chiamati a integrare la valutazione AI Act nelle revisioni MDR/IVDR. Per i dispositivi già certificati CE, la transizione dura fino ad agosto 2027, anche se la Commissione europea, con il pacchetto “Digital Omnibus”, potrebbe allungare ulteriormente questi termini: un fronte ancora instabile.

La Legge 132/2025 nell’uso sanitario dell’intelligenza artificiale

Se l’AI Act detta le regole europee, la Legge 132/2025 — in vigore dal 10 ottobre 2025, prima legge italiana organica sull’IA — le applica in Italia, dedicando alla sanità gli articoli 7, 8, 9 e 10.

L’art. 7 fissa il principio generale: l’IA deve contribuire al miglioramento del sistema sanitario, alla prevenzione, alla diagnosi e alla cura delle malattie, sempre nel rispetto dei diritti e della riservatezza dei dati personali. Gli articoli 8 e 9 intervengono sull’uso dei dati sanitari per la ricerca scientifica, agevolando anonimizzazione, pseudonimizzazione e sintesi previa adeguata informazione all’interessato.

La piattaforma nazionale affidata ad AGENAS

Il vero baricentro operativo, però, è l’art. 10, che introduce l’art. 12-bis nel D.L. 179/2012 e istituisce una piattaforma nazionale di intelligenza artificiale per il supporto alle finalità di cura, in particolare per l’assistenza territoriale. La norma affida ad AGENAS che assume così anche il ruolo di “Agenzia nazionale per la sanità digitale” la progettazione, la realizzazione, la messa in servizio e la titolarità della piattaforma, finanziata dal PNRR e pensata in particolare per la gestione dei pazienti cronici nelle Case della Comunità.

Suggerimenti non vincolanti e titolarità dei dati

Due elementi meritano di essere isolati:

La piattaforma eroga solo “suggerimenti non vincolanti”, la formula ricorre tre volte nel testo di legge, riferita ai professionisti sanitari per la presa in carico della popolazione assistita, ai medici nella pratica clinica quotidiana e agli utenti per l’accesso ai servizi delle Case della Comunità.

AGENAS è titolare del trattamento dei dati raccolti e generati all’interno della piattaforma, e dovrà specificare, previo parere di Ministero della Salute, Garante Privacy e Agenzia per la Cybersicurezza Nazionale, tipi di dati, operazioni consentite e misure di sicurezza adeguate al rischio.

È una scelta giuridica precisa: separare nettamente il piano della responsabilità sul dato (che fa capo ad AGENAS come titolare GDPR) dal piano della responsabilità sulla decisione clinica (che resta in capo al professionista). I due piani non comunicano tra loro nella struttura della legge, e proprio questa separazione è ciò che permette al legislatore di istituire un’infrastruttura pubblica di IA senza al contempo introdurre alcuna forma di responsabilità oggettiva o di manleva a carico dell’ente che la gestisce.

La responsabilità medica nel doppio binario della Legge Gelli-Bianco

L’aspetto più interessante per chi si occupa di contenzioso sanitario non è la coesistenza dei tre livelli, ma il modo in cui si condizionano a vicenda quando nel processo decisionale entra un sistema di IA come quello della piattaforma AGENAS.

Diligenza, tracciabilità e danni da dati

1. Lo standard di diligenza si sposta, non si abbassa. La qualificazione dei suggerimenti come “non vincolanti” (Legge 132/2025) non esclude affatto la rilevanza del mancato utilizzo o del mancato ascolto di uno strumento di supporto validato a livello nazionale. In una logica coerente con l’art. 5 Gelli-Bianco, che ancora le linee guida e le buone pratiche allo standard di diligenza esigibile un domani sarà legittimo chiedersi se la disponibilità di un suggerimento algoritmico qualificato, non seguito e non motivato, incida sulla valutazione della colpa ai sensi dell’art. 1176, comma 2, c.c. Allo stesso tempo, l’affidamento al suggerimento, quando erroneo, non potrà mai scriminare la responsabilità del medico: proprio perché il suggerimento “non vincola”, resta un dovere di validazione clinica autonoma, e la giurisprudenza sulla colpa medica non ammette deleghe della responsabilità decisionale a uno strumento di supporto.
2. La tracciabilità diventa terreno probatorio. L’AI Act impone documentazione tecnica e supervisione umana per i sistemi ad alto rischio; la Legge 132/2025 impone ad AGENAS di specificare le operazioni di trattamento eseguite dalla piattaforma. La somma di questi obblighi produce, in potenza, un corredo documentale che in giudizio potrà essere utilizzato sia dal paziente (per dimostrare che il suggerimento algoritmico era disponibile e corretto, e non è stato seguito) sia dal sanitario convenuto (per dimostrare di aver operato una valutazione critica indipendente, coerente con gli elementi clinici del caso concreto). Chi opera in responsabilità sanitaria dovrà quindi iniziare a considerare, tra gli elementi di causa, anche i log di interazione con la piattaforma — un dato oggi ancora privo di una disciplina processuale specifica sull’acquisizione e sulla conservazione.
3. La responsabilità sul dato resta un binario separato, ma non irrilevante. Se un danno al paziente dipende da un malfunzionamento della piattaforma legato ai dati (per esempio dati clinici non aggiornati o mal trasmessi dai titolari a monte), si applicano le regole sulla responsabilità da trattamento illecito di dati personali e, eventualmente, quelle sulla responsabilità da prodotto difettoso a carico dello sviluppatore tecnologico, un piano che nessuna delle tre leggi coordina espressamente con il doppio binario Gelli-Bianco. È il vero vuoto che il sistema a tre livelli lascia aperto: cosa succede quando responsabilità sanitaria, responsabilità sui dati e responsabilità da prodotto concorrono nello stesso danno.

Responsabilità sanitaria e IA: un impianto ancora da mettere alla prova

L’Italia arriva a questo passaggio con un impianto normativo comparativamente più strutturato di molti altri ordinamenti, dove la responsabilità per l’IA in sanità si costruisce ancora quasi esclusivamente per via giurisprudenziale. I tre livelli AI Act, Legge 132/2025, Gelli-Bianco si tengono insieme attorno a un principio condiviso: l’algoritmo assiste, il professionista decide e risponde.

Ma proprio perché la responsabilità clinica resta ancorata all’uomo, il sistema scarica sul professionista sanitario un onere di valutazione critica che la sola disponibilità di strumenti di IA per quanto istituzionali e validati non riduce, e che anzi rischia di aggravare in assenza di linee guida specifiche su come documentare, in cartella clinica, l’interazione con il suggerimento algoritmico.

Il vero banco di prova dei prossimi mesi sarà il provvedimento attuativo di AGENAS (non ancora pubblicato al momento in cui scrivo) che dovrà specificare tipi di dati, operazioni di trattamento e misure di sicurezza della piattaforma. Solo a valle di quel provvedimento sarà possibile misurare quanto l’impianto a tre livelli riesca davvero a ridurre l’incertezza sul contenzioso, o se finisca per limitarsi a formalizzare, senza risolverlo, il nodo di fondo: chi risponde, in concreto, quando l’algoritmo sbaglia.

Fonti normative

Regolamento (UE) 2024/1689 (AI Act);

Legge 23 settembre 2025, n. 132;

D.L. 18 ottobre 2012, n. 179, art. 12-bis (introdotto dall’art. 10 L. 132/2025);

Legge 8 marzo 2017, n. 24 (Gelli-Bianco), artt. 5, 6, 7;

artt. 1218, 1228, 2043, 1176 c.c.