La Legge sull’intelligenza artificiale, n.132 del 23 settembre 2025 che ha per oggetto “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, stabilisce per la prima volta un quadro organico che disciplina l’adozione di queste tecnologie anche nel settore sanitario, ponendo particolare attenzione alla protezione dei dati personali.
Tematica di estremo interesse per tutti coloro che si occupano di protezione dei dati personali ed in particolare dei Responsabili della Protezione dei dati (RPD o DPO).
Indice degli argomenti
Il quadro normativo della legge 132 e l’AI Act europeo
Dopo diversi mesi di gestazione ed una serie di modifiche apportate nel corso del lungo iter di adozione legislativa il nostro legislatore ha infatti finalmente adottato delle misure, che si applicano conformemente al Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 (AI Act) per la promozione dell’uso corretto trasparente e responsabile dell’intelligenza artificiale.
Queste consentono, in una dimensione antropocentrica, l’adozione e applicazione dei relativi sistemi e per coglierne, in particolare, le migliori opportunità in ambito di ricerca, sperimentazione, sviluppo, garantendone la vigilanza sui rischi economici e sociali e sull’impatto sui diritti fondamentali, come ad esempio in materia di protezione dei dati personali.
Il testo normativo appena adottato, composto da sei Capi, richiama già sin dal secondo articolo le definizioni proprie dell’AI Act, al successivo articolo 3 rappresenta che “La ricerca, la sperimentazione, lo sviluppo, l’adozione, l’applicazione e l’utilizzo di sistemi e di modelli di intelligenza artificiale per finalità generali avvengono nel rispetto dei diritti fondamentali e delle libertà previste dalla Costituzione e del diritto dell’Unione europea”.
La lettura complessiva del testo della Legge 132 lascia ampio e libero spazio all’introduzione delle tecnologie di intelligenza artificiale, con un indubbio approccio organizzativo che potrà guidare tutti coloro che intendono utilizzarle all’interno dei propri sistemi aziendali, ma una attenta analisi evidenzia che questa è solo l’inizio di un articolato sistema regolatorio, che vedrà l’adozione di una serie di Decreti, Provvedimenti e Linee Guida, ognuno dei quali dovrà tenere conto dei Pareri dell’Autorità Garante Privacy, indispensabili per contemperare il diritto all’innovazione con il rispetto della persona.
Quindi con il 23 settembre scorso è stato avviato il percorso nazionale di applicazione delle tecnologie di Intelligenza Artificiale, ma la completa regolazione dell’uso di tali sistemi non potrà dirsi conclusa sino all’adozione e entrata in vigore di atti successivi di maggior dettaglio che nell’arco di circa un anno di tempo forniranno le indicazioni necessarie anche negli ambiti specifici, come ad esempio quello della pubblica amministrazione o sanitario.
Obiettivi e campo di applicazione della normativa
La legge 132, in vigore il 10 ottobre, è stata adottata anche per facilitare in ambito nazionale la disponibilità e l’accesso a dati di alta qualità per le imprese che sviluppano o utilizzano sistemi di intelligenza artificiale per la comunità scientifica e per favorire la ricerca collaborativa tra imprese, enti di ricerca e centri di trasferimento tecnologico in materia di intelligenza artificiale e incoraggiare la valorizzazione economica e commerciale dei risultati della ricerca, individuando al contempo anche le limitazioni del loro uso in ambito lavorativo, anche da parte delle pubbliche amministrazioni.
Queste sono tenute ad adottare apposite misure tecniche, organizzative e formative finalizzate a garantire un utilizzo responsabile dell’intelligenza artificiale e a sviluppare le capacità trasversali degli utilizzatori.
Tale percorso è già stato avviato, ad esempio, dal Ministero dell’Istruzione e del Merito che con il suo Decreto Ministeriale n. 166 del 9 agosto 2025, previo parere favorevole del Garante della Privacy, rende disponibili le Linee guida per l’introduzione dell’Intelligenza Artificiale nelle istituzioni scolastiche ed abilita un servizio digitale all’interno di una specifica piattaforma, che dovrà essere utilizzata per fornire agli istituti scolastici strumenti e direttive per una didattica innovativa, inclusiva e sicura.
Ma prima ancora l’AGID ha pubblicato, al fine di procedere ad una consultazione pubblica, con la propria Determinazione 17 del 17 febbraio 2025 le “Linee Guida per l’adozione dei sistemi di Intelligenza Artificiale nella Pubblica Amministrazione” nel cui testo il RPD o DPO è citato molte volte come uno degli attori indispensabile nel percorso di introduzione dei sistemi.
Al momento di tali Linee guida, che suggeriscono le modalità di adozione dell’IA nelle PA facendo particolare attenzione agli aspetti di conformità normativa e impatto organizzativo, si è in attesa della versione definitiva, che dovranno tener conto anche del Parere dell’Autorità Garante privacy, e che dovranno essere osservate per aiutare le amministrazione a sfruttare più efficacemente i sistemi di intelligenza artificiale.
Principi guida per l’uso dell’IA nella pubblica amministrazione
Questi comunque devono essere introdotti nella PA quali strumenti e supporto alla propria attività provvedimentale, per incrementare l’efficienza della propria attività, ridurre i tempi di definizione dei procedimenti e aumentare quindi la qualità e la quantità dei servizi erogati,
Ciò può avvenire efficacemente pur nel rispetto, così come previsto dagli articoli 5 e 6 della legge 241 del 1990, dell’autonomia e del potere decisionale del Responsabile del procedimento, che risponde dei provvedimenti e dei procedimenti in cui sia stata utilizzata l’intelligenza artificiale. L’utilizzo dei sistemi di intelligenza artificiale non deve inoltre svolgersi in contrasto con la dignità umana o violare la riservatezza dei dati personali sia dei lavoratori, che devono essere pienamente consapevoli delle tecnologie adottate.
Deleghe al governo e autorità competenti
Per assicurare il rispetto di tali diritti la Legge 132 delega il Governo ad adottare, entro il 10 ottobre del 2026 i decreti legislativi ritenuti necessari a definire, senza obblighi ulteriori negli ambiti soggetti al Regolamento UE 2024/1689 o IA Act, una disciplina organica relativa all’utilizzo di dati, algoritmi e metodi matematici per l’addestramento di sistemi di intelligenza artificiale, con i quali dovranno essere indicati :
- il regime giuridico dell’utilizzo di dati, algoritmi e metodi matematici per l’addestramento di sistemi di intelligenza artificiale, e i diritti e gli obblighi gravanti su chi procede al suddetto utilizzo;
- gli strumenti di tutela, di carattere risarcitorio o inibitorio, e il relativo apparato sanzionatorio per il caso di violazione delle disposizioni di legge.
Per assicurarne l’applicazione e che questa avvenga nel rispetto del Regolamento UE 2024/1689 ) sono designate quali Autorità nazionali per l’intelligenza artificiale l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN).
La prima dovrà promuovere l’innovazione e lo sviluppo dell’intelligenza artificiale, definire le procedure e a esercitare le funzioni e i compiti in materia di notifica, valutazione, accreditamento e monitoraggio dei soggetti incaricati di verificare la conformità dei sistemi di intelligenza artificiale.
La seconda invece è responsabile per la vigilanza, ivi incluse le attività ispettive e sanzionatorie, dei sistemi di intelligenza artificiale, e per la promozione e sviluppo dell’intelligenza artificiale relativamente ai profili di cybersicurezza.
Protezione dei dati e ruolo del Garante privacy
Ovviamente la Legge 132 evidenzia, tra l’altro, che restano fermi le competenze, i compiti e i poteri del Garante per la protezione dei dati personali, visto che i sistemi di intelligenza artificiale devono rispettare i principi del Regolamento UE 2016/679, inclusi liceità, correttezza, trasparenza e minimizzazione dei dati.
Tra i diritti più volte richiamati nell’intero testo della Legge 132, che non mira a individuare nuovi obblighi rispetto a quelli previsti dal regolamento (UE) 2024/1689 per i sistemi e per i modelli di intelligenza artificiale per finalità generali, si evidenziano infatti quelli di protezione dei dati personali e riservatezza, che deve essere assicurata in piena trasparenza a tutti gli interessati, rispettandone la relativa autonomia e potere decisionale.
Al fine di garantire loro il rispetto dei succitati diritti a questi deve essere assicurata, quale precondizione essenziale, la cybersicurezza lungo tutto il ciclo di vita dei sistemi e dei modelli di intelligenza artificiale per finalità generali, secondo un approccio proporzionale e basato sul rischio, nonché l’adozione di specifici controlli di sicurezza, assicurandone la resilienza contro tentativi di alterarne l’utilizzo, il comportamento previsto, le prestazioni o le impostazioni di sicurezza, assicurandone la sorveglianza e l’intervento umano.
Trasparenza e diritti degli interessati
Il legislatore con la Legge 132 ha disposto pertanto che l’uso dei sistemi di intelligenza artificiale deve comunque garantire un lecito e trasparente trattamento dei dati personali e la compatibilità con le finalità per le quali questi sono stati raccolti, in conformità al diritto dell’Unione europea in materia di dati personali e di tutela della riservatezza.
Infatti già all’articolo 4 della Legge 132 “Principi in materia di informazione e di riservatezza dei dati personali” il legislatore prescrive che tutte le comunicazioni agli interessati relative al trattamento dei dati connesse all’utilizzo di sistemi di intelligenza ed in particolare le informative sul trattamento dei dati personali di cui agli articoli 13 e 14 del Regolamento Ue 2016/679 siano rese “..con linguaggio chiaro e semplice, in modo da garantire all’utente la conoscibilità dei relativi rischi e il diritto di opporsi ai trattamenti autorizzati dei propri dati personali”.
Lo stesso articolo pone particolare attenzione sull’accessibilità da parte dei minori di quattordici anni alle tecnologie di intelligenza artificiale ed al relativo trattamento dei dati personali, che richiede lo specifico consenso da parte di chi ne esercita la responsabilità genitoriale.
Intelligenza artificiale nel sistema sanitario
Ma la Legge riveste un interesse particolare per gli operatori del sistema sanitario, in quanto individua misure e prescrizioni specifiche perché nello specifico settore di operatività l’introduzione di tecnologie di intelligenza artificiale avvenga nel pieno rispetto della disciplina in materia di protezione dei dati personali.
E a tal proposito la Vicepresidente dell’Autorità Garante Privacy lo scorso 29 settembre nell’ambito dell’introduzione del Corso di formazione “Privacy in sanità e ricerca: dialoghi con il Garante” ha sottolineato l’importanza del contributo che il RPD o DPO deve fornire al Titolare del trattamento per l’adeguata introduzione nel sistema sanitario di soluzioni di intelligenza artificiale.
A tale specifico contesto operativo infatti la legge dedica ben quattro articoli, dal 7 al 10, con cui viene disciplinato l’uso dell’intelligenza artificiale in ambito sanitario ed il relativo trattamento di dati personali anche particolari di cui all’articolo 9 del regolamento (UE) 2016/679, fra i quali anche quelli di salute, e l’uso in ambito di disabilità, ricerca e sperimentazione scientifica e relativamente al fascicolo sanitario elettronico ed ai sistemi di sorveglianza nel settore sanitario e di governo della sanità digitale.
I sistemi di intelligenza artificiale che sono o saranno utilizzati in ambito sanitario possono costituire un valido supporto nei processi di prevenzione, diagnosi, cura e scelta terapeutica, ma, come noto, devono lasciare al medico la responsabilità della decisione terapeutica.
Tali sistemi ed i dati che sono impiegati per il loro allenamento devono essere affidabili, aggiornati e verificati periodicamente per ridurre, per quanto possibile, il rischio di errori e migliorare la sicurezza dei pazienti, che hanno il diritto di essere informati sull’impiego di tecnologie di intelligenza artificiale.
L’utilizzo di sistemi di intelligenza artificiale nel sistema sanitario non può a tal proposito discriminare o condizionare l’accesso alle prestazioni sanitarie e deve contribuire al miglioramento del sistema stesso, alla prevenzione, diagnosi e cura degli assistiti, rispettandone diritti, libertà e interessi anche per quanto riguarda la protezione dei dati personali.
Fascicolo sanitario elettronico e piattaforma agenas
Per quanto specificatamente riguarda il fascicolo sanitario elettronico e i sistemi di sorveglianza nel settore sanitario e governo della sanità digitale con la legge 132 è stato implementato il testo del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, che all’articolo 12 istituisce il fascicolo sanitario.
Con tale riforma viene previsto che le soluzioni di intelligenza artificiale necessarie a garantire strumenti e tecnologie avanzate nel settore sanitario e a supportare il raggiungimento delle finalità di diagnosi, cura e riabilitazione, prevenzione e profilassi internazionale, studio e ricerca scientifica in campo medico, biomedico ed epidemiologico, programmazione sanitaria, verifica delle qualità delle cure e valutazione dell’assistenza sanitaria e per il riconoscimento di prestazioni assistenziali e previdenziale sono disciplinate con uno o più decreti del Ministro della salute.
A seguito di tali decreti AGENAS, nella sua veste di Agenzia nazionale per la sanità digitale e quale titolare del trattamento dovrà realizzare una piattaforma di intelligenza artificiale per il supporto alle finalità di cura, con particolare riferimento a quella erogata a livello territoriale, che dovrà erogare servizi di supporto ai professionisti sanitari per la presa in carico degli assistiti ed ai medici nella pratica clinica quotidiana con suggerimenti non vincolanti.
La progettazione di tale piattaforma, che dovrà essere alimentata soltanto con i dati strettamente necessari all’erogazione dei suindicati servizi , sarà oggetto di uno specifico provvedimento di AGENAS, sottoposto ai pareri preventivi del Ministero della salute, dell’Agenzia per la cybersicurezza nazionale e del Garante per la protezione dei dati personali, con il quale, valutato l’impatto del trattamento, saranno individuati i tipi di dati trattati e le operazioni eseguite all’interno della piattaforma, nonché le misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio e per tutelare i diritti fondamentali e gli interessi dell’interessato, in coerenza con le disposizioni del regolamento (UE) 2016/679 ed al dettato dell’articolo 2-sexies del Decreto Legislativo 196 del 2003.
Ricerca scientifica e uso secondario dei dati
L’AGENAS è abilitata dalla Legge 132 anche a stabilire e aggiornare, previo parere del Garante per la protezione dei dati personali e tenendo conto di standard internazionali e dello stato dell’arte e della tecnica, Linee guida per le procedure di anonimizzazione di dati personali e per la creazione di dati sintetici, anche per categorie di dati e finalità di trattamento.
Grande attenzione è poi dedicata dalla Legge 132 al trattamento dei dati del citato articolo 9 per finalità di ricerca e sperimentazione, che dovrà essere disciplinato con decreto del Ministro della salute da adottare entro metà febbraio del 2026, previo parere oltre che degli enti ed autorità interessate, in particolare del Garante per la protezione dei dati personali.
Tale decreto dovrà affrontare l’importante tematica dell‘uso secondario dei dati personali anche tramite sistemi di intelligenza artificiale e machine learning, inclusi la costituzione e l’utilizzo di spazi speciali di sperimentazione a fini di ricerca, svolto da soggetti pubblici e privati senza scopo di lucro o dagli Istituti di ricovero e cura a carattere scientifico (IRCCS).
La legge 132 infatti stabilisce che tale uso per finalità di prevenzione, diagnosi e cura di malattie, sviluppo di farmaci, terapie e tecnologie riabilitative, realizzazione di apparati medicali, salute pubblica, incolumità della persona, salute e sicurezza sanitaria nonché studio della fisiologia, biomeccanica e biologia umana anche in ambito non sanitario, se necessario per la realizzazione e utilizzo di banche di dati e modelli di base, viene dichiarato di rilevante interesse pubblico.
Ciò in attuazione degli articoli 32 e 33 della Costituzione e nel rispetto di quanto previsto dall’articolo 9, paragrafo 2, lettera g), del regolamento (UE) 2016/679, che statuisce “il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”.
Il Decreto di inizio 2026 dovrà regolare anche l’uso secondario di dati personali privi degli elementi identificativi diretti, anche appartenenti alle categorie indicate all’articolo 9 del regolamento (UE) 2016/679, per fini di ricerca, visto che la Legge del 23 settembre prevede che sia sempre consentito, previa informativa all’interessato ai sensi dell’articolo 13 del Regolamento UE 2016/679, il trattamento dei dati personali già utilizzati per fini di ricerca per finalità di anonimizzazione, pseudonimizzazione o sintetizzazione per un loro successivo riutilizzo.
Misure di accountability e comunicazione al garante
I trattamenti di dati personali, eseguiti nell’ambito di progetti per la ricerca e la sperimentazione scientifica nella realizzazione di sistemi di intelligenza artificiale in ambito sanitario e per finalità di prevenzione, diagnosi e cura di malattie, potranno essere avviati solo a fronte di una serie di misure organizzative e tecniche che, nell’ambito del percorso di accountability dei Titolari del trattamento, devono essere adottati e comunicati preliminarmente all’Autorità Garante.
A questa, infatti, dovranno essere comunicate per ogni iniziativa tutte le informazioni previste da una serie di articoli del Regolamento UE 2016/679
Tra queste in particolare dovranno essere indicate quelle adottate a seguito:
- dell’articolo 24, secondo il quale il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al Regolamento con l’attuazione di politiche adeguate in materia di protezione dei dati -dall’articolo 25, che dispone, tenendo conto dello stato dell’arte e dei costi di attuazione, natura, ambito di applicazione, contesto e finalità del trattamento, e dei rischi del trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso siano messe in atto misure tecniche e organizzative adeguate per attuare in modo efficace i principi di protezione dei dati e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del Regolamento e tutelare i diritti degli interessati e garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento; -dell’articolo 28, che dispone che i soggetti individuati come Responsabili del trattamento devono essere scelti tra coloro che presentano garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti di legge e garantisca la tutela dei diritti dell’interessato; -dell’articolo 32, che prevede l’attivazione di misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio adottate, tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche dal titolare del trattamento e dal responsabile del trattamento; -dell’articolo 35, che prevede l’elaborazione da parte del Titolare della valutazione preliminare di impatto del trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche.
La comunicazione suindicata, che ovviamente è un impegno essenziale per il Titolare e che vedrà come supporto fondamentale la consulenza e le indicazioni metodologiche del RPD o DPO, non è un mero adempimento formale, perché le attività di trattamento potranno essere avviate decorsi trenta giorni dalla predetta comunicazione, periodo nel quale l’Autorità Garante per la protezione dei dati personali, visti i propri poteri ispettivi, interdittivi e sanzionatori, può disporne il blocco con apposito provvedimento.
Prospettive future e ruolo del DPO
Quindi, una volta completato il quadro regolatorio sarà possibile utilizzare a pieno regime i sistemi di intelligenza artificiale, adottando le misure di protezione dei dati delle persone coinvolte, che rischierebbero altrimenti di vedere violati i propri diritti, ipotesi nella quale l’Autorità dovrà intervenire.
Ma, essendo più che attuale già al momento l’uso di tali tecnologie, sorge spontanea la riflessione su come e se le relative misure di sicurezza debbano essere comunque oggetto di comunicazione, anche se tardiva, all’Autorità di controllo, al fine di un controllo, sia pure successivo sulla loro adeguatezza, in assenza della quale potrebbe essere sottovalutata la necessità di proteggere appropriatamente le informazioni degli interessati più fragili, quelli che si rivolgono alle strutture sanitarie per ricevere da queste diagnosi e cure.
Anche in questo caso, anche se solo in via transitoria, sarebbe certamente auspicabile un intervento chiarificatore del Garante Privacy, così da guidare ancora una volta i Titolari del trattamento nell’impegnativo compito di tenere allineati innovazione tecnologica e rispetto delle persone.
