Il 26 marzo 2029 rappresenta una data particolarmente rilevante nel percorso di attuazione della disciplina europea sui dati sanitari. Da quel momento, il regolamento relativo all’infrastruttura HealthData@EU diventerà pienamente applicabile e il riuso secondario dei dati sanitari, previsto dal Regolamento (UE) 2025/327, dovrà tradursi in un sistema concretamente operativo, fondato su piattaforme comuni, punti di contatto nazionali e ambienti sicuri di trattamento.
Per chi si occupa di intelligenza artificiale in ambito sanitario, si tratta di un passaggio decisivo. Sarà infatti in questa fase che si potrà verificare se il nuovo quadro europeo sarà realmente in grado di favorire l’accesso a dati sanitari di qualità per lo sviluppo e l’addestramento dei modelli di IA, riducendo il divario rispetto a Stati Uniti e Cina, senza però sacrificare le garanzie necessarie a tutelare le informazioni particolarmente delicate.
Indice degli argomenti
EHDS e intelligenza artificiale sanitaria: il valore dei dati europei
Gli algoritmi di apprendimento automatico utilizzati nella diagnostica, nella medicina predittiva o nella ricerca farmacologica hanno un elemento in comune: la loro efficacia dipende non solo dalla quantità dei dati disponibili, ma soprattutto dalla loro varietà e rappresentatività.
Un modello addestrato esclusivamente sui pazienti di un singolo ospedale tende inevitabilmente a riflettere le caratteristiche epidemiologiche, demografiche e organizzative di quel contesto. Il rischio è che le sue prestazioni si riducano quando viene applicato a popolazioni diverse. Si tratta di un limite difficilmente superabile dal singolo titolare del trattamento ed è proprio su questo terreno che HealthData@EU può assumere un ruolo rilevante, mettendo in connessione i cataloghi nazionali dei dataset e quelli dei soggetti autorizzati all’interno di un catalogo europeo interrogabile.
Un aspetto particolarmente importante, che rischia di passare in secondo piano se si guarda all’EHDS soltanto come a un nuovo insieme di adempimenti, è che il regolamento non determina automaticamente l’accesso ai dati. Costruisce, piuttosto, un’infrastruttura di collegamento e scambio delle informazioni, senza trasferire alla piattaforma centrale la valutazione sostanziale delle richieste di accesso.
La piattaforma gestita dalla Commissione amplia quindi le possibilità di individuare e raggiungere i dati disponibili, ma non sostituisce le decisioni degli organismi nazionali competenti con riguardo all’accesso ai dati sanitari. Per chi oggi progetta attività di addestramento di sistemi di IA su base transfrontaliera, questa distinzione è essenziale: l’infrastruttura rende possibile l’accesso, ma la decisione sull’utilizzo dei dati resta affidata alle autorità competenti.
HealthData@EU, una governance comune per i progetti di IA sanitaria
La novità più significativa rispetto al passato sta nella combinazione di due elementi che difficilmente riuscivano a convivere: la dimensione transnazionale e un quadro di governance comune.
Prima di HealthData@EU, un progetto di ricerca interessato, ad esempio, a utilizzare dati oncologici provenienti da più Stati membri doveva confrontarsi separatamente con le diverse autorità nazionali, seguendo procedure, tempi e criteri non sempre omogenei. Il nuovo assetto introduce invece un sistema standardizzato di verifica della conformità, che riguarda tra l’altro i requisiti giuridici, la capacità tecnica, la sicurezza e la continuità operativa. Una volta completato positivamente questo percorso, il soggetto può collegarsi stabilmente all’infrastruttura e presentare richieste di accesso che vengono indirizzate ai soggetti competenti.
La qualifica di partecipante autorizzato
Per le infrastrutture di ricerca sanitaria istituite sulla base del diritto dell’Unione, l’accesso alla qualifica di “partecipante autorizzato” richiede quindi una domanda, una verifica iniziale di conformità e una decisione dello Steering Group. Si tratta di un percorso certamente più articolato di una semplice registrazione, ma anche più strutturato e prevedibile rispetto alla negoziazione di accordi bilaterali per ogni singolo progetto.
Questo è probabilmente uno degli aspetti più interessanti del nuovo sistema: l’EHDS non elimina la complessità, ma tende a concentrarla nella fase iniziale di qualificazione e nei successivi controlli periodici, invece di riproporla integralmente per ogni progetto di ricerca o di addestramento di sistemi di IA.
Per gli operatori che intendono lavorare stabilmente su progetti transfrontalieri, investire fin da subito nel percorso di qualificazione può quindi tradursi in una maggiore capacità di operare nel tempo all’interno dell’infrastruttura europea, evitando di dover ricostruire ogni volta da zero il quadro di compliance.
Ambienti sicuri dell’EHDS per addestrare i modelli di IA
Un secondo aspetto particolarmente rilevante riguarda gli ambienti di elaborazione sicura previsti dall’articolo 75, paragrafo 9, del regolamento EHDS. Il dato sanitario utilizzato per finalità di addestramento non viene trasferito liberamente al di fuori di un perimetro controllato. Quando mette a disposizione un ambiente sicuro, la Commissione tratta esclusivamente le categorie di dati necessarie a dare esecuzione a un permesso già rilasciato oppure a produrre risultati in forma statistica anonimizzata. I punti di contatto nazionali o i partecipanti autorizzati che rendono disponibili i dati operano come contitolari del trattamento, mentre la Commissione agisce in qualità di responsabile.
Per chi sviluppa sistemi di intelligenza artificiale, questo comporta un cambio di impostazione significativo. Il problema non è più soltanto individuare dove trasferire i dati, ma progettare soluzioni che consentano di eseguire le attività di elaborazione all’interno dell’ambiente nel quale i dati restano custoditi. È una logica che richiede competenze e architetture diverse rispetto ai tradizionali modelli di gestione distribuita dei dati.
La tracciabilità degli accessi e delle attività esplorative
Un altro elemento centrale è rappresentato dalla tracciabilità degli accessi e degli scambi. Ogni utilizzo di dati personali attraverso l’infrastruttura deve essere registrato, indicando almeno i soggetti coinvolti, le categorie di dati trattate e le relative finalità, secondo specifiche tecniche definite dalla Commissione in coordinamento con lo Steering Group.
Per le organizzazioni che intendono addestrare modelli su dati reali, ciò significa dover progettare fin dall’inizio processi pienamente verificabili e ricostruibili, nei quali ogni accesso ai dati lasci una traccia. Questo vale anche per le attività esplorative svolte dai data scientist e rappresenta un cambiamento non marginale rispetto a prassi ancora diffuse nei team di machine learning, dove l’accesso ai dati nelle fasi iniziali di sperimentazione può essere meno strutturato.
Ruoli e responsabilità nell’EHDS per l’IA sanitaria
Il regolamento distingue in modo puntuale le responsabilità dei contitolari e quelle del responsabile del trattamento, riferendole alle singole attività svolte nell’ambito dell’infrastruttura e non all’infrastruttura nel suo complesso.
Per un ospedale o per un altro soggetto che partecipa a un progetto transfrontaliero di addestramento di sistemi di IA, questo comporta una serie di conseguenze organizzative concrete: occorre individuare un punto di contatto per le interlocuzioni con gli altri contitolari, assicurare che le istruzioni siano documentate e coordinate e gestire, per quanto di propria competenza, le richieste degli interessati relative all’esercizio dei loro diritti.
Ciò non va inteso soltanto come un ulteriore adempimento formale. Viene individuato invece un modello che richiede una governance del dato più strutturata e l’individuazione di responsabilità specifiche che, in molte organizzazioni sanitarie italiane, non sono ancora pienamente definite. Si tratta inoltre di funzioni che non coincidono necessariamente né con quelle del responsabile della protezione dei dati né con quelle delle strutture IT.
Infrastruttura EHDS, aggiornamenti e investimenti nell’IA sanitaria
Un ulteriore aspetto da considerare riguarda il modo in cui il regolamento disciplina l’evoluzione tecnica dell’infrastruttura, distinguendo tra major release e minor release. Le modifiche che richiedono adeguamenti dei sistemi degli enti collegati sono sottoposte a una decisione dello Steering Group e prevedono tempi di implementazione definiti, mentre gli aggiornamenti che non richiedono interventi da parte degli enti connessi possono essere gestiti direttamente dalla Commissione, secondo le procedure previste.
Per chi programma progetti di addestramento di sistemi di IA destinati a svilupparsi su più anni, il punto è rilevante: HealthData@EU non deve essere considerata come un’infrastruttura destinata a rimanere invariata nel tempo. Sarà quindi necessario prevedere attività periodiche di adeguamento tecnico e organizzativo, che prevederanno certamente anche le relative risorse economiche, per mantenere i sistemi allineati alle successive evoluzioni dell’infrastruttura. Questo è un elemento che dovrà essere considerato fin dalla fase di pianificazione degli investimenti in IA sanitaria.
EHDS tra accesso ai dati sanitari e fiducia dei cittadini
L’equilibrio che il nuovo quadro normativo deve raggiungere è particolarmente delicato. Da un lato, è necessario garantire un livello elevato di tutela, attraverso controlli periodici di conformità, ambienti di elaborazione sicura, sistemi di tracciamento degli accessi e una chiara distribuzione delle responsabilità. Dall’altro, occorre evitare che questi requisiti diventino così onerosi da rendere l’accesso all’infrastruttura concretamente possibile solo per i soggetti più grandi e strutturati.
Infatti, qualora gli adempimenti tecnici e organizzativi risultassero eccessivamente complessi per ospedali, enti di ricerca o operatori di dimensioni medio-piccole, il rischio sarebbe quello di concentrare l’utilizzo dei dati sanitari europei in capo a pochi grandi centri universitari o consorzi già dotati di strutture di compliance consolidate. Si verrebbe così a creare, anche nel settore sanitario, una distanza tra grandi e piccoli operatori simile a quella che già caratterizza altri ambiti dell’intelligenza artificiale.
Sul versante opposto, un sistema di garanzie applicato in modo troppo debole o non uniforme tra gli Stati membri potrebbe compromettere la fiducia dei cittadini nel riutilizzo dei dati sanitari. Una perdita di fiducia potrebbe tradursi in una maggiore propensione all’esercizio dei diritti di opposizione o di opt-out, laddove previsti, con il rischio di ridurre proprio quella disponibilità ampia e rappresentativa dei dati che costituisce uno degli obiettivi principali dell’EHDS.
Cooperazione europea, controlli ed enforcement
Uno degli obiettivi precipui del Regolamento è volto ridurre questo rischio anche attraverso meccanismi di cooperazione tra le autorità competenti. In particolare, lo scambio di informazioni sulle misure di enforcement consente agli organismi di accesso ai dati sanitari di conoscere le sanzioni e gli interventi adottati negli altri Stati membri e di coordinare le proprie attività.
Nel caso, auspicabile, questo sistema possa funzionare in modo efficace e omogeneo, esso potrà avere un valore non soltanto sul piano dei controlli, ma anche su quello della fiducia. La possibilità di dimostrare che l’accesso e il riutilizzo dei dati sono sottoposti a verifiche reali, coordinate a livello europeo e accompagnate da conseguenze effettive in caso di violazione può diventare, infatti, un elemento importante anche nella comunicazione verso i cittadini e i pazienti.
Compliance e intelligenza artificiale sanitaria verso il 2029
L’EHDS può rappresentare una leva importante per lo sviluppo dell’intelligenza artificiale sanitaria europea, ma a una condizione: le organizzazioni devono iniziare a considerare la compliance non solo come un adempimento da affrontare nella fase finale dei progetti, ma come una componente da integrare fin dall’inizio nella loro progettazione.
Il regolamento relativo all’infrastruttura HealthData@EU rende questo aspetto particolarmente evidente. Gli investimenti in capacità di calcolo, competenze di data science e sviluppo degli algoritmi dovranno procedere insieme alla costruzione di processi organizzativi, tecnici e giuridici coerenti con il nuovo quadro europeo.
Non sfuggirà che i soggetti che riusciranno ad avviare per tempo i percorsi necessari per operare come partecipante autorizzato, progettare sistemi di addestramento compatibili con gli ambienti di elaborazione sicura e definire in anticipo ruoli e responsabilità nel trattamento dei dati, potrà affrontare il 2029 con un livello di preparazione maggiore rispetto a chi interverrà solo quando il nuovo sistema sarà pienamente operativo e dovrà essere integrato con le ulteriori attività di compliance.
È forse questo uno degli aspetti più interessanti del modello europeo: regole più articolate possono certamente rendere più complesso l’accesso ai dati, ma possono anche offrire un quadro più prevedibile e verificabile. Nel settore sanitario, nel quale la fiducia dei professionisti e dei pazienti rappresenta una condizione essenziale per l’adozione delle nuove tecnologie, questa maggiore affidabilità potrebbe diventare uno degli elementi distintivi e leva di sviluppo dell’intelligenza artificiale Europea.
Partecipa alla community