Intelligenza artificiale, il risarcimento danni in Sanità: come l’Europa traccia la via

La Commissione europea ha presentato una proposta di Direttiva – Proposal for a Directive on adapting non contractual civil liability rules to artificial intelligence -per disciplinare la responsabilità civile in caso di danno causato da software che utilizzano sistemi di AI.

La proposta, che andremo a esaminare nel dettaglio, è strettamente collegata con la COM(2021) 206 Proposal for a regulation laying down Harmonized rules on artificial intelligence (oggi ancora in discussione in ambito comunitario – possibile approvazione primavera 2023) in ragione del forte impatto che la stessa avrà nel settore sanitario.

Intelligenza artificiale e Sanità

Oggi, infatti, la piena efficacia del Reg. Ue 2017/47 sui medical device in forza del quale molti più software entrano nella nozione di Medical device, l’importante spinta verso la digitalizzazione dei servizi sanitari prevista del PNRR e il nuovo disegno di sviluppo dell’assistenza territoriale (Decreto Ministero della salute 23 maggio 2022 n. 77) porteranno sicuramente ad un aumento dell’utilizzo di strumenti digitali in ambito sanitario. Molti dei quali, già oggi, utilizzano sistemi di AI.

Quindi il quadro evolutivo della responsabilità civile nei sistemi di AI è destinato ad acquisire un ampio impatto nel nostro ordinamento.

Per cogliere allora la portata della proposta di direttiva sulla responsabilità civile collegata ai sistemi AI, occorre partire dal framework della proposta di regolamento sulla AI per poi analizzare le connessioni tra le due discipline.

In altre parole: occorre partire dalle (future) regole per i software di AI, per poi arrivare alle (future) regole del risarcimento nel caso in cui tali software creino un danno in capo al paziente.

AI ACT, come procede il regolamento UE sull’intelligenza artificiale: il nuovo testo

La proposta di regolamento AI

La proposta di Regolamento sull’Intelligenza artificiale (presentata in aprile 2021) è finalizzata a introdurre una disciplina armonizzata a livello comunitario sull’Intelligenza Artificiale.

La proposta, che è il primo esempio a livello mondiale di disciplina unitaria sull’AI, ha una struttura giuridica simile a quella del Reg. Ue 2017/745 sui Medical Device.

Si tratta infatti di una disciplina basata interamente sul risk approach e sulla implementazione di un sistema di gestione del rischio (art. 9) prevendendo:

• i requisiti che devono essere rispettati dai sistemi di AI ad Alto Rischio (art. 8-14),
• gli obblighi in capo al Provider (art. 16-24),
• quelli in capo al Rappresentante autorizzato (art. 25),
• quelli in capo all’Importatore (art. 26)
• quelli relativi al Distributore (art. 27)
• quelli afferenti all’Utilizzatore professionale (art. 29)

Viene poi disciplinato il sistema di accreditamento e funzionamento degli Organismi notificati (art. 30 all’art. 39), le norme armonizzate (art. 40) e le specifiche comuni (art. 41), nonché in maniera dettagliata i requisiti che dovrà avere il Certificato CE che sarà rilasciato dagli Organismi Notificati dopo aver verificato la sussistenza dei requisiti (art. 44). L’art. 48 prevede  l’apposizione della marcatura Ce sul sistema di AI, con relativa registrazione in specifica Banca dati comunitaria (art. 51 e 60) prima dell’immissione in commercio o messa in servizio cui segue uno strutturato sistema di sorveglianza post commercializzazione e vigilanza sul mercato.

Responsabilità civile dell’intelligenza artificiale: i paletti del nuovo Regolamento Ue

La proposta di direttiva per la responsabilità civile dei sistemi di ai

Partendo dal quadro giuridico disegnato dalla Proposta di regolamento AI, la proposta di direttiva per la responsabilità civile ha come scopo quello di stabilire regole uniformi per il risarcimento dei danni causati da sistemi di IA, definendo in questo modo una protezione più ampia per le vittime (siano esse individui o imprese) ed una maggiore chiarezza circa le diverse responsabilità degli attori.

Più esattamente

• si introduce una presunzione di colpevolezza nel caso in cui siano state violate le norme di progettazione e realizzazione del sistema ai sensi della proposta di regolamento AI
• si facilita l’accesso alle prove nel corso del processo

Vediamo in maniera più approfondita i due punti.

Presunzione di colpevolezza

Vi è una presunzione di colpevolezza in capo al fornitore quando sono dimostrate tutte le seguenti tre condizioni (art. 4 della proposta di direttiva):

1. vi è la violazione di un obbligo di diligenza previsto dal diritto dell’Unione o nazionale direttamente destinato a proteggere dal danno verificatosi; più esattamente vengono violate le previsioni di cui agli art. 9-16 del (futuro) Regolamento AI
2. si può ritenere ragionevolmente probabile che il guasto abbia influenzato l’output prodotto dal sistema di IA o la mancata produzione di un output da parte del sistema di IA;
3. il ricorrente (paziente) ha dimostrato che l’output prodotto dal sistema di intelligenza artificiale o la mancata produzione di un output da parte del sistema di intelligenza artificiale ha causato il danno.

Relativamente al punto 1 si stabilisce poi che fanno scattare la presunzione di colpevolezza le seguenti violazioni della Proposta di Regolamento AI:

• il sistema di IA non risulta sviluppato sulla base di dati di addestramento, convalida e test che soddisfano i criteri di qualità di cui all’ art. 10, par da 2 a 4, del reg. sull’IA – nello specifico tale articolo stabilisce il livello di “qualità dei dati” che vengono utilizzati per l’addestramento dei software e la governance degli stessi;
• il sistema di IA non risulta progettato e sviluppato in modo da soddisfare i requisiti di trasparenza previsti dall’art. art. 13 del Reg. sull’IA – questo obbligo incrocia l’art. 13 del GDPR nonché l’Allegato I punto 23 del MDR come precisato nella linea Guida MDCG 2019-16 Guidance on Cybersecurity for medical devices (in particolare quest’ultima spiega in maniera precisa quali sono le informazioni che devono essere comunicate agli operatori professionali ed ai pazienti);
• il sistema di IA non risulta progettato e sviluppato in modo da consentire una efficace supervisione da parte di persone fisiche durante il periodo in cui il sistema di IA è in uso ai sensi dell’art. 14 del reg. Ue AI – qui si valorizza l’importanza della previsione a livello progettuale ed operativo dell’intervento dell’uomo; in altre parole, pur essendo il sistema di AI un software “intelligente” occorre che l’uomo sia messo nelle condizioni di sorvegliare l’output delle macchine ed intervenire nel caso di necessità;
• il sistema di IA non risulta progettato e sviluppato in modo da raggiungere un adeguato livello di accuratezza, robustezza e sicurezza informatica ai sensi degli art. 15 e 16 lett. a) del Reg.Ue AI – anche qui la previsione incrocia l’art. 5 del GDPR e l’allegato I del MDR;
• non sono state immediatamente intraprese le azioni correttive necessarie per rendere il sistema di IA conforme agli obblighi stabiliti nel Titolo III, Capitolo del reg. ue AI o agli obblighi di ritirpo o richiamo il sistema ai sensi degli art. 16, lettera g), e 21 del reg. Ue AI – qui si valorizza tutto il sistema di controllo e sorveglianza post commercializzazione.

Accesso alle prove nel corso del processo

L’altro elemento (di natura più strettamente processuale, ma di fortissimo impatto pratico ed operativo) riguarda le prove nel corso di un eventuale procedimento di richiesta danno da parte del paziente.

Qui il presupposto da cui parte la disciplina è quello (assolutamente realistico) della difficoltà per il paziente (o consumatore) di raccogliere prove (sufficienti e idonee) atte a dimostrare gli elementi di cui sopra (che fanno scattare la colpevolezza del fornitore di sistema di AI).

Sul punto, l’art. 3 della Proposta di Direttiva stabilisce che ove il paziente non sia in grado di raccogliere tali prove a livello processuale, la proposta consente al paziente danneggiato di chiedere al giudice la disclosure (cioè la produzione processuale) delle prove stesse da parte del fornitore di AI.

Rileva evidenziare che l’obbligo in capo al fornitore di produrre le prove sul funzionamento del sistema di AI dovrà rispettare i principi di necessarietà e proporzionalità.

Inoltre il giudice dovrà tenere conto terrà conto di eventuali atti o documento che siano protetti a livello aziendale ai sensi della direttiva (UE) 2016/943 sulla protezione del know-how riservato e delle informazioni commerciali riservate (segreti commerciali) contro l’acquisizione, l’utilizzo e la divulgazione illeciti adottare le misure specifiche necessarie a preservare la riservatezza (e forse questa sarà anche l’occasione per ragionare in azienda sulla applicazione di questa direttiva, che è di estrema importanza ma che sembra dai più dimenticata).

Conclusioni

La proposta di direttiva è stata appena presentata; solitamente i tempi di approvazione sono di circa due anni. Quindi senza dubbio non possiamo parlare di un testo in vigore.

Ciò non ne toglie la portata. È infatti innegabile la chiarezza il disegno di massima, destinato ad incidere, sin da oggi, sulla progettazione di un software di AI; software che quindi – in particolare in ambito sanitario – dovrà tenere conto dell’intreccio tra il nuovo MDR ( Medical Device Regulation), il GDPR e le linee indicate sia dalla proposta di regolamento sulla AI che dalla proposta di Direttiva sulla responsabilità per danni causati da AI.