Partire dagli usi, non dai marchi
Un’organizzazione può incontrare intelligenza artificiale in strumenti acquistati, funzioni aggiunte a software esistenti, servizi cloud o applicazioni usate informalmente dal personale. Un inventario iniziale dovrebbe indicare sistema e fornitore, scopo previsto, unità utilizzatrice, dati trattati, persone interessate, ruolo dell’organizzazione e presenza di supervisione umana. Non serve attendere un progetto centralizzato per scoprire gli strumenti già in uso.
Il registro è uno strumento gestionale consigliato, non un obbligo generale di inventario formulato in questi termini dal regolamento. Aiuta però a identificare responsabilità, valutazioni necessarie, dipendenze e usi vietati o non approvati. In sanità, distinguere supporto alla scrittura da supporto alla diagnosi o alla priorità di accesso può cambiare radicalmente l’analisi.
Dare contenuto all’alfabetizzazione
L’articolo 4 dell’AI Act, modificato nel 2026, richiede a fornitori e deployer di adottare misure per favorire lo sviluppo dell’alfabetizzazione in materia di IA del personale e delle altre persone che operano per loro conto usando questi sistemi. Le iniziative devono considerare competenze, esperienza, formazione, contesto d’uso e persone interessate. La disposizione non impone di garantire a ogni individuo un livello specifico di alfabetizzazione. La Commissione e gli Stati membri hanno inoltre compiti di sostegno. La formazione va quindi costruita sui ruoli e sugli usi effettivi, affiancando istruzioni e momenti di confronto alle attività didattiche.
Un programma utile distingue chi seleziona e acquista sistemi, chi li configura, chi li usa negli atti amministrativi o clinici e chi controlla gli esiti. Può trattare limiti, dati inseriti, riservatezza, errori, automazione eccessiva, escalation e registrazione degli incidenti. La prova dovrebbe mostrare contenuti, destinatari e aggiornamenti, insieme a istruzioni operative accessibili.
Valutare il rischio senza scorciatoie
L’AI Act usa categorie e regole diverse: pratiche vietate, sistemi ad alto rischio, obblighi di trasparenza e altri sistemi. Non ogni applicazione di IA in sanità è automaticamente ad alto rischio. La qualificazione dipende, tra l’altro, dalla finalità prevista, dalla funzione svolta e dalle condizioni degli allegati. Sistemi che influenzano decisioni sull’accesso a servizi essenziali o che sono dispositivi medici possono richiedere un’analisi specifica; la valutazione non si esaurisce nel nome commerciale del prodotto.
Il ruolo conta: il fornitore e l’organizzazione che utilizza un sistema possono avere obblighi differenti. Prima dell’acquisto, chiedere destinazione d’uso, istruzioni, documentazione, limiti, condizioni di supervisione, aggiornamenti e gestione degli incidenti. Coordinare l’esame con protezione dati, sicurezza, acquisti, personale clinico e responsabili di servizio.
Collegare IA, privacy e decisioni
Se il sistema tratta dati personali, continuano ad applicarsi GDPR e norme pertinenti. Occorre chiarire finalità, base giuridica, categorie di dati, destinatari, conservazione e sicurezza; quando il trattamento può presentare rischio elevato, verificare l’obbligo di DPIA. Un output automatizzato non trasferisce al software la responsabilità organizzativa. Il responsabile del processo deve sapere quando controllare, contestare o non usare il risultato e come motivare la decisione.