Si può usare l’AI per lettere di dimissione e referti? Le regole per le strutture sanitarie

Se dirigete una casa di cura, un poliambulatorio o un laboratorio privato e un medico vi chiede di usare l’intelligenza artificiale per preparare le lettere di dimissione, riassumere una cartella o spiegare un referto, la domanda da farsi non è se l’AI scrive bene. È dove vanno i dati dei pazienti mentre lavora, e chi firma quello che scrive. Su tutte e due le cose le regole ci sono già, e sono strette.

Si trattano per curare, non per spedirli

Per il GDPR i dati relativi alla salute sono quelli «attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute» (art. 4, punto 15). Trattarli è vietato, salvo eccezioni (art. 9). Quella che riguarda voi è la cura: il divieto non si applica quando il trattamento serve per «diagnosi, assistenza o terapia sanitaria», se i dati sono trattati «da o sotto la responsabilità di un professionista soggetto al segreto professionale» (art. 9, paragrafo 2, lettera h, e paragrafo 3).

La struttura può quindi usare quei dati per curare. Il problema nasce quando li affida a qualcun altro. Un fornitore che li tratta per conto vostro deve essere legato da un contratto scritto che dica che cosa può farne (art. 28). Un medico che incolla una cartella nel chatbot del suo account personale consegna i dati di un paziente a un fornitore senza quel contratto: è il caso descritto in che cosa controllare prima di caricare documenti su ChatGPT, con dati molto più delicati.

Il Garante lo ha già detto a chi usa i chatbot

Il 30 luglio 2025 il Garante ha definito «un fenomeno allarmante» l’abitudine di caricare «analisi cliniche, radiografie e altri referti medici» sulle piattaforme di AI generativa. I rischi sono due: la «perdita di controllo su dati sanitari di straordinaria importanza per le persone», e le indicazioni sbagliate di strumenti non progettati per quello scopo e non messi a disposizione come dispositivi medici dopo i test e i controlli previsti. L’avviso era per chi usa quelle piattaforme; per chi cura vale di più. E il Garante ricorda l’importanza di garantire sempre «un’intermediazione umana qualificata nell’elaborazione dei dati sanitari tramite sistemi di IA».

La legge italiana: l’AI aiuta, decide il medico

Dal 10 ottobre 2025 la legge 132/2025 lo scrive per la sanità (art. 7). I sistemi di AI «costituiscono un supporto nei processi di prevenzione, diagnosi, cura e scelta terapeutica, lasciando impregiudicata la decisione, che è sempre rimessa agli esercenti la professione medica» (comma 5). Devono essere «affidabili, periodicamente verificati e aggiornati al fine di minimizzare il rischio di errori e migliorare la sicurezza dei pazienti» (comma 6). E il paziente va informato: «l’interessato ha diritto di essere informato sull’impiego di tecnologie di intelligenza artificiale» (comma 3).

Per una lettera di dimissione, in pratica: l’AI prepara la bozza, il medico la legge, la corregge e la firma. Un sì dato senza leggere non è una decisione, come abbiamo spiegato in chi decide davvero quando l’AI prepara e una persona approva.

Prima di accenderla: la valutazione d’impatto

Il GDPR chiede una valutazione d’impatto quando un trattamento può presentare un rischio elevato per le persone (art. 35). Nell’elenco dei casi in cui va fatta, il Garante ha messo i trattamenti con tecnologie innovative, «sistemi di intelligenza artificiale» compresi, quando c’è anche un altro dei criteri delle linee guida europee, fra i quali i dati sensibili; e, a parte, i trattamenti non occasionali, cioè su larga scala, di dati di persone vulnerabili, pazienti compresi. Un’AI sulle cartelle rientra comunque nel primo caso: la valutazione si fa prima di accenderla.

Come si tiene dentro la struttura

Dove gira. Su una macchina della struttura, o di un fornitore legato da un contratto sui dati e con l’elenco di chi accede. Nessun dato dei pazienti nei chatbot pubblici.
Che cosa legge. Solo quello che può leggere il medico che la usa, per il paziente che sta curando.
Chi firma. La bozza si riconosce come bozza; la firma è del medico, e le correzioni si contano.
Che cosa sa il paziente. Che l’AI c’è, a che cosa serve, chi decide.
Quanto sbaglia. Prima di partire, un campione di lettere vere confrontate a mano; poi controlli periodici, come chiede la legge.

Su un compito stretto vince il modello addestrato

Qui la scelta del modello conta. Uno studio del 2026, accettato al workshop BioNLP della conferenza ACL, ha rifinito Mistral, un modello a pesi aperti da 7 miliardi di parametri, su 1.008 esempi: il compito era dire se un’affermazione sulla salute è sostenuta, smentita o non decidibile in base ad alcune frasi di uno studio scientifico. Su una delle due raccolte di prova, HealthVer, ha ottenuto 65,2 su 100, contro 53,2 di GPT-4o e 42,4 di GPT-5, usati senza addestramento, GPT-5 con il ragionamento al minimo, a un costo per risposta 44,5 volte più basso di GPT-4o; sull’altra raccolta, scrive l’autore, i punteggi dei modelli rifiniti sono gonfiati da un difetto dei dati. È un compito diverso dal vostro, ed è uno studio solo. Ma va nella direzione in cui crediamo: un modello a pesi aperti, rifinito sul lavoro di chi lo usa, su quel lavoro fa meglio dei grandi modelli generalisti, e resta in casa.

Come lo facciamo noi

Il modello grande che usiamo, a pesi aperti e con circa 180 miliardi di parametri in tutto, dal 14 ottobre 2026 gira anche su una nostra workstation, con due schede NVIDIA RTX PRO 6000 da 96 GB di memoria ciascuna. Un modello di quella taglia, quindi, non chiede un centro dati: sta in una macchina sola, che può stare dove stanno i dati.

Se state valutando l’AI per lettere, referti o cartelle e i dati non devono lasciare la struttura, il passo è uno: scriveteci quale documento volete preparare e chi lo firma.

Scritto con l’aiuto dell’AI e verificato da CSIDIA.