Legge 132/2025 in sanità: cosa deve fare una struttura che usa l'intelligenza artificiale

Cosa prevede la legge 132/2025 per la sanità

La legge 23 settembre 2025, n. 132, pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 e in vigore dal 10 ottobre 2025, dedica alla sanità gli articoli dal 7 al 10. Va letta insieme al Regolamento (UE) 2024/1689, al quale l'art. 1, comma 2, la vincola sul piano interpretativo e applicativo.

Art. 7 della legge 132/2025: sanità e intelligenza artificiale

L'art. 7 fissa i principi per l'uso dell'AI in ambito sanitario:

• l'AI contribuisce al miglioramento del sistema sanitario, alla prevenzione, alla diagnosi e alla cura, nel rispetto dei diritti e della protezione dei dati (comma 1);
• non può selezionare e condizionare l'accesso alle prestazioni secondo criteri discriminatori (comma 2);
• l'interessato ha diritto di essere informato sull'impiego di tecnologie di AI (comma 3);
• i sistemi sono un supporto nei processi di prevenzione, diagnosi, cura e scelta terapeutica e lasciano impregiudicata la decisione, sempre rimessa agli esercenti la professione medica (comma 5);
• sistemi e dati devono essere affidabili, periodicamente verificati e aggiornati per minimizzare il rischio di errori e migliorare la sicurezza dei pazienti (comma 6).

Artt. 8 e 9: ricerca e dati

L'art. 8 dichiara di rilevante interesse pubblico i trattamenti di dati per la ricerca e la sperimentazione su sistemi di AI svolti da soggetti pubblici e privati senza scopo di lucro, IRCCS e privati che partecipano a progetti con questi soggetti. Consente l'uso secondario di dati privi degli identificativi diretti, con informativa anche generale sul sito, e richiede la comunicazione al Garante: i trattamenti possono partire trascorsi trenta giorni se il Garante non li blocca. L'art. 9 rinvia a un decreto del Ministro della salute la disciplina dei trattamenti per ricerca e sperimentazione con sistemi di AI.

Art. 10: la piattaforma AGENAS di intelligenza artificiale

L'art. 10 inserisce l'art. 12-bis nel decreto-legge 18 ottobre 2012, n. 179: AGENAS progetta e gestisce, come titolare, una piattaforma di intelligenza artificiale per l'assistenza territoriale, che offre ai professionisti e ai medici suggerimenti non vincolanti e supporta gli utenti nell'accesso ai servizi delle Case della comunità.

AI Act e sanità: quali sistemi sono ad alto rischio e da quando

Il Regolamento (UE) 2024/1689 individua due vie per l'alto rischio, entrambe rilevanti per una struttura sanitaria: per i dispositivi medici l'AI Act rinvia all'Allegato I, per gli altri usi all'elenco dell'Allegato III.

Le date derivano dall'Omnibus digitale sull'IA, il Regolamento (UE) 2026/1744 dell'8 luglio 2026, che ha modificato l'art. 113. Restano già applicabili i divieti dell'art. 5, l'obbligo di alfabetizzazione dell'art. 4 (nella nuova formulazione, che chiede di adottare misure per l'alfabetizzazione del personale) e gli obblighi di trasparenza dell'art. 50.

Cosa deve fare la struttura sanitaria come deployer

Una struttura che usa un sistema di AI ad alto rischio sotto la propria autorità è deployer. L'art. 26 dell'AI Act le chiede, tra l'altro, di:

• far lavorare il sistema solo nel perimetro delle istruzioni d'uso del produttore;
• nominare per la sorveglianza umana clinici o operatori formati e con l'autorità di intervenire;
• curare la qualità dei dati di input che la struttura immette, perché siano pertinenti e rappresentativi;
• tenere sotto osservazione il funzionamento e segnalare al fornitore e all'autorità di vigilanza rischi e incidenti gravi;
• custodire i log del sistema per un periodo non inferiore a sei mesi, se altre norme non dispongono diversamente;
• avvisare i lavoratori interessati e i loro rappresentanti prima della messa in servizio in reparto;
• dire ai pazienti, quando un sistema dell'Allegato III concorre a decisioni che li riguardano, che quel sistema viene usato;
• partire dalla documentazione del fornitore quando si redige la DPIA.

Per i sistemi dell'Allegato III, l'art. 27 prevede la valutazione d'impatto sui diritti fondamentali per gli organismi di diritto pubblico e gli enti privati che forniscono servizi pubblici. Le aziende sanitarie pubbliche vi rientrano; per le strutture private accreditate la qualificazione va valutata caso per caso. Dopo l'Omnibus, la valutazione può rinviare alle parti già coperte dalla DPIA.

Privacy e AI in sanità: il Decalogo del Garante

Nel settembre 2023 il Garante ha pubblicato il "Decalogo per la realizzazione di servizi sanitari nazionali attraverso sistemi di intelligenza artificiale" (Decalogo del Garante sull'AI nei servizi sanitari). Nato per i servizi nazionali, offre criteri utili a qualunque struttura:

• base giuridica chiara per i trattamenti di dati sanitari con AI;
• conoscibilità: il paziente ha diritto di sapere se esistono processi decisionali automatizzati e di ricevere informazioni significative sulla logica;
• non esclusività: nel processo decisionale deve esserci un intervento umano capace di controllare, validare o smentire la decisione automatica;
• non discriminazione algoritmica: sistemi affidabili, verificati periodicamente, con misure per ridurre errori e opacità;
• valutazione d'impatto preventiva, qualità ed esattezza dei dati, integrità e riservatezza, supervisione umana.

Il Decalogo indica anche di attivare i servizi di elaborazione basati su AI per finalità di cura solo su richiesta espressa del professionista sanitario e non in modo automatico.

Legge 132/2025 e sanità: cosa cambia per consenso, sinistri e responsabilità

Le nuove regole entrano nel lavoro quotidiano degli uffici della struttura in tre punti.

1. Informazione al paziente. Il diritto a essere informati sull'uso dell'AI (art. 7, comma 3, legge 132/2025) va tradotto in informative e, quando pertinente, nei moduli: la pagina sul consenso informato mostra come rivederli.
2. Documentare le verifiche. L'obbligo di sistemi affidabili, periodicamente verificati e aggiornati (comma 6) richiede tracce documentali: contratti con il fornitore, verifiche, log. In un sinistro saranno tra i primi documenti richiesti, come si vede nella pagina sulla gestione sinistri sanitari.
3. Decisione medica. Il principio per cui la decisione resta sempre al medico (comma 5) conferma che l'output del sistema è un elemento della valutazione clinica, non una sua sostituzione. Il quadro della responsabilità resta quello della legge 8 marzo 2017, n. 24.

Checklist AI Act sanità per la direzione

1. Fai l'inventario degli strumenti con componenti di AI, compresi quelli dentro apparecchiature e software già in uso.
2. Classificali: dispositivo medico, Allegato III, obblighi di trasparenza, altro.
3. Definisci chi esercita la sorveglianza umana e con quale formazione.
4. Verifica contratti, istruzioni d'uso, conservazione dei log e assistenza del fornitore.
5. Aggiorna DPIA, informative e, dove serve, moduli di consenso.
6. Coinvolgi risk manager, DPO, ufficio legale e ingegneria clinica in un'unica procedura.

Come può aiutarti Next-OS

Next-OS ti aiuta a leggere insieme AI Act, legge 132/2025 e GDPR: puoi descrivere un sistema e chiedere come si classifica, vedere evidenziato cosa l'Omnibus ha cambiato nel testo dell'AI Act, preparare la traccia di una valutazione d'impatto o un paragrafo dell'informativa. Per Aptus.AI, Next-OS resta fuori sia dalla categoria dei sistemi per finalità generali sia da quella dell'alto rischio prevista dal Regolamento (UE) 2024/1689. Gli altri compiti sono nella pagina su intelligenza artificiale e sanità.