Il Decalogo per la realizzazione di servizi sanitari nazionali attraverso sistemi di Intelligenza Artificiale è un documento presentato recentemente dal Garante della Privacy riguardo l’adozione di tecnologie avanzate nell’ambiente sanitario. Su quali principi si basa? Innanzitutto, il diritto dei pazienti a essere informati sui processi decisionali che si basano su trattamenti automatizzati realizzati attraverso l’IA; la necessità della presenza di una supervisione umana durante il processo decisionale della IA; infine, la raccomandazione dell’utilizzo di sistemi di IA affidabili, al fine di mitigare qualsiasi possibile effetto discriminatorio derivante da dati imprecisi o incompleti, che potrebbero avere conseguenze sulla salute delle persone coinvolte. Secondo Andrea Lisi, avvocato e componente del Comitato di Esperti presso il Sottosegretariato alla Presidenza del Consiglio con delega all’innovazione tecnologica, il decalogo fa riflettere, tra l’altro, sul fatto che saper gestire e custodire efficacemente dati, informazioni e documenti digitali agevola l’innovazione. E sottolinea: il decalogo serve per ricordare al Governo e al Legislatore che il Garante della Privacy sta seguendo da vicino questi temi (ma al contempo non sembra rivolgersi a chi deve mettere in pratica la digitalizzazione, ossia ospedali, ASL, etc…).
Avvocato Lisi, quali elementi nuovi aggiunge il Decalogo pubblicato dal Garante?
In realtà, il documento pubblicato dall’Authority è più di un vero e proprio decalogo perché, con un approccio di ampio respiro, illustra i vari argomenti che riguardano la “privacy compliance” nel mondo sanitario, con un focus specifico sull’IA, senza addentrarsi in tecnicismi e limitandosi così a richiamare nelle note del documento i più rilevanti provvedimenti in materia, la giurisprudenza rilevante e gli studi di rilievo. Il decalogo affronta la delicata materia con approccio molto utile per i non addetti ai lavori. La parte più interessante è dove si fa riferimento ai principi di conoscibilità, di non esclusività e di non discriminazione algoritmica, i quali, è giusto ricordarlo, si ritrovano nel GDPR, ma vengono correttamente “rivisitati” in una chiave di lettura legata alle ultime novità tecnologiche. Il documento focalizza peraltro l’attenzione sulla qualità dei dati, che costituiscono il presupposto fondamentale di qualsiasi azione in materia di innovazione digitale, ancor di più se sanitaria.
Su che cosa il Decalogo ci permette di ragionare?
Il documento del Garante è prezioso perché ci permette di ragionare proattivamente sul concetto di protezione di dati. Quella che impropriamente chiamiamo “normativa privacy” si occupa di proteggere i dati personali, favorendone la loro libera circolazione. Per garantire la loro libera circolazione, i dati, le informazioni e i documenti digitali vanno correttamente gestiti e custoditi, quindi preservati nella loro integrità, esattezza, affidabilità.
La custodia efficace di dati, informazioni e documenti digitali garantisce un approccio corretto per favorire interoperabilità ai sistemi sanitari e quindi rendere possibile una libera circolazione (controllata) di dati personali, anche quando sono inerenti allo stato di salute. E occorre fare attenzione a non sminuire l’importanza degli archivi (digitali e non): gli archivi costituiscono un indispensabile presidio di tutela delle nostre democrazie. Infatti, dati incerti, manipolabili, poco sicuri possono mettere in crisi qualsiasi sistema di digitalizzazione. E anche i sistemi di intelligenza artificiale generativa possono regalare informazioni corrette solo se la fonte dei dati è controllabile.
Quali figure possono aiutare a garantire dati esatti, integri, trasparenti, accessibili e di qualità in sanità?
Questi dati vanno salvaguardati attraverso modelli organizzativi che abbiano al centro figure competenti, che sappiano governare il cambiamento. Al centro, quindi, di qualsiasi processo di innovazione digitale in sanità devono esserci i DPO, ossia i responsabili della protezione dei dati. Solo loro possono correttamente interpretare la normativa come facilitante la trasformazione digitale, con al centro di ogni processo digitale la persona fisica, il paziente. E solo loro possono aiutare qualsiasi ente, pubblico o privato, soprattutto in contesti delicati come ospedali o ASL, a costruire solide basi giuridiche fondate anche su atti amministrativi generali, come il Codice della protezione dei dati personali oggi prevede per i contesti pubblici.
Ci sono punti su cui lei è critico?
Effettivamente non mi ha pienamente convinto solo per due aspetti secondari, ma a mio avviso strategici e tra loro collegati. Prima di tutto, un vademecum, sotto forma di decalogo, che ha finalità divulgative e di chiarimento su tematiche così complesse, delicate e rilevanti deve fare chiarezza anche terminologica. E in esso manca all’inizio proprio una definizione puntuale di IA. Non possiamo non sapere che ci sono tanti sistemi di IA completamente diversi tra loro, dalla robotica all’intelligenza artificiale generativa. A quale di essi si rivolge il Garante con il suo Decalogo? Per un documento orientativo di questo tipo, secondo il mio modestissimo avviso, è indispensabile partire proprio dai presupposti definitori, come chiarimento a chi legge, pur se – è giusto sottolinearlo – c’è un completo rinvio a tante altre fonti dove acquisire le basi della materia, tra cui la bozza di Regolamento UE in materia di IA, che però non si può considerare ancora pienamente consolidato (proprio perché appunto non è ancora in vigore).
Inoltre, non sembra sia stato esplicitato esattamente l’interlocutore finale dell’Autorità, perchè il Decalogo contiene le basi della materia e – occupandosi specificamente della “realizzazione di servizi sanitari nazionali attraverso sistemi di IA” – sembrerebbe rivolgersi direttamente al governo, al ministero della salute e alle regioni, ma non a ospedali, ASL e operatori sanitari. Questi avrebbero invece estremo bisogno di orientamento e spesso sviluppano nel concreto innovazione digitale, non sempre preceduta da una valutazione specifica di impatto e da un approccio approfondito privacy by design e privacy by default. Per carità, una certa disattenzione governativa su questi specifici argomenti, quando si è trattato di occuparsi di Fascicolo Sanitario Elettronico (FSE) o di Ecosistema Dati Sanitari c’è stata in passato, ma il corposo e delicato parere reso in data 8 giugno 2023 dal Garante sullo schema di decreto in materia di FSE sembrava aver confermato un cambiamento di rotta a livello di attenzione sulla tematica da parte dei suoi protagonisti istituzionali. Sembra che il Garante voglia più che altro ricordare autorevolmente anche al legislatore e a chi ci governa di esserci su questi temi. Probabilmente intende lanciare un segnale di cui il governo e il legislatore ritiene che abbiano ancora necessità.
Può commentare rispetto al valore dei tre principi citati nel decalogo: trasparenza nei processi decisionali, supervisione umana delle decisioni automatizzate e prevenzione della discriminazione algoritmica?
Questi fondamentali principi a mio avviso costituiscono anch’essi una premessa necessaria per qualsiasi processo che contenga embrioni di intelligenza artificiale nel mondo sanitario, a partire da qualsiasi processo decisionale automatizzato che abbia incidenza sui nostri dati sanitari. E tali principi si respirano da tempo nel GDPR, ma correttamente il Garante ha puntato il dito su essi, ricordandoli, esplicitandoli e contestualizzandoli nel mondo dell’IA.
Il Garante ha definito con attenzione nel suo Decalogo i paletti lungo i quali si devono esprimere i progetti innovativi in contesti così delicati. La divulgazione corretta in questi ambiti è fondamentale per far pervenire messaggi appropriati a chi fa ricerca e a chi sviluppa strumenti di cura e diagnostici nel mondo del medicale. E lo riferisco perché spesso si travisa il concetto di “privacy” percependolo come un fardello burocratico, inutile, bloccante per l’innovazione digitale in campi della ricerca e per la diagnostica e cura. In realtà, se un progetto di ricerca, se un processo innovativo, se uno strumento di utilità scientifica, sociale, sanitaria viene bloccato per “colpa della privacy” è una grande sconfitta per tutti. Se un progetto ha finalità precise e una base giuridica solida, non deve avere “paura della privacy” per poter procedere e svilupparsi.
Un trattamento di dati sanitari garantito da un contesto di custodia corretta e trasparente di documenti e dati clinici, finalizzato alla diagnosi e cura di pazienti va considerato legittimo by default. Il presupposto di legittimazione deve essere la salute del paziente, una migliore diagnosi e percorsi di cura più efficaci, servendosi di cooperazione applicativa, ricerca, condivisione, strumenti di analisi fino all’intelligenza artificiale, in ambienti controllati che custodiscano con efficacia dati di qualità. E lo si deve portare avanti attraverso la costituzione di team interdisciplinari, dove nei tavoli di lavoro ci si siede insieme, liberandosi tutti dei propri piedistalli professionali e delle proprie assolute certezze.
E ricordiamoci sempre che il diritto alla salute è diritto fondamentale, che in qualche modo prevale su tutti gli altri in un coerente bilanciamento dei nostri interessi di cittadini. Ce lo spiega da tempo la nostra Costituzione.
