La Legge europea sull'IA e l'IA in sanità, spiegata

Risposta breve: l'AI Act (Regolamento (UE) 2024/1689) regola i sistemi di IA in base al rischio. Per la salute, tre situazioni sono importanti. Un sistema di IA che è, o è una componente di sicurezza di, un dispositivo medico che richiede una valutazione di conformità di terze parti ai sensi del MDR o IVDR è ad alto rischio (Allegato I): deve soddisfare i requisiti della Legge su gestione del rischio, dati, documentazione, registrazione, trasparenza, supervisione umana, accuratezza e cybersecurity, valutati insieme alla valutazione di conformità del dispositivo. L'IA utilizzata per il triage di emergenza o per decidere l'accesso ai servizi sanitari è ad alto rischio ai sensi dell'Allegato III anche al di fuori della legge sui dispositivi. Assistenti e chatbot che non sono ad alto rischio hanno comunque obblighi di trasparenza (le persone devono sapere che stanno parlando con un'IA; i contenuti generati sono contrassegnati). La Legge è entrata in vigore il 1° agosto 2024, con obblighi introdotti gradualmente fino al 2027; la Commissione ha proposto a fine 2025 di adeguare alcune scadenze, quindi controllate lo stato attuale.

La piramide del rischio

Il Regolamento UE sull'IA classifica i sistemi di IA in categorie: pratiche proibite (vietate da febbraio 2025), sistemi ad alto rischio ai sensi dell'Allegato I (IA nei dispositivi medici che richiedono un organismo notificato) e dell'Allegato III (triage di emergenza, accesso ai servizi sanitari), sistemi a rischio limitato con obblighi di trasparenza (come i chatbot sanitari), strumenti a rischio minimo senza obblighi specifici e modelli di IA generici con obblighi per i fornitori.

Livello	Esempi sanitari	Conseguenza
Proibito (Art. 5)	Tecniche manipolative che sfruttano vulnerabilità, scraping non mirato per il riconoscimento facciale, riconoscimento delle emozioni sul lavoro o a scuola (con eccezioni per usi medici e di sicurezza)	Vietato dal 2 febbraio 2025
Alto rischio, Allegato I	IA in un dispositivo medico o IVD che necessita di un organismo notificato (la maggior parte dei software di classe IIa e superiori): IA per immagini, supporto decisionale, calcolatori di dosi	Requisiti completi per l'alto rischio, valutati nell'ambito della valutazione di conformità MDR/IVDR
Alto rischio, Allegato III	Sistemi di chiamata di emergenza e triage pazienti; IA che valuta l'idoneità ai benefici e servizi sanitari pubblici; categorizzazione biometrica; decisioni sull'occupazione dei lavoratori sanitari	Requisiti completi per l'alto rischio, autovalutazione o organismo notificato secondo le regole dell'Allegato III, registrazione nel database UE
Rischio limitato (trasparenza, Art. 50)	Chatbot e assistenti sanitari, testi o immagini generati dall'IA sulla salute, contenuti di tipo deepfake	Dichiarare l'interazione con l'IA; contrassegnare i contenuti generati; supervisione umana dove pertinente
Rischio minimo	Filtri antispam, ottimizzazione della pianificazione, strumenti amministrativi	Nessun obbligo specifico; codici volontari
Modelli di IA per scopi generali (Capo V)	Modelli di base utilizzati nei prodotti sanitari	Obblighi del fornitore: documentazione tecnica, politica sul copyright, riepilogo della formazione; doveri aggiuntivi per i modelli a rischio sistemico

Un'app sanitaria che non è un dispositivo e non rientra nell'Allegato III (un registro con una funzione di riepilogo IA, un diario dei sintomi con interfaccia conversazionale) rientra nel livello limitato: trasparenza e dovere generale di alfabetizzazione IA per il personale (Art. 4), oltre a tutto ciò che il GDPR già richiede. Se la stessa app aggiunge una funzione che informa la diagnosi o il trattamento, diventa un dispositivo ai sensi del MDR e, se è coinvolto un organismo notificato, ad alto rischio ai sensi dell'AI Act; vedere Software come dispositivo medico.

Cosa richiede l'alto rischio (Capo III, Sezione 2)

Un sistema di IA ad alto rischio ai sensi del Regolamento UE sull'IA richiede un sistema di gestione del rischio, governance dei dati per i dati di addestramento e di test, documentazione tecnica e registrazione, trasparenza per gli utilizzatori, supervisione umana integrata, accuratezza, robustezza e cybersecurity, un sistema di gestione della qualità, valutazione di conformità con marcatura CE, monitoraggio post-vendita e segnalazione di incidenti, e registrazione nel database UE per i sistemi dell'Allegato III.

Sistema di gestione del rischio lungo il ciclo di vita (Art. 9), integrato con ISO 14971 per i dispositivi.
Governance dei dati (Art. 10): dati di addestramento, validazione e test pertinenti, rappresentativi, esaminati per bias, con provenienza documentata; elaborazione di dati di categorie speciali per la correzione del bias consentita a determinate condizioni.
Documentazione tecnica (Art. 11, Allegato IV) e conservazione dei registri / logging (Art. 12) per la tracciabilità.
Trasparenza e istruzioni per gli utilizzatori (Art. 13).
Supervisione umana per progettazione (Art. 14): la capacità di comprendere, sovrascrivere e interrompere.
Accuratezza, robustezza e cybersecurity (Art. 15), con metriche dichiarate.
Un sistema di gestione della qualità (Art. 17), che per i dispositivi è il sistema ISO 13485 esteso.
Valutazione di conformità, il marchio CE e la dichiarazione UE di conformità che coprono entrambe le normative; registrazione nel database UE per i sistemi dell'Allegato III.
Monitoraggio post-vendita e segnalazione di incidenti gravi (Art. 72–73), coordinato con la vigilanza MDR.
Gli utilizzatori (ospedali, cliniche) hanno propri doveri: utilizzare secondo le istruzioni, supervisione umana, registri, informare le persone e, per gli enti pubblici, una valutazione d'impatto sui diritti fondamentali (Art. 27).

La sovrapposizione con MDR e IVDR

Il Regolamento UE sull'IA si sovrappone a MDR e IVDR per progettazione: per l'IA nei dispositivi medici elencati nell'Allegato I, i requisiti del Regolamento sono valutati come parte della valutazione di conformità del dispositivo dallo stesso organismo notificato, con un unico set di documentazione e un unico sistema di qualità. Gli standard armonizzati del CEN-CENELEC JTC 21 daranno presunzione di conformità una volta pubblicati.

La Legge è stata scritta per evitare un secondo processo parallelo: per i dispositivi dell'Allegato I, i requisiti dell'IA sono valutati come parte della valutazione di conformità MDR/IVDR dallo stesso organismo notificato, che deve essere designato anche per l'AI Act; la documentazione può essere un unico set; il sistema di qualità è uno. Gli standard armonizzati (per il rischio IA, la qualità dei dati, la robustezza) sono in fase di sviluppo da parte del CEN-CENELEC JTC 21 e daranno presunzione di conformità; fino a quando non esisteranno, i produttori utilizzeranno ISO/IEC 42001, ISO/IEC 23894 e gli standard per i dispositivi. Il Gruppo di Coordinamento dei Dispositivi Medici e il Consiglio IA dovrebbero pubblicare linee guida congiunte; l'interazione tra monitoraggio post-vendita e segnalazione di incidenti è l'area da tenere d'occhio.

Tempistiche

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024. Divieti e obblighi di alfabetizzazione sull'IA si sono applicati dal 2 febbraio 2025, obblighi per i modelli generici dal 2 agosto 2025, la maggior parte del Regolamento, inclusi i sistemi ad alto rischio dell'Allegato III, dal 2 agosto 2026, e i sistemi ad alto rischio dell'Allegato I come l'IA nei dispositivi medici dal 2 agosto 2027, soggetti a modifiche proposte.

1 agosto 2024: entrata in vigore.
2 febbraio 2025: si applicano i divieti e gli obblighi di alfabetizzazione IA.
2 agosto 2025: obblighi per i modelli di IA per scopi generali; governance (Ufficio IA, autorità di notifica); sanzioni.
2 agosto 2026: si applica la maggior parte della Legge, inclusi i sistemi ad alto rischio dell'Allegato III e gli obblighi di trasparenza.
2 agosto 2027: sistemi ad alto rischio dell'Allegato I (IA in prodotti regolamentati come i dispositivi medici) e modelli per scopi generali immessi sul mercato prima dell'agosto 2025.

Nel novembre 2025 la Commissione ha proposto, nell'ambito di un "omnibus digitale", di legare l'applicazione delle regole ad alto rischio alla disponibilità di standard e strumenti di supporto, il che potrebbe spostare le date del 2026 e 2027; la proposta era in fase di negoziazione al momento della stesura. Considerate le date sopra come la legge così come adottata e seguite la Gazzetta Ufficiale per le modifiche.

Cosa dovrebbe fare ora un team di app sanitarie

I passi pratici per un team di app sanitarie ai sensi del Regolamento UE sull'IA sono: classificare ogni funzionalità di IA come dispositivo, Allegato III o livello di trasparenza, divulgare l'interazione dell'IA e contrassegnare i contenuti generati, documentare i dati di addestramento e la valutazione per sottogruppo, mantenere il controllo umano con output come bozze, ottenere la documentazione dal fornitore del modello generico e gestire il lavoro GDPR in parallelo.

Classificare ogni funzionalità IA: dispositivo o meno (Un'app sanitaria è un dispositivo medico?); Allegato III o meno; livello di trasparenza altrimenti.
Dichiarare l'interazione IA e contrassegnare i contenuti generati ora; non costa nulla e sarà richiesto.
Documentare dati e valutazione: da dove provengono i dati di addestramento e test, come sono state misurate le prestazioni, per sottogruppo; questo è il nucleo degli articoli 10 e 15 e anche una buona ingegneria (IA su dati medici: la mappa).
Mantenere il controllo umano: output come bozze e suggerimenti, mai fatti clinici confermati automaticamente; registri di ciò che l'IA ha prodotto e chi lo ha accettato.
Verificare il fornitore del modello: i fornitori di modelli per scopi generali devono fornire la documentazione di cui avrete bisogno per il vostro fascicolo.
Eseguire il lavoro GDPR (Articolo 22 sulle decisioni automatizzate, la DPIA) in parallelo; l'AI Act non lo sostituisce (Articolo 9 GDPR).

In Anpheros

Le funzionalità IA di Anpheros riaffermano e localizzano ciò che contiene il record di una persona e sono dichiarate come IA; non diagnosticano né raccomandano trattamenti, quindi il prodotto non è un dispositivo medico e rientra nel livello di trasparenza della Legge. L'uso del modello è documentato, gli output portano la provenienza e nulla di ciò che un assistente produce diventa un fatto clinico nel record senza che un umano lo affermi.

Questa pagina spiega la regolamentazione per i team di prodotto e ingegneria. Non costituisce consulenza legale; i testi collegati sotto Fonti fanno fede. Ultima revisione: ottobre 2026.

Pagine correlate

Fonti

Domande frequenti

Ogni dispositivo medico con IA è ad alto rischio ai sensi dell'AI Act?

Solo quelli che sono sottoposti a valutazione di conformità di terze parti ai sensi del MDR o IVDR, che include la maggior parte dei software di classe IIa e superiori. Un dispositivo di classe I con IA che è autocertificato non è ad alto rischio secondo l'Allegato I, ma ha comunque gli obblighi generali e di trasparenza della Legge.

L'AI Act si applica a un'azienda statunitense?

Sì, quando il suo sistema di IA è immesso sul mercato UE o il suo output è utilizzato nell'UE, allo stesso modo in cui si applicano il MDR e il GDPR. I fornitori al di fuori dell'UE nominano un rappresentante autorizzato per i sistemi ad alto rischio.

Ho bisogno di un secondo marchio CE per l'IA?

No. Per i dispositivi dell'Allegato I, un'unica valutazione di conformità copre entrambe le normative e un unico marchio CE e dichiarazione di conformità fanno riferimento a entrambe. La documentazione deve coprire i requisiti dell'AI Act.

Cosa cambia per un chatbot sanitario?

Trasparenza: gli utenti devono essere informati che stanno interagendo con un'IA, i contenuti generati devono essere contrassegnati e il personale necessita di alfabetizzazione IA. Se il chatbot fornisce consigli diagnostici o terapeutici individuali, diventa un dispositivo medico e il quadro cambia completamente.

Anpheros Platform

Provalo gratis nella sandbox

La tua prima chiamata FHIR in 5 minuti. Un'API HL7 FHIR R4 con il consenso del paziente integrato: provala nella sandbox, poi collega la tua app o il sistema della tua clinica.

Crea una sandbox gratuita Leggi le guide per sviluppatori →

Gratis · 30 pazienti sintetici · senza carta

Questa guida è informativa e non sostituisce il consulto medico. Per le decisioni sulla tua salute parla con il tuo medico. In caso di emergenza, chiama il numero di emergenza locale (112 in Europa).

Scritto da

Il team Anpheros

Anpheros sviluppa una cartella clinica che il paziente controlla e può condividere con qualsiasi studio medico, su una piattaforma HL7 FHIR R4, con sede in UE. Queste guide ti aiutano a comprendere e organizzare la tua salute; non sostituiscono il tuo medico.

Chi siamo →