Decreto 179 e AI in Sanità: nuove regole ECM, vigilanza e sanzioni

Un radiologo che interroga un software per isolare una lesione tumorale, un infermiere che riceve un alert algoritmico sul rischio di peggioramento di un paziente, un medico che cerca supporto nell'interpretazione di un esame complesso. Queste scene, ormai comuni nei reparti ospedalieri, hanno smesso di essere semplici sperimentazioni tecnologiche per diventare prassi operative. Tuttavia, l'adozione di fatto ha corso molto più velocemente della consapevolezza metodologica. Il rischio è che l'efficacia di uno strumento venga scambiata per infallibilità, ignorando che un algoritmo può essere rapido ma capace di fornire risposte errate.

L'algoritmo non basta più: la nuova cultura clinica

La capacità di formulare una domanda a un chatbot non costituisce una competenza professionale. Il passaggio critico che l'Italia sta compiendo è la trasformazione dell'uso dell'intelligenza artificiale da pratica empirica a competenza certificata. Non si tratta più di 'saper usare' un programma, ma di comprenderne l'architettura funzionale. La sfida per l'imprenditore del settore HealthTech e per il manager sanitario è ora spostarsi dal prodotto alla formazione: l'efficacia di un software di IA in clinica dipende direttamente dalla capacità dell'operatore di gestirne i limiti.

Analisi strategica: Per le aziende che sviluppano software medicali, questo decreto sposta il valore aggiunto dal puro codice alla capacità di fornire pacchetti formativi integrati. Il software che non 'insegna' a essere usato correttamente rischia di diventare un onere legale per la struttura che lo acquista.

Decreto legislativo 179: l'architettura normativa

Il quadro normativo è stato ridefinito dal decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre. Il provvedimento, composto da 54 articoli, ha l'obiettivo di adeguare la legislazione italiana alle disposizioni dell'AI Act europeo, dando attuazione alla legge 132/2025. La finalità dichiarata è l'istituzione di un sistema di governance che assicuri un utilizzo trasparente e responsabile dell'IA, ponendo al centro i diritti fondamentali e la persona.

Il decreto non si limita alla sanità, ma disciplina l'uso dell'intelligenza artificiale nel lavoro e nelle professioni in generale, introducendo un sistema di controlli rigorosi e sanzioni che mirano a scoraggiare l'adozione di sistemi non conformi o opachi. Un elemento di rilievo per l'ecosistema dell'innovazione è l'istituzione di uno spazio nazionale di sperimentazione, pensato per permettere lo sviluppo di sistemi di IA che siano conformi alla normativa europea prima del loro rilascio su larga scala.

Cosa insegneranno davvero agli ECM

L'articolo 51 del decreto introduce una novità strutturale per il sistema sanitario: l'intelligenza artificiale entra ufficialmente nei percorsi di Educazione continua in medicina (ECM). Non è un suggerimento, ma un obbligo che coinvolgerà tutti i professionisti sanitari e i dirigenti. Quotidiano Sanità riporta che sarà prevista una quota dell'obbligo ECM triennale dedicata specificamente all'IA, i cui dettagli dovranno essere definiti entro sei mesi dall'entrata in vigore.

Il contenuto della formazione non sarà limitato all'aspetto tecnico. I percorsi dovranno coprire quattro aree fondamentali:

• Funzionamento degli strumenti: comprendere la logica sottostante l'algoritmo.
• Potenzialità e limiti: sapere dove l'IA eccelle e dove può fallire.
• Prompt engineering: tecniche per formulare correttamente domande e istruzioni.
• Responsabilità giuridiche e deontologiche: definire chi risponde dell'errore quando l'operatore segue un suggerimento algoritmico errato.

Anche la formazione manageriale in sanità verrà aggiornata, poiché la gestione di strutture che integrano l'IA richiede competenze diverse rispetto alla gestione di tecnologie statiche.

AgID e ACN vigilano: il dietro le quinte dei controlli

Il sistema di controllo non è lasciato al caso, ma è affidato a due enti centrali con ruoli distinti e complementari. L'Agenzia per l'Italia Digitale (AgID) assume il ruolo di autorità nazionale di notifica. Il suo compito principale è predisporre le procedure per la valutazione, la designazione e il monitoraggio degli organismi che devono verificare la conformità dei sistemi di IA.

L'Agenzia per la cybersicurezza nazionale (ACN), invece, agisce come principale organismo di vigilanza del mercato e punto di contatto unico. I poteri dell'ACN sono ampi e incisivi: l'autorità può effettuare ispezioni, sia a distanza che in loco, e può farlo senza preavviso nei casi previsti dalla normativa europea. Questa struttura di vigilanza trasforma l'IA da 'scatola nera' a oggetto di ispezione amministrativa.

Analisi di rischio: L'introduzione di ispezioni senza preavviso significa che le aziende fornitrici di IA e le ASL dovranno mantenere una documentazione tecnica sempre aggiornata e accessibile. La conformità non è più un check-list da completare al lancio del prodotto, ma uno stato permanente di audit.

Sanità digitale tra AI Act e sanzioni milionarie

Il regime sanzionatorio previsto dal D.Lgs 179 è allineato alla severità dell'AI Act europeo. Le violazioni più gravi possono comportare sanzioni amministrative che raggiungono i 35 milioni di euro oppure il 7% del fatturato mondiale annuo, a seconda della cifra più elevata. Un livello di esposizione finanziaria che pone l'adozione dell'IA in una categoria di rischio simile a quella del GDPR.

'L’obiettivo è definire un sistema di governance che garantisca un utilizzo corretto, trasparente e responsabile dell’IA, nel rispetto dei diritti fondamentali e della centralità della persona'

Per l'imprenditore italiano, questo scenario implica che l'investimento in IA non può prescindere da un investimento parallelo in compliance legale. La sanità digitale italiana si trova ora a dover bilanciare l'innovazione rapida con un quadro di sanzioni che potrebbe compromettere la stabilità finanziaria di un'azienda in caso di non conformità.

Per monitorare l'evoluzione di questo quadro, è necessario osservare tre indicatori verificabili nei prossimi mesi:

1. La pubblicazione dei criteri specifici per i crediti ECM dedicati all'IA (attesa entro aprile 2027).
2. Il numero di aziende che accedono allo spazio nazionale di sperimentazione istituito dal decreto.
3. La prima serie di linee guida operative emesse dall'ACN per le ispezioni in loco.

Lettura italiana ed europea: l'impatto sul mercato

L'Italia, con il D.Lgs 179, accelera l'allineamento all'AI Act, posizionandosi come un mercato dove la conformità diventa un requisito di accesso. Per le imprese italiane, questo significa che la competizione non si giocherà più solo sulla performance dell'algoritmo, ma sulla trasparenza e sulla certificabilità del sistema. L'integrazione tra AI Act e NIS2 (direttiva sulla cybersicurezza) renderà il mercato della sanità digitale estremamente regolamentato, favorendo i player che sanno gestire la complessità normativa rispetto a chi punta solo sulla velocità di sviluppo.

Domande frequenti

Fonti: Mondosanita, Quotidianosanita, Msdsalute ·