{"id":1582,"date":"2025-07-14T12:57:42","date_gmt":"2025-07-14T10:57:42","guid":{"rendered":"https:\/\/www.studiolegalesperti.it\/?p=1582"},"modified":"2026-05-02T16:43:06","modified_gmt":"2026-05-02T14:43:06","slug":"ddl-intelligenza-artificiale-e-sanita","status":"publish","type":"post","link":"https:\/\/www.studiolegalesperti.it\/it\/ddl-intelligenza-artificiale-e-sanita\/","title":{"rendered":"DDL intelligenza artificiale e sanit\u00e0: la nuova sovranit\u00e0 dei dati, tra rischio e innovazione"},"content":{"rendered":"<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-custom ez-toc-container-direction\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Indice dell&#039;articolo<\/p>\n<label for=\"ez-toc-cssicon-toggle-item-6ad956612013a\" class=\"ez-toc-cssicon-toggle-label\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/label><input type=\"checkbox\"  id=\"ez-toc-cssicon-toggle-item-6ad956612013a\"  aria-label=\"Toggle\" \/><nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/www.studiolegalesperti.it\/it\/ddl-intelligenza-artificiale-e-sanita\/#La_svolta_legislativa_dalla_%E2%80%9Cfortezza_Italia%E2%80%9D_al_rischio_calcolato\" >La svolta legislativa: dalla &#8220;fortezza Italia&#8221; al rischio calcolato<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/www.studiolegalesperti.it\/it\/ddl-intelligenza-artificiale-e-sanita\/#Il_nuovo_onere_della_prova_la_complessa_%E2%80%9Ccassetta_degli_attrezzi%E2%80%9D_della_compliance\" >Il nuovo onere della prova: la complessa \u201ccassetta degli attrezzi\u201d della compliance<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/www.studiolegalesperti.it\/it\/ddl-intelligenza-artificiale-e-sanita\/#La_corsia_preferenziale_per_la_sanita_pubblica_larticolo_5\" >La corsia preferenziale per la sanit\u00e0 pubblica: l&#8217;articolo 5<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/www.studiolegalesperti.it\/it\/ddl-intelligenza-artificiale-e-sanita\/#I_confini_gia_tracciati_il_ruolo_della_giurisprudenza\" >I confini gi\u00e0 tracciati: il ruolo della giurisprudenza<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/www.studiolegalesperti.it\/it\/ddl-intelligenza-artificiale-e-sanita\/#Lorizzonte_futuro_prepararsi_allEuropean_Health_Data_Space_EHDS\" >L&#8217;orizzonte futuro: prepararsi all&#8217;European Health Data Space (EHDS)<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/www.studiolegalesperti.it\/it\/ddl-intelligenza-artificiale-e-sanita\/#Conclusioni_la_compliance_come_funzione_strategica\" >Conclusioni: la compliance come funzione strategica<\/a><\/li><\/ul><\/nav><\/div>\n\n<div class=\"wp-block-group is-layout-constrained wp-block-group-is-layout-constrained\">\n<p class=\"wp-block-paragraph\">L&#8217;approvazione del Disegno di Legge sull&#8217;Intelligenza Artificiale (<a href=\"https:\/\/www.senato.it\/leggi-e-documenti\/disegni-di-legge\/scheda-ddl?did=59313\" target=\"_blank\" aria-label=\"DDL n. 1146-B (opens in a new tab)\" rel=\"noreferrer noopener\" class=\"ek-link\">DDL n. 1146-B<\/a>) segna un punto di svolta nel dibattito legislativo italiano, un momento di necessaria riflessione strategica di fronte a una trasformazione tecnologica ormai ineludibile. L&#8217;onda della rivoluzione digitale, e in particolare dell&#8217;IA, non \u00e8 una realt\u00e0 che impone scelte complesse. Per il settore sanitario, un ambito definito dalla sensibilit\u00e0 dei dati e dalla criticit\u00e0 delle sue funzioni, il testo in discussione, che agisce in stretta sinergia con l&#8217;AI Act europeo, non \u00e8 una semplice cornice normativa. Si configura piuttosto come una mappa articolata che si prefigge di ridefinire i concetti di innovazione, rischio e sovranit\u00e0, con un impatto diretto sui processi decisionali di ogni operatore.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lungi dal rappresentare una semplice liberalizzazione, il DDL introduce un dilemma strategico: a una maggiore libert\u00e0 di scelta tecnologica corrisponde un drammatico aumento della responsabilit\u00e0 legale e operativa. Attraverso un&#8217;architettura sofisticata, la bozza attuale differenzia nettamente gli obblighi tra settore privato e sanit\u00e0 pubblica. Analizziamo i punti chiave che ogni decisore del mondo della sanit\u00e0 dovrebbe considerare nell&#8217;attuale fase di discussione, per comprendere appieno la portata del cambiamento e prepararsi adeguatamente.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"La_svolta_legislativa_dalla_%E2%80%9Cfortezza_Italia%E2%80%9D_al_rischio_calcolato\"><\/span>La svolta legislativa: dalla &#8220;fortezza Italia&#8221; al rischio calcolato<span class=\"ez-toc-section-end\"><\/span><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Il percorso del DDL \u00e8 stato emblematico e rivelatore delle tensioni in gioco. La versione iniziale, approvata al Senato, conteneva una norma (gi\u00e0 art. 8, c. 2) che imponeva l&#8217;uso di <strong>server ubicati sul territorio nazionale<\/strong> per tutti i sistemi di IA in ambito pubblico. Era l&#8217;approccio della &#8220;Fortezza Italia&#8221;: massima sicurezza garantita dal controllo geografico e giurisdizionale. Il vantaggio di tale impostazione era una drastica <strong>semplificazione<\/strong> della compliance GDPR, annullando alla radice i complessi e onerosi problemi legati al trasferimento di dati personali verso paesi terzi.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La Camera dei Deputati ha successivamente <strong>soppresso questa norma<\/strong>, precisa scelta strategica che sembra dettata da un profondo realismo giuridico e di mercato. In primo luogo, una regola di localizzazione nazionale cos\u00ec rigida avrebbe potuto creare profili di incompatibilit\u00e0 con il principio di libera circolazione dei dati, uno dei pilastri del mercato unico digitale europeo. In secondo luogo, si sarebbe rischiato di isolare la sanit\u00e0 e la ricerca italiana, precludendo l&#8217;accesso alle pi\u00f9 avanzate e performanti piattaforme AI globali, con un conseguente e difficilmente colmabile divario competitivo. Infine, vi \u00e8 una considerazione di sostenibilit\u00e0 economica: il modello cloud globale offre un&#8217;efficienza, una scalabilit\u00e0 e una rapidit\u00e0 di innovazione che un approccio puramente nazionale faticherebbe a replicare. Se il testo venisse approvato in questa forma, il legislatore avrebbe di fatto sostituito un rigido confine geografico con un pi\u00f9 flessibile, ma pi\u00f9 complesso, confine giuridico.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Il_nuovo_onere_della_prova_la_complessa_%E2%80%9Ccassetta_degli_attrezzi%E2%80%9D_della_compliance\"><\/span>Il nuovo onere della prova: la complessa \u201ccassetta degli attrezzi\u201d della compliance<span class=\"ez-toc-section-end\"><\/span><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Con la potenziale rimozione della barriera geografica, la responsabilit\u00e0 della protezione dei dati sanitari si sposterebbe interamente sulle spalle dell&#8217;organizzazione sanitaria. Per poter legittimamente utilizzare un provider extra-UE, l&#8217;ospedale o l&#8217;ASL dovrebbero costruire un solido &#8220;ponte giuridico&#8221; basato su un preciso &#8220;toolbox&#8221; di conformit\u00e0, la cui gestione richiede competenze legali e tecniche altamente specializzate. Questo includerebbe l&#8217;affidamento a meccanismi come il Data Privacy Framework (DPF) per i trasferimenti verso gli Stati Uniti, la cui tenuta legale \u00e8 per\u00f2 sotto <strong>costante scrutinio<\/strong> dopo le precedenti invalidazioni da parte della Corte di Giustizia dell&#8217;UE. A questo si aggiungerebbero le Clausole Contrattuali Standard (SCCs), che la giurisprudenza ha chiarito non essere pi\u00f9 sufficienti da sole se non supportate da un&#8217;analisi concreta. Il cuore del nuovo obbligo diventerebbe la <strong>Transfer Impact Assessment<\/strong> (TIA). Non si tratta di un mero adempimento formale, ma di una complessa valutazione sostanziale con cui l&#8217;esportatore del dato deve analizzare la legislazione del paese terzo (ad esempio, le pervasive leggi sulla sorveglianza governativa negli USA) e dimostrare, con evidenze concrete, di poter garantire, tramite misure supplementari (tecniche, organizzative o contrattuali), un livello di protezione \u201csostanzialmente equivalente\u201d a quello europeo. Data l&#8217;estrema sensibilit\u00e0 dei dati sanitari, superare una TIA per un trasferimento verso gli USA, dove normative come il <strong>FISA 702<\/strong> consentono una sorveglianza governativa estesa, si configurerebbe come un esercizio legale ad altissimo rischio, esponendo l&#8217;ente a potenziali sanzioni e a un significativo danno reputazionale.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"La_corsia_preferenziale_per_la_sanita_pubblica_larticolo_5\"><\/span>La corsia preferenziale per la sanit\u00e0 pubblica: l&#8217;articolo 5<span class=\"ez-toc-section-end\"><\/span><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Qui il DDL svela la sua strategia a doppio binario. Se per i privati si profila una libert\u00e0 di scelta (pur con gli oneri descritti), per la sanit\u00e0 pubblica il percorso indicato \u00e8 un altro. L&#8217;<strong>art. 5<\/strong> del testo attuale stabilisce che le <strong>amministrazioni pubbliche<\/strong> sono <strong>&#8220;indirizzate&#8221; a &#8220;privilegiare&#8221;<\/strong> nelle gare d&#8217;appalto le soluzioni IA che garantiscono la <strong>localizzazione dei dati strategici<\/strong> e del disaster recovery sul <strong>territorio nazionale<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Questa &#8220;preferenza&#8221; non \u00e8 una mera raccomandazione, ma un <strong>criterio direttivo<\/strong> con un peso specifico nelle procedure di acquisto pubblico. Essa si combina sinergicamente con la <strong>&#8220;Strategia Cloud Italia&#8221;<\/strong> dell&#8217;Agenzia per la Cybersicurezza Nazionale (ACN), che classifica i dati sanitari quasi universalmente come &#8220;Critici&#8221; o &#8220;Strategici&#8221; e ne impone l&#8217;hosting su infrastrutture che abbiano ottenuto una specifica qualificazione ACN, come il <strong>Polo Strategico Nazionale (PSN)<\/strong>. L&#8217;effetto combinato di queste disposizioni creerebbe un quasi-obbligo: per la sanit\u00e0 pubblica, la strada maestra per la conformit\u00e0 e per l&#8217;aggiudicazione di appalti rimarrebbe quella di un ecosistema cloud sovrano, la cui affidabilit\u00e0 e sicurezza sono state preventivamente verificate e certificate dallo Stato.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"I_confini_gia_tracciati_il_ruolo_della_giurisprudenza\"><\/span>I confini gi\u00e0 tracciati: il ruolo della giurisprudenza<span class=\"ez-toc-section-end\"><\/span><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Il quadro normativo delineato dal DDL non opera in un vuoto, ma si inserisce in un contesto giuridico gi\u00e0 densamente popolato dalle interpretazioni del Garante per la Protezione dei Dati Personali e delle corti nazionali ed europee. L&#8217;attivit\u00e0 di queste istituzioni ha gi\u00e0 definito uno standard di diligenza estremamente elevato per il trattamento dei dati sanitari, che l&#8217;introduzione dell&#8217;IA non potr\u00e0 che rendere ancora pi\u00f9 stringente. Ad esempio, il Garante ha sanzionato un&#8217;azienda sanitaria che aveva utilizzato un algoritmo per profilare i pazienti a rischio COVID-19, ritenendo la base giuridica invocata (&#8220;governo sanitario&#8221;) insufficiente a legittimare un trattamento cos\u00ec invasivo senza una norma primaria pi\u00f9 specifica e una rigorosa valutazione d&#8217;impatto. Allo stesso modo, l&#8217;Autorit\u00e0 ha esercitato un controllo critico sullo sviluppo del Fascicolo Sanitario Elettronico 2.0, richiedendo maggiori garanzie su titolarit\u00e0, consenso e sicurezza.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Questi orientamenti sono stati rafforzati dalla Corte di Cassazione. Con la fondamentale ordinanza n. 28417 del 2023, la Suprema Corte ha stabilito che anche la semplice comunicazione a un terzo della necessit\u00e0 di una terapia per un paziente, pur senza specificarne la natura, costituisce un trattamento illecito di dati sanitari, poich\u00e9 rivela uno stato di bisogno di cura. Questo approccio rigoroso si estende fino alla Corte Europea dei Diritti dell&#8217;Uomo (CEDU). Nel caso <em>Crac\u00f2 c. Italia<\/em>, la Corte ha ribadito l&#8217;obbligo positivo dello Stato e di tutte le sue autorit\u00e0, incluse quelle giudiziarie, di adottare misure attive per proteggere la riservatezza delle informazioni mediche, ad esempio oscurando i dati personali prima della pubblicazione di una sentenza. La giurisprudenza, quindi, non si limita a punire l&#8217;illecito, ma educa l&#8217;intero settore, chiarendo che la protezione dei dati \u00e8 una responsabilit\u00e0 diffusa dove anche la leggerezza procedurale pu\u00f2 configurare una violazione grave.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Lorizzonte_futuro_prepararsi_allEuropean_Health_Data_Space_EHDS\"><\/span>L&#8217;orizzonte futuro: prepararsi all&#8217;European Health Data Space (EHDS)<span class=\"ez-toc-section-end\"><\/span><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ogni scelta tecnologica e contrattuale fatta oggi deve tenere conto del futuro normativo, un futuro che \u00e8 gi\u00e0 iniziato. Lo <strong>Spazio Europeo dei Dati Sanitari (EHDS)<\/strong>, il cui regolamento \u00e8 gi\u00e0 in vigore, si appresta a rivoluzionare l&#8217;ecosistema attraverso una sua attuazione stratificata nel tempo. Questo processo, che si dispiegher\u00e0 nei prossimi anni, imporr\u00e0 in primo luogo standard di <strong>interoperabilit\u00e0<\/strong> obbligatori per sistemi come le cartelle cliniche elettroniche, costringendo i sistemi sanitari nazionali, oggi frammentati, a &#8220;parlare la stessa lingua&#8221;. Introdurr\u00e0 inoltre un sistema di certificazione europea per i software medicali, creando un mercato unico ma anche un nuovo standard di conformit\u00e0. Infine, stabilir\u00e0 una governance centralizzata per regolare l&#8217;accesso ai dati a fini di ricerca. Scegliere oggi un<strong> partner tecnologico<\/strong> o un&#8217;architettura software che non siano progettati per essere compatibili con i futuri requisiti dell&#8217;EHDS, significherebbe fare un investimento a elevato <strong>rischio di obsolescenza<\/strong> e di esclusione dal nascente ecosistema europeo.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Conclusioni_la_compliance_come_funzione_strategica\"><\/span>Conclusioni: la compliance come funzione strategica<span class=\"ez-toc-section-end\"><\/span><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Il DDL IA, nella sua forma attuale, non semplifica il quadro per la sanit\u00e0, ma lo rende pi\u00f9 maturo e complesso, spostando il focus dalla regola rigida alla gestione consapevole del rischio. La &#8220;libert\u00e0&#8221; di scelta \u00e8 un&#8217;opzione reale solo per chi ha la struttura e le competenze per gestire un rischio legale e reputazionale altissimo. Per la sanit\u00e0 pubblica, la via della sovranit\u00e0 nazionale rimane quella pi\u00f9 sicura e, di fatto, quella privilegiata dal legislatore.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Per il management sanitario, questo nuovo scenario imporrebbe un cambio di passo. Diventerebbe fondamentale procedere a una mappatura e classificazione dei dati secondo i criteri dell&#8217;ACN, verificare la qualificazione dei fornitori, e includere nei budget i costi legali per la gestione del rischio, che diventano una componente strutturale dell&#8217;innovazione. In questo contesto, il ruolo dell&#8217;avvocato esperto in tech law si evolve da quello di controllore di conformit\u00e0 a quello di architetto di strategie. La sua analisi non si limita a prevenire i rischi, ma abilita l&#8217;innovazione responsabile, trasformando la complessit\u00e0 normativa in un calcolato vantaggio competitivo.<\/p>\n<\/div>\n\n\n\n<h1 class=\"wp-block-heading\"><\/h1>\n\n\n","protected":false},"excerpt":{"rendered":"<p>L&#8217;approvazione del Disegno di Legge sull&#8217;Intelligenza Artificiale (DDL n. 1146-B) segna un punto di svolta nel dibattito legislativo italiano, un momento di necessaria riflessione strategica di fronte a una trasformazione tecnologica ormai ineludibile. L&#8217;onda della rivoluzione digitale, e in particolare dell&#8217;IA, non \u00e8 una realt\u00e0 che impone scelte complesse. Per il settore sanitario, un ambito [&hellip;]<\/p>\n","protected":false},"author":6,"featured_media":1583,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_themeisle_gutenberg_block_has_review":false,"footnotes":""},"categories":[164],"tags":[167,169,170,168],"class_list":["post-1582","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-advocacy","tag-ai-act","tag-legge-132-2025","tag-samd","tag-sanita-digitale"],"blocksy_meta":[],"_links":{"self":[{"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/posts\/1582","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/comments?post=1582"}],"version-history":[{"count":6,"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/posts\/1582\/revisions"}],"predecessor-version":[{"id":1787,"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/posts\/1582\/revisions\/1787"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/media\/1583"}],"wp:attachment":[{"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/media?parent=1582"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/categories?post=1582"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.studiolegalesperti.it\/it\/wp-json\/wp\/v2\/tags?post=1582"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}