La legge italiana 132/2025 ridisegna l’uso dei dati sanitari per l’IA. Ecco cosa cambia per ospedali, IRCCS e aziende e come prepararsi davvero.
Perché la legge 132/2025 sull’AI è un bivio per la sanità italiana
Dal 17/09/2025 chi lavora in sanità in Italia si muove in un contesto diverso. Con la legge 132/2025 sull’intelligenza artificiale, l’Italia è il primo Paese europeo ad aver varato una disciplina nazionale che tocca in modo diretto ospedali, IRCCS, aziende sanitarie, università e provider tecnologici.
Questo non è un dettaglio tecnico da lasciare al DPO o all’ufficio legale. Nei prossimi mesi molte decisioni strategiche su diagnostica per immagini, medicina personalizzata, telemedicina, gestione dei percorsi clinici passeranno da qui: da come si possono usare i dati, soprattutto quelli sanitari, per addestrare e far funzionare sistemi di intelligenza artificiale.
In questa tappa della serie “IA nella Sanità Italiana: Innovazione Clinica” vediamo in modo pratico:
- cosa prevede la legge 132/2025 per la sanità
- come cambia l’uso secondario dei dati sanitari
- cosa significa davvero anonimizzare, pseudonimizzare e sintetizzare dati
- quali passi operativi conviene mettere in agenda già ora
1. Che cosa fa davvero la legge 132/2025 per la sanità
La legge 132/2025 non nasce nel vuoto: si appoggia all’AI Act europeo (Reg. UE 2024/1689) e al GDPR. Non li sostituisce, ma li integra su alcuni punti chiave, soprattutto per la ricerca e la sperimentazione in ambito sanitario.
Il punto centrale: l’articolo 8 definisce le “regole del gioco” per usare dati, anche sanitari, in sistemi di intelligenza artificiale dedicati a:
- prevenzione, diagnosi e cura delle malattie
- sviluppo di farmaci, terapie e tecnologie riabilitative
- realizzazione di dispositivi e apparati medicali
- salute pubblica e tutela dell’incolumità delle persone
- studio della fisiologia, biomeccanica e biologia umana (anche in ambito non strettamente sanitario), quando serve per banche dati e modelli di base.
Quindi parliamo esattamente dei casi d’uso che vediamo ogni giorno nei progetti di sanità digitale e innovazione clinica: algoritmi per la lettura delle immagini radiologiche, modelli predittivi per il rischio di riospedalizzazione, strumenti di supporto alle decisioni terapeutiche, piattaforme di telemedicina avanzata.
Chi può usare i dati (e chi no)
La legge è molto chiara sull’ambito soggettivo:
- soggetti pubblici (ASL, AO, università, enti pubblici di ricerca)
- soggetti privati senza scopo di lucro (fondazioni, associazioni, ONLUS, ecc.)
- IRCCS
- soggetti privati operanti nel settore sanitario solo se partecipano a progetti di ricerca in cui sono coinvolti anche soggetti pubblici o privati senza scopo di lucro.
Tradotto in pratica:
Un’azienda privata non può usare da sola dati sanitari personali e sensibili, senza consenso, per sviluppare o testare sistemi di AI in sanità.
Questo obbliga a ripensare molti modelli di collaborazione:
- i vendor tech dovranno strutturare partnership reali con enti pubblici o non profit
- i centri clinici e di ricerca diventano ancora di più hub strategici di dati e competenze
- i contratti dovranno essere costruiti con grande attenzione a governance, ruoli e responsabilità sul trattamento dei dati.
2. Uso secondario dei dati sanitari: opportunità enorme, ma non “gratis”
L’articolo 8 introduce (comma 2) un elemento che interessa subito chiunque si occupi di ricerca clinica, epidemiologia, farmacovigilanza, real world data: l’uso secondario dei dati.
Che cosa si può fare?
È consentito l’uso secondario di dati personali e di dati particolari (quindi anche sanitari) a condizione che siano privati degli elementi identificativi diretti. Questo significa, ad esempio, niente nome, cognome, codice fiscale, numero di tessera sanitaria.
Perché questo sia legittimo, però, non basta “togliere il nome dal file Excel”. Serve un vero lavoro di pseudonimizzazione o anonimizzazione robusta, sostenuto da tecnologie adeguate e da una valutazione dei rischi documentata.
Cosa comporta per una struttura sanitaria
Ogni azienda sanitaria o IRCCS che voglia usare i propri dati clinici per progetti di IA dovrà organizzarsi su più livelli:
- Catalogo dei dataset: sapere cosa esiste, dove si trova, con quali qualità e in che formato.
- Processi standard di preparazione del dato: pipeline chiare da EHR, PACS, LIS, ecc. verso dataset pseudonimizzati/anonimizzati.
- Tecnologie adeguate: non solo strumenti di mascheramento, ma anche soluzioni di controllo degli accessi, logging, segregazione degli ambienti di sviluppo.
- Documentazione di conformità: DPIA (valutazioni d’impatto privacy), policy interne, regolamenti per l’uso dei dati in ricerca.
Chi lo fa bene guadagna due cose:
- Velocità: ogni nuovo progetto di IA parte più rapidamente, perché la “fabbrica del dato” è già pronta.
- Credibilità: verso comitati etici, autorità di controllo e partner industriali.
3. Anonimizzazione, pseudonimizzazione, dati sintetici: cosa cambia davvero
Il comma 3 dell’articolo 8 è quello che sta facendo più discutere, perché introduce una nuova base giuridica per alcuni trattamenti delicati:
- anonimizzazione dei dati sanitari
- pseudonimizzazione dei dati sanitari
- sintetizzazione dei dati sanitari (creazione di dati sintetici).
Finora, queste operazioni richiedevano di fatto il consenso dell’interessato. Oggi, quando servono per:
- ricerca e sperimentazione scientifica di sistemi di IA per prevenzione, diagnosi, cura, sviluppo di farmaci, tecnologie riabilitative, ecc.
- attività di programmazione, gestione, controllo e valutazione dell’assistenza sanitaria (governo della salute),
è la legge stessa a costituire la base giuridica.
Non è un “liberi tutti”: la privacy resta al centro
Il legislatore facilita l’accesso ai dati, ma mette un vincolo forte: le tecniche usate devono essere coerenti con il GDPR e con gli orientamenti europei sulla protezione dei dati.
Tre punti spesso sottovalutati:
- Pseudonimizzazione ≠ anonimizzazione
Dopo la recente sentenza “Deloitte” della Corte di Giustizia UE, un dato pseudonimizzato non è automaticamente un dato personale. Lo diventa solo se esistono “mezzi ragionevoli” per re-identificare l’interessato. Questo sposta il focus sul piano tecnico: algoritmi, chiavi di ricodifica, misure di sicurezza.
-
Dati sintetici non sono automaticamente sicuri
Generare dati fittizi con tecniche di AI può ridurre i rischi, ma non garantisce da solo la privacy. Teniamo presente almeno tre rischi:- re-identificazione attraverso correlazioni inattese
- leakage di pattern rari (es. malattie rare in piccoli territori)
- utilizzo improprio dei dataset sintetici per addestrare ulteriori modelli.
-
Serve una valutazione del rischio continua
Non basta fare un’analisi all’inizio del progetto. Ogni aggiornamento di modello, ogni nuovo collegamento tra banche dati, ogni nuova funzionalità di AI può cambiare profondamente il profilo di rischio.
Il ruolo (cruciale) di AGENAS
Il comma 4 affida ad AGENAS la possibilità di definire e aggiornare linee guida su:
- procedure di anonimizzazione
- tecniche di sintetizzazione dei dati.
Non è un obbligo, ma è molto probabile che nel 2026 vedremo indicazioni nazionali più puntuali. Chi guida oggi l’innovazione in ospedali e regioni farebbe bene a:
- predisporre già ora pratiche interne coerenti con gli orientamenti europei (EDPB)
- essere pronto ad allinearsi rapidamente alle future linee guida AGENAS
- partecipare ai tavoli di lavoro, portando la prospettiva clinica e organizzativa.
4. Come preparare ospedali e IRCCS alla nuova stagione dell’IA
La legge 132/2025 manda un messaggio chiaro: senza buona governance dei dati non c’è innovazione clinica sostenibile.
Chi guida strutture sanitarie pubbliche o private accreditate dovrebbe ragionare in termini molto concreti. Una possibile roadmap operativa:
4.1 Mettere in ordine la governance dei dati
- Aggiornare il Modello di Organizzazione Privacy includendo in modo esplicito progetti di IA.
- Creare (se non esiste) un Data Governance Committee con DPO, CIO, clinici, risk manager, bioeticisti.
- Definire ruoli chiari per ogni progetto: titolare, contitolare, responsabile, sub-responsabili.
4.2 Standardizzare i percorsi di progetto IA
Per ogni iniziativa di IA in sanità (diagnostica per immagini, triage digitale, supporto decisionale, telemedicina avanzata), conviene avere un percorso tipo:
- Scoping: obiettivi clinici ed esito atteso (es. riduzione tempi refertazione TAC del 30%).
- Assessment dati: quali dati, da quali sistemi, con quale qualità, con quale legal basis.
- Pseudonimizzazione/anonimizzazione: scelta e validazione delle tecniche.
- DPIA e valutazione etica: integrate e non parallele.
- Sperimentazione controllata: con metriche cliniche e di sicurezza.
- Monitoraggio continuo: anche dopo l’entrata in produzione.
4.3 Integrare davvero privacy ed etica nei Comitati Etici
La legge richiama, in filigrana, un rischio reale: che la ricerca diventi solo “ingegneria dei dati” e perda contatto con la dimensione umana.
Oggi molti Comitati Etici non includono ancora competenze privacy e di data governance in modo strutturale. È un errore. In progetti di IA sanitaria servono almeno:
- un esperto di protezione dei dati
- un esperto di metodologie statistiche/AI
- una figura con competenze etiche specifiche sul digitale.
Quando questi profili lavorano insieme ai clinici, si vede subito la differenza: protocolli più solidi, rischi meglio controllati, maggiore fiducia da parte di pazienti e professionisti.
5. Collaborazione pubblico‑privato: come ripensarla alla luce della legge
La nuova normativa non chiude al privato, ma alza l’asticella. Per i fornitori tecnologici e le startup di digital health ci sono due strade realistiche.
Progetti “in solitaria”: dove ha ancora senso
Per alcune fasi, le aziende possono lavorare con dati sintetici o dati già pienamente anonimizzati, forniti da partner o da data provider terzi. In questi casi:
- la diretta riconducibilità alla persona è esclusa
- il ruolo della struttura sanitaria è più limitato
- restano comunque necessari audit tecnici e contrattuali.
Progetti “in partnership”: il modello che funzionerà di più
Per gli use case più interessanti (algoritmi radiologici, modelli predittivi clinici, strumenti di supporto alla prescrizione) sarà quasi sempre necessario:
- coinvolgere enti pubblici o non profit come partner effettivi di ricerca
- co-progettare architetture di dato compliant con legge 132/2025, AI Act e GDPR
- definire con trasparenza diritti di proprietà intellettuale e di sfruttamento dei risultati, evitando che la struttura sanitaria diventi solo un “serbatoio di dati”.
La realtà è che i progetti migliori nascono quando clinici, data scientist e giuristi lavorano insieme fin dall’inizio. La legge 132/2025, se letta bene, spinge esattamente in questa direzione.
Cosa fare adesso: dal testo di legge ai progetti concreti
La legge italiana sull’AI non è un ostacolo all’innovazione clinica. È un filtro. Premia chi sa progettare bene, integrare competenze e costruire processi robusti, penalizza chi continua a trattare i dati sanitari come “petrolio grezzo” da usare senza troppi scrupoli.
Per chi guida la sanità digitale oggi, le priorità pratiche sono:
- valutare i progetti di IA in corso e verificare se rispettano i criteri dell’art. 8
- mappare dove si farà uso secondario dei dati sanitari nei prossimi 12‑24 mesi
- definire una strategia chiara su anonimizzazione, pseudonimizzazione e dati sintetici
- rafforzare il dialogo tra direzioni sanitarie, ICT, DPO e comitati etici.
La serie “IA nella Sanità Italiana: Innovazione Clinica” continuerà a seguire da vicino questo passaggio, entrando nel merito degli use case: diagnostica per immagini, medicina personalizzata, telemedicina, gestione dei percorsi ospedalieri.
La domanda vera per i prossimi anni non è se useremo l’IA in sanità, ma come lo faremo. La legge 132/2025 ci dà una cornice chiara. Sta alle nostre scelte decidere se diventerà un acceleratore di innovazione clinica o l’ennesima occasione persa.