La miniera d’oro addormentata: come risvegliare i dati storici del tuo centro per addestrare l’AI

Nella mitologia greca, Mnemosyne, Dea della Memoria e personificazione del ricordo, custodisce negli abissi della sua mente la conoscenza di tutto ciò che è stato. Dalla sua unione con il re degli dèi nascono poi le nove Muse, le divinità preposte a ispirare le arti, le scienze e il progresso umano.

Trasponendo questa suggestione classica ai tempi nostri, la dimora di Mnemosyne coincide in modo sorprendente con i server delle attuali strutture sanitarie. Lì giacciono petabyte di dati di valore inestimabile, che potrebbero essere utilizzati per descrivere patologie di grande complessità ed addestrare algoritmi di Intelligenza Artificiale con lo scopo di migliorare la pratica clinica.

Eppure, troppo spesso si assiste a una singolare “sindrome del museo intoccabile”, come se fosse meglio non sfiorare questa immensa memoria. Per questo tipo di ricerche, infatti, serve un’enorme quantità di dati e il timore è quello di dover ricontattare tutti i pazienti per chiedere loro il consenso, scatenando una difficilissima caccia al tesoro e il rischio di scontrarsi con l’irreperibilità dei pazienti stessi.

Come evitare quindi di lasciare addormentati questi preziosissimi giacimenti di dati clinici? È giunto il momento di smontare questo pregiudizio paralizzante: la protezione dei dati personali e le nuove regole sull’utilizzo dell’AI non sono forze antagoniste.

La via d’uscita operativa: l’articolo 8 della Legge 132/2025

L’errore principale per chi lavora nella ricerca, molto spesso, risiede nella convinzione che la normativa sulla protezione dei dati possa costituire in questi casi un blocco insormontabile. Il Regolamento Generale sulla Protezione dei Dati (GDPR) non ha mai preteso di imbrigliare la scienza; al contrario, prevede specifiche deroghe per il trattamento dei dati sanitari a fini di ricerca scientifica e di interesse pubblico (articoli 6, 9 e Premessa 157).

A fugare ogni residuo dubbio e a tracciare una via d’uscita operativa definita è intervenuto il legislatore italiano con la Legge 132/2025, e in particolare attraverso l’Articolo 8, introducendo una vera e propria svolta strategica per la sanità e la ricerca clinica in Italia. L’Articolo 8 disciplina in modo puntuale l’utilizzo secondario dei dati sanitari per l’addestramento, la validazione e il testing di sistemi di Intelligenza Artificiale in ambito medico, riconoscendo esplicitamente che lo sviluppo di soluzioni AI destinate a migliorare la diagnosi, la prognosi e l’appropriatezza terapeutica risponde a un primario interesse pubblico.

Cosa significa questo per chi lavora in ricerca clinica? Significa che la legge offre una base giuridica solida e predeterminata: per poter utilizzare i dati fermi nelle cartelle cliniche non serve il consenso informato dell’interessato, ovviando quindi alla sua difficoltà di raccolta soprattutto per le organizzazioni non IRCCS, ma basterà mettere a disposizione sul sito web un’informativa chiara e comprensibile anche ai non addetti ai lavori sullo scopo della ricerca e su come verranno trattati i dati.

L’Articolo 8 della Legge 132/2025 definisce, di conseguenza, il perimetro esatto entro cui la valorizzazione del dato è non solo lecita, ma promossa.

Il metodo pratico: un percorso di compliance chiaro e sostenibile

Cosa bisogna fare per lavorare in piena conformità?

Far risorgere la memoria clinica del centro è assolutamente possibile e la conformità passa attraverso un processo chiaro, lineare e pienamente sostenibile se affrontato con metodo e competenza specialistica.

• La DPIA specifica: è obbligatorio redigere una Valutazione d’Impatto sulla Protezione dei Dati (DPIA) ai sensi dell’art. 35 del GDPR, integrata con i requisiti previsti dall’AI Act e dalla Legge 132/2025 e che documenti:
  • la qualità, la rappresentatività e la provenienza del dataset clinico selezionato;
  • un’analisi tecnica e scientifica del ciclo di vita del dato;
  • le tecniche di minimizzazione e le architetture di de-identificazione o pseudonimizzazione;
  • la gestione e la mitigazione dei possibili bias algoritmici per garantire l’equità e la robustezza del modello;
  • la gestione dei rischi per i diritti e la libertà delle persone.
• L’Informativa web e la trasparenza istituzionale: le strutture sanitarie che promuovono lo studio adempiono ai propri obblighi di trasparenza attraverso la pubblicazione di un’informativa chiara, accessibile e ben visibile sul proprio canale web istituzionale. Il documento illustra la natura del progetto di ricerca, le finalità dell’addestramento dell’algoritmo, le garanzie di sicurezza adottate e i meccanismi attraverso cui il cittadino può esercitare il proprio diritto di opposizione (opt-out).
• La segregazione e la sicurezza tecnica dei dati: sul piano operativo, i dati estratti dai sistemi del centro vengono sottoposti a rigorosi protocolli di cifratura e segregazione delle chiavi identificative. L’addestramento dell’algoritmo avviene su dataset minimizzati, dai quali viene rimosso ogni elemento identificativo diretto, garantendo che i ricercatori e i loro team lavorino esclusivamente su informazioni utili al pattern di apprendimento.

La compliance rigorosa come fattore abilitante e valore scientifico

Tornando alla suggestione classica, Mnemosyne non generò le Muse rimanendo isolata nel proprio ricordo, ma unendo la conoscenza del passato a una visione strutturata. Allo stesso modo, nell’ecosistema della sanità digitale, la reale chiave di svolta risiede anche in un’architettura di compliance che sostenga l’intero impianto dello studio.

Trattare la conformità normativa come un mero adempimento formale significa esporre il progetto di ricerca a fragilità strutturali nel lungo periodo. Al contrario, quando la compliance viene concepita come disciplina tecnica integrata, essa diventa il principale garante della qualità scientifica del modello di AI.

Tre pilastri procedurali trasformano la conformità da vincolo a garanzia d’eccellenza:

• Accountability e tracciabilità della data lineage: dimostrare documentalmente l’origine, le trasformazioni e le modalità di pulizia del dato clinico non soddisfa solo l’Articolo 5 del GDPR, ma garantisce la riproducibilità scientifica dell’addestramento. Un dataset la cui catena di custodia è incerta produce modelli non auditabili, inutilizzabili in sede di marcatura CE o di validazione clinica.
• Allineamento integrato GDPR-AI Act: la compliance per i dati storici non si esaurisce nella protezione della sfera privata, ma si estende alla gestione del rischio algoritmico. La mappatura dei bias di campionamento e la documentazione sulla robustezza del dataset clinico costituiscono i requisiti tecnici obbligatori previsti dall’AI Act per i sistemi sanitari ad alto rischio.
• Sostenibilità etico-legale a lungo termine: una procedura di opt-out web ben strutturata e una DPIA solida proteggono l’istituzione e lo Sponsor da possibili contestazioni ex-post, blindando gli investimenti effettuati nello sviluppo del software medico.

È dall’unione tra il valore inestimabile del dato e la certezza del diritto che prendono forma le nuove Muse dell’innovazione medica: algoritmi robusti, etici, conformi e pronti a trasformare l’esperienza passata nelle terapie d’avanguardia di domani.