/ Published in Articoli

Intelligenza Artificiale in sanità: se l’IA sbaglia, di chi è la copla?

Sintesi: L’Intelligenza Artificiale (IA) si sta radicando in modo strutturale nella sanità italiana e internazionale, dalla diagnostica per immagini alla personalizzazione dei trattamenti, dalla predizione del rischio clinico alla telemedicina. Un cambiamento di paradigma che porta con sé un interrogativo cardine sul piano medico-legale: se l’IA sbaglia, di chi è la colpa? Il presente contributo analizza gli scenari di responsabilità sanitaria connessi all’utilizzo dell’IA in ambito clinico, alla luce della Legge Gelli-Bianco, del Regolamento europeo sull’IA (AI Act, Reg. UE 2024/1689), della proposta di direttiva UE sulla responsabilità dell’IA e della disciplina del prodotto difettoso, illustrando i profili di ricostruzione del contenzioso, la ripartizione dell’onere della prova e le criticità del giudizio.

Indice:

1. La rivoluzione dell’IA in sanità

L’Intelligenza Artificiale — attraverso tecniche come il machine learning e il deep learning, basate su reti neurali che apprendono dai dati — ha trasformato profondamente la medicina, spostandola da una fase sperimentale a un’applicazione concreta in molteplici settori clinici e organizzativi. Nel campo sanitario, l’IA consente di analizzare enormi quantità di dati e di individuare schemi che sarebbero difficilmente coglibili dall’occhio umano, con l’obiettivo di porre diagnosi più rapide e accurate e fornendo un prezioso supporto ai clinici.

Il valore aggiunto rispetto ai tradizionali algoritmi di calcolo consiste proprio in ciò: mentre un semplice algoritmo si limita a confrontare dati secondo regole preimpostate, i sistemi avanzati di IA apprendono autonomamente dai dati stessi, migliorando le proprie performance nel tempo. Un cambio di natura, non solo di grado, che ha ricadute significative sul piano della prova, dell’attribuzione della responsabilità e — in ultima analisi — della tutela del paziente danneggiato.

2. Le applicazioni dell’IA in ambito sanitario

Gli ambiti in cui l’IA è oggi utilizzata — o in via di sviluppo — nel settore sanitario sono in continua espansione. Fra i più significativi:

  • Diagnostica per immagini: algoritmi in grado di analizzare radiografie, RM, TAC ed ecografie, individuando lesioni, tumori o alterazioni che possono sfuggire alla lettura umana.
  • Predizione del rischio clinico: modelli che valutano, sulla base dei dati sanitari individuali, la probabilità di sviluppare determinate patologie.
  • Medicina personalizzata: sistemi che orientano la scelta del miglior approccio terapeutico o chirurgico per patologie rare o complesse.
  • Ricerca clinica e farmacologica: piattaforme che accelerano l’individuazione di nuove terapie analizzando dataset biologici e clinici.
  • Assistenza territoriale e sanità primaria: ottimizzazione dei processi di presa in carico dei pazienti cronici — un ambito nel quale AGENAS ha promosso, nel 2022, una piattaforma nazionale di IA finanziata con risorse del PNRR.
  • Telemedicina e assistenza remota: integrazione dell’IA nel monitoraggio del paziente a distanza e nel supporto clinico decisionale.

3. I rischi e i limiti dell’IA in sanità

Se le opportunità sono molte, i rischi non sono meno rilevanti. Le principali criticità sollevate a livello internazionale — anche dalle istituzioni come l’OCSE e dalla normativa europea — riguardano quattro aree:

3.1 Bias e distorsioni algoritmiche

Gli algoritmi di IA vengono addestrati su grandi quantità di dati. Se i dati di addestramento non sono rappresentativi — per esempio, se provengono da popolazioni geneticamente o socialmente omogenee — l’algoritmo può risultare meno accurato, o addirittura discriminatorio, nell’applicazione ad altri pazienti. Una diagnosi che funziona bene su una popolazione può fallire su un’altra: un rischio noto in letteratura come algorithmic bias.

3.2 Privacy e sicurezza dei dati sanitari

I sistemi di IA operano su dati sensibili e richiedono, di conseguenza, un livello di protezione elevatissimo. Una violazione della sicurezza — sia essa attacco esterno o carente configurazione interna — può esporre informazioni riservatissime, con ripercussioni giuridiche disciplinate dal Regolamento UE 2016/679 (GDPR) e dal Codice della Privacy.

3.3 La “scatola nera”: opacità del processo decisionale

È forse il nodo più delicato per il giurista. Gli algoritmi basati su deep learning e reti neurali profonde operano spesso come una “scatola nera” (black box): il percorso che porta il sistema dalla combinazione dei dati alla conclusione diagnostica o terapeutica non è ricostruibile — non solo per il medico utente, ma nemmeno per il programmatore. Ciò rende difficile per il clinico esercitare un controllo critico sulle indicazioni fornite dalla macchina, e per il giudice ricostruire, ex post, il nesso causale del danno.

3.4 Perdita del controllo decisionale del clinico

Un uso non consapevole dell’IA può indurre il medico a un’eccessiva fiducia verso il sistema automatico (automation bias), con il rischio di rinunciare al proprio giudizio critico. Al contrario, un uso troppo scettico può portare a ignorare indicazioni utili. In entrambi i casi il paziente ne subisce le conseguenze.

4. Errori dell’IA: quando e come si configura la responsabilità

Il tema centrale è: cosa succede quando l’IA sbaglia? Alcuni esempi tipici tratti dalla prassi clinica illustrano la complessità del giudizio:

  • un software di IA suggerisce un rischio elevato di neoplasia e, sulla base di tale indicazione, il medico dispone un intervento invasivo; si scopre poi che la previsione era errata;
  • il medico, in base alla propria esperienza clinica, decide di ignorare le raccomandazioni della macchina e ciò produce conseguenze negative per il paziente;
  • un algoritmo di IA utilizzato per la determinazione del trattamento è stato addestrato con dati incompleti o inaffidabili e suggerisce una terapia inadeguata, o addirittura dannosa;
  • un sistema di IA per la stratificazione del rischio genera previsioni errate, con la conseguenza che i pazienti vengono sottoposti a esami non necessari — o, viceversa, che patologie importanti non sono identificate per tempo.

In tutti questi casi, chi risponde del danno subito dal paziente?

5. Ricostruire la responsabilità: chi risponde di che cosa

Nel silenzio del legislatore italiano — che ad oggi non ha dettato una disciplina espressa della responsabilità sanitaria da IA — la questione va analizzata caso per caso, alla luce dei principi generali della responsabilità civile, della disciplina della responsabilità professionale sanitaria e della normativa sul prodotto difettoso. Le principali direttrici ricostruttive sono le seguenti.

5.1 Responsabilità della struttura sanitaria

– Responsabilità per inadempimento dell’obbligazione sanitaria

Quando l’errore deriva dall’utilizzo del sistema di IA nell’ambito dell’organizzazione ospedaliera, la responsabilità ricade — in prima battuta — sulla struttura sanitaria ai sensi degli artt. 1218 e ss. c.c. (responsabilità contrattuale da inadempimento dell’obbligo di protezione del paziente) e dell’art. 7 della Legge 8 marzo 2017, n. 24 (Legge Gelli-Bianco).

– Responsabilità per danno da cose in custodia

Un profilo di grande interesse — e ancora poco esplorato dalla giurisprudenza italiana — è quello dell’art. 2051 c.c. (“Danno cagionato da cose in custodia”): se si accetta la ricostruzione secondo cui il software di IA è una “cosa” nella custodia della struttura sanitaria, quest’ultima risponde in via presuntiva, salva la prova del caso fortuito. È un’ipotesi che, se accolta, agevolerebbe notevolmente la posizione del paziente danneggiato sotto il profilo dell’onere della prova.

– Responsabilità per danno da attività pericolosa

Un ulteriore profilo di altrettanto elevato interesse è quello relativo all’applicabilità, in ordine ai danni alla salute conseguenti all’uso di sistemi AI in medicina, della disciplina dell’art. 2050 c.c. in tema di responsabilità per attività pericolosa.  Questa disciplina rispetto a quella comunitaria, presenta degli indiscutibili vantaggi che si possono riassumere come segue:

  • Inversione dell’onere della prova: il produttore deve dimostrare di aver adottato tutte le misure volte ad evitare il danno al fine di liberarsi dalla responsabilità (prova liberatoria coincidente con il caso fortuito)
  • L’osservanza dello stato della tecnica deve riguardare tutta la fase della circolazione
  • Sussistenza del nesso causale in ragione della semplice prova dell’evento di danno, ove questo appaia, secondo un criterio di normalità e regolarità, emanazione del rischio specifico proprio dell’attività esercitata
  • Tutela risarcitoria illimitata (diversamente da quanto previsto nel Codice del Consumo)
  • Termine di prescrizione di 5 anni con espansione in caso di responsabilità penale e nessun limite di decadenza in ordine al dies a quo (diversamente dal Codice del consumo che prevede prescrizione biennale e termine di decadenza decennale per il dies a quo).

Non a caso, quella posta dall’art. 2050 è stata la disciplina di elezione nel contenzioso per danno da farmaco nel contenzioso svoltosi in italia a partire dagli anni ’70.

5.2 Responsabilità del produttore per prodotto difettoso

Se l’errore risiede nella programmazione dell’algoritmo — bias di addestramento, difetti di progettazione, output sistemicamente errati — può trovare applicazione la disciplina del prodotto difettoso, introdotta con la Direttiva 85/374/CEE (oggi recepita nel Codice del Consumo, artt. 114 ss.). Il produttore risponde nei confronti del danneggiato indipendentemente dalla colpa, per il solo fatto di aver messo in circolazione un prodotto difettoso.

È il momento di ricordare che, il 18 ottobre 2024, il Consiglio dell’Unione Europea ha approvato la nuova Direttiva sulla responsabilità per danno da prodotti difettosi (Dir. UE 2024/2853), che sostituirà la Dir. 85/374/CEE ed estende esplicitamente le regole del prodotto difettoso al software, ai sistemi di IA e agli aggiornamenti software. Gli Stati membri hanno due anni di tempo dal 9 dicembre 2024 per recepirla. Si tratta di uno strumento che, una volta operativo, cambierà in modo strutturale il contenzioso in materia.

5.3 Responsabilità della società di manutenzione

Se il difetto è ascrivibile a un mancato o erroneo aggiornamento del software, o a una carente attività di manutenzione, può configurarsi un’azione di rivalsa della struttura sanitaria o del produttore nei confronti della società incaricata della manutenzione, sulla base del contratto di servizio.

5.4 Responsabilità del professionista sanitario

Se l’errore è ascrivibile all’uso non corretto del sistema di IA — ad esempio per una configurazione impropria — o all’errata interpretazione degli output — un’informazione veritiera del sistema mal interpretata dal clinico — si torna alle tradizionali categorie della responsabilità professionale sanitaria, nell’inquadramento tracciato dalla Legge Gelli-Bianco.

Ma qui emerge un tema nuovo e delicato: le linee guida oggi disponibili non contemplano ancora, in modo sistematico, l’uso corretto degli strumenti di IA. Come potrà, dunque, il medico dimostrare la propria diligenza? Basterà avere seguito le raccomandazioni cliniche tradizionali, o dovrà anche dimostrare di padroneggiare l’IA a livello tecnico? La questione è aperta.

6. Il quadro normativo europeo: AI Act e AI Liability Directive

L’Unione Europea ha avviato il quadro regolatorio con due strumenti fondamentali:

6.1 L’AI Act (Regolamento UE 2024/1689)

Il Regolamento (UE) 2024/1689 (cd. AI Act), pubblicato in Gazzetta Ufficiale UE il 12 luglio 2024 ed entrato in vigore il 1° agosto 2024, costituisce la prima regolamentazione organica al mondo dell’intelligenza artificiale. Adotta un approccio basato sul rischio, classificando i sistemi di IA in quattro categorie (rischio inaccettabile, alto rischio, rischio limitato, rischio minimo).

Molti dispositivi medici basati su IA rientrano nella categoria del “rischio alto”, con conseguente applicazione di obblighi rigorosi a carico dei fornitori: valutazione della conformità, gestione del rischio, qualità dei dati di addestramento, tracciabilità, documentazione tecnica, sorveglianza umana, robustezza e cibersicurezza. Alcuni obblighi sono già in vigore dal 2025; l’operatività completa è prevista per il 2 agosto 2026.

Sul piano medico-legale, il rispetto (o il mancato rispetto) degli obblighi dell’AI Act diventerà un parametro centrale per valutare la diligenza sia del fornitore sia della struttura sanitaria utilizzatrice.

6.2 La proposta di direttiva sulla responsabilità dell’IA

Parallelamente all’AI Act, la Commissione Europea aveva presentato — il 28 settembre 2022 — una proposta di Direttiva sulla responsabilità dell’IA (cd. AI Liability Directive, COM(2022) 496), volta a introdurre presunzioni relative in favore del danneggiato in materia di nesso causale e di colpa nei procedimenti civili aventi ad oggetto danni causati da sistemi di IA. La proposta prevedeva, in particolare:

  • l’obbligo per il produttore o utilizzatore di IA di esibire in giudizio le informazioni tecniche rilevanti sul sistema (documentazione, log, dati di addestramento);
  • una presunzione di nesso causale tra la condotta colposa e il danno, quando siano soddisfatte determinate condizioni.

La proposta è stata ritirata dalla Commissione nel programma di lavoro 2025 per l’assenza di accordo. Tuttavia, molti dei suoi principi sono stati assorbiti dalla nuova Direttiva 2024/2853 sul prodotto difettoso e restano un punto di riferimento per il futuro assetto regolatorio.

7. Il contenzioso medico-legale in materia di IA: profili peculiari

7.1 L’onere della prova

Il primo, cruciale profilo del contenzioso è quello della ripartizione dell’onere della prova tra le parti. Nell’ordinamento italiano, in tema di responsabilità sanitaria contrattuale — vigente per la struttura ai sensi dell’art. 7 della Legge Gelli-Bianco — la Cassazione ha consolidato (Cass., Sez. Un., 30 ottobre 2001, n. 13533, e successive) il principio secondo cui il paziente danneggiato deve provare il contratto (o il contatto sociale), il danno e allegare l’inadempimento qualificato; è invece la struttura a dover provare il proprio adempimento — o l’imputabilità del danno a causa non imputabile.

Nel contesto di un errore da IA, questa ripartizione assume un valore particolare: la struttura sanitaria dovrà dimostrare — di fronte al giudice — la corretta gestione del sistema di IA, la validazione clinica del software, la formazione del personale, la conformità dell’utilizzo alle raccomandazioni del produttore. È un onere non banale.

7.2 La documentazione: dalla cartella clinica alla scheda tecnica

Un aspetto operativo di novità: nel giudizio per errore da IA, non sarà più sufficiente acquisire la cartella clinica del paziente. Sarà necessario anche il registro degli output del sistema di IA, la scheda tecnica del prodotto, la documentazione dell’AI Act (per i sistemi ad alto rischio), i log di aggiornamento del software. Si prospetta un contenzioso a compendio probatorio molto più esteso rispetto al passato — con conseguenti implicazioni sui costi e sui tempi del giudizio.

7.3 Consulenti tecnici multidisciplinari

Il contenzioso in materia di IA sanitaria richiederà, quasi certamente, il ricorso a consulenti tecnici multidisciplinari: non più solo il medico legale, ma anche l’esperto di intelligenza artificiale, il data scientist, l’ingegnere biomedico. Anche il ruolo del giudice sarà chiamato a evolversi, con l’esigenza di una formazione specifica per la lettura critica delle CTU tecniche.

7.4 Il consenso informato all’utilizzo dell’IA

Un ulteriore profilo di rilievo — sia sul piano deontologico sia in prospettiva contenziosa — è quello del consenso informato del paziente all’utilizzo di sistemi di IA nel proprio percorso di cura. La Legge 22 dicembre 2017, n. 219 (in materia di consenso informato e disposizioni anticipate di trattamento) impone al medico di informare il paziente sulle scelte diagnostiche e terapeutiche in modo chiaro e comprensibile: obbligo che si estende, ragionevolmente, anche all’intervento di sistemi di IA nel processo decisionale. L’omessa informazione può costituire, di per sé, un autonomo profilo di responsabilità professionale.

8. Formazione e collaborazione: la chiave dell’uso sicuro

Un uso sicuro e responsabile dell’IA in sanità richiede una solida formazione dei professionisti sanitari e una stretta collaborazione fra clinici, ingegneri, scienziati dei dati e giuristi. La formazione consente al medico non solo di utilizzare correttamente le tecnologie, ma di mantenere quella capacità di lettura critica degli output — e di documentazione delle proprie scelte — che è oggi indispensabile per la difesa in caso di contenzioso.

Sul piano organizzativo, le strutture sanitarie hanno interesse a dotarsi di procedure interne per l’introduzione, la validazione, l’utilizzo e il monitoraggio dei sistemi di IA — anche in vista degli obblighi che l’AI Act pone a carico dei deployer (soggetti utilizzatori) di sistemi ad alto rischio.

9. Riflessioni conclusive

L’IA in sanità rappresenta una delle più grandi opportunità della medicina contemporanea. Ma la sua applicazione non può prescindere da un’attenta definizione dei profili di responsabilità di tutti i soggetti coinvolti — produttore, struttura sanitaria, manutentore, professionista — e da un uso prudente e regolamentato della tecnologia, con attenzione ai limiti che essa comporta per la sicurezza, l’etica e la qualità delle cure.

Il quadro normativo, ancora in evoluzione, offre già alcuni riferimenti utili: l’AI Act, la nuova Direttiva sul prodotto difettoso, la Legge Gelli-Bianco, la Legge 219/2017 sul consenso informato. Il paziente danneggiato dispone dunque di strumenti di tutela concreti, pur nella complessità del nuovo scenario.

Lo Studio Legale Stefano Gallo, forte di una consolidata esperienza in materia di responsabilità sanitaria e attivo su tutto il territorio nazionale, assiste i pazienti danneggiati da errori diagnostici e terapeutici — inclusi quelli riconducibili all’utilizzo di sistemi di intelligenza artificiale — nella ricostruzione medico-legale, nella raccolta della documentazione tecnica e clinica e nell’azione risarcitoria, in sede civile e penale.

Fonti citate nell’articolo

Articoli e saggi

1. ACOP Nazionale (Associazione Comparto Ospedalità Privata), L’intelligenza artificiale in sanità: rischi e responsabilità — Comunicato del 16 aprile 2026.

2. Luca D’Agostino, Intelligenza Artificiale in Medicina e Sanità: se l’AI sbaglia, di chi è la colpa? — HealthTech360.it (Nextwork360), 17 febbraio 2025.

3. Convegno “Verso una Sanità Digitale Responsabile” — Roma, 29 novembre 2023, promosso dalla Fondazione Sanità Responsabile.

4. Agnese Querci, Sicurezza e danno da prodotti medicali, G. GIAPPICHELLI EDITORE – TORINO, 2011

Normativa europea

4. Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale (AI Act) — Gazzetta Ufficiale dell’Unione Europea, L, 12 luglio 2024.

5. Direttiva (UE) 2024/2853 del Parlamento europeo e del Consiglio del 23 ottobre 2024, relativa alla responsabilità per danno da prodotti difettosi (che sostituirà la Dir. 85/374/CEE).

6. Proposta di Direttiva sulla responsabilità dell’IA (AI Liability Directive), COM(2022) 496 del 28 settembre 2022 — proposta oggi ritirata ma di significativo valore ricostruttivo.

7. Direttiva 85/374/CEE del Consiglio del 25 luglio 1985, in materia di responsabilità per danno da prodotti difettosi (recepita nel Codice del Consumo, artt. 114 ss.).

8. Regolamento (UE) 2016/679 (GDPR), in materia di protezione dei dati personali.

Normativa nazionale e riferimenti giurisprudenziali

10. Legge 8 marzo 2017, n. 24 (Legge Gelli-Bianco), in materia di sicurezza delle cure e responsabilità professionale degli esercenti le professioni sanitarie.

11. Legge 22 dicembre 2017, n. 219, in materia di consenso informato e disposizioni anticipate di trattamento.

12. Art. 32 Cost., artt. 1218, 2043, 2051 e 2059 c.c., nonché artt. 589, 590 e 590-sexies c.p. — disciplina della responsabilità civile e penale del sanitario e della struttura.

13. Codice del Consumo (D.Lgs. 6 settembre 2005, n. 206), artt. 114 e ss., sulla responsabilità per danno da prodotti difettosi.

14. Cass., Sez. Un., 30 ottobre 2001, n. 13533 (e giurisprudenza consolidata successiva), in materia di ripartizione dell’onere della prova nella responsabilità contrattuale.

Istituzioni e progetti nazionali

15. AGENAS, Bando ottobre 2022 per la realizzazione della Piattaforma Nazionale di Intelligenza Artificiale per la Sanità nell’ambito del PNRR.

16. OCSE, linee guida e principi sull’intelligenza artificiale (OECD AI Principles), riferimento internazionale in materia.”

Avvertenza. Il presente contributo ha finalità informativa e divulgativa e non costituisce parere legale. Il quadro normativo europeo e italiano in materia di intelligenza artificiale è in rapida evoluzione: le informazioni sono aggiornate alla data di pubblicazione. Per una valutazione della propria specifica situazione, si invita a contattare lo Studio Legale Stefano Gallo.