Anonimizzazione e governance del dato per lo sviluppo

Il ruolo strategico dei dati nella sanità e le responsabilità della Direzione

L’integrazione dell’Intelligenza Artificiale all’interno delle strutture sanitarie rappresenta una trasformazione sistemica che richiede alle Direzioni Generali, Sanitarie e Amministrative un approccio rigoroso e strutturato. I dati clinici e amministrativi generati quotidianamente dagli ospedali e dalle aziende sanitarie costituiscono il fondamento vitale per l’istruzione, l’addestramento e la validazione degli algoritmi, siano essi sviluppati internamente o forniti da partner esterni.

Tuttavia, il patrimonio informativo di una struttura sanitaria è composto da dati estremamente sensibili. La governance di questi dati non è esclusivamente una questione tecnologica, ma rappresenta una responsabilità strategica, clinica e legale del vertice aziendale. La Direzione deve garantire che ogni progetto di innovazione rispetti la normativa vigente, con particolare attenzione alle recenti disposizioni della Legge 132/2025, tutelando la riservatezza del paziente e assicurando che la tecnologia rimanga un prezioso strumento di supporto, senza mai invadere le prerogative della professione medica.

Il principio cardine, ribadito con forza dal legislatore e dalla pratica di governo clinico, è che l’Intelligenza Artificiale affianca e non sostituisce il giudizio clinico. Qualsiasi algoritmo, per quanto avanzato e preciso, deve essere considerato come un sistema di supporto alle decisioni. La responsabilità finale della diagnosi, della prognosi e della scelta terapeutica rimane in capo al medico curante.

Affinché questo sistema di supporto sia affidabile, i dati utilizzati per istruirlo devono essere accurati, rappresentativi e, soprattutto, trattati nel pieno rispetto delle normative sulla protezione dei dati personali. In questo contesto, l’anonimizzazione dei dataset clinici diventa un processo organizzativo e metodologico imprescindibile per qualsiasi struttura pubblica o gruppo privato italiano che intenda fare innovazione in modo sicuro e documentabile.

Distinzione fondamentale tra anonimizzazione e pseudonimizzazione

Per impostare una governance documentabile e inattaccabile, le Direzioni devono avere chiara la differenza legale e operativa tra anonimizzazione e pseudonimizzazione. Molto spesso, nella pratica aziendale, questi due termini vengono confusi, generando rischi enormi in fase di audit o in caso di ispezioni da parte del Garante per la Protezione dei Dati Personali. L’anonimizzazione è un processo irreversibile.

Un dato clinico si definisce anonimizzato quando, attraverso l’applicazione di tecniche statistiche e crittografiche, diventa oggettivamente impossibile risalire all’identità del paziente, anche incrociando il dataset con altre banche dati esterne. Quando un dataset è correttamente anonimizzato, esso esce dal campo di applicazione del Regolamento Generale sulla Protezione dei Dati e può essere utilizzato liberamente per l’addestramento degli algoritmi.

Al contrario, la pseudonimizzazione è un processo reversibile.

Consiste nella sostituzione dei dati identificativi diretti, come il nome o il codice fiscale, con un codice fittizio o pseudonimo. In questo caso, l’azienda sanitaria conserva separatamente in un archivio sicuro la chiave di decodifica che permette di re-identificare il paziente. I dati pseudonimizzati restano a tutti gli effetti dati personali sensibili e sono soggetti a tutti i vincoli della normativa sulla privacy.

Sviluppare un algoritmo su dati pseudonimizzati richiede basi giuridiche specifiche, consensi espliciti o autorizzazioni particolari, comportando un onere burocratico e un rischio legale significativamente più elevato per la Direzione.

Metodologie organizzative per la creazione e la validazione dei dataset

L’estrazione e la preparazione dei dati clinici per lo sviluppo o la validazione di un algoritmo richiedono l’istituzione di un processo aziendale multidisciplinare. Non è sufficiente delegare il compito al solo dipartimento informatico. Le Direzioni Generali devono promuovere un comitato di valutazione dei dati che includa la Direzione Sanitaria, il Responsabile della Protezione dei Dati, il dipartimento affari legali e i referenti clinici del progetto. Questa sinergia è essenziale per definire il perimetro del progetto e garantire che la governance sia documentabile in ogni sua fase, dal concepimento all’implementazione.

La metodologia organizzativa ottimale prevede una serie di passaggi strutturati che tutelano la struttura e il management:

• Valutazione dell’impatto e definizione dello scopo: Prima di procedere all’estrazione, è obbligatorio definire chiaramente l’obiettivo clinico o amministrativo. Che si tratti di un modello predittivo per ottimizzare i flussi di ricovero in pronto soccorso, un tipico caso d’uso amministrativo, o di un sistema per l’analisi avanzata di immagini radiologiche, l’obiettivo giustifica la quantità e la tipologia di dati da raccogliere, applicando il principio di minimizzazione.
• Estrazione e segregazione: I dati necessari vengono estratti dai sistemi informativi ospedalieri e copiati in un ambiente di transito sicuro, logicamente separato dall’infrastruttura di produzione. Questo previene qualsiasi rischio di corruzione dei dati clinici primari impiegati per la cura quotidiana dei pazienti.
• Applicazione delle tecniche di anonimizzazione: In questa fase intervengono strumenti software specifici che eliminano gli identificatori diretti, generalizzano i dati demografici, per esempio trasformando l’età precisa in fasce di età, e sopprimono eventuali dati unici che potrebbero rendere il paziente riconoscibile per deduzione.
• Controllo di qualità e validazione del rischio: La Direzione Sanitaria e il Responsabile della Protezione dei Dati devono validare congiuntamente il dataset risultante. Devono misurare il rischio residuo di re-identificazione e certificare formalmente, tramite un verbale documentabile, che il dataset è da considerarsi anonimo. Solo dopo questa validazione formale il dato può essere consegnato ai programmatori o ai partner tecnologici.

La Legge 132/2025 e il ruolo del Fascicolo Sanitario Elettronico

Il panorama normativo italiano impone alle Direzioni un aggiornamento costante. La Legge 132/2025 ha introdotto disposizioni specifiche e stringenti sull’utilizzo secondario dei dati sanitari, con un focus particolare sul Fascicolo Sanitario Elettronico. Il Fascicolo rappresenta una miniera di informazioni longitudinali per l’addestramento di modelli predittivi complessi, ma la legge stabilisce garanzie rigorose per i cittadini.

La Direzione deve assicurare che l’utilizzo dei dati estratti dai flussi destinati al Fascicolo Sanitario Elettronico per finalità di ricerca e sviluppo tecnologico avvenga esclusivamente previa anonimizzazione certificata o in presenza di un consenso esplicito, informato e specifico per l’uso algoritmico, qualora l’anonimizzazione assoluta rendesse il dato clinicamente inutile.

Inoltre, la normativa richiede che le strutture sanitarie mantengano un registro delle attività di addestramento algoritmico. Ogni azienda ospedaliera è chiamata a istituire una tracciatura completa che dimostri da dove proviene il dato, come è stato depurato dei suoi riferimenti personali e in quale modello di Intelligenza Artificiale è stato iniettato. Questa documentazione è fondamentale per rispondere al principio di accountability, ovvero la responsabilità verificabile del titolare del trattamento dei dati, che in ambito sanitario ricade direttamente sui vertici aziendali.

Valutazione dei fornitori esterni e garanzie contrattuali

Raramente un ospedale italiano sviluppa algoritmi complessi interamente in casa. Molto spesso ci si avvale di partner accademici, startup innovative o grandi fornitori tecnologici esterni. In questi casi, la governance del dato si estende alla gestione del rischio di fornitura. La Direzione Amministrativa ha il compito di istituire procedure di gara e contratti che riflettano l’alta sensibilità del contesto sanitario.

Non è sufficiente acquistare un software, occorre stipulare accordi vincolanti sul trattamento dei dati e sulla proprietà intellettuale.

Quando una struttura sanitaria conferisce un dataset anonimizzato a un fornitore esterno per addestrare un’Intelligenza Artificiale proprietaria del fornitore, il contratto deve vietare esplicitamente qualsiasi tentativo di re-identificazione dei pazienti.

Inoltre, le Direzioni devono valutare attentamente le logiche di addestramento dei modelli commerciali pre-confezionati. È essenziale richiedere ai fornitori evidenze documentabili su quali dati siano stati utilizzati per istruire i loro sistemi, accertandosi che i modelli siano stati addestrati su popolazioni compatibili con i pazienti della propria struttura per evitare distorsioni e pregiudizi algoritmici, noti come bias.

Un algoritmo addestrato su protocolli clinici di contesti sanitari esteri potrebbe non essere adatto alla realtà di un gruppo ospedaliero italiano, compromettendo sia la qualità della cura sia l’efficienza amministrativa.

L’Intelligenza Artificiale come garanzia e supporto organizzativo

Le metodologie di anonimizzazione e la rigorosa selezione dei fornitori convergono verso un unico grande obiettivo: costruire un ecosistema tecnologico in cui il medico e l’amministratore possano fidarsi degli strumenti che utilizzano. La governance clinica del dato garantisce che l’Intelligenza Artificiale rimanga uno strumento trasparente e sicuro. Le Direzioni che adottano questi processi organizzativi documentabili non solo evitano sanzioni normative, ma creano un reale valore aggiunto per la propria azienda.

L’innovazione tecnologica, se governata con competenza dalle figure apicali, permette di ottimizzare le risorse, ridurre le liste di attesa tramite un’analisi predittiva efficace e, soprattutto, fornire ai medici informazioni tempestive e precise, consolidando l’assoluta centralità del professionista umano nel processo di cura e assistenza al paziente.