Integrità dei sistemi e prevenzione informatica

La sicurezza informatica come priorità strategica della Direzione

L’introduzione sistemica e capillare di soluzioni basate sull’Intelligenza Artificiale all’interno delle aziende sanitarie, degli ospedali e dei grandi gruppi privati rappresenta una straordinaria opportunità di innovazione organizzativa, clinica e amministrativa. Tuttavia, questa profonda transizione verso la sanità digitale espande in misura considerevole il perimetro di esposizione ai rischi informatici. Per i Direttori Generali, i Direttori Sanitari e i Direttori Amministrativi, la protezione dell’infrastruttura tecnologica ospedaliera ha smesso di essere una questione puramente tecnica, demandata in via esclusiva ai dipartimenti dedicati all’informatica, per trasformarsi in un pilastro fondamentale e strategico della governance aziendale e della gestione del rischio clinico.

Un attacco informatico che riesca a compromettere un algoritmo di supporto alla diagnosi radiologica, oppure che blocchi l’accesso ai sistemi del Centro Unico di Prenotazione e all’accettazione dei pazienti, produce ripercussioni immediate e devastanti sulla salute pubblica, sulla continuità delle cure e sulla reputazione dell’intera struttura sanitaria. La Direzione Strategica ha il compito ineludibile di promuovere una cultura della prevenzione che permei ogni singolo livello dell’organizzazione ospedaliera. Questo significa strutturare politiche direzionali estremamente chiare, dotate di budget finanziari adeguati, capaci di garantire la massima integrità dei sistemi e di proteggere l’azienda dalle crescenti e sofisticate minacce cibernetiche.

Impatti della Legge 132/2025 sull’integrità dei dati sanitari e sul Fascicolo Sanitario Elettronico

La Legge 132/2025 ha introdotto un quadro normativo estremamente rigoroso per l’impiego dell’Intelligenza Artificiale in ambito sanitario nel contesto italiano, ponendo un’enfasi senza precedenti sulla sicurezza dei dati clinici sensibili e sull’interoperabilità assolutamente sicura con il Fascicolo Sanitario Elettronico. La normativa vigente impone che le direzioni delle aziende sanitarie adottino misure tecniche e organizzative proporzionate e sempre documentabili per prevenire accessi non autorizzati, alterazioni malevole dei dati di addestramento degli algoritmi e violazioni della riservatezza dei pazienti assistiti.

In particolare, l’integrazione degli algoritmi di analisi predittiva con i vasti archivi del Fascicolo Sanitario Elettronico richiede la progettazione di architetture di rete fondate sul principio della sicurezza strutturale fin dalla fase di concezione iniziale dei progetti.

Le politiche direzionali varate dai vertici aziendali devono prevedere requisiti operativi stringenti, tra i quali figurano obbligatoriamente:

• Protezione crittografica avanzata: Tutti i dati sanitari e amministrativi scambiati tra i database centrali dell’azienda, le piattaforme regionali del Fascicolo Sanitario Elettronico e i motori di Intelligenza Artificiale devono essere cifrati sia durante la fase di trasmissione sia quando vengono archiviati stabilmente nei server ospedalieri.
• Tracciabilità immutabile degli accessi operativi: Ogni singola interrogazione o modifica effettuata da un medico specialista o da un operatore amministrativo verso un sistema governato dall’Intelligenza Artificiale deve essere registrata in appositi archivi non modificabili, per consentire verifiche ispettive a posteriori in caso di anomalie di sistema.
• Isolamento delle reti cliniche critiche e compartimentazione: I sistemi tecnologici che governano i dispositivi medici salvavita e i software decisionali utilizzati in sala operatoria o nei reparti di terapia intensiva devono essere rigidamente separati dalle reti amministrative ordinarie o da quelle liberamente accessibili al pubblico, riducendo le possibilità di propagazione rapida di eventuali virus informatici.

Continuità operativa e resilienza delle infrastrutture ospedaliere

Una struttura sanitaria, che si tratti di una grande Azienda Ospedaliera, di un presidio territoriale o di un policlinico privato, non può in alcun modo permettersi interruzioni operative prolungate. La continuità dell’erogazione delle prestazioni mediche e chirurgiche è un diritto fondamentale del cittadino e un dovere inderogabile per l’intera Direzione. L’adozione massiccia di soluzioni basate su Intelligenza Artificiale, come ad esempio i sistemi di triage predittivo al Pronto Soccorso per la gestione dei flussi di emergenza o gli algoritmi sviluppati per l’ottimizzazione delle agende amministrative e delle sale operatorie, crea inevitabilmente una forte dipendenza tecnologica che deve essere governata con estrema cautela e lungimiranza.

Se l’infrastruttura informatica dovesse subire un blocco totale a causa di un attacco di tipo ransomware o di un grave guasto ai server centrali, il personale medico e infermieristico deve essere messo immediatamente nelle condizioni di continuare a operare in totale sicurezza.

La resilienza strutturale dell’infrastruttura si costruisce attraverso la rigida ridondanza dei sistemi informatici, il mantenimento sistematico di copie di salvataggio isolate e inaccessibili dalla rete principale, e la stesura di procedure di emergenza cristalline approvate dalla Direzione Sanitaria.

Spetta direttamente ai Direttori Sanitari e ai Direttori Amministrativi assicurarsi che, in ogni singolo reparto e ufficio, esistano e vengano regolarmente testati specifici protocolli di contingenza. Qualora l’Intelligenza Artificiale dovesse risultare improvvisamente indisponibile, i medici devono poter ricorrere a procedure tradizionali per consultare le cartelle cliniche vitali dei pazienti, prescrivere terapie urgenti e gestire le dimissioni senza generare colli di bottiglia o blocchi operativi che metterebbero a serio rischio la vita delle persone assistite.

Valutazione direzionale dei fornitori e sicurezza della catena di approvvigionamento

Gran parte dei rischi informatici e operativi legati all’impiego dell’Intelligenza Artificiale in sanità non deriva dallo sviluppo di codice interno, bensì dall’acquisizione di software e piattaforme di terze parti. La valutazione rigorosa dei fornitori tecnologici diventa quindi un momento critico e ineludibile della governance aziendale. Non è minimamente sufficiente valutare la bontà delle prestazioni cliniche o amministrative di un algoritmo; la Direzione ha l’obbligo di accertarsi preventivamente che il produttore rispetti i più elevati standard di sicurezza informatica e tutti i dettami imposti dalla Legge 132/2025. Un fornitore esterno compromesso o negligente può facilmente trasformarsi nella porta di ingresso privilegiata per un attacco devastante all’intera rete dell’ospedale.

Di seguito si propone un quadro di sintesi strategica che illustra i parametri essenziali che la Direzione deve imperativamente esigere durante le procedure di gara d’appalto pubblica o nelle fasi di affidamento diretto, mettendo a confronto l’approccio di un fornitore non idoneo con quello di un partner tecnologico pienamente conforme alle direttive nazionali.

Governance documentabile e politiche organizzative di sicurezza

La Legge 132/2025 sottolinea con grande vigore l’importanza del principio di responsabilizzazione diretta della dirigenza sanitaria. Non basta semplicemente mettere in sicurezza i sistemi dal punto di vista prettamente tecnologico, è assolutamente indispensabile poter dimostrare documentalmente, in ogni momento, di aver adottato tutte le misure organizzative e strutturali necessarie per prevenire gli incidenti informatici.

La creazione di una governance documentabile solida e inattaccabile tutela i Direttori Generali e i vertici aziendali da eventuali e gravose responsabilità legali in caso di violazione dei dati sanitari, fornendo la prova inequivocabile della correttezza e della diligenza del loro operato manageriale.

Per raggiungere questo fondamentale obiettivo, le aziende sanitarie devono istituire comitati direzionali multidisciplinari, composti da referenti clinici, responsabili legali e direttori informatici, incaricati di valutare con cadenza periodica l’impatto e l’affidabilità dei sistemi di Intelligenza Artificiale attivi in azienda.

Oltre all’aspetto puramente ispettivo, risulta strategico investire importanti risorse nella formazione continua di tutto il personale dipendente. Le vulnerabilità tecniche dei sistemi informatici sono molto spesso aggravate o innescate dall’errore umano non intenzionale. Medici, infermieri e personale amministrativo devono essere addestrati costantemente a riconoscere tentativi insidiosi di frode informatica, rafforzando in maniera sostanziale e consapevole la prima e più importante linea di difesa dell’intera infrastruttura ospedaliera.

Il principio di supervisione umana e la protezione assoluta del giudizio clinico

Un aspetto fondante e imprescindibile dell’implementazione sicura dell’Intelligenza Artificiale, ribadito con assoluta fermezza dalla Legge 132/2025, è il principio inalienabile secondo cui la tecnologia avanzata affianca e supporta costantemente il professionista sanitario, ma non sostituisce mai e in alcun modo il giudizio clinico umano. Questo concetto cardinale non ha solamente profonde implicazioni legali, assicurative o etiche, ma rappresenta a tutti gli effetti anche l’ultima e più importante barriera di sicurezza informatica contro le vulnerabilità insite nei sistemi complessi.

Nel malaugurato caso in cui un algoritmo predittivo venga alterato in modo subdolo e impercettibile da un attacco informatico mirato, iniziando per esempio a suggerire dosaggi errati di farmaci critici o classificando in modo anomalo lesioni tumorali che risulterebbero evidenti all’occhio esperto, la competenza superiore del medico specialista diventa la risorsa vitale per eccellenza.

Il professionista della salute deve mantenere in ogni circostanza la piena e totale autonomia decisionale, conservando lo spirito critico necessario per ignorare attivamente e consapevolmente le indicazioni fornite dalla macchina qualora queste appaiano incoerenti con il quadro clinico complessivo del paziente o con la propria consolidata esperienza professionale sul campo.

I Direttori Sanitari e i responsabili di dipartimento devono pertanto vigilare con la massima attenzione affinché non si instauri mai una cieca e passiva fiducia nei confronti della macchina da parte dei dipendenti aziendali, un fenomeno psicologico estremamente pericoloso noto in letteratura come pregiudizio di automazione. Le politiche cliniche e aziendali devono incoraggiare fortemente i medici a segnalare tempestivamente ai propri superiori e ai tecnici informatici qualsiasi anomalia, esitazione o incongruenza nei risultati forniti dai sistemi di Intelligenza Artificiale.

Garantire che l’analisi finale, la diagnosi e la decisione terapeutica spettino sempre e unicamente a un essere umano qualificato e responsabile è il metodo più solido ed efficace per assicurare che un eventuale fallimento informatico o una compromissione dolosa dell’integrità del sistema aziendale non si traducano mai in un danno diretto per la salute del paziente, preservando al contempo la missione etica, clinica e sociale fondamentale di ogni azienda sanitaria operante sul territorio italiano.