Intelligenza Artificiale in Sanità: il decalogo del Garante

L’Intelligenza Artificiale (IA)sarà certamente la parola chiave dell’anno.

In attesa che l’Unione Europea completi l’iter legislativo di approvazione del Regolamento europeo sull’intelligenza artificiale (AI Act), in molti settori ci si sta interrogando sui risvolti, ma anche sui problemi applicativi dell’IA. Tra tutti i settori quello sanitario può certamente definirsi come a “rischio elevato” per l’alto numero di elementi di criticità sulla privacy e la protezione dei dati dei pazienti.

L’OMS e il Garante hanno entrambi preso posizione dimostrando l’intenzione di favorire lo sviluppo regolamentato dell’IA, ma anche ribadendo principi e cautele.

In particolare, l’OMS ha pubblicato delle Linee guida specifiche per orientare le pratiche a livello globale. L’esigenza è armonizzare le regole in un contesto così sensibile e complesso, senza frenare l’innovazione, ma garantendo il pieno rispetto dei diritti degli individui.

L’obiettivo di perseguire principi e regole comuni è anche il decalogo del Garante che approfondisce i principi che regolano il trattamento dei dati personali ai sensi del Regolamento (UE) 679/2016 (“GDPR”) nel caso di adozione di tecnologie avanzate nell’ambito servizio sanitario nazionale.

Di seguito una sintesi del decalogo. Centrare nel documento è il principio di accountability, che deve essere necessariamente accompagnata da un utilizzo etico dei sistemi di AI, tenendo conto anche dei doveri deontologici che gli operatori sanitari sono tenuti ad osservare.

Qual è la base giuridica corretta?

Per il Garante Privacy la base giuridica corretta per poter utilizzare sistemi di AI nei servizi sanitari nazionali è quella di cui all’art. 9(2)(g) GDPR.

Occorre, dunque, che il trattamento sia necessario per motivi di interesse pubblico rilevante, sulla base di una norma di legge o di regolamento o di atti amministrativi di natura generale, che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili ed il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti dell’interessato.

L’Autorità sottolinea, inoltre, la necessità di una sua consultazione, durante l’iter che porterebbe all’approvazione di simili norme.

L’affermazione suona come un monito per il Legislatore, che ha il compito di intervenire con l’adozione di norme ad hoc, se vuole assicurare la legittimità di un trattamento tanto invasivo quanto quello in commento.

Come si applicano i principi di accountability e di privacy by design e by default?

Il Decalogo del Garante Privacy richiama, inoltre, l’attenzione sulla necessità di conformarsi scrupolosamente ai principi di accountability, di privacy by design e by default, in particolare garantendo la proporzionalità del trattamento rispetto all’interesse pubblico perseguito.

Il principio di privacy-by-design impone che siano implementate misure tecniche ed organizzative adeguate a garantire che il trattamento sia proporzionato all’interesse pubblico perseguito, e ad assicurare l’integrità e la riservatezza dei dati, proteggendoli da trattamenti non autorizzati o illegittimi, perdita accidentale, distruzione o danno. I rischi devono essere valutati alla luce delle caratteristiche dei database e dei modelli di analisi.

Particolare attenzione è rivolta ai possibili bias derivanti dall’utilizzo di tecniche di machine learning. Tali rischi, correlati non solo alla qualità dei dati utilizzati per allenare i sistemi di AI, ma anche alla logica applicata dagli algoritmi, possono essere mitigati eseguendo una Valutazione d’impatto sulla protezione dei dati (“DPIA”), nonché fornendo informazioni significative circa la logica algoritmica utilizzata per generare i dati e fornire i servizi mediante i sistemi di AI implementati.

I ruoli dei soggetti coinvolti.

Come noto, i concetti di titolare e responsabile del trattamento sono concetti funzionali, che mirano a ripartire le responsabilità connesse al trattamento di dati personali in funzione delle attività effettivamente svolte.

Pertanto, uno degli aspetti essenziali nell’utilizzo dei sistemi di AI nei servizi sanitari nazionali sarà quello di individuare correttamente i ruoli degli operatori coinvolti, per allocare adeguatamente diritti, obblighi e responsabilità.

Il corretto uso degli Algoritmi

Indubbiamente gli algoritmi e il loro corretto uso sono uno dei punti più delicati dei sistemi di Intelligenza Artificiale. Come affermato anche dalla giurisprudenza del Consiglio di Stato negli ultimi anni, sono 3 i principi da rispettare.

1. CONOSCIBILITA’: l’interessato ha diritto di “sapere” dell’esistenza di processi decisionali automatizzati e di riceve informazioni sulla logica utilizzata. Anche secondo una recente sentenza della Cassazione, affinché il consenso prestato al trattamento dei propri dati personali mediante un algoritmo possa dirsi lecito, all’utente deve essere descritto, in modo chiaro e dettagliato, il funzionamento dell’algoritmo stesso (Cass. Sez. I, civ., sent. No. 28358/2023).
2. NON ESCLUSIVITA’: la decisione non può essere rimessa unicamente alla scelta dell’algoritmo, ma deve sempre essere previsto l’intervento umano capace di controllare, validare o smentire la decisione automatica.
3. NON DISCRIMINAZIONE ALGORITMICA: i titolari del trattamento devono adottare misure adeguate a ridurre le opacità e gli errori, per evitare i possibili effetti discriminatori di un trattamento di dati sanitari inesatti o basato su procedure statistiche e matematiche scorrette.

Tutti questi elementi vengono infatti considerati indispensabili a garantire la concreta possibilità per il soggetto interessato di opporsi alla decisione.

Quanto è importante la Valutazione d’impatto sulla protezione dei dati?

Il Decalogo del Garante Privacy chiarisce, una volta per tutte, come una DPIA sia indispensabile per poter impiegare lecitamente dei sistemi di AI nei servizi sanitari nazionali, trattandosi di un trattamento sistematico e su larga scala di dati sensibili relativi a individui vulnerabili.

Il Garante ha infine evidenziato l’importanza dello strumento DPIA, sia ai fini della valutazione del livello di rischio per i diritti e le libertà dei soggetti interessati, che dell’identificazione di misure adeguate a mitigare tale rischio.

Nello specifico, la DPIA dovrebbe essere redatta tenendo in debito conto i rischi correlati al trattamento di dati relativi alla salute su larga scala (in quanto riferiti all’intera popolazione nazionale), nonché di quelli connessi all’utilizzo di algoritmi utilizzati per individuare tendenze generali del comportamento. Inoltre, il Garante ha sottolineato la necessità di tenere in considerazione nell’ambito dello svolgimento della DPIA i rischi correlati ad attività di profilazione finalizzate all’adozione di decisioni automatizzate che abbiano un impatto sulla condizione di salute degli individui.

Qualità dei dati

È quasi scontato dirlo: il rispetto del principio di esattezza dei dati personali in ambito sanitario è di importanza cruciale.

Infatti, il trattamento di dati non aggiornati o inesatti potrebbe influenzare l’efficacia e la correttezza dei servizi sanitari, comportando gravi danni per la salute degli interessati. L’adozione di misure adeguate ad assicurare l’esattezza e l’aggiornamento costante dei dati è indispensabile per evitare i rischi connessi all’uso di sistemi privi di una rigorosa validazione scientifica, alla mancanza di controllo sui dati trattati e all’adozione di decisioni basate su presupposti errati.

Integrità e riservatezza o, più in generale le misure di sicurezza

Come ogni trattamento di dati personali, anche quello in commento dovrà avvenire previa adozione di misure di sicurezza tecniche e organizzative adeguate, tenendo conto degli effettivi rischi connessi.

A tal proposito, il Decalogo del Garante Privacy chiarisce come i principali rischi connessi all’utilizzo di modelli di analisi deterministica e stocastica con tecniche di machine learning derivino dai possibili bias che possono causare conseguenze pregiudizievoli per gli interessati.

Per questo, sarà essenziale indicare puntualmente le logiche algoritmiche utilizzate sia per generare i dati che per addestrare il sistema di AI, le verifiche svolte per evitare i bias e le misure correttive adottate, nonché i rischi insiti nelle analisi deterministiche e stocastiche.

Correttezza e trasparenza

I principi legati al corretto uso dell’algoritmo sono strettamente collegati al principio di correttezza e trasparenza del GDPR:

Oltre alle misure tipicamente necessarie per assicurare il rispetto di tale principio nell’ambito di qualunque trattamento di dati personali, l’utilizzo dell’AI in ambito sanitario imporrà di:

• assicurare che la base giuridica del trattamento sia chiara, prevedibile e resa conoscibile agli interessati;
• consultare gli stakeholder e gli interessati nell’ambito dello svolgimento della valutazione d’impatto (art. 35, par. 9, del Regolamento), che dovrà essere pubblicata anche solo per estratto;
• (ovviamente) predisporre le informazioni per gli interessati in termini chiari, concisi e comprensibili evidenziando anche:

1. in quale fase di sviluppo dell’algoritmo si inserisce il trattamento, se nella fase di apprendimento dell’algoritmo ovvero nella fase di applicazione;
2. se sussistono eventuali obblighi e responsabilità dei professionisti sanitari coinvolti;
3. i vantaggi, in termini diagnostici e terapeutici, derivanti dall’utilizzo di tali nuove tecnologie;
4. assicurare modalità efficaci di esercizio dei diritti degli interessati;
5. assicurare che l’utilizzo del sistema di AI per finalità di cura non avvenga in modo automatico, ma solo su iniziativa del professionista sanitario che si occupa del paziente e non in modo automatico;
6. regolamentare i profili di responsabilità professionale connessi alla scelta di utilizzare IA.

Supervisione umana

I sistemi che utilizzano IA non possono essere esclusivamente automatizzati. È necessario una costante supervisione umana, al fine di garantire anche i temi etici legati al ricorso di tecnologie intelligenti e porta il Titolare a dover tenere sempre presente il diritto di ogni persona di non essere assoggettato a una decisione basata esclusivamente su un trattamento automatizzato. Per questo motivo la supervisione deve essere costante, sia nella fase di addestramento del software, sia durante il suo utilizzo.

Ulteriori profili connessi alla dignità e all’identità personale

Il Decalogo del Garante Privacy si chiude con alcune considerazioni sull’importanza di utilizzare l’etica come criterio interpretativo che guidi l’applicazione della normativa applicabile all’AI.