Software su misura in sanità con l'AI: cosa si può costruire e dove fermarsi
Poliambulatori, centri diagnostici e RSA possono costruire con l'AI strumenti che tolgono ore di lavoro ripetitivo. Dove conviene, quali regole valgono e dove fermarsi.
Si può costruire molto, ma attorno al dato clinico
In un poliambulatorio, in un centro diagnostico o in una RSA la giornata passa tra gestionale, telefono, agende, fogli Excel e messaggi. Con l'AI oggi è possibile costruire in poche settimane strumenti su misura che tolgono ore di lavoro ripetitivo. Abbiamo spiegato in un altro articolo quando conviene costruire e quando comprare; in sanità la domanda cambia.
Non basta chiedersi se lo strumento funziona. Bisogna chiedersi se la struttura può rispondere di come tratta i dati dei pazienti, di cosa succede se si ferma e di chi decide quando l'AI suggerisce qualcosa. La nostra tesi è semplice: c'è molto spazio per il su misura nell'organizzazione e nell'amministrazione, molto poco dentro la decisione clinica.
Perché la sanità è diversa: quattro regole da conoscere
Uno strumento fatto in casa, in una struttura sanitaria, ricade sotto almeno quattro norme. Nessuna vieta di costruire; tutte chiedono di poter dimostrare come lo si è fatto.
| Norma | Cosa chiede | Cosa significa per uno strumento su misura |
|---|---|---|
| GDPR | I dati sanitari sono una categoria particolare di dati personali | Accessi limitati, tracciati e cifrati; valutare dove risiedono i dati e chi li vede, compreso il fornitore del servizio AI |
| NIS2 (D.Lgs. 138/2024) | I fornitori di cure rientrano tra i soggetti obbligati, essenziali o importanti; servono gestione del rischio, continuità, controllo degli accessi, sicurezza nello sviluppo e nella catena di fornitura (Agenda Digitale) | Anche uno strumento interno fa parte del perimetro: va documentato, aggiornato e coperto da backup. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato per i soggetti essenziali |
| Regolamento dispositivi medici (MDR) | Un software è dispositivo medico in base alla destinazione d'uso: se elabora dati del singolo paziente per supportare diagnosi o terapia, di norma è almeno classe IIa (OpenRegulatory, MDCG 2019-11) | Agende, amministrazione e fatturazione di solito non lo sono. Uno strumento che suggerisce diagnosi, dosi o priorità cliniche richiede marcatura CE: non si costruisce "in casa" |
| AI Act e Legge 132/2025 | Dal 2 agosto 2026 chatbot e assistenti vocali devono dichiarare di essere un'AI; gli obblighi per i sistemi ad alto rischio slittano a dicembre 2027 e agosto 2028 (Agenda Digitale). In Italia l'AI in sanità è un supporto e la decisione resta al medico (ICT Security Magazine) | Un centralino o una chat che parla con i pazienti deve presentarsi come AI. Nessuno strumento deve decidere al posto del professionista |
Il filo comune è la capacità di dimostrare. Uno strumento nato in un pomeriggio, senza documentazione e senza un responsabile, è difficile da difendere davanti a un'ispezione o dopo un incidente.
Il rischio informatico: la sanità è il bersaglio dove i danni pesano di più
Secondo il Rapporto Clusit 2026, nel 2025 la sanità ha subito l'11% degli attacchi gravi nel mondo, con una crescita del 19% sul 2024. È anche il settore con la quota più alta di incidenti di gravità critica o estrema: il 64% (01net).
In Italia la sanità ha pesato nel 2025 per l'1,8% degli incidenti gravi censiti, in calo rispetto all'anno prima. Il Paese nel suo complesso ha però registrato 507 incidenti, il 42% in più del 2024, e phishing e ingegneria sociale, spinti dall'AI generativa, sono cresciuti del 66% (01net).
Per chi costruisce strumenti con l'AI il punto è concreto. Gli studi indipendenti mostrano che una quota rilevante del codice generato contiene vulnerabilità, soprattutto su autenticazione e permessi (IOActive). In un'azienda qualunque è un rischio; in una struttura che custodisce referti e anamnesi è un incidente da notificare.
Dove il su misura conviene e dove no
Più uno strumento si avvicina alla decisione clinica, più conviene comprarlo certificato. Più riguarda organizzazione e amministrazione, più il su misura rende.
| Area | Esempi | Approccio consigliato |
|---|---|---|
| Organizzazione interna | Turni, ferie, disponibilità di sale e apparecchiature, checklist operative | Costruire: alto valore, rischio contenuto |
| Amministrazione e direzione | Riconciliazione incassi, solleciti, controllo prestazioni rispetto alle convenzioni, cruscotti per la direzione | Costruire sopra il gestionale, leggendo i dati senza modificarli dove possibile |
| Accoglienza e comunicazione | Promemoria appuntamenti, centralino o chat che risponde su orari, preparazione agli esami, disdette | Costruire con regole precise: si dichiara AI, non dà consigli clinici, passa sempre a un operatore umano |
| Collegamenti tra sistemi | Passaggio dati tra gestionale, laboratorio e agenda online | Costruire con attenzione: è dove si perdono o si duplicano dati; servono registri e test |
| Cartella clinica, refertazione, flussi verso SSN e FSE | Gestione del dato clinico e dei flussi istituzionali | Comprare software certificato e integrato con i sistemi regionali |
| Supporto a diagnosi e terapia | Triage, lettura di immagini, calcolo di dosaggi | Non costruire in casa: è un dispositivo medico, servono prodotti con marcatura CE |
Sul centralino vale la lezione di Klarna. Dopo aver affidato gran parte del servizio clienti all'AI, l'azienda ha ricominciato ad assumere operatori umani, ammettendo un calo di qualità (Entrepreneur). Con i pazienti l'uscita verso una persona non è un optional.
Checklist prima di mettere in produzione
Prima che uno strumento su misura tocchi dati di pazienti reali, dovrebbe superare questi dieci controlli.
- 01
Destinazione d'uso scritta
Cosa fa e cosa non fa, con la verifica che non ricada tra i dispositivi medici.
- 02
Valutazione privacy
Aggiornamento del registro dei trattamenti e, quando richiesta, valutazione d'impatto (DPIA).
- 03
Dove stanno i dati
Server e servizi AI nell'Unione europea, contratti con i fornitori e nomina a responsabile del trattamento.
- 04
Dati minimi
Lo strumento vede solo ciò che gli serve, possibilmente in forma pseudonimizzata.
- 05
Accessi
Utenze personali con autenticazione a più fattori, nessun account condiviso, registro degli accessi.
- 06
Revisione del codice
Controllo di sicurezza e test su dati di prova prima dei dati veri.
- 07
Continuità
Backup, piano di ripristino e procedura manuale se lo strumento si ferma.
- 08
Responsabile e documentazione
Una persona, interna o esterna, che ne risponde e tiene aggiornata la documentazione.
- 09
Trasparenza
Se lo strumento parla con i pazienti, dichiara di essere un'AI e offre sempre un operatore.
- 10
Formazione
Il personale sa cosa fa lo strumento, cosa non fa e come segnalare un problema.
Come lavoriamo
In Cloudfactory seguiamo da anni l'informatica di strutture sanitarie private: gruppi con più sedi, centri diagnostici, residenze per anziani. Sappiamo che in questo settore uno strumento utile ma non difendibile è un problema, non un risparmio.
Per questo partiamo sempre dalla destinazione d'uso e dalla mappa dei dati, prima ancora del codice. Costruiamo con l'AI gestionali interni, cruscotti e assistenti vocali per l'accoglienza telefonica, sempre accanto ai sistemi clinici certificati e mai al loro posto. Poi ci occupiamo di quello che il prototipo non mostra: sicurezza, backup, documentazione, aggiornamenti.
Domande frequenti
Una struttura sanitaria può sviluppare software su misura con l'AI?
Sì, per organizzazione, amministrazione e comunicazione con i pazienti. Va fatto con documentazione, controlli di sicurezza e un responsabile, perché rientra negli obblighi GDPR e spesso NIS2.
Quando un software diventa dispositivo medico?
Quando la sua destinazione d'uso è supportare diagnosi, terapia o monitoraggio del singolo paziente. Agende, amministrazione e fatturazione di norma non lo sono.
Un assistente vocale per le prenotazioni deve dire di essere un'AI?
Sì. Dal 2 agosto 2026 l'AI Act richiede che chi parla con un sistema di AI ne sia informato, salvo che sia evidente dal contesto.
L'AI può prendere decisioni cliniche?
No. La legge italiana sull'AI la considera un supporto: la decisione resta sempre al medico.
Da dove conviene iniziare?
Da un processo organizzativo o amministrativo che oggi costa ore di lavoro manuale e non tocca la decisione clinica.
Fonti
- 01net, Rapporto Clusit 2026
- Agenda Digitale, NIS2 in sanità
- Agenda Digitale, Digital Omnibus AI: cosa cambia per le imprese
- ICT Security Magazine, La legge italiana sull'intelligenza artificiale
- OpenRegulatory, MDCG 2019-11 spiegata
- IOActive, The Security Gap in AI-Generated Code
- Entrepreneur, Klarna torna ad assumere operatori umani