# Software su misura in sanità con l'AI: cosa si può costruire e dove fermarsi

> Poliambulatori, centri diagnostici e RSA possono costruire con l'AI strumenti che tolgono ore di lavoro ripetitivo. Dove conviene, quali regole valgono e dove fermarsi.

- Pubblicato: 2026-10-21
- Per chi: Direzioni e responsabili IT di strutture sanitarie private
- URL: https://cloudfactory.it/articoli/software-su-misura-sanita-ai/

## Si può costruire molto, ma attorno al dato clinico

In un poliambulatorio, in un centro diagnostico o in una RSA la giornata passa tra gestionale, telefono, agende, fogli Excel e messaggi. Con l'AI oggi è possibile costruire in poche settimane strumenti su misura che tolgono ore di lavoro ripetitivo. Abbiamo spiegato in un [altro articolo](https://cloudfactory.it/articoli/software-su-misura-ai-pmi/) quando conviene costruire e quando comprare; in sanità la domanda cambia.

Non basta chiedersi se lo strumento funziona. Bisogna chiedersi se la struttura può rispondere di come tratta i dati dei pazienti, di cosa succede se si ferma e di chi decide quando l'AI suggerisce qualcosa. La nostra tesi è semplice: c'è molto spazio per il su misura nell'organizzazione e nell'amministrazione, molto poco dentro la decisione clinica.

## Perché la sanità è diversa: quattro regole da conoscere

Uno strumento fatto in casa, in una struttura sanitaria, ricade sotto almeno quattro norme. Nessuna vieta di costruire; tutte chiedono di poter dimostrare come lo si è fatto.

| Norma | Cosa chiede | Cosa significa per uno strumento su misura |
| --- | --- | --- |
| GDPR | I dati sanitari sono una categoria particolare di dati personali | Accessi limitati, tracciati e cifrati; valutare dove risiedono i dati e chi li vede, compreso il fornitore del servizio AI |
| NIS2 (D.Lgs. 138/2024) | I fornitori di cure rientrano tra i soggetti obbligati, essenziali o importanti; servono gestione del rischio, continuità, controllo degli accessi, sicurezza nello sviluppo e nella catena di fornitura ([Agenda Digitale](https://www.agendadigitale.eu/sanita/nis2-in-sanita-perche-server-obsoleti-e-otp-bloccati-sono-un-rischio/)) | Anche uno strumento interno fa parte del perimetro: va documentato, aggiornato e coperto da backup. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato per i soggetti essenziali |
| Regolamento dispositivi medici (MDR) | Un software è dispositivo medico in base alla destinazione d'uso: se elabora dati del singolo paziente per supportare diagnosi o terapia, di norma è almeno classe IIa ([OpenRegulatory, MDCG 2019-11](https://openregulatory.com/mdcg/mdcg-2019-11)) | Agende, amministrazione e fatturazione di solito non lo sono. Uno strumento che suggerisce diagnosi, dosi o priorità cliniche richiede marcatura CE: non si costruisce "in casa" |
| AI Act e Legge 132/2025 | Dal 2 agosto 2026 chatbot e assistenti vocali devono dichiarare di essere un'AI; gli obblighi per i sistemi ad alto rischio slittano a dicembre 2027 e agosto 2028 ([Agenda Digitale](https://www.agendadigitale.eu/sicurezza/digital-omnibus-ai-cosa-cambia-davvero-per-le-imprese/)). In Italia l'AI in sanità è un supporto e la decisione resta al medico ([ICT Security Magazine](https://www.ictsecuritymagazine.com/notizie/legge-italiana-sullintelligenza-artificiale/)) | Un centralino o una chat che parla con i pazienti deve presentarsi come AI. Nessuno strumento deve decidere al posto del professionista |

Il filo comune è la capacità di dimostrare. Uno strumento nato in un pomeriggio, senza documentazione e senza un responsabile, è difficile da difendere davanti a un'ispezione o dopo un incidente.

## Il rischio informatico: la sanità è il bersaglio dove i danni pesano di più

Secondo il Rapporto Clusit 2026, nel 2025 la sanità ha subito l'11% degli attacchi gravi nel mondo, con una crescita del 19% sul 2024. È anche il settore con la quota più alta di incidenti di gravità critica o estrema: il 64% ([01net](https://www.01net.it/rapporto-clusit-2026-cybersecurity-ai-ransomware/)).

In Italia la sanità ha pesato nel 2025 per l'1,8% degli incidenti gravi censiti, in calo rispetto all'anno prima. Il Paese nel suo complesso ha però registrato 507 incidenti, il 42% in più del 2024, e phishing e ingegneria sociale, spinti dall'AI generativa, sono cresciuti del 66% ([01net](https://www.01net.it/rapporto-clusit-2026-cybersecurity-ai-ransomware/)).

Per chi costruisce strumenti con l'AI il punto è concreto. Gli studi indipendenti mostrano che una quota rilevante del codice generato contiene vulnerabilità, soprattutto su autenticazione e permessi ([IOActive](https://www.ioactive.com/the-security-gap-in-ai-generated-code/)). In un'azienda qualunque è un rischio; in una struttura che custodisce referti e anamnesi è un incidente da notificare.

## Dove il su misura conviene e dove no

Più uno strumento si avvicina alla decisione clinica, più conviene comprarlo certificato. Più riguarda organizzazione e amministrazione, più il su misura rende.

| Area | Esempi | Approccio consigliato |
| --- | --- | --- |
| Organizzazione interna | Turni, ferie, disponibilità di sale e apparecchiature, checklist operative | Costruire: alto valore, rischio contenuto |
| Amministrazione e direzione | Riconciliazione incassi, solleciti, controllo prestazioni rispetto alle convenzioni, cruscotti per la direzione | Costruire sopra il gestionale, leggendo i dati senza modificarli dove possibile |
| Accoglienza e comunicazione | Promemoria appuntamenti, centralino o chat che risponde su orari, preparazione agli esami, disdette | Costruire con regole precise: si dichiara AI, non dà consigli clinici, passa sempre a un operatore umano |
| Collegamenti tra sistemi | Passaggio dati tra gestionale, laboratorio e agenda online | Costruire con attenzione: è dove si perdono o si duplicano dati; servono registri e test |
| Cartella clinica, refertazione, flussi verso SSN e FSE | Gestione del dato clinico e dei flussi istituzionali | Comprare software certificato e integrato con i sistemi regionali |
| Supporto a diagnosi e terapia | Triage, lettura di immagini, calcolo di dosaggi | Non costruire in casa: è un dispositivo medico, servono prodotti con marcatura CE |

Sul centralino vale la lezione di Klarna. Dopo aver affidato gran parte del servizio clienti all'AI, l'azienda ha ricominciato ad assumere operatori umani, ammettendo un calo di qualità ([Entrepreneur](https://www.entrepreneur.com/business-news/klarna-ceo-reverses-course-by-hiring-more-humans-not-ai/491396)). Con i pazienti l'uscita verso una persona non è un optional.

## Checklist prima di mettere in produzione

Prima che uno strumento su misura tocchi dati di pazienti reali, dovrebbe superare questi dieci controlli.

1. **Destinazione d'uso scritta.** Cosa fa e cosa non fa, con la verifica che non ricada tra i dispositivi medici.
2. **Valutazione privacy.** Aggiornamento del registro dei trattamenti e, quando richiesta, valutazione d'impatto (DPIA).
3. **Dove stanno i dati.** Server e servizi AI nell'Unione europea, contratti con i fornitori e nomina a responsabile del trattamento.
4. **Dati minimi.** Lo strumento vede solo ciò che gli serve, possibilmente in forma pseudonimizzata.
5. **Accessi.** Utenze personali con autenticazione a più fattori, nessun account condiviso, registro degli accessi.
6. **Revisione del codice.** Controllo di sicurezza e test su dati di prova prima dei dati veri.
7. **Continuità.** Backup, piano di ripristino e procedura manuale se lo strumento si ferma.
8. **Responsabile e documentazione.** Una persona, interna o esterna, che ne risponde e tiene aggiornata la documentazione.
9. **Trasparenza.** Se lo strumento parla con i pazienti, dichiara di essere un'AI e offre sempre un operatore.
10. **Formazione.** Il personale sa cosa fa lo strumento, cosa non fa e come segnalare un problema.

## Come lavoriamo

In Cloudfactory seguiamo da anni l'informatica di strutture sanitarie private: gruppi con più sedi, centri diagnostici, residenze per anziani. Sappiamo che in questo settore uno strumento utile ma non difendibile è un problema, non un risparmio.

Per questo partiamo sempre dalla destinazione d'uso e dalla mappa dei dati, prima ancora del codice. Costruiamo con l'AI gestionali interni, cruscotti e assistenti vocali per l'accoglienza telefonica, sempre accanto ai sistemi clinici certificati e mai al loro posto. Poi ci occupiamo di quello che il prototipo non mostra: sicurezza, backup, documentazione, aggiornamenti.

## Domande frequenti

### Una struttura sanitaria può sviluppare software su misura con l'AI?

Sì, per organizzazione, amministrazione e comunicazione con i pazienti. Va fatto con documentazione, controlli di sicurezza e un responsabile, perché rientra negli obblighi GDPR e spesso NIS2.

### Quando un software diventa dispositivo medico?

Quando la sua destinazione d'uso è supportare diagnosi, terapia o monitoraggio del singolo paziente. Agende, amministrazione e fatturazione di norma non lo sono.

### Un assistente vocale per le prenotazioni deve dire di essere un'AI?

Sì. Dal 2 agosto 2026 l'AI Act richiede che chi parla con un sistema di AI ne sia informato, salvo che sia evidente dal contesto.

### L'AI può prendere decisioni cliniche?

No. La legge italiana sull'AI la considera un supporto: la decisione resta sempre al medico.

### Da dove conviene iniziare?

Da un processo organizzativo o amministrativo che oggi costa ore di lavoro manuale e non tocca la decisione clinica.

## Fonti

- [01net, Rapporto Clusit 2026](https://www.01net.it/rapporto-clusit-2026-cybersecurity-ai-ransomware/)
- [Agenda Digitale, NIS2 in sanità](https://www.agendadigitale.eu/sanita/nis2-in-sanita-perche-server-obsoleti-e-otp-bloccati-sono-un-rischio/)
- [Agenda Digitale, Digital Omnibus AI: cosa cambia per le imprese](https://www.agendadigitale.eu/sicurezza/digital-omnibus-ai-cosa-cambia-davvero-per-le-imprese/)
- [ICT Security Magazine, La legge italiana sull'intelligenza artificiale](https://www.ictsecuritymagazine.com/notizie/legge-italiana-sullintelligenza-artificiale/)
- [OpenRegulatory, MDCG 2019-11 spiegata](https://openregulatory.com/mdcg/mdcg-2019-11)
- [IOActive, The Security Gap in AI-Generated Code](https://www.ioactive.com/the-security-gap-in-ai-generated-code/)
- [Entrepreneur, Klarna torna ad assumere operatori umani](https://www.entrepreneur.com/business-news/klarna-ceo-reverses-course-by-hiring-more-humans-not-ai/491396)

---

Cloudfactory S.r.l., Roma. Contatti: hello@cloudfactory.it