Intelligenza artificiale in sanità: il parere del Garante Privacy

Il Garante privacy italiano ha pubblicato un decalogo contenente le direttive per l’utilizzo sicuro dell’intelligenza artificiale in sanità. In questo articolo ne ripercorriamo i punti fondamentali.

L’argomento privacy è di cruciale importanza in ambito sanitario, specialmente perché l’erogazione di numerosi servizi presuppone un trattamento continuativo di dati sensibili. Con lo sviluppo dei sistemi di intelligenza artificiale anche in questo ambito sono venuti alla luce nuovi aspetti cui prestare particolare riguardo: a fornire una utile guida in merito è il Garante privacy italiano.

Innanzitutto è stato chiarito che qualsiasi sistema di intelligenza artificiale implementato a supporto di quelli già in uso deve operare nel pieno rispetto del GDPR, essendo in grado di dimostrare la liceità del trattamento e la proporzionalità dello stesso rispetto al servizio da erogare.

Come negli altri casi, quindi, vietato l’utilizzo dei dati dei pazienti per scopi diversi da quelli segnalati durante la raccolta, il passaggio dei dati a terze parti non autorizzate, la non trasparenza nei processi decisionali sulla gestione dei dati etc. I sistemi di IA devono prevedere queste specifiche by default, cioè come impostazione predefinita (direttiva che si vorrebbe applicare a tutte le intelligenze artificiali in corso di sviluppo).

I principi cardine

Nella sua sezione centrale, il decalogo del Garante privacy identifica poi tre principi fondamentali per la regolazione dell’utilizzo dell’intelligenza artificiale in sanità:

Il principio di conoscibilità, che stabilisce che l’interessato riceva precise informazioni sulla presenza e sull’utilizzo dell’IA nei processi decisionali che regolano il trattamento dei suoi dati personali e sanitari, in modo che possa agevolmente comprenderne la logica;
Il principio di non esclusività algoritmica, secondo il quale nella catena decisionale ci deve essere almeno un anello dipendente da un intervento umano che possa controllare, confermare e/o smentire la decisione automatica dell’IA;
Il principio di non discriminazione algoritmica, in base al quale gli incaricati alla raccolta e al trattamento devono occuparsi di utilizzare sistemi di IA aggiornati rispetto all’evoluzione tecnologica del settore, che minimizzino il rischio di errori e di inesattezze nel trattamento automatico dei dati sanitari. Vietato quindi l’utilizzo di tecnologie obsolete, che comportano un aumento dei rischi per gli interessati.

Il principio di non esclusività, in particolare, chiarisce che l’attività di elaborazione e combinazione di dati svolto in automatico da una intelligenza artificiale è ben diversa da quella oggi svolta dagli esseri umani, con il ricorso al pensiero astratto e creativo e nella piena comprensione delle proprie responsabilità.

La sorveglianza umana sul processo (e soprattutto sulle fasi di “addestramento” dell’IA, oggi le più a rischio per l’insorgenza di bug e inesattezze) è quindi di cruciale importanza per la sicurezza di queste attività.

La valutazione dell’impatto

Il Garante chiarisce anche che, come in tutte le situazioni che presuppongano l’uso continuativo e sistematico di dati personali sensibili (o altre categorie particolari di dati), il trattamento deve essere preceduto da una valutazione di impatto (art. 35 del Regolamento europeo).

Per i dati ad alto rischio ciò significa analizzare la gravità dei rischi causati dalla raccolta e dal trattamento dei dati, le possibili conseguenze in caso di data breach, le eventuali minacce ai diritti e alle libertà degli interessati. Solo se i trattamenti che si intendono effettuare sui dati risultano sufficientemente sicuri e proporzionali ai servizi offerti si può attivare il sistema.

Infine, rimane come sempre la necessità di stabilire dei precisi ruoli privacy nella raccolta e nel trattamento dati in ambito sanitario. Sono previsti:

Un titolare del trattamento, ossia colui che decide dell’utilizzo dei dati e che è direttamente responsabile della loro conservazione e tutela;
Un responsabile del trattamento, la figura che su delega del titolare si occupa concretamente dell’utilizzo dei dati per gli scopi previsti.

L’implementazione dell’intelligenza artificiale in ambito sanitario ha numerose potenzialità e può migliorare e velocizzare i processi già in atto, rendendone possibili anche di nuovi. Il prossimo passo è quello di stabilire dei saldi principi di governance, da condividere con gli altri principali sistemi socio-economici del mondo, che permettano di abbattere il rischio etico, sociale, deontologico di questa scelta.