Un assistente vocale o in chat che risponde ai pazienti tratta dati personali, e spesso dati che riguardano la salute. Non è un motivo per rinunciarci, ma è un motivo per farlo bene. In questa guida trovi i principi da conoscere e le domande da fare prima di attivare un assistente AI in uno studio medico, dentistico o in una farmacia. È un orientamento pratico, non una consulenza legale: per i casi specifici confrontati con il tuo consulente privacy o con il DPO.
I dati sanitari sono una categoria particolare
Il GDPR considera i dati relativi alla salute una categoria particolare di dati personali (articolo 9): il loro trattamento è ammesso solo in casi specifici e richiede garanzie maggiori. Anche una semplice telefonata può rientrarci. Chi prenota una visita cardiologica o chiede come prepararsi a una colonscopia rivela, di fatto, un’informazione sulla propria salute.
Il principio da tenere a mente è la minimizzazione: raccogliere solo i dati necessari per lo scopo. Per fissare un appuntamento servono nome, recapito e prestazione, non la storia clinica. Un assistente ben configurato chiede quello che serve e nient’altro.
Chi è titolare e chi è responsabile
Lo studio resta titolare del trattamento: decide perché e come vengono trattati i dati dei pazienti. Il fornitore che gestisce l’assistente agisce come responsabile del trattamento per conto dello studio e deve essere nominato con un contratto, come prevede l’articolo 28 del GDPR. Nel contratto dovrebbero essere chiari almeno questi punti:
- le istruzioni dello studio e le finalità per cui il fornitore può usare i dati;
- le misure di sicurezza adottate;
- gli eventuali sub-responsabili, cioè gli altri fornitori tecnologici coinvolti;
- i tempi di conservazione e le modalità di cancellazione;
- come il fornitore aiuta lo studio in caso di violazione dei dati o di richieste dei pazienti.
Cosa dire a chi chiama
I pazienti hanno diritto a sapere come vengono trattati i loro dati: serve un’informativa chiara, per esempio un breve messaggio all’inizio della chiamata e un testo completo sul sito. Se le chiamate vengono registrate o trascritte, va detto.
C’è poi l’AI Act, il regolamento europeo sull’intelligenza artificiale. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza: chi interagisce con un sistema di AI deve essere informato che non sta parlando con una persona, salvo che sia evidente dal contesto. In pratica l’assistente deve presentarsi come assistente virtuale fin dalle prime parole. Le scadenze per i sistemi considerati ad alto rischio sono state rinviate al 2027 e al 2028 con il pacchetto di semplificazione europeo noto come «Digital Omnibus»: conviene comunque verificare sempre le date aggiornate.
Il confine clinico: informare sì, valutare no
Il livello di regole dipende da cosa fa davvero il sistema. Un assistente che risponde su orari, prenota e smista le chiamate secondo regole decise dallo studio è un sistema che interagisce con le persone, soggetto soprattutto agli obblighi di trasparenza. Un sistema che valutasse sintomi o suggerisse terapie entrerebbe in un altro campo, con requisiti molto più severi, compresi quelli sui dispositivi medici. Per questo un assistente per la sanità deve avere regole chiare: niente diagnosi, niente consigli clinici, domande sulla salute passate allo staff e, per le emergenze, l’indicazione di chiamare il 112.
Le domande da fare al fornitore
- Dove vengono trattati i dati e con quali garanzie se escono dallo Spazio economico europeo?
- Per quanto tempo restano trascrizioni e registrazioni, e chi può cancellarle?
- Chi può accedere alle conversazioni, nello studio e presso il fornitore?
- I dati dei pazienti vengono usati per addestrare modelli di AI?
- Cosa succede, e in quanto tempo, se si verifica una violazione dei dati?
- Quali regole impediscono all’assistente di dare indicazioni cliniche?
Un fornitore serio risponde a queste domande per iscritto, prima della firma. Se le risposte sono vaghe, è un segnale da non ignorare.
Da dove partire
Aggiorna l’informativa dello studio, firma il contratto sul trattamento dei dati con il fornitore, decidi cosa registrare e per quanto tempo e scrivi le regole cliniche che l’assistente deve rispettare. Con GIULIA questi passaggi fanno parte dell’avvio: contratto sul trattamento dei dati, informativa per chi chiama e regole sanitarie già impostate.
Domande frequenti
Serve il consenso del paziente per usare un assistente AI al telefono?
Dipende dal tipo di trattamento e dalla base giuridica individuata dallo studio. Quello che serve sempre è un’informativa chiara e la trasparenza sul fatto che a rispondere è un sistema di AI. Per il caso specifico confrontati con il tuo consulente privacy.
Le registrazioni delle chiamate sono obbligatorie?
No. Lo studio può decidere se registrare, trascrivere o conservare solo un riepilogo, e per quanto tempo. Meno dati conservi, minori sono i rischi da gestire.
Un assistente vocale per la prenotazione è un sistema ad alto rischio?
Di norma un assistente che informa e prenota rientra tra i sistemi con obblighi di trasparenza. Il quadro cambia se il sistema valuta sintomi o prende decisioni cliniche: in quel caso servono verifiche specifiche.