Intelligenza artificiale e agenzie regolatorie: la partita si gioca sulla governance

Nel marzo di quest’anno AIFA ha dedicato un dossier al tema “Intelligenza Artificiale e salute“ collocando le agenzie regolatorie al centro della trasformazione in atto. Il messaggio del presidente Robert Nisticò è netto: l’intelligenza artificiale non è una moda passeggera ma una leva strategica, e la sfida non è adottarla, bensì governarla con regole chiare, trasparenza e responsabilità condivisa.

È una lettura che merita di essere presa sul serio, perché sposta l’attenzione dove serve. Il problema regolatorio non è se l’algoritmo funzioni, ma se sia possibile dimostrare come funziona, su quali dati, con quale margine di errore e sotto la responsabilità di chi.

Tre agenzie, tre velocità, una direzione

L’EMA è arrivata per prima con un documento organico. Il reflection paper sull’uso dell’IA nel ciclo di vita del medicinale, adottato dal CHMP e dal CVMP nel settembre 2024 dopo una consultazione che ha raccolto oltre milletrecento contributi, copre l’intero arco che va dalla scoperta del farmaco alla fase post-autorizzativa. Non è una norma vincolante: è una dichiarazione di aspettative. Ma stabilisce un principio che è diventato il perno di tutto il dibattito successivo — l’onere di dimostrare l’affidabilità del sistema è proporzionato al peso che quel sistema ha nella decisione regolatoria.

Reflection paper on the use of artificial intelligence in the lifecycle of medicines

Attorno al reflection paper ruota un’architettura più ampia: il workplan pluriennale su dati e IA condiviso da EMA e Heads of Medicines Agencies, oggi proiettato sul triennio 2026-2028, la strategia della rete europea delle agenzie del farmaco al 2028 e un Osservatorio sull’IA che pubblica report annuali sull’esperienza maturata dalla rete – l’ultimo, relativo al 2025, è uscito lo scorso giugno.

La FDA ha scelto la strada tecnica. La bozza di linea guida sull’uso dell’IA a supporto delle decisioni regolatorie per farmaci e prodotti biologici, diffusa nel gennaio 2025, propone un percorso strutturato di valutazione della credibilità del modello ancorato al concetto di context of use: non si valida un algoritmo in astratto, si valida il suo impiego per una specifica domanda regolatoria. A oltre un anno di distanza il documento è ancora in forma di draft.

Il passaggio più significativo è però del gennaio 2026, quando FDA ed EMA hanno pubblicato congiuntamente dieci principi guida di buona pratica dell’IA nello sviluppo dei farmaci. Anche questi non sono prescrittivi, ma disegnano un approccio comune: centralità dell’essere umano, proporzionalità basata sul rischio, definizione esplicita del contesto d’uso, governance dei dati, competenze multidisciplinari, trasparenza nello sviluppo del modello, monitoraggio delle prestazioni lungo tutto il ciclo di vita, comunicazione chiara dei limiti a utilizzatori e pazienti.

AIFA si muove su un doppio binario. Da un lato l’adozione interna di strumenti predittivi per accelerare la valutazione dei dossier e sostenere l’attività di Health Technology Assessment, con il Programma 2026 dell’Agenzia che estende il ricorso all’IA e all’analisi avanzata dei dati anche al monitoraggio della spesa e alla farmacovigilanza. Dall’altro l’esercizio del proprio potere di indirizzo verso le aziende.

Dove la tecnologia sta già cambiando il mestiere

Il dossier AIFA individua tre fronti su cui l’impatto è già misurabile.

• Nella ricerca preclinica, le reti neurali profonde consentono di analizzare milioni di molecole e di prevederne in silico il fallimento, scartando in anticipo i composti inefficaci o tossici e concentrando le risorse sui candidati più promettenti. Lo stesso approccio apre la strada al riposizionamento terapeutico di farmaci già autorizzati.
• Nella sperimentazione clinica, l’analisi automatizzata di grandi volumi di cartelle cliniche accorcia i tempi di identificazione dei pazienti eleggibili, che restano uno dei colli di bottiglia storici degli studi. E l’affermarsi dei trial virtuali e dei gemelli digitali permette di stimare la risposta a un trattamento prima della somministrazione reale, riducendo il ricorso ai test nelle fasi preliminari.
• Nella pratica clinica, l’integrazione di dati clinici, genetici e ambientali sostiene una medicina di precisione che abbandona l’approccio uniforme a favore di terapie calibrate sul singolo paziente, con benefici attesi sia in termini di riduzione della tossicità sia di sostenibilità economica.

Ciascuno di questi tre fronti, però, poggia interamente sulla qualità e sulla rappresentatività dei dati di addestramento. Un modello costruito su popolazioni non rappresentative produce previsioni sistematicamente distorte, e le produce con la stessa apparente sicurezza con cui produrrebbe previsioni corrette. È esattamente per questo che le agenzie insistono su spiegabilità, validazione e monitoraggio continuo.

Il primo atto italiano è arrivato dalla pubblicità

Mentre il dibattito si concentrava sulla ricerca, il primo intervento operativo di AIFA in materia di IA ha riguardato un terreno apparentemente laterale ma di enorme impatto pratico: la comunicazione promozionale.

Il 24 luglio 2026 l’Ufficio Informazione sui Medicinali e Vigilanza sulla Pubblicità ha diffuso linee di indirizzo, dichiaratamente sperimentali, sull’utilizzo di sistemi di intelligenza artificiale nei materiali promozionali destinati agli operatori sanitari. Il documento copre sia i contenuti prodotti con modelli generativi in fase di redazione, revisione o aggiornamento, sia i materiali che incorporano chatbot e assistenti virtuali.

Il principio cardine è che l’IA è uno strumento di supporto e non sostituisce la supervisione scientifica né la responsabilità regolatoria del titolare AIC. Da qui discendono indicazioni molto concrete: integrare l’impiego dell’IA nel sistema di gestione della qualità, condurre un processo continuo di identificazione, valutazione, mitigazione e monitoraggio dei rischi, effettuare attività di validazione e prove di robustezza per verificare il comportamento del sistema nei diversi scenari d’uso, documentarne gli esiti e riesaminarli. La scelta del sistema resta responsabilità dell’azienda, e la descrizione dei modelli impiegati entra nella documentazione di deposito del materiale promozionale.

Il documento non introduce deroghe: richiama espressamente il Titolo VIII del d.lgs. 219/2006, l’AI Act e il GDPR. È, in questo senso, un buon esempio di regolazione settoriale che non duplica la norma orizzontale ma la traduce in prassi.

Il calendario dell’AI Act è cambiato in corsa

Qui si colloca la novità che molti operatori del settore non hanno ancora metabolizzato.

Per due anni il 2 agosto 2026 è stato indicato come la data in cui sarebbero scattati gli obblighi per i sistemi di IA ad alto rischio. Il cosiddetto Digital Omnibus sull’intelligenza artificiale – il regolamento di modifica del Regolamento (UE) 2024/1689, pubblicato in Gazzetta ufficiale dell’Unione il 24 luglio 2026 ed entrato in vigore il 27 — ha riscritto quel calendario a sei giorni dalla scadenza.

Digital Omnibus sull’IA

Le disposizioni del Capo III sui sistemi ad alto rischio si applicheranno dal 2 dicembre 2027 per i sistemi classificati tali ai sensi dell’Allegato III e dal 2 agosto 2028 per quelli collegati a prodotti già disciplinati dalla normativa di armonizzazione elencata nell’Allegato I — categoria in cui rientrano i dispositivi medici, e quindi buona parte delle applicazioni cliniche.

Ciò che invece è entrato pienamente in applicazione il 2 agosto scorso sono gli obblighi di trasparenza dell’articolo 50 e la piena operatività dell’impianto di governance e sanzionatorio. Significa che un assistente conversazionale rivolto a medici o pazienti deve dichiarare di essere una macchina, e deve farlo da subito, a prescindere da quando sia stato immesso sul mercato. Per i sistemi generativi già in commercio la finestra transitoria per la marcatura machine-readable dei contenuti sintetici si chiude il 2 dicembre 2026.

Il rinvio non è un liberi tutti, ed è bene dirlo con chiarezza: la ragione dichiarata è la mancata disponibilità degli standard armonizzati, non un ripensamento sull’impianto. I tempi tecnici per portare a conformità un sistema ad alto rischio si misurano in mesi, non in settimane. Chi legge lo slittamento come un’autorizzazione ad attendere si troverà, nel 2027, a fare in fretta ciò che poteva fare con metodo.

Il livello che non è stato rinviato: i dati

C’è poi una disciplina che nessun omnibus ha toccato, e che si applica interamente da oggi: quella sulla protezione dei dati personali.

Ogni applicazione di IA descritta finora – selezione di pazienti eleggibili da cartelle cliniche, gemelli digitali, medicina di precisione, analisi dei segnali di farmacovigilanza – poggia su trattamenti di dati relativi alla salute, categoria particolare ai sensi dell’articolo 9 del GDPR. Il che impone di individuare una base giuridica per ciascuna finalità, distinguendo con rigore fra uso primario e uso secondario dei dati, di valutare la necessità di una valutazione d’impatto, di definire ruoli e responsabilità lungo una catena che coinvolge sponsor, centri sperimentali, fornitori tecnologici e sviluppatori di modelli.

Su questo fronte il Regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari, in vigore dal marzo 2025 e applicabile per fasi, ridisegnerà progressivamente le condizioni di accesso ai dati per finalità di ricerca e innovazione. È il tassello che, più di ogni altro, determinerà nei prossimi anni la disponibilità di dataset di qualità: e senza dataset di qualità, l’intera promessa dell’IA in ambito farmaceutico resta teorica.

Va inoltre ricordato che l’ordinamento italiano dispone già di una propria legge sull’intelligenza artificiale, la legge 132/2025, che dedica specifiche disposizioni all’impiego dell’IA in ambito sanitario e nella ricerca, ribadendo il diritto del paziente a essere informato sull’utilizzo di tali sistemi e la riserva della decisione in capo al professionista.

Che cosa significa, in pratica, per le aziende

Tradotto in adempimenti, il quadro descritto richiede un numero contenuto di scelte, purché siano compiute davvero:

• inventariare i sistemi di IA effettivamente in uso, inclusi quelli adottati dalle singole funzioni senza passare dall’IT;
• definire il contesto d’uso di ciascun sistema e calibrare su di esso il livello di validazione, secondo il principio di proporzionalità condiviso da FDA ed EMA;
• documentare la supervisione umana: non basta affermare che esiste, occorre poter mostrare chi ha verificato che cosa e quando;
• presidiare la catena contrattuale con i fornitori, pretendendo garanzie esplicite di conformità e informazioni utilizzabili sulle caratteristiche del modello;
• integrare l’IA nel sistema qualità esistente, come chiede AIFA, anziché costruirle accanto un binario separato;
• formare le funzioni coinvolte, perché il rischio maggiore non è il modello che sbaglia, ma l’operatore che non sa riconoscere quando ha sbagliato.

La responsabilità non è delegabile a un modello

Il punto di convergenza fra AIFA, EMA e FDA è più profondo di quanto le rispettive differenze procedurali lascino intendere. Tutte e tre affermano, con formulazioni diverse, la stessa cosa: l’intelligenza artificiale può accelerare, ampliare, affinare: non può assumere la responsabilità della decisione.

Per il giurista è un principio familiare. L’imputazione della responsabilità segue il controllo, e il controllo presuppone la comprensione. Un titolare AIC che non sia in grado di spiegare come è stato generato un contenuto, o su quali basi un modello ha selezionato una coorte, non ha esternalizzato un’attività: ha rinunciato a un presidio.

Le agenzie regolatorie stanno costruendo, ciascuna con i propri tempi, gli strumenti per verificarlo. La finestra che si apre da qui al dicembre 2027 non è una pausa: è il tempo che il legislatore europeo ha concesso per arrivare preparati.

Fonti

• AIFA, Dossier «Intelligenza Artificiale e salute. Come l’IA sta rivoluzionando la ricerca farmaceutica, la medicina di precisione e il futuro della salute globale», comunicato n. 9/2026, 9 marzo 2026.
• AIFA – Ufficio Informazione sui Medicinali e Vigilanza sulla Pubblicità, Linee di indirizzo – utilizzo di sistemi di Intelligenza Artificiale nei materiali promozionali, 24 luglio 2026.
• EMA, Reflection paper on the use of Artificial Intelligence (AI) in the medicinal product lifecycle, CHMP/CVMP, settembre 2024.
• EMA – HMA, multi-annual Data and AI workplan e AI Observatory report 2025 (giugno 2026); European Medicines Agencies Network Strategy to 2028.
• FDA, Considerations for the Use of Artificial Intelligence to Support Regulatory Decision-Making for Drug and Biological Products, draft guidance, gennaio 2025.
• FDA – EMA, Guiding Principles of Good AI Practice in Drug Development, 14 gennaio 2026.
• Regolamento (UE) 2024/1689 (AI Act) e successivo regolamento di modifica (Digital Omnibus on AI), in GU UE del 24 luglio 2026.
• Regolamento (UE) 2016/679 (GDPR), artt. 5, 9, 22, 32, 35; Regolamento (UE) 2025/327 (spazio europeo dei dati sanitari).
• Legge 23 settembre 2025, n. 132, disposizioni in materia di intelligenza artificiale; d.lgs. 24 aprile 2006, n. 219, Titolo VIII.