L'AI Act europeo rappresenta il primo quadro normativo completo al mondo per la regolamentazione dell'intelligenza artificiale, segnando un momento storico nella governance delle tecnologie emergenti. Per il settore sanitario, già fortemente regolamentato, questo comporta importanti novità e la necessità di un adeguamento che coinvolge produttori, distributori e utilizzatori di sistemi AI in ambito medico.

Classificazione del rischio

L'AI Act introduce un approccio basato sul rischio, classificando i sistemi di intelligenza artificiale in quattro categorie: rischio inaccettabile (vietati), alto rischio, rischio limitato e rischio minimo. I software medici, inclusi quelli per la validazione dei referti, rientrano generalmente nella categoria "alto rischio".

Questa classificazione deriva dal potenziale impatto che questi sistemi possono avere sulla salute delle persone. Un errore nella validazione di un referto potrebbe portare a diagnosi mancate o errate, con conseguenze potenzialmente gravi. L'alto rischio non significa divieto, ma implica requisiti stringenti che devono essere soddisfatti.

La classificazione considera anche il grado di autonomia del sistema: un software che si limita a suggerire correzioni al medico, che mantiene il controllo finale, è trattato diversamente da uno che prende decisioni autonome. Questa distinzione è fondamentale per determinare gli obblighi specifici applicabili.

Requisiti per i sistemi ad alto rischio

I sistemi classificati come ad alto rischio devono soddisfare requisiti stringenti in termini di qualità dei dati, documentazione, trasparenza, supervisione umana e robustezza. Questi requisiti sono progettati per garantire che l'AI operi in modo sicuro, affidabile e rispettoso dei diritti fondamentali.

La qualità dei dati di training è unaspetto cruciale: i dataset devono essere rappresentativi, privi di bias significativi e documentati in modo trasparente. Per software medici, questo significa garantire che gli algoritmi siano stati addestrati su popolazioni diverse e che i loro limiti siano chiaramente comunicati.

La robustezza tecnica richiede che il sistema sia accurato, affidabile e sicuro durante tutto il suo ciclo di vita. Questo include la resilienza a errori e tentativi di manipolazione, oltre alla capacità di mantenere le performance nel tempo senza degradazioni significative. Devono essere implementati meccanismi di monitoraggio continuo e procedure di aggiornamento sicure.

Obblighi di conformità

I fornitori di software medico basato su AI dovranno implementare sistemi di gestione del rischio completi, che identifichino e mitighino i potenziali pericoli lungo tutto il ciclo di vita del prodotto. Questo include analisi sistematiche dei rischi, misure di mitigazione documentate e verifica continua dell'efficacia delle stesse.

La tracciabilità è un altro requisito fondamentale: deve essere possibile ricostruire come il sistema è arrivato a determinate conclusioni o suggerimenti. Nel contesto della validazione referti, questo significa poter spiegare perchéil software ha segnalato un determinato errore o proposto una specifica correzione.

La documentazione tecnica richiesta è estesa e deve essere mantenuta aggiornata. Include la descrizione del sistema e del suo funzionamento, i dataset utilizzati per il training, le procedure di testing e validazione, le istruzioni per l'uso e le informazioni sulla supervisione umana richiesta. Questa documentazione deve essere disponibile per le autorità di controllo su richiesta.

Timeline di implementazione

L'AI Act è entrato in vigore nell'agosto 2024, ma prevede un periodo di transizione scaglionato per consentire alle aziende di adeguarsi. I divieti per i sistemi a rischio inaccettabile sono già applicabili, mentre i requisiti per i sistemi ad alto rischio diventeranno pienamente operativi tra il 2025 e il 2027, a seconda della categoria specifica.

Per i dispositivi medici, c'è un ulteriore livello di complessità: l'AI Act si applica in aggiunta alla normativa sui dispositivi medici (MDR), non in sostituzione. Questo significa che i software di validazione referti classificati come dispositivi medici devono soddisfare entrambi i set di requisiti.

È fondamentale iniziare fin da ora a valutare l'impatto sul proprio software e pianificare gli adeguamenti necessari. Aspettare l'ultimo momento potrebbe significare dover ritirare prodotti dal mercato o sostenere costi di adeguamento molto elevati in tempi compressi.

RefertoSicuro e la conformità

RefertoSicuro è progettato fin dall'inizio con un approccio "compliance by design", anticipando i requisiti dell'AI Act per garantire piena conformità normativa. Il nostro team legale e tecnico ha seguito lo sviluppo del regolamento fin dalle prime proposte, incorporando i principi emergenti nell'architettura del sistema.

La trasparenza è integrata nel prodotto: ogni suggerimento del sistema e accompagnato da una spiegazione del ragionamento sottostante, permettendo al medico di valutare criticamente il contributo dell'AI. I dati di training sono documentati in modo completo e sottoposti a audit periodici per verificare l'assenza di bias significativi.

Il nostro sistema di gestione del rischio è certificato e copre l'intero ciclo di vita del prodotto, dalla progettazione alla dismissione. Offriamo inoltre supporto ai nostri clienti per la conformità dal lato utilizzatore, con documentazione, formazione e procedure predefinite che facilitandono l'adempimento degli obblighi previsti dal regolamento.