Il Garante ha pubblicato un decalogo per la realizzazione di servizi sanitari basati sull’intelligenza artificiale che definisce alcuni concetti chiave e fissa limiti all’uso di queste tecnologie.
Nel documento di quattordici pagine il Garante, ricordando un parere già espresso per l’Agenzia dell’Entrate e una serie di considerazioni / raccomandazioni sia a livello nazionale, sia europeo, stabilisce due principi di base:
- Che per i trattamenti di dati mediante tecnologie di intelligenza artificiale “è necessario che gli stessi siano previsti da uno specifico quadro normativo”
- Che sia sempre necessaria una valutazione di impatto sulla protezione dei dati come previsto dall’articolo 35 del Regolamento che indica che “quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche”
In aggiunta a questo il Garante si esprime anche su ulteriori tre principi specifici per l’AI:
- Il principio di conoscibilità, in base al quale l’interessato ha il diritto di conoscere l’esistenza di processi decisionali basati su trattamenti automatizzati e, in tal caso, di ricevere informazioni significative sulla logica utilizzata, sì da poterla comprendere;
- il principio di non esclusività della decisione algoritmica, secondo cui deve comunque esistere nel processo decisionale un intervento umano capace di controllare, validare ovvero smentire la decisione automatica (c.d. human in the loop);
- il principio di non discriminazione algoritmica, secondo cui è opportuno che il titolare del trattamento utilizzi sistemi di IA affidabili che riducano le opacità, gli errori dovuti a cause tecnologiche e/o umane, verificandone periodicamente
l’efficacia anche alla luce della rapida evoluzione delle tecnologie impiegate, delle procedure matematiche o statistiche appropriate per la profilazione, mettendo in atto misure tecniche e organizzative adeguate.
Considerazioni e implicazioni
Non è chiaro, almeno al sottoscritto, se il decalogo si applichi soltanto a servizi nazionali realizzati da Enti Centrali o riguardi qualsiasi ente incluse le Regioni e le aziende sanitarie. Sicuramente la necessità della valutazione di impatto riguarda qualsiasi titolare.
L’esigenza di un quadro normativo potrebbe bloccare o rallentare alcune iniziative come, ad esempio, la gara Agenas per la piattaforma di AI per l’assistenza primaria di cui ho scritto qui.
Riguardo i principi specifici ci sono poi alcune considerazioni che il documento suscita. Il diritto dell’interessato a conoscere l’esistenza di processi decisionali basati sull’intelligenza artificiale e, in particolare, di ricevere informazioni sula logica utilizzata, così da poterla comprendere, potrebbe risultare molto difficile da applicare nella pratica, vista la complessità delle tecnologie e dei modelli su cui si basano. Nella mia esperienza di docente in una facoltà di medicina posso dirvi che la lezione sull’AI è la più difficile del mio corso malgrado i miei sforzi per renderla semplice e accessibile a tutti gli studenti.
Anche il principio di non esclusività della decisione algoritmica potrebbe minare l’utilità stessa dell’AI in alcuni settori. Si pensi ad esempio alla profilazione dei pazienti in funzione del rischio clinico. Validare manualmente ogni decisione, ossia classificazione, potrebbe essere non praticabile.
Mi domando quale conoscenza dell’AI abbiano gli estensori del decalogo e se abbiano formulato i principi anteponendo il diritto alla fattibilità tecnica e operativa di quanto hanno stabilito.
Mi duole infine sottolineare come, di fronte a tecnologie di così grande rilevanza e impatto, l’Autorità decida di definire dei principi senza un confronto aperto e allargato ai principali stakeholder del settore, in una logica di autoreferenzialità che rischia di rallentare o bloccare un campo dell’Information Technology dalle enormi potenzialità, ipotecando il futuro della sanità digitale.