Informativa AI pazienti in studio medico: il workflow automatico
L'obbligo di informativa AI ai pazienti c'è dal 10/10/2025: il workflow che lo studio medico usa per non dimenticarla a ogni nuovo strumento.
Dal 10 ottobre 2025 lo studio medico che usa l'AI in diagnosi o terapia deve informarne il paziente, per l'art. 7 della Legge 132/2025 (Legge 132/2025, art. 7). Il problema non è la norma — è ricordarla a ogni nuovo strumento.
Punti chiave
- L'obbligo dell'art. 7 non è un evento una tantum: si riattiva ogni volta che lo studio introduce un nuovo strumento AI (dettatura referti, software diagnostico, triage telefonico)
- Il modo per non dimenticarla è un workflow, non un promemoria: raccolta al primo contatto, conferma registrata, log conservato, aggiornamento automatico della lista strumenti
- Il precedente del CNF per gli avvocati (schema firmato una volta, al conferimento dell'incarico) è il pattern operativo da adattare alla sanità
- Un registro degli strumenti AI in uso non è richiesto esplicitamente dalla norma, ma è l'unico modo per dimostrare la compliance in un controllo
- Non serve un ufficio compliance: serve una procedura scritta e un log, anche in un poliambulatorio con 2-3 specialisti
Perché la conoscenza della norma non basta
Nel companion article sull'art. 7 abbiamo spiegato cosa impone la Legge 132/2025: quando un sistema di intelligenza artificiale coadiuva una diagnosi o una decisione terapeutica, il paziente deve esserne reso consapevole, con finalità, limiti e grado di affidabilità dello strumento spiegati in linguaggio semplice (Legge 132/2025, art. 7).
Sapere che l'obbligo esiste è il punto di partenza, non l'arrivo. Il problema pratico è diverso: uno studio medico non introduce l'AI una volta sola. Un software di refertazione assistita arriva quest'anno, un sistema di triage telefonico il prossimo, un modulo di dettatura vocale magari tra sei mesi. Ogni introduzione riattiva l'obbligo, e ogni paziente nuovo va informato. Senza una procedura, l'informativa diventa un adempimento ricordato a intermittenza — fatto scrupolosamente il primo mese, dimenticato quando la routine dello studio torna a farsi carico dell'attenzione di tutti.
Questo è esattamente il tipo di gap che un controllo (o una richiesta di accesso agli atti da parte del paziente) porta a galla: non l'assenza di consapevolezza normativa, ma l'assenza di una traccia scritta che dimostri quando e come l'informativa è stata data.
Il paradosso è che la maggior parte degli studi medici che introducono AI non lo fa con un progetto strutturato: succede un pezzo alla volta. Il segretario di studio adotta un software di dettatura perché fa risparmiare tempo sui referti. Il titolare prova un sistema di triage telefonico per gestire meglio le urgenze fuori orario. Un nuovo macchinario diagnostico arriva già con AI integrata, senza che nessuno lo classifichi esplicitamente come "strumento AI da dichiarare". Ognuno di questi eventi, preso singolarmente, sembra un aggiornamento tecnico interno — non un evento normativo. Ed è proprio per questo che senza una procedura esplicita l'obbligo dell'art. 7 passa inosservato: nessuno collega l'acquisto di un nuovo software all'aggiornamento dell'informativa, perché sono due decisioni prese da persone diverse, in momenti diversi, con priorità diverse.
Il workflow in 4 passaggi
L'informativa sull'uso dell'AI si consegna al primo contatto con il paziente — non a ogni singola visita in cui uno strumento AI interviene. Il pattern è lo stesso adottato dal CNF per gli avvocati: uno schema fornito e sottoscritto dal cliente al conferimento dell'incarico, non ripetuto per ogni attività professionale successiva (CNF, via ildiritto.it). Per lo studio medico questo significa: informativa al primo appuntamento o all'apertura della cartella, valida per tutto il percorso di cura presso quello studio.
Non basta consegnare un foglio. Serve una conferma tracciabile — firma su modulo cartaceo scansionato, checkbox su modulo digitale con timestamp, o conferma via gestionale appuntamenti — che colleghi quel paziente specifico a quella informativa specifica, con data.
Ogni presa visione registrata finisce in un log consultabile: chi ha ricevuto l'informativa, quando, quale versione (se lo studio ha aggiornato il testo dopo aver introdotto un nuovo strumento). In caso di controllo o di richiesta del paziente, il log è la prova che l'obbligo è stato rispettato — non la memoria di chi era in reception quel giorno.
Quando lo studio introduce un nuovo strumento AI, la lista degli strumenti in uso si aggiorna e l'informativa si riallinea di conseguenza — senza dover ripartire da zero a redigere un nuovo documento ogni volta. È il passaggio che nella pratica salta più spesso, perché non è un evento con una scadenza fissa: succede quando il gestionale cambia fornitore o quando arriva un software diagnostico nuovo, momenti che raramente qualcuno associa a un obbligo di compliance.
Cosa cambia con e senza procedura
L'errore più comune
Trattare l'informativa AI come un modulo di privacy generico firmato all'accettazione. Non lo è: deve riguardare specificamente l'uso dell'AI in quel percorso di cura, con finalità, limiti e affidabilità dello strumento — un modulo GDPR standard non basta a soddisfare l'art. 7.
Chi fa cosa: i ruoli nel workflow
Il workflow funziona solo se ogni passaggio ha un responsabile chiaro — altrimenti torna a essere un compito "di tutti", cioè di nessuno.
- Titolare o direttore sanitario: decide quando un nuovo strumento rientra nell'obbligo dell'art. 7 (valutazione che richiede giudizio clinico, non solo tecnico) e approva l'aggiornamento del testo dell'informativa.
- Segreteria o reception: consegna l'informativa al primo contatto — prenotazione telefonica, accettazione in studio, o modulo online — e registra la conferma con data, senza bisogno di competenze normative.
- Chi gestisce il gestionale/software di studio: quando cambia o aggiorna uno strumento tecnologico, segnala l'evento a chi tiene la lista degli strumenti AI in uso — è il trigger che fa scattare la revisione dell'informativa.
Questa suddivisione è ciò che rende il workflow sostenibile anche in uno studio con due o tre persone in tutto: nessuno deve "ricordarsi" della normativa a memoria, perché ogni ruolo ha un'azione semplice e concreta legata a un evento riconoscibile (arriva un paziente nuovo, cambia un software), non a una scadenza calendarizzata che si può facilmente perdere di vista.
Il workflow si adatta al livello di digitalizzazione dello studio
I 4 passaggi restano identici, ma cambia lo strumento con cui si eseguono — uno studio con gestionale digitale può automatizzare quasi tutto, uno studio con processo ancora cartaceo può comunque rispettare l'obbligo con un minimo di disciplina.
Cosa rientra nell'obbligo (e cosa no)
Non tutti gli strumenti tecnologici in uso in uno studio medico attivano l'obbligo di informativa dell'art. 7 — solo quelli che intervengono, anche indirettamente, su una diagnosi o una decisione terapeutica. Distinguere i due casi evita sia il rischio di non informare quando serve, sia lo spreco di tempo a produrre informative per strumenti puramente amministrativi.
Software di refertazione assistita per immagini diagnostiche
Rientra — serve informativa specifica al primo contatto
Sistema di triage telefonico che orienta l'urgenza della visita
Rientra — incide sulla decisione clinica
Dettatura vocale AI per referti, senza suggerimenti diagnostici
Zona grigia — verificare se lo strumento influenza contenuti clinici
Gestionale appuntamenti o promemoria WhatsApp automatico
Non rientra — resta sotto gli obblighi GDPR ordinari
Il precedente delle altre professioni
La Legge 132/2025 non tratta tutte le professioni allo stesso modo — la sanità ha un articolo dedicato (il 7), le professioni intellettuali generiche come avvocati e commercialisti ne hanno un altro (il 13). Ma il problema operativo è identico: come dare l'informativa una volta, invece di ripeterla ogni volta che l'AI interviene.
Il CNF ha risolto questo problema per gli avvocati pubblicando, il 13 ottobre 2025, uno schema di informativa fornito e sottoscritto dal cliente al momento del conferimento dell'incarico professionale (CNF, via ildiritto.it). Non un modulo ripetuto a ogni attività assistita da AI, ma un documento legato all'inizio del rapporto. È lo stesso principio che rende sostenibile il workflow per lo studio medico: informativa al primo contatto, non a ogni visita.
Il quadro normativo, del resto, continua a muoversi: il 10 giugno 2026 il Consiglio dei Ministri ha approvato un pacchetto attuativo della Legge 132/2025 che, tra le altre cose, inserisce obbligatoriamente la formazione sull'uso dell'AI — inclusi i profili deontologici e giuridici, non solo tecnici — nel programma di Educazione Continua in Medicina (Comunicato n. 117/2026, certifico.com). Segno che l'attenzione normativa sulla sanità non si esaurisce con l'informativa al paziente: la direzione è verso una gestione strutturata e documentata dell'AI in ogni studio, non solo un adempimento isolato.
Dove si aggancia il resto del lavoro dello studio
Chi introduce l'AI in uno studio medico — un gestionale con reminder automatici, un sistema di lista d'attesa dinamica, un chatbot per le richieste più semplici — parte quasi sempre da una mappatura di ciò che lo studio già usa e di come funzionano i suoi processi. È lo stesso lavoro che serve per costruire l'informativa AI corretta: sapere esattamente quali strumenti sono in uso, per aggiornare la lista quando cambia qualcosa.
Questa mappatura è già il punto di partenza di un audit gratuito: capire cosa lo studio automatizza oggi, cosa introdurrà domani, e come tenere allineati i processi — compreso il registro di compliance — senza che ricada tutto sulla memoria di chi è in reception. Aggiungere un log di presa visione dell'informativa a una mappatura già fatta è un'estensione naturale del lavoro, non un progetto a sé.
L'informativa AI va data a ogni visita o basta una volta sola?
Basta una volta, al primo contatto con lo studio — analogamente al modello adottato dal CNF per gli avvocati, che lega l'informativa al conferimento dell'incarico e non a ogni singola attività. Resta valida per tutto il percorso di cura presso quello studio, salvo l'introduzione di un nuovo strumento AI che richieda un aggiornamento.
Cosa succede se lo studio introduce un nuovo software AI dopo aver già dato l'informativa?
L'obbligo si riattiva per quello specifico strumento. Se il workflow prevede una lista aggiornata degli strumenti in uso, l'informativa si riallinea automaticamente; altrimenti va rifatta da zero, con il rischio concreto di dimenticarla per i pazienti già in cura.
Un modulo privacy GDPR standard copre anche l'obbligo dell'art. 7?
No. Il modulo di trattamento dati generico riguarda la privacy dei dati, non l'uso dell'AI in una decisione clinica. L'art. 7 richiede un'informativa specifica su finalità, limiti e affidabilità dello strumento AI utilizzato in quel percorso di cura.
Serve un registro formale degli strumenti AI in uso?
La norma non lo impone esplicitamente come documento a sé, ma è nella pratica l'unico modo per dimostrare in un controllo quando e a chi è stata data l'informativa corretta per ogni strumento. Senza un log, la compliance dipende dalla memoria di chi lavora in studio.
Quali strumenti AI in uno studio medico attivano l'obbligo di informativa?
Qualsiasi strumento che coadiuva direttamente una diagnosi o una decisione terapeutica — software diagnostico, triage assistito, sistemi che suggeriscono percorsi di cura. Strumenti puramente amministrativi (gestionale appuntamenti, promemoria) restano sotto gli obblighi GDPR ordinari, non sotto l'art. 7.
Un piccolo studio con 1-2 medici deve seguire la stessa procedura di una struttura grande?
Sì, la norma non distingue per dimensione. Un poliambulatorio con 2-3 specialisti non ha bisogno di un ufficio compliance dedicato: gli basta un'informativa scritta chiara consegnata al primo contatto e un log di chi l'ha ricevuta, anche tenuto su un foglio di calcolo condiviso.
Un audit gratuito è il modo più rapido per capire dove lo studio si trova oggi rispetto a questo workflow — e per costruire, insieme al resto delle AI Operations gestite per lo studio medico, il registro di compliance che tiene tutto allineato quando arriva il prossimo strumento AI.
Quale agente AI potrebbe lavorare per te?
Compila l'audit gratuito: in 24 ore ricevi un'analisi personalizzata sulla tua azienda.
Inizia l'audit gratuito