Legge 132/2025 studio medico: l'obbligo di informare sull'AI
Dal 10 ottobre 2025 la Legge 132/2025 impone allo studio medico di informare il paziente quando l'AI assiste una diagnosi: cosa dice l'art.7 e cosa fare subito.
La Legge 132/2025 riserva alla sanità un articolo specifico, il 7: anche il più piccolo studio medico deve applicarlo dal 10 ottobre 2025 (Legge 132/2025, art. 7). Quasi nessuno lo ha ancora tradotto in una procedura concreta.
Punti chiave
- L'art. 7 della Legge 132/2025 impone di informare il paziente quando AI ha coadiuvato diagnosi o terapia, spiegandone finalità, limiti e affidabilità
- È una norma distinta da quella già nota per le professioni intellettuali (art. 13, avvocati e commercialisti): la sanità ha il proprio capitolo dedicato
- Non è previsto ancora un obbligo di consenso individuale per la ricerca con AI, ma resta separato e fermo l'obbligo di informativa al paziente
- Nessuna sanzione specifica è oggi definita per questo obbligo: l'efficacia dipende dai decreti attuativi ancora da emanare
- Il Consiglio Nazionale Forense ha già pubblicato un modello di informativa per gli avvocati il 13 ottobre 2025 — per la sanità non esiste ancora un equivalente diffuso
- L'informativa si raccoglie una volta al primo contatto, non va ripetuta a ogni visita
Cosa dice davvero l'articolo 7 della Legge 132/2025
La Legge 23 settembre 2025, n. 132 è la prima normativa organica italiana sull'intelligenza artificiale, in vigore dal 10 ottobre 2025, e affianca — non sostituisce — il Regolamento UE 2024/1689 (AI Act). È organizzata in 28 articoli che toccano lavoro, professioni intellettuali, sanità, ricerca e giustizia (Dipartimento per la Trasformazione Digitale). Ne avevamo già raccontato l'impianto generale nella guida alla Legge 132/2025 per le PMI: l'art. 7 è il capitolo specifico che riguarda la sanità.
Il testo è diretto: il paziente deve essere reso consapevole del fatto che una diagnosi o una decisione terapeutica è stata coadiuvata da sistemi di intelligenza artificiale, comprendendone finalità, limiti e grado di affidabilità (Legge 132/2025, art. 7). Non basta un modulo generico di privacy firmato all'accettazione: l'informativa deve riguardare specificamente l'uso dell'AI in quel percorso di cura.
Chi è obbligato
La norma riguarda qualsiasi struttura sanitaria, pubblica o privata, che impiega sistemi di intelligenza artificiale in fase di diagnosi o terapia — non solo gli ospedali. Uno studio medico o un poliambulatorio che usa un software diagnostico assistito, una dettatura di referti basata su AI o un sistema di triage automatizzato rientra nell'obbligo esattamente come una struttura più grande. La dimensione dello studio non è un'esimente.
Un caso tipico, anonimizzato: un poliambulatorio con 2-3 specialisti che ha introdotto un software di refertazione assistita per le immagini diagnostiche non ha bisogno di un ufficio compliance dedicato per rispettare l'art. 7 — gli basta un'informativa scritta chiara, consegnata al primo contatto, e un registro di chi l'ha ricevuta. È un problema di procedura mancante, non di risorse mancanti.
Dove l'AI è già nello studio medico, anche se non ci hai mai pensato
Il primo passo pratico non è scrivere l'informativa: è mappare dove l'AI è già in uso, spesso senza che nessuno l'abbia mai chiamata così.
Software diagnostico assistito da AI (immagini, referti, alert clinici)
Rientra nell'obbligo art. 7 — informativa necessaria
Dettatura/trascrizione referti con modelli AI
Rientra se contribuisce a una decisione diagnostica o terapeutica
Triage telefonico o chatbot che orienta la richiesta del paziente verso una diagnosi
Rientra — è già parte del percorso di cura
Agenda appuntamenti, promemoria, fatturazione automatizzati
Non rientra — nessuna decisione clinica coinvolta
CRM/gestionale pazienti senza componente diagnostica
Non rientra nell'art. 7 (restano gli obblighi GDPR ordinari)
La distinzione che conta è semplice: se lo strumento AI tocca in qualche modo una diagnosi o una decisione terapeutica, l'informativa serve. Se automatizza solo la parte amministrativa, resta sotto gli obblighi GDPR ordinari, non sotto l'art. 7.
Come attivare l'informativa senza doverla rifare a ogni paziente
Elenca ogni software che lo studio usa oggi che tocca diagnosi, referti o triage — non solo quello acquistato apposta come "AI", ma anche funzioni AI integrate in un gestionale più ampio.
Finalità, limiti, grado di affidabilità dello strumento — senza tecnicismi. Il modello CNF per gli avvocati (art. 13) è un riferimento utile per il formato, non per il contenuto: la sanità ha requisiti propri.
Come il modello CNF per gli avvocati, l'informativa va raccolta una volta — non ripetuta a ogni appuntamento — salvo che cambi lo strumento AI in uso.
Chi ha ricevuto l'informativa e quando: un registro minimo che dimostra la conformità in caso di controllo, prima ancora che arrivi un decreto attuativo con sanzioni definite.
Un nuovo software diagnostico o una nuova funzione AI nel gestionale richiede l'aggiornamento dell'informativa — non un progetto da rifare da zero.
Perché la sanità ha una regola diversa dalle altre professioni
La Legge 132/2025 non tratta tutte le professioni allo stesso modo. Le professioni intellettuali generiche (avvocati, commercialisti, notai) sono disciplinate dall'art. 13, con un obbligo informativo formulato in modo simile ma pensato per un rapporto contrattuale — il cliente che affida un incarico. La sanità, invece, ha un articolo a sé: l'art. 7, pensato per il rapporto medico-paziente, dove la posta in gioco non è un documento ma una decisione clinica.
Il divario è concreto: nel confronto sull'AI applicata agli studi legali l'obbligo dell'art. 13 ha già un formato di riferimento diffuso dall'ordine professionale. Per la sanità, oggi, ogni studio medico deve costruirsi l'informativa da solo — o rischia di scoprirsela addosso al primo controllo.
Cosa NON cambia: il consenso per la ricerca resta un tema separato
Non confondere le due cose
La Legge 132/2025 semplifica il consenso individuale per usare dati sanitari nella ricerca scientifica — ma questo riguarda soggetti pubblici, no-profit o privati insieme a essi, e NON sostituisce l'obbligo di informativa AI al paziente sulle cure che riceve in prima persona.
I dati raccolti per diagnosi e cura possono essere usati anche per addestrare algoritmi in ambito medico senza un consenso specifico del paziente, quando l'utilizzo è a fini di ricerca da parte di soggetti pubblici o non profit (anche insieme a privati) (dottnet.it). Ma questo riguarda l'uso secondario dei dati per la ricerca, un capitolo distinto. Resta fermo, separato e non derogabile l'obbligo di informare il paziente sull'uso dell'AI nel proprio percorso di cura e sul trattamento dei suoi dati personali — con un obbligo di informativa preventiva che vale a prescindere (dottnet.it). Uno studio che pensa di essere coperto perché ha già l'informativa privacy GDPR standard sta confondendo due obblighi diversi.
Cosa manca ancora: i decreti attuativi
Nessuna sanzione definita non vuol dire nessun rischio
Ad oggi non è prevista una sanzione specifica per la violazione dell'obbligo di informativa AI in sanità: l'efficacia della norma dipenderà dai decreti attuativi ancora da emanare (Legge 132/2025, art. 7). Ma l'obbligo è già in vigore, e resta comunque il rischio GDPR ordinario legato a un'informativa carente sul trattamento dei dati.
Perché conviene chiudere il gap prima, non dopo
Aspettare il decreto attuativo per muoversi è la scelta più rischiosa, non la più prudente: quando il decreto arriverà con criteri tecnici e procedure di controllo, gli studi che avranno già un'informativa e un log in ordine partiranno da conformità già acquisita. Gli altri dovranno costruire tutto sotto pressione, con la sanzione già nel testo.
Perché conviene muoversi prima, non dopo
Lo stesso schema si ripete ogni volta che entra in vigore un nuovo obbligo di informativa AI per una categoria professionale: chi mappa in anticipo gli strumenti già in uso arriva pronto, chi aspetta di essere richiamato lo fa sotto pressione. Lo abbiamo visto con l'obbligo informativo per avvocati e commercialisti (art. 13): la difficoltà reale non era capire cosa dice la norma — è tradurla in una procedura che non si dimentica al primo nuovo cliente, o in questo caso al primo nuovo paziente. Per uno studio medico il punto di partenza è lo stesso identico esercizio di mappatura: quali strumenti sono in uso, quali toccano una decisione clinica, chi li ha già usati senza che nessuno lo registrasse da qualche parte.
Mappare dove l'AI è già in uso in uno studio medico — anche indirettamente, in un gestionale che non ti sei mai fermato a guardare come "sistema AI" — è il primo passo di qualsiasi audit gratuito: prima si capisce cosa c'è già, poi si costruisce l'informativa corretta e il log che la accompagna.
Domande frequenti
Cosa dice esattamente l'articolo 7 della Legge 132/2025?
Impone che il paziente sia reso consapevole quando una diagnosi o una decisione terapeutica è stata coadiuvata da sistemi di intelligenza artificiale, comprendendone finalità, limiti e grado di affidabilità (Legge 132/2025, art. 7).
Quali strutture sanitarie sono obbligate?
Qualsiasi struttura sanitaria pubblica o privata che impiega AI in diagnosi o terapia, incluso uno studio medico singolo o un piccolo poliambulatorio — non solo gli ospedali.
Da quando è in vigore l'obbligo?
Dal 10 ottobre 2025, insieme al resto della Legge 132/2025.
Cosa rischia uno studio medico che non informa i pazienti sull'uso dell'AI?
Non è ancora prevista una sanzione specifica per questo obbligo: dipenderà dai decreti attuativi. Resta però il rischio ordinario legato al GDPR se l'informativa sul trattamento dei dati risulta carente.
L'informativa va ripetuta a ogni visita del paziente?
No. Va raccolta al primo contatto, sul modello di quanto già previsto per gli avvocati con l'informativa CNF — e va aggiornata solo quando cambia lo strumento AI utilizzato.
In cosa si differenzia dal consenso GDPR sul trattamento dei dati?
Sono due obblighi distinti: il GDPR riguarda il trattamento dei dati personali, l'art. 7 riguarda specificamente la consapevolezza del paziente sull'uso dell'AI in una diagnosi o terapia. Servono entrambi, non si sostituiscono a vicenda.
Se lo studio non usa ancora strumenti AI diagnostici, l'obbligo si applica comunque?
No: l'obbligo scatta solo quando uno strumento AI coadiuva effettivamente una diagnosi o una decisione terapeutica. Un gestionale che gestisce solo agenda, promemoria o fatturazione non rientra nell'art. 7.
Quale agente AI potrebbe lavorare per te?
Compila l'audit gratuito: in 24 ore ricevi un'analisi personalizzata sulla tua azienda.
Inizia l'audit gratuito