Lo scorso 25 settembre è stata pubblicata in Gazzetta Ufficiale la Legge n. 132/2025 che segna un punto di arrivo importante nella creazione di una disciplina nazionale sull’intelligenza artificiale.
Già dai primi articoli vengono tratteggiati i principi ispiratori e le finalità perseguite dalla legge, la quale si muove da un’impostazione antropocentrica. Tra i principi generali viene indicata la protezione dei dati personali e l’utilizzo dei sistemi e dei modelli di intelligenza artificiale per l’effettuazione un trattamento lecito, corretto, trasparente e compatibile con le finalità per le quali i dati personali vengono raccolti.
Con riferimento all’utilizzo dei sistemi di intelligenza artificiale, ai fini della ricerca e della sperimentazione scientifica in ambito sanitario, la legge introduce due rilevanti novità. Innanzitutto, l’articolo 8 qualifica i dati, anche personali, utilizzati ai fini di ricerca e sperimentazione scientifica da parte di soggetti pubblici e privati senza scopo di lucro, dagli IRCCS e da soggetti privati operanti nel settore sanitario impegnati in progetti di ricerca congiunti, come di rilevante interesse pubblico in attuazione degli articoli 32 e 33 Cost. Questa qualifica, in applicazione dell’art. 9, par. 2, lett. G) del GDPR, permette di raccogliere e trattare categorie particolari di dati personali (come, ad esempio, i dati relativi alla salute), il cui trattamento è generalmente vietato dal paragrafo 1 del citato articolo. Inoltre, viene concesso l’uso secondario di dati personali che non abbiano elementi identificativi diretti, anche se appartenenti alle categorie indicate dall’art. 9 del GDPR, senza la necessità di un ulteriore consenso.
La seconda novità riguarda l’implementazione di una piattaforma di intelligenza artificiale come supporto per le finalità di cura, per l’assistenza territoriale e per l’accesso ai servizi sanitari. La creazione di tale piattaforma era già iniziata in attuazione dell’AI Act europeo, ma non è mai stata completata. Con la legge in materia di intelligenza artificiale viene incaricata l’Agenzia nazionale per la sanità digitale, l’AGENAS, di curarne la progettazione, la realizzazione e la messa in servizio. Viene precisato che la piattaforma può utilizzare unicamente i dati strettamente necessari per l’erogazione del servizio e che gli vengono trasmessi dai relativi titolari del trattamento. L’AGENAS è nominata titolare del trattamento dei dati raccolti e generati all’interno della piattaforma. Viene inoltre previsto un dovere di specificazione delle tipologie di dati trattati e delle operazioni eseguite nella piattaforma, nonché le misure tecniche e organizzative poste in essere “per garantire un livello di sicurezza adeguato al rischio e per tutelare i diritti fondamentali e gli interessi dell’interessato”, in conformità al GDPR.