Intelligenza artificiale e dati sanitari: un potenziale enorme ma attenzione alla privacy

Diversi sono i campi applicativi dove l’AI trova utilizzo:

• Un esempio è l’individuazione delle fratture che potrebbero sfuggire all’occhio umano. Le immagini che arrivano dal pronto soccorso sono inviate a un sistema esterno di machine learning, che la elabora ed in pochi minuti indica se c'è o meno una frattura. L’efficacia e acuratezza delle indicazioni sono molto elevate grazie ad un algoritmo addestrato precedentemente su un vasto dataset di vari tipi di fratture. Si tratta di una prelettura che il radiologo deve poi confermare. L’AI, in questo esempio, diventa un prezioso strumento di supporto alle decisioni;
• Altro interessante esempio, è l’utilizzo dell'AI nella ricerca farmacologica, dove ha permesso l'individuazione di nuove molecole. Il tutto con investimenti e tempi significativamente inferiori rispetto alla ricerca tradizionale;
• Altro esempio, i Large Language Model (LLM), alla base dell’AI conversazionali di ultima generazione, con i quali si realizzano chatbot per la gestione della documentazione clinica, effettuano sintesi della letteratura medica e supporto alle decisioni diagnostiche;
• Infine, come ultimo esempio, l'integrazione dell'AI con la robotica medica, a supporto della formazione e la chirurgia attraverso l'embedded intelligence, per mezzo della quale i robot apprendono compiti complessi interagendo con l'ambiente.

L'utilizzo di sistemi di AI in ambito sanitario comporta l'elaborazione di dati particolarmente sensibili, come diagnosi, referti, immagini cliniche e informazioni genetiche. La loro fuga o il loro uso improprio potrebbero avere conseguenze devastanti per la vita privata e la dignità degli individui. 
I dati sanitari rientrano tra le categorie sensibili e, come tali, risultano essere più suscettibili a rischi di discriminazione, abuso o violazioni della privacy se utilizzati o divulgati impropriamente. È fondamentale quindi prestare la massima attenzione riguardo a due aspetti: l'uso improprio da parte di individui e le criticità potenziali legate alla progettazione degli algoritmi.

L’uso improprio dei dati sanitari e l’abuso dei sistemi di AI potrebbe condurre a diversi tipi di discriminazioni. In ambito lavorativo, i datori di lavoro potrebbero utilizzare dati medici per discriminare i potenziali assunti o per licenziare dipendenti con determinate condizioni di salute. Le banche e istituti finanziari potrebbero usare informazioni sullo stato di salute per rifiutare prestiti o mutui nei confronti di individui con particolari patologie. Infine, i dati sensibili in ambito medico potrebbero essere utilizzati come arma di ricatto da parte dei cybercriminali, generando gravi conseguenze economiche e psicologiche per le persone coinvolte. Bisogna poi considerare che algoritmi discriminatori potrebbero creare bias dannosi o limitare l'accesso a cure e servizi cruciali. 

La qualità delle capacità predittive di un sistema di AI varia in funzione di una pluralità di elementi, come il numero, la qualità e l’accuratezza dei dati di addestramento. L’elaborazione di una mole di dati sempre più importante e/o errori commessi durante le fasi di sviluppo e di allenamento dei sistemi di IA, possono condurre ad abusi e discriminazioni per le persone. 

La politica europea dei dati ha come punto di riferimento due importanti regolamenti: 

• Regolamento (UE) 2016/679 relativo ai dati personali;  
• Regolamento (UE) 2018/1807 relativo ai dati non personali.  

Il Regolamento (UE) 2016/679, noto anche come GDPR, dà una definizione intenzionalmente ampia di “dato personale”, specificando che si tratta di «qualsiasi informazione riguardante una persona fisica identificata o identificabile».  Il GDPR oltre alla tutela dei dati delle persone fisiche disciplina anche le modalità con cui tali dati possono circolare e possono essere utilizzati. Il Regolamento (UE) 2018/1807 disciplina la libera circolazione dei dati non personali nel territorio dell’Unione europea. Si tratta in particolare di dati che possono essere qualificati in base alla loro origine:

• Dati anonimi ex-ante, ossia dati che in origine non si riferiscono ad una persona fisica identificata o identificabile;
• Dati anonimi ex-post, ovvero dati che inizialmente erano personali e che successivamente sono stati resi non personali attraverso un processo di anonimizzazione.

L’obiettivo principale del Regolamento è quello di garantire che i dati non personali possano essere trattati liberamente su tutto il territorio dell’UE. Questo implica che possano circolare liberamente e ne venga garantita la portabilità in un formato strutturato, di uso comune e leggibile elettronicamente. Spesso accade che dati personali e non personali siano raccolti in un insieme di dati misti (es. i dati sanitari). Ove sia possibile una separazione potranno essere applicate le normative di riferimento per ciascun insieme di dati (personali e non personali). Nel caso, invece l’insieme di dati misti contenga dati che tra loro risultino “indissolubilmente legati”, bisogna allora applicare il GDPR all’intero set di dati misti, anche nei casi in cui i dati personali ne rappresentino solo una minima parte.

L'AI ha il potenziale per rivoluzionare il settore sanità ma solo se la tutela della privacy sarà considerata un elemento imprescindibile per un futuro sicuro e trasparente. 
L'Europa si è dotata di un quadro normativo solido per la protezione dei dati sanitari personali che possono essere utilizzati solo se il sistema di gestione soddisfa i seguenti requisiti:

• Essere lecito, corretto e trasparente;
• Essere svolto per finalità specifiche, esplicite e legittime;
• Essere finalizzato ad una raccolta dei dati che sia adeguata, pertinente e limitata al minimo necessario per le finalità perseguite;
• Prevedere la conservazione dei dati per un periodo di tempo non superiore a quello necessario per le finalità del trattamento; 
• Essere effettuato in modo da garantire la sicurezza e la riservatezza dei dati.

Oltre ad istituire un sistema di gestione dei dati che soddisfa determinati requisiti, è indispensabile la formazione degli operatori sanitari e la sensibilizzazione dei cittadini. Solo mettendo insieme tutti questi aspetti è possibile sviluppare una cultura e consapevolezza della privacy efficace.

Per poter sviluppare sistemi di AI affidabili  per  l’elaborazione di dati sanitari, è quindi necessario adottare alcune misure concrete, come ad esempio:

• Sviluppo di sistemi di AI affidabili e modelli di governance robusti
  L'AI deve essere progettata e utilizzata in modo da rispettare i principi etici e la privacy dei cittadini. Durante lo sviluppo dei sistemi di IA, è essenziale promuovere la trasparenza e il controllo. Il fine per cui si utilizzano i dati sanitari, da parte dagli algoritmi, dovrebbe essere spiegato, indicando l’obiettivo che si vuole raggiungere. Inoltre, è necessario siano implementati sistemi di controllo e di supervisione per garantire l'eticità e l’affidabilità dei sistemi di AI in ambito sanitario;
• La pseudonimizzazione e l’anonimizzazione avanzate
  Si tratta di tecniche di deidentificazione usate per rendere i dati sanitari inutilizzabili per l'identificazione individuale, pur conservando la loro utilità per l'analisi. Sono già disponibili soluzioni per la “Differential Privacy” che permettono di anonimizzare i dati con l’aggiunta di “rumore” o di un elemento di casualità (randomizzazione);
• L’uso dei dati sintetici (dati artificiali generati al computer che imitano dati reali)
  Possono essere utili per la ricerca e l'analisi preservando la privacy, anche se presentano dei rischi di reidentificazione. Da segnalare che i dati sintetici le normative attuali faticano a gestirli, in particolare quelli completamente sintetici, perchè non sono considerati dati personali. In questo caso bisogna affidarsi alla trasparenza, all'accountability e all'equità per incoraggiare l'innovazione responsabile nell'uso dei dati sintetici;
• La sensibilizzazione e la formazione
  Educare cittadini e professionisti sanitari sui rischi e le opportunità dell'AI in relazione alla privacy;
• Gli investimenti nella sicurezza informatica
  I dati sanitari devono essere protetti da attacchi informatici e violazioni della sicurezza;
• La collaborazione tra pubblico e privato
  La ricerca e lo sviluppo di sistemi di AI affidabili richiedono la collaborazione tra autorità, ricercatori, aziende e cittadini.