Management Odontoiatrico | Managementodontoiatrico

Sign in

Login
NORMATIVE
08 giugno 2026

Intelligenza Artificiale in odontoiatria: privacy, dati sensibili, profili giuridici, limiti normativi

Biancucci P.

Parlare di privacy in ambito sanitario odontoiatrico significa confrontarsi con una materia complessa, caratterizzata da profili tecnici delicati e da concetti giuridici non sempre di immediata comprensione; come pure trattare il tema dei dati sanitari diventa un compito ancora più impegnativo. In ogni caso il sistema di tutela della privacy continua a fondarsi sui principi generali sanciti dal GDPR (General Data Protection Regulation, Regolamento UE 2016/679) e dal Codice privacy (Codice in materia di protezione dei dati personali approvato con il D.Lgs. 196/2003, aggiornato dal D.Lgs. 101/2018), principi che si dimostrano ancora oggi pienamente idonei a governare anche le tecnologie più innovative e avanzate. Ma in ambito odontoiatrico i sistemi di AI a supporto della diagnosi, i software per la pianificazione terapeutica e le piattaforme digitali per la gestione dei pazienti stanno progressivamente trasformando le modalità di esercizio della professione. Ne parliamo con l’avv. Roberto Longhin del foro di Torino, uno tra i massimi esperti in questioni sanitarie.

Avv. Longhin, cosa ha indotto il legislatore europeo ad adottare l’IA Act e in Italia la Legge 132/25?
In realtà, l’impatto dell’intelligenza artificiale non riguarda soltanto il settore sanitario odontoiatrico, ma investe ormai in modo trasversale la vita quotidiana, le attività economiche e le professioni di tutti i cittadini europei. Proprio la portata di questa trasformazione ha indotto il legislatore europeo a intervenire con una disciplina organica dedicata, adottando il Regolamento 2024/1689 del 13 giugno 2024, conosciuto come I.A. Act, inerente all’intelligenza artificiale. A questo ha fatto seguito a livello nazionale la legge 23 settembre 2025, n. 132 (“Disposizioni e deleghe al Governo in materia di intelligenza artificiale”). L’I.A. Act, pur introducendo una disciplina organica dei sistemi di intelligenza artificiale secondo un approccio basato sul rischio, pur contenendo riferimenti alla protezione dei dati (quality datasets, data governance, human oversight, risk management, logging, trasparenza, cybersecurity) non costituisce una disciplina privacy autonoma, e non sostituisce né deroga alla disciplina europea in materia di protezione dei dati personali, che continua a trovare il proprio fondamento nel GDPR e nel Codice privacy.

Qual è la differenza tra dati sanitari e dati personali?
I dati trattati nell’esercizio dell’attività professionale rientrano pacificamente tra le “categorie particolari di dati personali” disciplinate dall’art. 9 del GDPR, in quanto idonei a rivelare lo stato di salute dell’interessato. Malgrado il Regolamento europeo preveda il divieto del trattamento di tali dati, esistono specifiche condizioni di liceità indicate al paragrafo 2 dell’art. 9, come ad esempio ci siano finalità di diagnosi e cura, gestione di servizi sanitari e obblighi legali in ambito sanitario. Con riferimento a queste tre fattispecie il trattamento può essere effettuato anche in assenza del consenso dell’interessato, purché avvenga, come recita il paragrafo 3 dell’art. 9, sotto la responsabilità di un professionista soggetto al segreto professionale. Il consenso del paziente, pur mantenendo un rilievo essenziale sotto il profilo etico, deontologico e del consenso informato alla prestazione medica (regolato dall’art. 1 della L. 219/2017), non costituisce, nella generalità dei casi, la base giuridica che legittima il trattamento dei dati personali sanitari ai fini della diagnosi e della cura.
L’introduzione di sistemi di intelligenza artificiale nel contesto odontoiatrico non modifica di per sé i presupposti giuridici che legittimano il trattamento dei dati sanitari già richiamati, ma l’utilizzo di sistemi algoritmici accresce significativamente la complessità del trattamento dei dati personali, perché determina un aumento della quantità di dati trattati, una maggior articolazione dei flussi informativi, il coinvolgimento di una pluralità di soggetti, spesso esterni allo studio e il rischio di opacità nei processi decisionali automatizzati. Va aggiunto che il consenso al trattamento dei dati personali deve essere distinto dal consenso informato all’atto medico, che rimane sempre necessario ai fini della liceità della prestazione sanitaria. Inoltre, particolare attenzione merita l’art. 22 del GDPR, che vieta le decisioni basate unicamente su trattamenti totalmente automatizzati, prive di intervento umano, quando esse producano effetti giuridici o incidano significativamente sulla persona.
La disposizione assume rilievo anche in ambito sanitario con riferimento, ad esempio, a sistemi automatizzati di diagnostica, algoritmi di triage o valutazioni automatizzate del rischio clinico. Il consenso esplicito dell’interessato diviene invece particolarmente rilevante quando i dati sanitari siano utilizzati per finalità ulteriori rispetto alla cura, come l’addestramento di modelli di intelligenza artificiale, lo sviluppo di algoritmi o attività di ricerca, pubblicità o marketing.

Quali sono gli obblighi specifici connessi all’uso della I.A.?
Gli obblighi derivanti dall’utilizzo dell’intelligenza artificiale sono essenzialmente quattro:

  1. il principio di trasparenza;
  2. il principio di minimalizzazione;
  3. l’accountability;
  4. il coinvolgimento di soggetti esterni e il trasferimento di dati.

Il principio di trasparenza prevede che l’interessato deve sapere se i propri dati siano trattati mediante sistemi automatizzati e, nei casi previsti dal GDPR, di ricevere informazioni significative sulla logica utilizzata, sulle finalità del trattamento e sulle possibili conseguenze che ne derivano. La trasparenza costituisce quindi uno strumento essenziale per garantire consapevolezza, controllabilità del trattamento e tutela dell’autodeterminazione della persona. La norma impone pertanto al professionista sanitario di rendere conoscibile l’utilizzo di strumenti di I.A. all’interno del percorso diagnostico e terapeutico. In ambito odontoiatrico di solito l’I.A. opera come strumento di supporto all’attività clinica del professionista, il quale è tenuto a dare informative chiare e semplici, finalizzate a rendere il paziente consapevole della tecnologia utilizzata. L’utilizzo di sistemi di IA non esonera dal rispetto del principio di minimizzazione dei dati, che impone di trattare solo i dati strettamente necessari rispetto alla finalità perseguita. In pratica significa raccogliere meno dati possibile, limitare dettagli clinici non rilevanti, ridurre accessi e tempi di conservazione e anonimizzazione o pseudonimizzazione, soprattutto in addestramento e test dei modelli. Riguardo l’accountability nel contesto odontoiatrico, bisogna fare attenzione ad alcuni profili critici tra cui sicurezza dei dati sanitari, accessi ai dati da parte di fornitori esterni, conservazione e localizzazione dei dati nel cloud, trasparenza degli algoritmi utilizzati, possibilità di supervisione umana delle decisioni suggerite dall’I.A., rischio di errori diagnostici derivanti da automatismi e correttezza dell’informazione resa al paziente. Molti sistemi di IA utilizzati in odontoiatria non costituiscono soltanto strumenti informatici, ma possono integrare la nozione di dispositivo medico software ai sensi del Regolamento UE 2017/745 (Medical Device Regulation – MDR), con conseguente applicazione degli obblighi di certificazione, sicurezza clinica e sorveglianza previsti dalla normativa sui dispositivi medici.

L’intervento di terzi implica dei rischi per l’odontoiatra?
L’utilizzo di piattaforme digitali per la diagnostica per immagini, la pianificazione implantare o ortodontica, oppure per la progettazione di dispositivi medici su misura, implica che i dati del paziente vengano trattati anche da soggetti esterni allo studio: fornitori di software di diagnostica assistita da IA, piattaforme cloud per l’elaborazione e l’archiviazione delle immagini radiografiche, laboratori odontotecnici digitali che ricevono scansioni intraorali, aziende specializzate nella progettazione CAD/CAM di dispositivi ortodontici o protesici e piattaforme digitali. In questi casi tali soggetti operano generalmente come responsabili del trattamento ai sensi dell’art. 28 GDPR, ma l’odontoiatra resta comunque il titolare del trattamento dei dati del paziente e ha l’obbligo di garantire che ogni operatore esterno sia adeguatamente vincolato da un contratto o altro atto giuridico conforme all’art. 28 GDPR.

Ancora più delicato sembra essere il trasferimento dei dati, è d’accordo?
Sicuramente il trasferimento dei dati risulta questione delicata, soprattutto al di fuori dello Spazio Economico Europeo come succede con molte piattaforme di IA o servizi cloud situati in Paesi terzi (USA o altri Paesi extra-UE). In tali ipotesi, il GDPR consente il trasferimento solo se sono garantite adeguate tutele, come una decisione di adeguatezza della Commissione europea, l’adozione di garanzie appropriate, come le clausole contrattuali standard (SCC) ed eventuali misure supplementari di sicurezza. In pratica vuole dire che nella pratica odontoiatrica digitale, l’invio di scansioni o radiografie a piattaforme esterne deve essere sempre giustificato da finalità terapeutiche, il paziente deve essere informato in modo chiaro della presenza di soggetti terzi che trattano i suoi dati, devono essere adottate soluzioni che garantiscano la minimizzazione dei dati e la sicurezza del trattamento e infine che il professionista deve preferire fornitori che offrano garanzie documentate di conformità al GDPR.

Advertising
Advertising
Advertising
Advertising
Advertising

Editore

Scrivi alla redazione

Pubblicità

Abbonati

Termini e condizioni

Privacy

 

Copyright © 2026 management odontoiatrico Tutti i diritti riservati - P. Iva 09954760014
Preferenze sui cookie
CREDITI