20 Set DDL AI, proposta IIP: una base giuridica per l’anonimizzazione e la sintetizzazione in ambito sanitario
Roma, 20 settembre 2024 – Cogliere l’occasione del DDL italiano sull’Intelligenza Artificiale, in particolare nell’ambito della ricerca scientifica e per lo sviluppo di soluzioni AI per la sanità, per prevedere finalmente una base giuridica esplicita che consenta di trattare dati, anche sensibili, per fini di anonimizzazione o sintetizzazione.
A formulare la proposta, presentandola oggi ai policy maker parlamentari di maggioranza e opposizione, è l’avvocato Luca Bolognini, presidente dell’Istituto Italiano per la Privacy e la Valorizzazione dei Dati, che commenta: “C’è bisogno di certezza del diritto nell’uso delle tecnologie abilitanti: dobbiamo riconoscere un pavimento di liceità ai processi di anonimizzazione e sintetizzazione dei dati personali, anche di categorie particolari, per liberare la ricerca e lo sviluppo di soluzioni AI, a maggior ragione in ambito sanitario. Finora, la valorizzazione secondaria di dati clinici e relativi alla salute è stata frenata proprio dall’assenza di una base giuridica per operare i trattamenti di trasformazione in forma anonima: va scolpita nella legge, e la sede più appropriata sembra proprio il DDL italiano sull’intelligenza artificiale“.
Bolognini aggiunge: “Non solo ricerca ed intelligenza artificiale, peraltro: questa base legittimante per l’anonimizzazione o la sintetizzazione dei dati, anche sensibili, dovrebbe riguardare tutte le ulteriori finalità di programmazione, gestione, controllo e valutazione dell’assistenza sanitaria, incluse l’instaurazione, la gestione, la pianificazione e il controllo dei rapporti tra l’amministrazione ed i soggetti accreditati o convenzionati con il servizio sanitario nazionale, come previsto dall’art. 2-sexies comma 2 lettera v) del Codice privacy“.
In questa ottica, la proposta formulata da Bolognini, ispirata dal lavoro del gruppo di esperti consultati dall’Istituto in queste settimane, consisterebbe in un doppio emendamento all’attuale articolo 8 del DDL AI, con l’aggiunta dei seguenti commi – uno pensato per introdurre certezza giuridica e l’altro per incoraggiare forme di migliore standardizzazione e orientamento tecnico:
2-bis. Negli ambiti di cui al comma 1 o per le finalità di cui all’articolo 2-sexies, comma 2, lettera v) del decreto legislativo n. 196 del 2003, è sempre consentito, previa informativa all’interessato ai sensi dell’articolo 13 del regolamento (UE) 2016/679, il trattamento per finalità di anonimizzazione o sintetizzazione dei dati personali, anche appartenenti alle categorie particolari di cui all’articolo 9, paragrafo 1, del regolamento (UE) 2016/679.
2-ter. Il Ministro della Salute [o AGENAS?], previo parere del Garante per la protezione dei dati personali, tenendo conto di standard internazionali e dello stato dell’arte e della tecnica, può [solo facoltativo per evitare blocchi] stabilire e aggiornare linee guida per le procedure di anonimizzazione di dati personali di cui al comma 2-bis e per la creazione di dati sintetici, anche per categorie di dati e finalità di trattamento.
Bolognini conclude: “In attesa del Regolamento sullo Spazio Europeo dei Dati Sanitari, che dovrebbe essere approvato definitivamente nel prossimo trimestre ma si applicherà più in là nel tempo, l’Italia ha l’occasione di diventare locomotiva trainante della valorizzazione secondaria dei dati sanitari in Europa. Il tutto, combinando insieme innovazione, apertura all’intelligenza artificiale e assoluta protezione dei diritti fondamentali dei pazienti.”