La Shadow AI in sanità è un fenomeno che merita sempre più attenzione. Medici, dipendenti e collaboratori possono usare strumenti di intelligenza artificiale senza un controllo della struttura. A volte basta copiare un testo, caricare un documento o chiedere alla AI di riassumere un referto. Il vantaggio è immediato. Tuttavia, dietro un gesto così semplice possono nascondersi rischi per dati, privacy e sicurezza.
Pensiamo a una situazione concreta.
Un professionista sanitario deve preparare una comunicazione per un paziente. Per risparmiare tempo, apre un chatbot e inserisce alcune informazioni cliniche. In pochi secondi ottiene un testo chiaro e ben scritto.
Ma la struttura sanitaria sa che quello strumento viene utilizzato?
Ha verificato come vengono trattati i dati? Ha stabilito quali informazioni possono essere inserite? Esistono regole interne?
Se queste domande non hanno una risposta, il problema non riguarda soltanto l’AI.
Riguarda la governance digitale dell’organizzazione.
Cos’è la Shadow AI in sanità e perché se ne parla
Con Shadow AI in sanità si indica l’utilizzo di strumenti di intelligenza artificiale fuori dai processi autorizzati o controllati da una struttura.
Il fenomeno ricorda la cosiddetta Shadow IT. Da anni, infatti, le aziende affrontano il problema di software, servizi cloud e applicazioni usati senza autorizzazione.
Con l’intelligenza artificiale, però, la situazione cambia.
Oggi non serve installare un programma. Spesso basta aprire un sito.
Un dipendente può usare un chatbot per scrivere una comunicazione. Un medico può chiedere una sintesi. Un ufficio può analizzare un documento. Inoltre, molti software integrano già funzioni basate sull’AI.
Di conseguenza, l’intelligenza artificiale può entrare nei processi molto prima che l’organizzazione abbia deciso come gestirla.
Ed è proprio qui che nasce la Shadow AI.
Shadow AI in sanità: il rischio può iniziare da un semplice copia e incolla
Immaginiamo un caso molto semplice.
Un operatore deve sintetizzare un documento sanitario di diverse pagine. Decide quindi di utilizzare un servizio di AI generativa.
Copia il contenuto.
Preme invio.
Ottiene il risultato.
Dal punto di vista dell’utente, l’operazione sembra innocua. Tuttavia, quelle informazioni sono state inserite in un sistema esterno.
A questo punto emergono diverse domande.
Dove vengono elaborati i dati? Per quanto tempo vengono conservati? Il servizio li utilizza per altre finalità? Chi può accedere alle informazioni?
Inoltre, l’organizzazione ha autorizzato quello strumento?
Sono domande che devono essere poste prima di utilizzare il servizio, non dopo.
Perché la Shadow AI in sanità richiede più attenzione
La Shadow AI in sanità assume un peso particolare perché le strutture sanitarie trattano dati molto delicati.
Referti, diagnosi, prescrizioni, esami e informazioni sulle terapie raccontano aspetti importanti della vita di una persona.
Per questo motivo, il GDPR riconosce ai dati relativi alla salute una tutela specifica.
Inoltre, il problema non riguarda soltanto la riservatezza.
Un sistema di AI generativa può produrre informazioni errate. Può perdere un dettaglio importante. Può interpretare male una richiesta. Inoltre, può generare una risposta molto convincente anche quando il contenuto non è corretto.
In ambito sanitario, quindi, la verifica umana resta essenziale.
Il Garante per la protezione dei dati personali ha richiamato l’attenzione su principi come trasparenza, correttezza e supervisione umana nell’impiego dell’intelligenza artificiale in sanità.
La velocità non può sostituire il controllo.
Shadow AI in sanità e dati dei pazienti
Il dato è uno degli elementi centrali della Shadow AI in sanità.
Consideriamo alcune attività che potrebbero verificarsi ogni giorno:
- copiare parte di un referto dentro un chatbot;
- caricare un documento clinico per ottenere una sintesi;
- inserire dati di un paziente per scrivere una comunicazione;
- analizzare un foglio elettronico attraverso un servizio AI;
- utilizzare un assistente digitale non autorizzato per elaborare informazioni interne.
Non significa che ogni utilizzo dell’intelligenza artificiale sia automaticamente illecito.
Il punto è un altro.
L’organizzazione deve sapere quali strumenti vengono utilizzati, per quali finalità e con quali dati.
Senza questa conoscenza diventa difficile valutare il rischio.
E ciò che un’organizzazione non conosce è anche molto difficile da proteggere.
Shadow AI in sanità e Fascicolo Sanitario Elettronico
La Shadow AI in sanità diventa ancora più interessante se osservata insieme alla trasformazione digitale del Servizio sanitario.
Uno degli elementi centrali è il Fascicolo Sanitario Elettronico 2.0.
Il FSE punta a rendere le informazioni sanitarie più disponibili e utilizzabili nei percorsi di cura. Inoltre, il progetto rafforza l’interoperabilità tra sistemi e territori.
Questo significa che il dato sanitario assume un ruolo sempre più importante.
Tuttavia, c’è una distinzione fondamentale.
Interoperabilità non significa libertà di utilizzo del dato.
Un dato interoperabile può essere scambiato tra sistemi autorizzati secondo regole, standard e finalità definite.
Non significa che quel dato possa essere copiato in qualsiasi servizio digitale.
Questa differenza diventerà sempre più importante.
Più aumenta la capacità dei sistemi sanitari di comunicare, maggiore deve essere l’attenzione verso accessi, autorizzazioni e tracciabilità.
Shadow AI in sanità e interoperabilità: due concetti da non confondere
L’interoperabilità rappresenta uno dei pilastri della sanità digitale.
Permette a sistemi diversi di comprendere e scambiare informazioni.
Pensiamo, ad esempio, a un referto prodotto da una struttura e reso disponibile attraverso l’ecosistema digitale sanitario.
Per funzionare correttamente, questo processo richiede standard tecnici, identificazione dei soggetti e regole precise.
La Shadow AI in sanità, invece, può creare un percorso parallelo.
Il dato esce dal processo previsto e viene utilizzato attraverso uno strumento che l’organizzazione potrebbe non conoscere.
Di conseguenza, il problema non è soltanto proteggere il sistema informatico.
Bisogna governare anche il modo in cui le persone utilizzano le informazioni.
Shadow AI in sanità e AI Act: cosa cambia
La Shadow AI in sanità deve essere letta anche alla luce dell’AI Act europeo.
Il regolamento europeo sull’intelligenza artificiale utilizza un approccio basato sul rischio.
In altre parole, non tutti i sistemi AI vengono trattati allo stesso modo.
Gli obblighi dipendono dalla funzione dello strumento, dal contesto e dai possibili effetti sulle persone.
Dal 2 agosto 2026 il regolamento è entrato nella sua fase generale di applicazione. Tuttavia, alcune disposizioni seguono un calendario differente.
In sanità questo quadro assume particolare importanza.
Un chatbot utilizzato per migliorare lo stile di una comunicazione non equivale, infatti, a un sistema che contribuisce a una decisione clinica.
Per questo motivo, prima di adottare una soluzione AI bisogna comprenderne il ruolo reale.
La domanda non dovrebbe essere soltanto:
“Questo software utilizza l’intelligenza artificiale?”
Dovremmo chiederci anche:
“Che cosa gli stiamo permettendo di fare?”
Shadow AI in sanità e cybersecurity
C’è poi un altro aspetto che non possiamo ignorare: la cybersecurity.
La Shadow AI in sanità può aumentare il numero di strumenti e servizi che entrano in contatto con informazioni aziendali.
Ogni nuovo servizio crea relazioni, accessi e flussi di dati.
Di conseguenza, aumenta anche la superficie digitale che l’organizzazione deve conoscere e controllare.
Un servizio non autorizzato può sfuggire ai normali processi di valutazione.
Inoltre, i dipendenti potrebbero utilizzare account personali, password deboli o strumenti gratuiti.
Il tema, quindi, non riguarda soltanto l’intelligenza artificiale.
Riguarda il controllo dell’intero ecosistema digitale.
Vietare la Shadow AI in sanità non basta
La soluzione più semplice potrebbe sembrare un divieto.
“Non utilizzate strumenti di intelligenza artificiale.”
È davvero sufficiente?
Probabilmente no.
L’AI offre vantaggi concreti. Può velocizzare attività ripetitive, aiutare nella gestione dei documenti e supportare alcuni processi amministrativi.
Inoltre, gli strumenti sono ormai facilmente accessibili.
Un divieto assoluto rischia quindi di spostare il fenomeno ancora più nell’ombra.
Per questo motivo, la strada più efficace passa dalla governance.
Non bisogna chiedersi soltanto come bloccare l’AI.
Bisogna capire come permetterne un utilizzo corretto.
Come ridurre i rischi della Shadow AI in sanità
Governare la Shadow AI in sanità non significa creare procedure infinite.
Al contrario, le regole devono essere semplici e applicabili.
1. Capire quali strumenti AI vengono già utilizzati
Prima di creare nuove policy bisogna conoscere la situazione reale.
Quali strumenti usano i dipendenti?
Per quali attività?
Quali informazioni vengono inserite?
Questa mappatura permette di individuare i rischi più importanti.
2. Stabilire quali dati non devono essere inseriti
Le indicazioni devono essere chiare.
Il personale deve sapere cosa può fare e cosa deve evitare.
In particolare, serve grande attenzione quando sono coinvolti dati personali, sanitari o informazioni riservate.
3. Valutare gli strumenti AI
Non tutti i servizi funzionano nello stesso modo.
Prima di autorizzarne uno bisogna comprenderne caratteristiche, condizioni di utilizzo, gestione dei dati e misure di sicurezza.
4. Formare medici, dipendenti e collaboratori
Una policy inviata via email non basta.
Le persone devono capire perché esistono determinate regole.
Inoltre, devono imparare a riconoscere i rischi.
La formazione diventa quindi una misura concreta di cybersecurity.
5. Mantenere sempre il controllo umano
L’AI può assistere una persona.
Non deve trasformarsi automaticamente nella fonte della decisione.
Questo principio è particolarmente importante quando il risultato può incidere sulla salute o sui diritti di una persona.
Shadow AI in sanità: dalla tecnologia alla governance
La Shadow AI in sanità ci insegna qualcosa di più ampio sulla trasformazione digitale.
Innovare non significa aggiungere continuamente nuovi software.
Significa costruire processi migliori.
Una struttura può avere tecnologie avanzate, sistemi interoperabili e servizi digitali moderni.
Tuttavia, se non conosce gli strumenti realmente utilizzati dalle persone, rimane un’area fuori controllo.
La sfida dei prossimi anni sarà quindi integrare l’intelligenza artificiale nella governance aziendale.
Serviranno regole.
Servirà formazione.
Servirà cybersecurity.
Ma servirà soprattutto una maggiore consapevolezza.
Conclusioni: la Shadow AI in sanità è già una questione di governance
L’intelligenza artificiale non arriverà nelle strutture sanitarie in un futuro lontano.
In molti casi è già entrata.
Magari attraverso un chatbot aperto dal browser.
Magari attraverso una funzione presente in un software.
Oppure attraverso un servizio utilizzato autonomamente da un dipendente.
Per questo motivo, la domanda più utile non è:
“La nostra struttura utilizza l’intelligenza artificiale?”
La domanda è:
“Sappiamo davvero dove e come viene utilizzata?”
La Shadow AI in sanità nasce proprio quando la risposta non è chiara.
FSE 2.0, interoperabilità, AI e digitalizzazione stanno aumentando il valore dei dati sanitari.
Di conseguenza, deve crescere anche la capacità di governarli.
Perché l’innovazione non diventa sicura semplicemente adottando una nuova tecnologia.
Diventa sicura quando l’organizzazione sa dove si trova, chi la utilizza e per quale motivo.
FAQ sulla Shadow AI in sanità
Cos’è la Shadow AI in sanità?
La Shadow AI in sanità indica l’utilizzo di strumenti di intelligenza artificiale fuori dai processi autorizzati o controllati da una struttura sanitaria.
Quali sono i rischi della Shadow AI in sanità?
I rischi possono riguardare privacy, dati sanitari, cybersecurity, errori dell’AI e perdita di controllo sui flussi informativi.
La Shadow AI in sanità riguarda anche ChatGPT?
Può riguardare qualsiasi strumento AI utilizzato senza una valutazione o senza rispettare le regole dell’organizzazione. Il problema non dipende quindi dal nome del servizio, ma dal modo in cui viene utilizzato.
Shadow AI in sanità e FSE sono collegati?
Sono temi distinti ma collegati dalla governance del dato sanitario. Il FSE favorisce lo scambio regolato delle informazioni. La Shadow AI può invece creare flussi di dati fuori dai processi previsti.
Come prevenire la Shadow AI in una struttura sanitaria?
Il primo passo è mappare gli strumenti utilizzati. Successivamente servono regole chiare, valutazione dei servizi, formazione e controllo dei dati trattati.
Innovare significa anche governare
L’intelligenza artificiale può rappresentare una grande opportunità per la sanità.
Innovare significa anche governare
L’intelligenza artificiale può rappresentare una grande opportunità per la sanità. Tuttavia, deve inserirsi in processi digitali sicuri, controllati e ben organizzati.
Gas.Net Engineering affianca aziende e organizzazioni nei percorsi di digitalizzazione, cybersecurity e innovazione, con l’obiettivo di rendere tecnologia, dati e processi più sicuri e sostenibili.
L’innovazione, infatti, non consiste soltanto nell’adottare nuovi strumenti. Significa anche sapere come utilizzarli, governarli e integrarli correttamente nell’organizzazione.
Hai domande su uno di questi temi o vuoi un approfondimento per il tuo settore? Lascia un commento o contattami direttamente.
