ISO/IEC 42001 in sanità: l'IA arriva dal fornitore
In una struttura sanitaria l'intelligenza artificiale entra quasi sempre con un aggiornamento del fornitore, non con una decisione della direzione. In questo punto la ISO/IEC 42001 diventa utile al settore.
Focus di settore: questa settimana la sanità. Penso alla trascrizione automatica dei colloqui, al supporto alla refertazione e ai sistemi che ordinano le priorità di una lista d'attesa. In questi casi la struttura non sviluppa il sistema, lo usa. Per l'AI Act (Reg. UE 2024/1689) è quindi un deployer, cioè un utilizzatore, con obblighi propri che restano anche quando il fornitore è in regola.
La ISO/IEC 42001:2023 non è obbligatoria. Offre però un metodo per governare proprio questa posizione. Chiede di sapere quali sistemi di IA sono in uso, con quale scopo e sotto la responsabilità di chi. Al punto 6.1.4 chiede una valutazione d'impatto del sistema sulle persone: in ospedale significa sui pazienti e sugli operatori.
Da auditor, il primo elemento che guardo è l'inventario. Se la direzione non sa che il software di refertazione ha introdotto una funzione di suggerimento automatico, nessun controllo dell'Appendice A può funzionare, perché manca l'oggetto da controllare.
Il secondo punto riguarda il rischio clinico. Ai sensi della Legge 24/2017 le strutture hanno già una funzione di gestione del rischio, con segnalazione degli eventi avversi e analisi delle cause. Un errore indotto da un suggerimento automatico è un evento di rischio clinico a tutti gli effetti. Conviene perciò che la valutazione d'impatto richiesta dalla 42001 alimenti lo stesso flusso, senza creare un secondo registro che nessuno consulta.
Il discorso vale anche per il sistema qualità. Dove la ISO 9001 è già attiva, la 42001 condivide la stessa struttura di alto livello e può entrare nel riesame della direzione.
Resta un limite da dichiarare. La norma organizza la governance, non stabilisce se un algoritmo sia clinicamente affidabile. Quel giudizio spetta a chi ha la competenza clinica e, per i dispositivi medici, al quadro del Reg. UE 2017/745.
Nella vostra struttura, chi sa oggi quali funzioni di IA sono attive nei software clinici?