Avv. Martina Maffei
Herbert Smith Freehills
Il Regolamento europeo sull’intelligenza artificiale introduce nuove regole e obblighi di conformità con un impatto significativo per il settore dei dispositivi e software ad uso medico
AI Act: scopo, applicazione e impatto del Regolamento
È stato pubblicato sulla Gazzetta ufficiale dell’Unione Europea lo scorso 12 luglio, il Regolamento noto come “AI Act” [1], la prima normativa al mondo che introduce regole armonizzate sull’intelligenza artificiale.
Con l’obbiettivo ambizioso di promuovere uno sviluppo delle tecnologie antropocentrico e rispettoso dei diritti fondamentali, il Regolamento si applica a tutti i soggetti della catena produttiva e distributiva dell’AI, anche se basati extra-UE.
L’AI Act, in vigore dal 2 agosto 2024, si applicherà a tutti i settori di mercato, ma avrà un impatto particolarmente rilevante per il comparto dei dispositivi medici: il nuovo Regolamento prevede infatti obblighi di trasparenza e di compliance che si aggiungono e si intersecano a quelli attualmente previsti dai “Regolamenti sui Dispositivi Medici”[2].
Numerose sono le incertezze applicative su cui dovrà pronunciarsi la stessa Commissione entro il 2026[3]. Quello che è certo è che le aziende produttrici di dispositivi medici devono incominciare fin da ora a fare i conti con questa disciplina che, di natura trasversale, prevede obblighi di compliance stringenti soprattutto per le soluzioni di e-health più innovative, come i software a uso medico.
Intersezione con i regolamenti sui dispositivi medici: la normativa in vigore, la classificazione e i requisiti per i software medici.
È bene chiarire che l’utilizzo di software come componenti di dispositivi medici era contemplato e disciplinato dalla normativa europea ancor prima dell’AI Act. In particolare, il Regolamento UE 2017/745 prevede una disciplina specifica per i “software as medical device“[4], in base al quale un software è qualificabile come dispositivo medico e soggetto alla relativa disciplina quando è in grado di modificare i dati ricevuti per fornire informazioni mediche nuove e diverse, nonché quando svolge attività in ambito diagnostico, terapeutico e di controllo di una patologia (anche a supporto di dispositivi medici fisici).
In base alla normativa vigente, i software ad uso medico possono essere classificati, secondo le caratteristiche tecniche, come dispositivi medici di classe IIa, IIb o III e, come tali, per poter essere messi in commercio devono passare il vaglio degli Organismi Notificati, enti deputati in ciascun Stato Membro a controllare il rispetto dei requisiti di sicurezza e prestazione previsti dai Regolamenti sui Dispositivi Medici. Per questa speciale categoria di dispositivi-software e al fine di ottenere la marcatura CE, il fabbricante deve essere in grado di dimostrare – non solo la sicurezza come per tutti i dispositivi medici, ma anche il beneficio clinico ad essi connesso, fornendo specifici dati a supporto.
Definizione di intelligenza artificiale nell’AI Act e l’approccio basato sul rischio
A tale disciplina già di per sé piuttosto complessa, si aggiunge ora l’AI Act[5]. È bene notare che il legislatore europeo ha adottato, all’articolo 3 del Regolamento, una definizione di intelligenza artificiale piuttosto ampia, anche al fine di rendere la disciplina flessibile e aperta a futuri sviluppi tecnologici oggi non prevedibili.
Tale definizione comprende, in particolare, qualsiasi software (sistema automatizzato) che ha capacità di apprendimento, che è progettato per operare in autonomia e che, perseguendo scopi impliciti o espliciti, genera output che variano da livelli estremi di autonomia (decisioni), a livelli minori di autonomia (raccomandazioni o previsioni).
Con un approccio “risk-based” – simile a quello adottato con il Regolamento “GDPR” per la tutela dei dati personali – il legislatore UE ha poi previsto per i sistemi di AI una disciplina graduata in base al relativo “livello di rischio”. In particolare, sono previste tra macrocategorie: i sistemi di “rischio inaccettabile”, come tali vietati, i sistemi “ad alto rischio”, soggetti a specifici obblighi di compliance e, infine, i sistemi “a basso rischio”, soggetti a requisiti minimi di trasparenza e documentazione.
Particolarmente rilevante per il comparto dei dispositivi medici è la seconda categoria, quella dei sistemi “ad alto rischio”.
In base a quanto previsto nell’articolo 6 dell’AI Act, sono qualificabili “ad alto rischio” i sistemi che sono soggetti a una valutazione di conformità da parte di soggetti terzi e che sono destinati a essere utilizzati come componente di sicurezza o come prodotti disciplinati da una delle normative elencate nell’Allegato I dell’AI Act.
Poiché nell’Allegato I e in particolare nella sezione A sono testualmente menzionati i Regolamenti sui Dispositivi Medici e poiché gran parte dei software ad uso medico sono sottoposti al controllo degli Organismi Notificati ovverosia di soggetti terzi, è chiaro come ricada nella definizione di sistemi di AI “ad alto rischio”, gran parte dei dispositivi medici oggi in commercio.
Tra essi, ad esempio, i software per il monitoraggio del glucosio e/o per la microinfusione di insulina, ma anche i sistemi informativi utilizzati da aziende ospedaliere o cliniche private laddove destinati a “valutare l’ammissibilità delle persone fisiche alle prestazioni e ai servizi di assistenza pubblica“[6].
Le implicazioni regolatorie: non c’è tempo da perdere. Obblighi, tempistiche e sanzioni.
La qualificazione come sistemi di AI ad alto rischio ha delle implicazioni regolatorie importanti. Ad esempio, i fabbricanti di tali dispositivi dovranno redigere una specifica documentazione che dimostri che il sistema è conforme all’AI Act, disporre di un sistema di gestione di qualità ad hoc e garantire una specifica procedura ai fini di valutare la conformità con la nuova disciplina.
Ma non solo. L’articolo 10 dell’AI Act impone l’adozione di misure di c.d. “governance dei dati”. I fabbricanti dovranno, ad esempio, garantire che i dati utilizzati per l’addestramento, convalida e prova dei sistemi di AI siano sufficientemente rappresentativi ed esenti da errori e dovranno valutare preventivamente possibili distorsioni suscettibili di incidere sulla salute e sicurezza delle persone.
Gli obblighi di conformità e prevenzione dei rischi previsti dall’AI Act dovranno essere inoltre rispettati non solo dai fabbricanti ma da tutti gli operatori della catena del valore dell’AI, come fornitori, utilizzatori, importatori, distributori e rappresentanti autorizzati.
La transizione al nuovo regime potrebbe rivelarsi più complessa del previsto, soprattutto se si considera che, in caso di mancata o parziale compliance, le sanzioni previste dall’AI Act sono maggiori di quelle previste dal GDPR: per le violazioni più gravi, ad esempio, sanzioni fino a 35 milioni di euro o, se l’autore del reato è una società, fino al 7 per cento del fatturato mondiale totale annuo dell’esercizio precedente.
Sebbene gli obblighi relativi ai sistemi ad alto rischio diventeranno effettivi soltanto a partire dal 2 agosto 2027[7], il consiglio per i produttori e distributori di dispositivi e software a uso medico è di incominciare fin da ora ad adottare tutti i provvedimenti necessari affinché la transizione al nuovo regime sia tempestiva ed esente da rischi regolatori.
1. Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, GU L, 2024/1689, 12.7.2024
2. Regolamento (UE) 2017/745 e Regolamento (UE) 2017/746, disciplina i dispositivi medico-diagnostici in vitro
3. In particolare, ai sensi dell’articolo 6, comma 5 del Regolamento, entro il 2 febbraio 2026 la Commissione europea dovrà emettere specifici orientamenti finalizzati ad agevolare l’attuazione pratica delle norme. Entro tale data, dopo aver consultato il consiglio europeo per l’intelligenza artificiale («consiglio per l’IA»), la Commissione dovrà fornire un elenco esaustivo di casi pratici d’uso dei sistemi di IA ad alto rischio e non ad alto rischio. Questo è soltanto un esempio: l’articolo 96 del Regolamento obbliga infatti la Commissione ad elaborare, anche in forma periodica, orientamenti pratici su altri punti delicati della normativa, ad esempio in caso di modifica sostanziale a un sistema di IA ad alto rischio già immesso sul mercato o in relazione alle pratiche di AI vietate. Nell’adottare tali orientamenti, la Commissione è tenuta a prestare particolare attenzione alle esigenze delle piccole e medie imprese, comprese le start-up, nonché alle esigenze delle autorità pubbliche locali e dei settori maggiormente interessati dal Regolamento.
4. L’articolo 2(1) del Regolamento (UE) 2017/745 e l’articolo 2(2) del Regolamento (UE) 2017/746 hanno previsto per la prima volta la possibilità che un dispositivo medico sia costituito, in tutto o in parte, da un “software o un sistema“. Il documento di riferimento per stabilire se uno specifico software ricada o meno nella nozione di dispositivo medico è il c.d. “Guidance on Qualification and Classification of Software in Regulation (EU) 2017/745 – MDR and Regulation (EU) 2017/746 – IVDR“, emesso dal Medical Device Coordination Group (MDCG). Tale documento contiene linee guida ed esempi pratici, utili a guidare i fabbricanti nella qualificazione dei propri prodotti. Non tutti i software sono infatti considerati dispositivi medici: il considerando (19) dello stesso Regolamento (UE) 2017/745 precisa, ad esempio, che non è dispositivo medico il “software destinato a finalità generali, anche se utilizzato in un contesto sanitario, o il software per fini associati allo stile di vita e al benessere“.
5. Sulla natura trasversale e complementare dell’AI Act, che si aggiunge e non si sostituisce alle normative nazionali ed europee già approvate, si veda in particolare il considerando (9) dello stesso Regolamento che recita: “[…] Le norme armonizzate stabilite nel presente regolamento dovrebbero applicarsi in tutti i settori e, in linea con il nuovo quadro legislativo, non dovrebbero pregiudicare il vigente diritto dell’Unione, in particolare in materia di protezione dei dati, tutela dei consumatori, diritti fondamentali, occupazione e protezione dei lavoratori e sicurezza dei prodotti, al quale il presente regolamento è complementare. Di conseguenza, restano impregiudicati e pienamente applicabili tutti i diritti e i mezzi di ricorso previsti da tali disposizioni di diritto dell’Unione a favore dei consumatori e delle altre persone su cui i sistemi di IA possono avere un impatto negativo, anche in relazione al risarcimento di eventuali danni ” e ancora “Il presente regolamento non dovrebbe inoltre pregiudicare l’esercizio dei diritti fondamentali riconosciuti dagli Stati membri e a livello di Unione, compresi il diritto o la libertà di sciopero o il diritto o la libertà di intraprendere altre azioni contemplate dalla disciplina delle relazioni industriali negli Stati membri nonché il diritto di negoziare, concludere ed eseguire accordi collettivi, o di intraprendere azioni collettive in conformità del diritto nazionale. Il presente regolamento dovrebbe lasciare impregiudicate le disposizioni volte a migliorare le condizioni di lavoro nel lavoro mediante piattaforme digitali di cui alla direttiva del Parlamento europeo e del Consiglio relativa al miglioramento delle condizioni di lavoro nel lavoro mediante piattaforme digitali […]“.
6. Si veda l’allegato III dell’AI Act che tra i c.d. ” Sistemi di IA ad alto rischio di cui all’articolo 6, paragrafo 2″ prevede espressamente, al punto 5, “i sistemi di IA destinati a essere utilizzati dalle autorità pubbliche o per conto di autorità pubbliche per valutare l’ammissibilità delle persone fisiche alle prestazioni e ai servizi di assistenza pubblica essenziali, compresi i servizi di assistenza sanitaria, nonché per concedere, ridurre, revocare o recuperare tali prestazioni e servizi“.
7. In base all’articolo 113 dell’AI Act le norme relative ai sistemi ad alto rischio (ovverosia le regole di classificazione e i corrispondenti obblighi), di cui all’articolo 6, paragrafo 1 dello stesso AI Act “si applicheranno a decorrere dal 2 agosto 2027“. Le restanti previsioni, salvo eccezioni, si applicheranno invece prima, a decorrere dal 2 agosto 2026.
