Legge 132/2025 e AI in sanità: cosa cambia per ospedali, farmacie e aziende farmaceutiche

Cosa prevede la Legge 132/2025

La Legge 132/2025 non recepisce il Regolamento europeo sull'AI (AI Act, Regolamento UE 2024/1689), che come ogni regolamento si applica direttamente: lo accompagna e lo integra nel contesto normativo italiano, senza aggiungere obblighi rispetto al regolamento (art. 1 c.2, art. 3 c.5). Per l'AI in sanità detta principi propri (artt. 7-10); la classificazione dei sistemi ad alto rischio resta invece all'AI Act (art. 6 e Allegati I e III), non alla legge italiana.

Per le organizzazioni sanitarie con sistemi ad alto rischio, i punti chiave dell'AI Act includono: documentare l'intero ciclo di vita del sistema AI (dalla progettazione al deployment), mantenere aggiornata la gestione dei rischi, e una supervisione umana effettiva degli output. La legge italiana aggiunge che in ambito clinico la decisione è sempre rimessa al medico (art. 7 c.5).

Implicazioni per chi compra AI in sanità

Per ospedali, ASL, catene di farmacie e aziende farmaceutiche, la Legge 132/2025, letta insieme all'AI Act e al GDPR, porta tre questioni operative:

• Data residency, una scelta e non un obbligo: la legge non impone che i dati risiedano in Italia o nell'UE. L'unica norma vicina è un criterio di preferenza per le piattaforme di e-procurement della PA (art. 5 c.1 lett. d). Restano le regole GDPR sui trasferimenti fuori dall'UE: dove vengono trattati i dati sanitari va comunque saputo e documentato.
• Governance degli output: in contesto clinico l'AI è un supporto e la decisione resta al medico (art. 7); per i sistemi ad alto rischio l'AI Act chiede log (art. 12) e supervisione umana (art. 14). Non basta un disclaimer: serve un'architettura che implementi questi controlli by design.
• Uso secondario dei dati: l'art. 8 consente alla ricerca l'uso secondario di dati privi di identificativi diretti senza nuovo consenso, previa comunicazione al Garante; restano basi giuridiche e misure di anonimizzazione o pseudonimizzazione documentate.

Come Nexus MDS Core risponde a questi requisiti

Nexus MDS Core è stato progettato con questi vincoli normativi come requisiti di architettura, non come feature aggiunte a posteriori. In pratica:

• Perimetro controllato: Indicizzazione, retrieval, identità e audit restano nel tuo perimetro. La generazione gira su un modello locale o su un endpoint UE sostituibile: lo scegli per ogni carico di lavoro. Nessun lock-in da hyperscaler.
• Audit trail end-to-end: ogni interazione con il sistema — query, risposta, fonte utilizzata, modello invocato — è tracciata in un log a prova di manomissione, accessibile per ispezioni regolamentari.
• Pipeline progettata sui requisiti GDPR: anonimizzazione dei dati personali all'ingestion, crittografia at-rest e in-transit, autenticazione Zero-Trust con Keycloak OIDC/PKCE.
• RAG grounded: il sistema RAG utilizza esclusivamente fonti documentali curate e verificate, riducendo il rischio di hallucination su contenuti clinici.

Tempistiche e scadenze

La Legge 132/2025 si inserisce in un calendario normativo già denso. Le organizzazioni sanitarie e farmaceutiche devono orientarsi tra scadenze sovrapposte:

• Febbraio 2025: entrata in vigore dei divieti assoluti dell'AI Act (pratiche di AI vietate, Art. 5).
• Agosto 2025: obbligo di conformità per i modelli di AI general-purpose (GPAI) ai sensi dell'AI Act (Art. 51-56).
• Settembre-ottobre 2025: pubblicazione della Legge 132/2025 nella Gazzetta Ufficiale n. 223 del 25 settembre 2025, con entrata in vigore il 10 ottobre 2025.
• Dicembre 2027: applicabilità degli obblighi per i sistemi AI ad alto rischio dell'Allegato III dell'AI Act, che comprende alcuni usi sanitari come il triage di emergenza (dal 2 dicembre 2027: il Reg. (UE) 2026/1744 ha spostato la data, prima fissata ad agosto 2026).
• Agosto 2028: scadenza per la conformità ai requisiti dell'AI Act per i sistemi AI integrati in dispositivi medici e diagnostici in vitro (Allegato I, dal 2 agosto 2028 dopo il Reg. (UE) 2026/1744).

Il messaggio per le organizzazioni sanitarie è chiaro: anche con le date spostate, la finestra per adeguarsi si misura in mesi, non in anni. Chi avvia oggi un progetto AI in sanità deve progettarlo nativamente per la conformità, non pianificare un adeguamento successivo.

Confronto con il quadro europeo

La Legge 132/2025 non sostituisce l'AI Act — lo integra nel contesto italiano. La distinzione è importante: l'AI Act stabilisce il quadro generale (classificazione del rischio, obblighi per fornitori e deployer, governance dei modelli GPAI), mentre la legge italiana aggiunge specificità nazionali.

Le principali integrazioni italiane riguardano:

• Autorità nazionali: l'AgID (Agenzia per l'Italia Digitale) è l'autorità di notifica e l'ACN (Agenzia per la Cybersicurezza Nazionale) quella di vigilanza del mercato e punto di contatto unico (art. 20); Banca d'Italia, CONSOB e IVASS restano competenti nei loro settori. Il Garante Privacy mantiene i suoi poteri ma non è autorità per l'AI ai sensi della legge: il D.Lgs. 179/2026 gli affida la vigilanza solo per l'art. 74(8) dell'AI Act.
• Sanità pubblica: principi per i sistemi AI utilizzati nel SSN (Servizio Sanitario Nazionale): decisione al medico, informazione al paziente, verifica periodica di sistemi e dati (art. 7), e una piattaforma di AI gestita da AGENAS per l'assistenza territoriale (art. 10).
• Formazione professionale: l'AI Act prevede già misure di alfabetizzazione (art. 4, attenuato dal Reg. (UE) 2026/1744). La legge italiana delega il Governo; gli obblighi concreti, come la quota AI nell'ECM per il personale sanitario, arrivano con il D.Lgs. 179/2026.

Per le aziende farmaceutiche, la combinazione di AI Act, Legge 132/2025, GDPR e NIS2 crea un quadro normativo che rende l'infrastruttura AI sovrana il modo più diretto di sapere e dimostrare dove girano i dati e chi li controlla. Nessuna di queste norme impone la residenza dei dati; ma chi opera su cloud pubblico senza sapere dove vengono trattati i dati sanitari fatica a documentare trasferimenti e controlli. Per approfondire le implicazioni specifiche per il settore sanitario, vedi il nostro focus su AI on-premise per la sanità.

Conclusione

La Legge 132/2025 non è un ostacolo all'innovazione AI in sanità — è un quadro che rende espliciti requisiti che le architetture AI avrebbero dovuto soddisfare comunque. Per le organizzazioni che stanno valutando piattaforme AI, la domanda da porsi non è più "quale modello linguistico usare" ma "quale infrastruttura mi permette di usarlo in modo conforme, sovrano e verificabile".