11 giugno 2026
Come valutare uno strumento IA prima di usarlo con i tuoi pazienti: una checklist per il clinico
Scegliere quale strumento IA adottare è una decisione professionale. Non basta che "funzioni bene".
Dott.ssa Elisa Manca
Psicologa, Co-founder Emovia
L'offerta di strumenti IA per psicologi e psicoterapeuti è cresciuta rapidamente. Diari digitali, sistemi di analisi del linguaggio, chatbot di supporto, piattaforme di trascrizione delle sedute. Ognuno promette di semplificarti la vita professionale.
Il problema è che la maggior parte di questi strumenti viene valutata su un solo criterio: funziona bene?
Non basta. In ambito clinico, un'adozione superficiale ti espone a rischi reali — deontologici, legali, relazionali. Abbiamo già parlato di come usare l'IA nel tuo studio rispettando deontologia e buona pratica. Questo articolo affronta una domanda diversa e preliminare: come scegliere quale strumento IA adottare, prima ancora di usarlo. Questa checklist ti aiuta a valutare uno strumento IA prima di usarlo con i tuoi pazienti, lungo quattro dimensioni che contano davvero.
Il framework di valutazione in 4 dimensioni
1. Dimensione Clinica
La domanda centrale è: il sistema fa quello che dichiara?
Validazione: lo strumento è stato testato in contesti clinici reali? Esistono studi pubblicati o documentazione di validazione? Se l'unica prova è un whitepaper interno, il rischio è tuo.
Perimetro funzionale: il sistema supporta il clinico (raccoglie dati, struttura informazioni, facilita la comunicazione) oppure produce output clinicamente rilevanti come valutazioni, classificazioni diagnostiche o indicazioni terapeutiche? La differenza è sostanziale.
Output diagnostici: un sistema IA non può fare diagnosi. Se lo fa — anche in forma implicita, con etichette come "possibile depressione moderata" o "profilo ansioso" — stai usando uno strumento che esorbita dal suo ruolo e che scarica su di te una responsabilità che non hai delegato consapevolmente.
2. Dimensione Normativa
Due regolamenti europei ti riguardano direttamente.
I sistemi IA destinati a supportare diagnosi, screening o valutazione psicologica rientrano nell'allegato III e sono classificati ad alto rischio. Per questi sistemi, il fornitore è obbligato a produrre documentazione tecnica dettagliata, a registrare il sistema nel database EU e a garantire supervisione umana.
Verifica come il fornitore classifica il proprio sistema. Se non sa risponderti o la risposta è vaga, è un problema.
I dati dei pazienti sono dati sensibili ai sensi dell'art. 9. Il trattamento richiede base giuridica rafforzata.
Hai bisogno di un Data Processing Agreement (DPA) firmato con il fornitore (art. 28). Senza DPA, non puoi usare lo strumento legalmente.
Se i dati escono dall'UE, devi verificare l'esistenza di Standard Contractual Clauses o meccanismi equivalenti.
Per certi tipi di trattamento, potresti dover fare una DPIA (Data Protection Impact Assessment, art. 35).
3. Dimensione Etica
Trasparenza algoritmica: sai — anche a grandi linee — come funziona il sistema? Non devi essere un ingegnere, ma devi capire la logica di base per poterla spiegare.
Consenso informato del paziente: il tuo paziente sa che stai usando uno strumento IA nel suo percorso? Il consenso informato deve coprire anche questo. Non è una formalità: è rispetto per l'autonomia della persona.
Supervisione umana: ogni output del sistema passa attraverso il tuo giudizio professionale, senza eccezioni. Se lo strumento produce qualcosa che non puoi ignorare o sovrascrivere, non è uno strumento di supporto — è un attore clinico non autorizzato.
4. Dimensione Pratica
Lo strumento si integra nella tua pratica quotidiana o richiede una procedura parallela che nessuno usa dopo la prima settimana?
Il beneficio clinico supera il tempo investito in setup, aggiornamenti e gestione?
Se lo strumento smette di funzionare, il tuo processo clinico regge? Nessuno strumento digitale deve diventare un punto di fallimento singolo nel tuo percorso con il paziente.
Le red flag immediate
Se incontri uno di questi segnali, smetti di valutare lo strumento. Non è pronto per l'uso clinico.
Il sistema dichiara — anche implicitamente — di fare diagnosi o di "capire" il paziente
Non esiste un DPA disponibile o il fornitore non sa cos'è
I server sono fuori UE e non esistono Standard Contractual Clauses documentate
Nessun DPO (Data Protection Officer) dichiarato e contattabile
I dati dei pazienti vengono usati per addestrare o migliorare i modelli IA senza consenso esplicito e documentato
Il fornitore usa claim non verificabili ("riduce i sintomi del 40%", "efficace nel 9 casi su 10") senza fonti peer-reviewed
Le 8 domande da fare al fornitore
Non serve essere informatici per fare queste domande. Serve saperle fare. Un fornitore serio le risponde senza esitazione.
Dove sono fisicamente i server che ospitano i dati dei miei pazienti? Risposta accettabile: datacenter UE certificati (es. ISO 27001), con indicazione del paese.
Chi è il vostro DPO e come lo contatto? Deve esserci un nome, un ruolo, un'email dedicata. "Il nostro team legale" non è una risposta.
Avete un DPA standard che posso firmare? Deve esistere, deve essere leggibile, deve coprire le clausole dell'art. 28 GDPR.
I dati dei miei pazienti vengono usati per addestrare o migliorare i vostri modelli IA? La risposta deve essere "no" in modo esplicito, o "sì, solo con consenso documentato del paziente". Qualsiasi risposta ambigua equivale a un sì non dichiarato.
Come funziona la cancellazione dei dati se smetto di usare il servizio? Devono indicarti tempi precisi, modalità di cancellazione certificata e chi la esegue.
Come classificate il vostro sistema secondo l'AI Act? Se il sistema rientra nell'Allegato III, devono saperlo e avere la documentazione tecnica richiesta. Se rispondono "non ci riguarda" senza motivazione, è un campanello d'allarme.
Avete documentazione tecnica disponibile sul funzionamento del sistema IA? Non deve essere un paper accademico. Ma deve esistere qualcosa che descriva la logica del sistema, i limiti dichiarati, i casi d'uso per cui non è stato progettato.
Il sistema produce mai output che il clinico non può modificare o ignorare? La risposta corretta è "no". Il clinico deve sempre poter sovrascrivere, ignorare o contestualizzare qualsiasi output. Se ci sono output fissi o automatismi non bypassabili, hai un problema di responsabilità professionale.
Il principio guida
Uno strumento IA in ambito clinico non si valuta solo su "funziona bene?"
La domanda giusta è: "Sono in grado di spiegare al mio paziente come lo uso e perché?"
Se la risposta è sì — se puoi descrivere il ruolo dello strumento, i suoi limiti, come proteggi i dati e perché hai scelto di usarlo — allora sei in una posizione professionale solida.
Se non riesci a rispondere a questa domanda, lo strumento non è pronto per l'uso clinico. O non lo sei tu.
Nessuno dei due è un giudizio. È solo il punto di partenza.
I riferimenti normativi principali su questo tema sono il Regolamento UE 2024/1689 (AI Act) — in particolare Allegato III (sistemi ad alto rischio) e Artt. 9, 13, 26 — e il Regolamento UE 2016/679 (GDPR), Artt. 9, 28, 35. Sul piano della governance e dell'etica, le linee guida WHO "Ethics and governance of artificial intelligence for health" (2021) e il rapporto ENISA "Cybersecurity of AI and standardization" (2023) restano punti di riferimento utili.