Intelligenza artificiale in corsia: se l’algoritmo sbaglia, chi paga?

L’ipotesi di CCNL Sanità 2025-2027 dedica per la prima volta un Titolo intero all’intelligenza artificiale. La decisione resta un atto umano, ma la responsabilità dell’azienda si misura anche sulla formazione che ha garantito. E l’AI Act europeo è appena diventato applicabile.

“L’IA non sostituisce la capacità interpretativa umana”: lo scrive nero su bianco l’articolo 13 dell’ipotesi di CCNL del Comparto Sanità 2025-2027 (1), firmata all’Aran il 29 luglio da Cisl Fp, Fp Cgil, Uil Fpl, Fials, Nursind e Nursing Up. È la prima volta che il contratto della sanità pubblica dedica un Titolo intero all’intelligenza artificiale. Quattro giorni dopo, il 2 agosto, il regolamento europeo sull’IA (2) è diventato applicabile con il suo apparato sanzionatorio: fino a 35 milioni di euro o al 7% del fatturato mondiale.

Cosa prevede il contratto

L’articolo 11 stabilisce il perimetro (1). L’IA serve a migliorare le condizioni di lavoro, tutelare l’integrità psicofisica dei professionisti, ridurre gli errori clinici e alzare la qualità dei servizi. L’utilizzo deve essere sicuro, trasparente e proporzionato, nel rispetto della dignità delle persone e della riservatezza dei dati.

Il passaggio operativo sta nel comma 2. Prima di introdurre un sistema di IA o un algoritmo automatizzato che incida sul rapporto di lavoro, l’azienda deve fornire al dipendente un’informativa preventiva ai sensi dell’articolo 1-bis del d.lgs. 152/1997. Non una comunicazione generica: il contratto elenca sei contenuti obbligatori, dagli scopi del sistema alle tipologie di dati trattati, dal livello di accuratezza e cybersicurezza fino agli impatti potenzialmente discriminatori delle metriche utilizzate e alle ricadute sulla valutazione della performance.

L’articolo 12 chiude la porta all’automazione delle decisioni. Nessun sistema di IA può produrre decisioni prevalentemente o esclusivamente automatizzate su atti che generano, modificano o estinguono diritti e obblighi, né sostituire la volontà del datore di lavoro, senza un intervento umano “appropriato e congruo” che permetta di valutare criticamente l’output. Al dipendente è riconosciuto il diritto di conoscere, in forma comprensibile, i criteri di funzionamento dei sistemi che pesano su valutazione, obiettivi e orario di lavoro.

La formazione entra nel calcolo della responsabilità

L’articolo 13 è il punto che ogni professionista dovrebbe leggere due volte. Il primo comma ribadisce che l’algoritmo fornisce risultati, suggerimenti e correlazioni, ma “la decisione ultima resta un atto umano, che richiede discernimento, responsabilità e capacità di valutare il contesto” (1).

Il secondo comma sposta il baricentro sulle aziende. La responsabilità dirigenziale e dei titolari di poteri decisionali non può essere delegata ai sistemi di IA, e va commisurata a tre parametri: le condizioni organizzative, l’adeguatezza degli strumenti messi a disposizione dall’azienda e il livello di formazione garantito al dipendente.

Tradotto in pratica: se un professionista sbaglia usando uno strumento che nessuno gli ha insegnato a usare, quel deficit formativo diventa un elemento di valutazione. La formazione smette di essere un adempimento e diventa una linea di difesa, per l’ente e per chi ci lavora.

Nella stessa direzione, l’articolo 31 dell’ipotesi impegna aziende ed enti ad assicurare “adeguati percorsi formativi sull’utilizzo dei sistemi di IA”, per far comprendere i meccanismi di funzionamento degli algoritmi e i rischi legati a privacy e cybersicurezza, e a pianificare programmi sui limiti, le potenzialità e le implicazioni etiche di questi sistemi. L’impatto dell’IA sull’organizzazione del lavoro finisce inoltre tra le materie dell’organismo paritetico per l’innovazione, che ogni azienda deve rendere operativo entro trenta giorni dalla sottoscrizione del contratto (1).

Il quadro normativo sopra il contratto

Il CCNL non nasce nel vuoto. La legge 132/2025 (3), in vigore dal 10 ottobre scorso, aveva già fissato il principio all’articolo 7: i sistemi di IA in ambito sanitario “costituiscono un supporto nei processi di prevenzione, diagnosi, cura e scelta terapeutica”, e devono essere affidabili, periodicamente verificati e aggiornati. La stessa legge riconosce al paziente il diritto di essere informato sull’impiego di queste tecnologie e vieta che l’IA condizioni l’accesso alle prestazioni secondo criteri discriminatori.

Sul fronte europeo, il Digital Omnibus (4) approvato a luglio ha ridisegnato il calendario dell’AI Act, spostando in avanti gli obblighi più pesanti ma lasciando in vigore dal 2 agosto trasparenza, governance e sanzioni.

Cosa	Da quando
Obblighi di trasparenza (art. 50) e sanzioni	2 agosto 2026
Nuovi divieti su contenuti sintetici	2 dicembre 2026
Sistemi ad alto rischio dell’Allegato III	2 dicembre 2027
IA nei dispositivi medici e prodotti regolamentati	2 agosto 2028

Resta già applicabile l’articolo 4 sull’alfabetizzazione in materia di IA, che chiede a fornitori e utilizzatori professionali di adottare misure per sviluppare le competenze del personale che opera con questi sistemi. E l’articolo 26 impone di affidare la sorveglianza umana a persone che dispongano di competenza, formazione e autorità necessarie. Non è una raccomandazione: la violazione degli obblighi dei deployer rientra tra quelle punibili fino a 15 milioni di euro o al 3% del fatturato mondiale. In Italia la vigilanza è affidata all’Agenzia per la cybersicurezza nazionale (2,3).

Cosa rischia l’azienda, cosa rischia il professionista

Le due responsabilità corrono su binari diversi. L’azienda risponde come utilizzatore professionale: mancata informativa ai lavoratori, assenza di sorveglianza umana strutturata, uso di sistemi non conformi. Qui il conto lo presenta l’AI Act, e non è simbolico.

Il professionista risponde su altri fronti. Un errore assistenziale nato dall’aver seguito senza verifica un output algoritmico non trova riparo nella legge 24/2017 (5), che protegge chi rispetta linee guida e buone pratiche accreditate: il suggerimento di un chatbot non è una linea guida. Chi carica dati clinici identificabili su una piattaforma generalista espone la struttura a una violazione del GDPR e sé stesso a conseguenze disciplinari. E la legge 132/2025 ha introdotto nel codice penale una nuova aggravante comune per i reati commessi con sistemi di IA, oltre al delitto di illecita diffusione di contenuti generati o alterati, punito con la reclusione da uno a cinque anni (3).

Il numero che spiega l’urgenza

Il rischio non è teorico. Secondo l’Osservatorio Sanità Digitale del Politecnico di Milano, nel 2026 il 37% degli infermieri usa strumenti di IA generativa nell’attività professionale, mentre tra i medici specialisti la quota è salita dal 26% al 61% in un anno (6). Circa nove professionisti su dieci si affidano però a piattaforme generaliste non progettate per la sanità, spesso attivate a titolo personale e fuori dai canali aziendali. Solo un’organizzazione sanitaria su tre ha avviato percorsi formativi specifici (6).

Il divario tra uso reale e governance è il vero problema che il nuovo contratto prova ad affrontare. Finché l’IA entra in reparto dalla porta di servizio, senza informativa, senza policy e senza formazione, la catena di responsabilità disegnata dall’articolo 13 resta sulla carta.

Cosa succede ora

L’ipotesi deve completare l’iter: certificazione della Corte dei conti e firma definitiva. Nel frattempo le aziende hanno trenta giorni dalla sottoscrizione per rendere operativo l’organismo paritetico per l’innovazione, la sede in cui sindacati e direzioni discuteranno l’impatto dell’IA sull’organizzazione del lavoro.

Per gli infermieri il passaggio da presidiare è la contrattazione integrativa, dove finiranno le ricadute concrete sull’organizzazione dei servizi. E la richiesta di formazione, che da qui in avanti diventa la misura con cui verrà pesata la responsabilità di tutti.

Bibliografia e fonti

1. Agenzia per la rappresentanza negoziale delle pubbliche amministrazioni. Ipotesi di Contratto Collettivo Nazionale di Lavoro relativo al personale del Comparto Sanità. Triennio 2025-2027 [Internet]. Roma: Aran; sottoscritta il 29 luglio 2026 [consultato il 7 agosto 2026]. Titolo III, artt. 11-13; art. 31. Disponibile su: https://www.aranagenzia.it/wp-content/uploads/2026/07/2026.07.29-Ipotesi-CCNL-Comparto-2025-2027-Testo-firmato-1.pdf li>
2. Parlamento europeo, Consiglio dell’Unione europea. Regolamento (UE) 2024/1689 del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale [Internet]. GU L del 12 luglio 2024 [consultato il 7 agosto 2026]. Artt. 4, 26, 50, 99, 113. Disponibile su: http://data.europa.eu/eli/reg/2024/1689/oj .
3. Legge 23 settembre 2025, n. 132. Disposizioni e deleghe al Governo in materia di intelligenza artificiale. Gazzetta Ufficiale n. 223 del 25 settembre 2025 [consultato il 7 agosto 2026]. Artt. 7, 11, 26. Disponibile su: https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg li>
4. Parlamento europeo, Consiglio dell’Unione europea. Regolamento (UE) 2026/1744 recante modifiche al regolamento (UE) 2024/1689 (Digital Omnibus sull’intelligenza artificiale) [Internet]. In vigore dal 27 luglio 2026 [consultato il 7 agosto 2026]. Disponibile su: http://data.europa.eu/eli/reg/2026/1744/oj li>
5. Legge 8 marzo 2017, n. 24. Disposizioni in materia di sicurezza delle cure e della persona assistita, nonché in materia di responsabilità professionale degli esercenti le professioni sanitarie. Gazzetta Ufficiale n. 64 del 17 marzo 2017 [consultato il 7 agosto 2026]. Disponibile su: https://www.gazzettaufficiale.it/eli/id/2017/03/17/17G00041/sg li>
6. Osservatorio Sanità Digitale, Politecnico di Milano. Rilevazione 2026 sull’uso dell’intelligenza artificiale generativa tra i professionisti sanitari. In: Nurse24.it. IA generativa: nel 2026 la usa il 37% degli infermieri [Internet]. 2026 [consultato il 7 agosto 2026]. Disponibile su: https://www.nurse24.it/infermiere/tecnologie/ia-generativa-infermieri-2026-osservatorio-sanita-digitale.html li>