Il confine tra il mondo del software digitale e quello dei dispositivi medici è sempre più sottile. Con la progressiva digitalizzazione della sanità, le applicazioni mobili, i sistemi di intelligenza artificiale (AI) e le piattaforme online sono entrati a far parte della quotidianità di pazienti e professionisti sanitari. Tuttavia, questa evoluzione porta con sé una complessa rete di responsabilità legali.
Le nuove linee guida europee hanno recentemente fatto chiarezza su un punto cruciale: l’intersezione tra la normativa sui dispositivi medici (MDR/IVDR) e il Digital Services Act (DSA) da un lato, e il neonato AI Act dall’altro.
Il contesto normativo
Per comprendere la portata di questo cambiamento, è necessario analizzare i quattro pilastri normativi europei che oggi si sovrappongono/intersecano:
AI Act (Regolamento UE 2024/1689): La prima legge quadro al mondo sull’intelligenza artificiale, che introduce obblighi verticali per i sistemi considerati ad alto rischio
MDR (Regolamento UE 2017/745): Disciplina i dispositivi medici, inclusi i software (SaMD – Software as a Medical Device), imponendo severi requisiti di sicurezza, efficacia e tracciabilità.
IVDR (Regolamento UE 2017/746): Regola i dispositivi medico-diagnostici in vitro, applicandosi anche ai software che analizzano dati biologici per fornire informazioni diagnostiche.
DSA (Regolamento UE 2022/2065 – Digital Services Act): Regola i servizi digitali e gli intermediari online, stabilendo le responsabilità delle piattaforme per i contenuti e i prodotti di terzi ospitati sui loro canali.
Dal semplice intermediario all’operatore economico
Fino a oggi, molte piattaforme d’acquisto e app store si sono considerate meri fornitori di servizi di hosting o intermediari informatici ai sensi del DSA, declinando ogni responsabilità sulla conformità delle app medicali ospitate.
Le nuove linee guida europee invertono questa tendenza. Se una piattaforma online compie azioni quali:
- promuovere attivamente un’applicazione con finalità medica;
- curare la distribuzione o l’importazione nel mercato UE;
- Intervenire direttamente nella catena di fornitura commerciale del software;
essa perde la qualifica di intermediario neutrale e assume legalmente lo status di Operatore Economico, nello specifico quello di Distributore (o Importatore, a seconda dei casi), come definito dall’Articolo 2, punto 34 del MDR (UE) 2017/745.
Cosa cambia in pratica? La piattaforma non si limita più a ospitare un file, ma immette a tutti gli effetti in commercio un dispositivo medico, diventando parte integrante della catena di fornitura regolamentata e dovendo rispondere agli obblighi di vigilanza e tracciabilità (UDI) previsti dall’Articolo 14 del MDR/IVDR.
I nuovi obblighi di tracciabilità e sorveglianza
L’assunzione del ruolo di distributore comporta il rispetto tassativo degli obblighi previsti dall’Articolo 14 di MDR e IVDR. Le piattaforme d’acquisto devono ora strutturarsi per garantire:
Gestione dei Dispositivi non Conformi: Se si sospetta che un’app non sia conforme, la piattaforma deve essere in grado di ritirarla o sospenderla dal mercato immediatamente, collaborando alle azioni correttive.
Verifica della Conformità: Accertarsi che l’app sia dotata di regolare marcatura CE, che sia presente la Dichiarazione di Conformità UE e che il fabbricante abbia adempiuto ai suoi obblighi di registrazione.
Tracciabilità (UDI): Collaborare alla tenuta dei registri del sistema di identificazione unica del dispositivo (UDI), consentendo di risalire rapidamente a chi ha acquistato o scaricato l’app.
Sorveglianza Post-Market e Vigilanza: Monitorare i feedback degli utenti e i potenziali incidenti. Se la piattaforma riceve segnalazioni di malfunzionamenti o reclami su un’app medica, ha l’obbligo di informare immediatamente il fabbricante e le Autorità Competenti.
Gestione dei Dispositivi non Conformi: Se si sospetta che un’app non sia conforme, la piattaforma deve essere in grado di ritirarla o sospenderla dal mercato immediatamente, collaborando alle azioni correttive.
La rivoluzione AI Act: il doppio binario della conformità
La complessità aumenta per i dispositivi medici che integrano sistemi di Intelligenza Artificiale (noti come MDAI – Medical Device Artificial Intelligence). In base alla linea guida congiunta MDCG 2025-6, si applica il seguente un automatismo: se un software medico basato su IA richiede la valutazione di un Organismo Notificato ai sensi del MDR/IVDR viene automaticamente classificato come sistema di IA “ad alto rischio” ai sensi dell’Articolo 6 dell’AI Act.
| CONFORMITÀ CLINICA (MDR/IVDR) | Armonizzazione | CONFORMITÀ TECNICA (AI Act) |
| * Evidenze e benefici clinici * Sicurezza del paziente * Rapporto beneficio/rischio | * Data Governance (bias e qualità dati) * Trasparenza e “spiegabilità” del modello * Controllo umano e robustezza cyber |
1. La Valutazione Clinica (MDR/IVDR)
Resta il pilastro per dimostrare che il software raggiunge la sua finalità medica (es. rilevare un tumore da una radiografia) in modo sicuro ed efficace. Il produttore deve produrre prove cliniche solide tramite il Clinical Evaluation Report (CER), dimostrando la validità scientifica e l’efficacia del dispositivo sul paziente.
2. La Valutazione Tecnica dell’Algoritmo (AI Act)
L’AI Act si focalizza su come l’intelligenza artificiale è stata costruita e addestrata. Introduce requisiti stringenti non esplicitati nel MDR:
Robustezza e Cybersecurity: Resistenza del modello al degrado delle prestazioni nel tempo (data drift) e ai tentativi di manipolazione o attacchi cyber mirati all’algoritmo.
Data Governance (Art. 10): Obbligo di utilizzare dataset di addestramento, convalida e prova che siano di alta qualità, privi di bias (distorsioni statistiche) e rappresentativi della popolazione di pazienti.
Trasparenza e Spiegabilità (Art. 13): Le decisioni prese dall’algoritmo non possono essere una “scatola nera”. Devono essere comprensibili e interpretabili dal medico che le utilizza.
Controllo Umano (Art. 14): Il sistema deve essere progettato per consentire una supervisione umana effettiva. Il livello di supervisione umana deve essere commisurato al rischio, al livello di autonomia e al contesto d’uso.
Robustezza e Cybersecurity: Resistenza del modello al degrado delle prestazioni nel tempo (data drift) e ai tentativi di manipolazione o attacchi cyber mirati all’algoritmo.
In conclusione
L’azione combinata di MDR/IVDR, DSA e AI Act segna la fine del limbo digitale e normativo per la salute tecnologica. Per le piattaforme di e-commerce e gli app store si apre la necessità impellente di implementare rigorosi sistemi di compliance medica interna. Per i produttori di software e dispositivi medici con IA, l’obiettivo non è più solo creare un algoritmo performante, ma strutturare fin dalle prime fasi di sviluppo una documentazione unificata che fonda l’efficacia clinica con la trasparenza tecnica dell’intelligenza artificiale.
La tutela della salute del paziente non può prescindere dalla sicurezza del canale digitale attraverso cui viene distribuita.