AI Act e studio medico: cosa cambia dopo il 23 ottobre 2026

• Cosa prevede il decreto legislativo 179/2026 per gli studi medici?
• Quali sono le scadenze dell'AI Act per la sanità?
• Quando un software di IA dello studio è considerato ad alto rischio?
• I medici devono fare crediti ECM sull'Intelligenza Artificiale?
• Cosa cambia per lo studio medico che ha dipendenti?
• Cosa deve fare uno studio medico adesso per l'AI Act?

Dal 23 ottobre 2026 molti titoli parlano di "nuove regole sull'intelligenza artificiale". Quel giorno è entrato in vigore il decreto legislativo 179/2026, che adegua la normativa italiana all'AI Act europeo.

Per chi guida uno studio medico o odontoiatrico, la domanda utile è più semplice: cosa deve fare lo studio, ed entro quale data. Per rispondere bisogna separare tre livelli. Il regolamento europeo fissa le regole generali e il calendario. La legge italiana 132/2025 aggiunge principi specifici per la sanità. Il nuovo decreto stabilisce chi controlla e introduce obblighi su formazione e lavoro.

In questa guida trovi le scadenze aggiornate, cosa vale già oggi e cosa arriverà nei prossimi mesi.

In sintesi

• Già in vigore. Formazione del personale che usa l'IA (dal 2025) e trasparenza verso chi interagisce con un sistema di IA (dal 2 agosto 2026).
• 23 ottobre 2026. Entra in vigore il d.lgs. 179/2026. Per gli studi con dipendenti valgono subito le regole sull'uso dell'IA nel rapporto di lavoro.
• 23 aprile 2027. È il termine per stabilire quanta parte dell'obbligo ECM sarà dedicata all'intelligenza artificiale.
• 2 dicembre 2027 e 2 agosto 2028. Si applicano gli obblighi per i sistemi ad alto rischio. La seconda data riguarda i dispositivi medici con IA.

Cosa prevede il decreto legislativo 179/2026 per gli studi medici?

Il decreto legislativo 179/2026 adegua la normativa italiana all'AI Act e attua la legge 132/2025. Il testo indica le autorità che controllano l'uso dell'IA e regola ispezioni e sanzioni. Introduce anche regole su formazione e lavoro. Non contiene norme dedicate agli studi medici, ma due sue parti li riguardano direttamente.

Il decreto è stato pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre 2026 e conta 54 articoli. La maggior parte riguarda autorità di controllo, pubblica amministrazione, scuola e settore finanziario. Per questo molte sintesi lette in questi giorni sembrano lontane dalla vita di uno studio.

Chi controlla. Le autorità nazionali per l'intelligenza artificiale sono due:

• L'AgID (Agenzia per l'Italia digitale) è l'autorità di notifica. Designa e controlla gli organismi che verificano la conformità dei sistemi di IA.
• L'ACN (Agenzia per la cybersicurezza nazionale) vigila sul mercato, svolge le ispezioni e applica le sanzioni. È anche il punto di contatto con l'Unione europea.

Il Garante per la protezione dei dati personali ha un ruolo limitato nell'applicazione dell'AI Act. Resta però l'autorità che vigila sul trattamento dei dati sanitari. Per uno studio medico questo è il controllo più vicino.

Cosa riguarda lo studio. Due parti del decreto toccano il lavoro quotidiano:

• La prima è la formazione. L'intelligenza artificiale entra nei percorsi di educazione continua in medicina (ECM).
• La seconda è il lavoro. Lo studio che usa l'IA nella gestione dei dipendenti deve rispettare nuove regole, che si applicano già dal 23 ottobre.

Cosa non cambia. Il decreto non modifica il calendario europeo dell'AI Act, che resta fissato dalle norme dell'Unione. Non introduce regole nuove sull'uso clinico dell'IA e non cambia le regole sui dispositivi medici.

Anche gli obblighi verso i pazienti restano quelli della legge 132/2025, in vigore dal 10 ottobre 2025. Il paziente ha diritto di sapere quando si usa l'IA, e la decisione clinica spetta sempre al medico. Ne abbiamo parlato nella guida su cosa dice la legge sull'intelligenza artificiale in sanità.

Quali sono le scadenze dell'AI Act per la sanità?

Le scadenze dell'AI Act per la sanità vanno lette insieme alle regole italiane. Alcuni obblighi valgono già: la formazione del personale dal 2025 e la trasparenza dal 2 agosto 2026. Gli obblighi per i sistemi ad alto rischio si applicano dal 2 dicembre 2027. Per i dispositivi medici con IA la data è il 2 agosto 2028.

Il 27 luglio 2026 è entrato in vigore il Digital Omnibus, cioè il Regolamento (UE) 2026/1744. Il Digital Omnibus ha spostato in avanti le scadenze per l'alto rischio e ha riscritto l'obbligo di formazione del personale.

Ecco il calendario aggiornato, con le date europee e italiane in un'unica sequenza.

Due date meritano attenzione. La prima è il 2 agosto 2026, già passata. Da quel giorno chi parla con un chatbot o con un assistente virtuale deve sapere che sta interagendo con un sistema di IA.

La seconda è il 2 agosto 2028. È la data che interessa chi usa software clinici con IA, per esempio quelli che analizzano le radiografie. Fino ad allora questi prodotti restano soggetti al regolamento europeo sui dispositivi medici (MDR).

Quando un software di IA dello studio è considerato ad alto rischio?

Un software di IA è ad alto rischio quando la sua destinazione d'uso rientra negli elenchi dell'AI Act. In uno studio medico succede soprattutto con i software clinici certificati come dispositivi medici. Lo stesso vale per gli strumenti che selezionano o valutano il personale. Trascrizione, riepiloghi e gestione dell'agenda, di norma, restano fuori da questa categoria.

Molti titolari temono che qualunque funzione di IA del gestionale porti con sé gli obblighi più pesanti. La classificazione però dipende da cosa fa lo strumento. Il solo fatto che usi l'intelligenza artificiale non basta a renderlo ad alto rischio.

L'IA clinica. Sono i software che supportano diagnosi e terapia: analisi delle immagini, supporto alla decisione, pianificazione implantare. Sono dispositivi medici. Quando la loro certificazione richiede un organismo notificato, l'AI Act li considera ad alto rischio tramite l'Allegato I.

Per questi software gli obblighi principali sono del fabbricante. Lo studio, come utilizzatore, dovrà usarli secondo le istruzioni del fabbricante. Dovrà anche affidarne la sorveglianza a una persona competente.

L'IA operativa. Sono gli strumenti che lavorano su ciò che circonda la cura: documentazione, consultazione della cartella, comunicazione con i pazienti. Prendiamo la nota di visita. Lo strumento registra la conversazione con il consenso del paziente, la trascrive e propone una bozza in cartella. Il medico la rilegge e la salva. Lo strumento non prende decisioni cliniche.

Lo stesso vale per un riepilogo della cartella che orienta la lettura prima della visita. La cartella completa resta consultabile, e il giudizio clinico resta del medico. Per questi strumenti contano soprattutto la trasparenza verso il paziente, la protezione dei dati e la formazione di chi li usa.

La gestione del personale. C'è un terzo caso, meno ovvio. L'Allegato III dell'AI Act include i sistemi usati per selezionare candidati o valutare le prestazioni dei dipendenti. Per questi sistemi gli obblighi da alto rischio scattano il 2 dicembre 2027. Le regole italiane sul lavoro, invece, valgono già oggi.

I medici devono fare crediti ECM sull'intelligenza artificiale?

Sì, ma la quota non è ancora definita. Il decreto 179/2026 inserisce l'intelligenza artificiale nei corsi ECM di tutti i professionisti sanitari. Entro il 23 aprile 2027 la Commissione nazionale per la formazione continua stabilirà quale percentuale dell'obbligo triennale dedicare all'IA. Fino ad allora non esiste un numero di crediti obbligatori.

È la notizia più condivisa del decreto, e anche quella letta peggio. Il 23 ottobre non è nato l'obbligo di seguire subito un corso. È partito un percorso in tre passaggi, tutti con scadenza 23 aprile 2027:

• La Commissione nazionale ECM definisce la percentuale dell'obbligo triennale da dedicare all'IA (art. 51).
• Un accordo in Conferenza Stato-Regioni inserisce i percorsi sull'IA nei programmi ECM (art. 47, comma 6).
• Gli Ordini adeguano i propri regolamenti sulla formazione iniziale e continua (art. 47, comma 5).

Il decreto indica già cosa dovranno insegnare questi corsi. La prima parte riguarda il funzionamento degli strumenti di IA del proprio settore, con potenzialità e limiti. La seconda riguarda le regole: AI Act e norme italiane. La terza riguarda la deontologia: le responsabilità del professionista, gli obblighi di informazione e la centralità della persona.

Ordini e associazioni di categoria potranno organizzare questi percorsi, anche in convenzione con le università. Per l'odontoiatria, ANDI e AIO hanno già chiesto di partecipare alla definizione dei contenuti.

C'è poi un obbligo diverso, che vale già e riguarda tutto il team. L'articolo 4 dell'AI Act chiede a chi usa sistemi di IA di adottare misure per l'alfabetizzazione del personale. Dal 27 luglio 2026 non serve garantire un livello specifico a ogni persona. Serve però una formazione proporzionata agli strumenti in uso.

Cosa cambia per lo studio medico che ha dipendenti?

Dal 23 ottobre 2026 lo studio che usa l'IA nella gestione del personale ha tre obblighi. Le decisioni su assunzioni, valutazioni e provvedimenti disciplinari spettano sempre a una persona. Il dipendente va informato prima e può chiedere una spiegazione. I rischi legati all'IA entrano nella valutazione dei rischi dello studio.

È la parte del decreto già operativa, e anche la meno discussa. Riguarda lo studio come datore di lavoro: assistenti alla poltrona, igienisti dipendenti, personale di segreteria.

La decisione resta a una persona (art. 41). Il decreto vieta di prendere le decisioni finali sul rapporto di lavoro solo sulla base di un trattamento automatizzato. Il divieto vale per l'assunzione, le modifiche del rapporto, il licenziamento, i provvedimenti disciplinari e la valutazione delle prestazioni.

La decisione spetta a una persona con un potere effettivo e autonomo. Il consenso del dipendente non cambia la regola. Una decisione presa in violazione è nulla, licenziamento compreso. La ricerca e la preselezione dei candidati restano fuori dal divieto.

Informativa e spiegazione. Prima di usare questi sistemi, lo studio deve dare ai dipendenti l'informativa prevista per i sistemi automatizzati. Su richiesta, il dipendente ha diritto a una motivazione comprensibile della decisione. La motivazione indica quanto ha pesato l'IA e quali criteri principali ha considerato.

L'IA nella valutazione dei rischi (art. 42). Un sistema di IA può incidere sull'organizzazione del lavoro, sui ritmi o sul modo di svolgere le attività. In questi casi va considerato nel documento di valutazione dei rischi (DVR). I dipendenti vanno informati e formati sui rischi specifici e sulle misure adottate.

In uno studio questi casi sono pochi, ma reali. Un software che genera i turni in base al carico dell'agenda incide sull'organizzazione del lavoro. Uno strumento che misura i tempi di risposta della segreteria e li usa per valutarla tocca la valutazione delle prestazioni. Anche un assistente automatico che risponde ai pazienti cambia il lavoro di chi sta al telefono. Conviene parlarne con il responsabile della sicurezza (RSPP) prima di attivarlo.

Cosa deve fare uno studio medico adesso per l'AI Act?

Il primo passo è sapere quali strumenti di IA usa lo studio, e per cosa. Da lì si verificano i contratti con i fornitori, si aggiornano le informative per pazienti e dipendenti e si organizza la formazione. Sono attività organizzative più che tecniche, e la maggior parte si fa una volta sola.

Questo è l'ordine che consigliamo:

1. Fai l'elenco degli strumenti con IA. Includi le funzioni dentro i software che usi già: gestionale, software radiografico, centralino, chatbot sul sito. Includi anche i chatbot generalisti che il personale usa per conto proprio. Per ogni strumento annota l'uso (clinico o operativo), chi lo usa e quali dati tratta.
2. Verifica destinazione d'uso e contratti. Per i software clinici controlla la marcatura CE come dispositivo medico. Per tutti gli strumenti controlla l'accordo di trattamento dei dati, dove vengono trattati i dati e se vengono usati per addestrare modelli. Una traccia utile sono le cinque domande da fare al fornitore.
3. Aggiorna l'informativa ai pazienti. La legge 132/2025 chiede di informare il paziente sull'uso dell'IA, con un linguaggio chiaro. Se registri la visita serve anche il consenso alla registrazione. Con uno strumento integrato nella cartella il consenso resta tracciato con data e ora, e la nota arriva come bozza da approvare.
4. Rendi riconoscibili gli assistenti virtuali. Chi scrive a un chatbot o parla con un centralino AI deve sapere che non risponde una persona. La progettazione dell'avviso spetta al fornitore. Lo studio però verifica che l'avviso sia davvero visibile al paziente.
5. Se hai dipendenti, rivedi informative e DVR. Indica quali strumenti di IA incidono sul lavoro del personale. Assicurati che nessuna decisione sul rapporto di lavoro dipenda solo da un sistema automatico.
6. Pianifica la formazione. Oggi serve una formazione sugli strumenti in uso, per medici e segreteria. Dopo aprile 2027 la formazione rientrerà anche nei crediti ECM.