Chi firma l’analisi? AI, accountability e responsabilità metodologica nella ricerca clinica

C’è una domanda che le riviste scientifiche, i comitati etici e le autorità regolatorie stanno iniziando a porsi sull’uso dell’intelligenza artificiale (AI) in medicina: se una valutazione clinica viene eseguita con il supporto dell’AI, chi ne è responsabile? È una domanda importante e il dibattito è aperto. Ma nel territorio specifico dell’analisi statistica nessuno l’ha ancora posta davvero. Quando un’analisi viene prodotta con l’AI, chi ne risponde?

A qualcuno questa potrebbe sembrare una domanda retorica: è ovvio, si potrebbe dire, risponde chi ha usato l’AI per produrla. Ma l’AI non è un software statistico come gli altri: è uno strumento che elabora, suggerisce, produce in modo autonomo e opaco. Uno strumento che genera output così convincenti da rendere invisibile il ragionamento che manca. È insomma uno strumento che rende accessibile l’analisi anche a coloro che nulla sanno di statistica: basta caricare un dataset con i dati ed il gioco è fatto. La risposta dunque non è affatto scontata e le implicazioni che ne derivano sono concrete e significative.

Uso dell’AI: America vs. Europa

A gennaio 2026 JAMA ha pubblicato un Viewpoint firmato da Sofia Palmieri, Christopher Robertson e I. Glenn Cohen della Harvard Law School, intitolato New Guidance on Responsible Use of AI. Il punto centrale è scomodo. Negli Stati Uniti non è ancora chiaro chi abbia la responsabilità di validare i modelli AI in medicina, né chi risponda quando le cose vanno storte. Le linee guida esistono, ma il quadro normativo resta frammentato.

In Europa siamo in una situazione diversa: a partire dal 2023 il legislatore si è mosso per definire regole sull’utilizzo dell’AI, attraverso tre regolamenti che tutti abbiamo sentito citare almeno una volta e che, ahimè, quasi nessuno conosce abbastanza da sapere che lo riguardano direttamente. Il quadro normativo esiste, è vincolante e si sta applicando. Ma nella ricerca clinica quotidiana la consapevolezza è ancora molto limitata. E il territorio specifico dell’analisi statistica — quello in cui i dati vengono elaborati, i test scelti, i risultati prodotti — è ancora più scoperto: non ci sono articoli che lo affrontino direttamente. È un territorio che la ricerca metodologica deve ancora presidiare e che questi regolamenti, a dispetto delle apparenze, già riguardano da vicino.

Tre regolamenti, un solo principio

Quando un ricercatore clinico usa un sistema AI per produrre o elaborare dati di uno studio, entra automaticamente nell’ambito di applicazione di tre regolamenti europei che si sovrappongono e si integrano: il General Data Protection Regulation, meglio noto come GDPR, il Medical Device Regulation (MDR) e l’AI Act.

Questi tre regolamenti, apparentemente distinti, si intersecano in modo inevitabile nella pratica della ricerca clinica con AI. Ognuno presidia un aspetto diverso — il dato, il dispositivo, lo strumento — ma tutti e tre convergono su un principio comune: la responsabilità umana non si trasferisce a una macchina. E questo vale anche e soprattutto quando quella macchina ha prodotto un’analisi statistica.

GDPR

Il GDPR — Regolamento (UE) 2016/679 — presidia il dato. È quello che più direttamente riguarda il momento in cui il dataset arriva e qualcuno pensa di caricarlo su una piattaforma AI esterna per analizzarlo. L’articolo 9 vieta il trattamento di dati relativi alla salute come regola generale. Una regola che, se applicata in modo assoluto, renderebbe impossibile qualsiasi ricerca clinica. Per questa ragione il GDPR prevede un’eccezione esplicita per la ricerca scientifica, ma solo a condizione che esista un fondamento legale che autorizzi il trattamento — il consenso esplicito del paziente, un obbligo di legge, un interesse pubblico riconosciuto o una specifica previsione normativa accompagnata da misure di salvaguardia adeguate — e che questo fondamento sia verificato e documentato prima di qualsiasi operazione sui dati. Senza di esso, qualsiasi trattamento è illegittimo. E chi ha caricato i dati ne risponde, non l’AI.

DPIA

Fin qui potrebbe sembrare tutto sotto controllo: basta il consenso informato, si potrebbe pensare, e i dati possono essere liberamente dati in gestione all’AI. Purtroppo il ragionamento non è così lineare. I dati clinici di uno studio sono dati sanitari, anche quando sono anonimizzati e anche quando sono aggregati. Caricarli su una piattaforma AI di terze parti richiede verifiche che vanno ben oltre il solo fondamento legale e che riguardano l’impatto che l’uso di quei sistemi ha sulla protezione dei dati degli interessati.

A questo scopo il GDPR prevede, all’articolo 35, il Data Protection Impact Assessment (DPIA), una valutazione obbligatoria ogni volta che un trattamento è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone. Il trattamento di dati sanitari con sistemi AI rientra esplicitamente in questa categoria perché combina due fattori che il GDPR e le linee guida del Garante europeo identificano come determinanti: la natura sensibile dei dati e l’uso di tecnologie innovative e opache come i sistemi AI, che introducono incertezza sui meccanismi di trattamento e sui possibili effetti sugli interessati.

La DPIA deve essere condotta prima di avviare il trattamento e deve valutare specificamente i rischi legati allo strumento scelto: come funziona, dove vengono trasmessi i dati, chi vi ha accesso, se vengono usati per addestrare il modello, con quali garanzie di sicurezza e riservatezza. Non è sufficiente che la piattaforma AI dichiari genericamente di essere “GDPR compliant” — quella dichiarazione non sostituisce la DPIA né esonera il titolare dal condurla. Chi salta questa valutazione non ha ignorato una formalità: ha violato un obbligo normativo preciso.

MDR

Il MDR — Regolamento (UE) 2017/745 — riguarda i dispositivi medici e la qualità dei dati che da essi derivano. Per chi lavora in studi su dispositivi medici si aggiunge al GDPR, senza sostituirlo. L’articolo 83 è esplicito: il sistema di sorveglianza post-market deve raccogliere, registrare e analizzare attivamente i dati in modo sistematico, e quei dati devono essere di qualità documentata. Un’analisi condotta su un dataset non validato non risponde a questi requisiti, indipendentemente da chi o cosa l’ha prodotta. La responsabilità del fabbricante o dello sponsor è diretta e non delegabile: non al CRO, non al coordinatore dello studio, non all’AI. Questo significa che prima ancora di analizzare i dati è necessario valutarne la qualità: un onere che ricade interamente su chi produce e utilizza il dispositivo.

AI Act

L’AI Act — Regolamento (UE) 2024/1689 — presidia lo strumento e chiude il cerchio. È il più esplicito sul punto che ci interessa direttamente: chi deve supervisionare l’AI quando produce un’analisi. Nel linguaggio del regolamento, chi usa un sistema AI in un contesto professionale — uno sponsor, una CRO, un ricercatore clinico che elabora dati con una piattaforma AI — è un deployer. E l’articolo 26 è chiaro: i deployer di sistemi AI ad alto rischio devono affidarsi a persone fisiche che dispongano della competenza, della formazione e dell’autorità necessarie per supervisionare il sistema. I sistemi AI usati in contesti clinici sono classificati come ad alto rischio.

Questo ha un’implicazione diretta e scomoda: se sei tu che carichi i dati e chiedi all’AI di produrre l’analisi, sei tu il deployer. E in quanto deployer, devi possedere — o garantire l’accesso a — la competenza necessaria per valutare criticamente quello che l’AI ha prodotto. Non puoi delegare la supervisione a chi non sa giudicare un output statistico. Non puoi firmare un’analisi che non sei in grado di valutare.

In pratica questo significa che un medico ricercatore che produce da solo un’analisi statistica con AI, senza formazione biostatistica adeguata e senza il supporto di un esperto in metodologia della ricerca, non sta solo commettendo un errore metodologico. Sta usando un sistema ad alto rischio senza la supervisione competente che la legge richiede. La sorveglianza umana non è un’opzione: è un obbligo normativo. E quella persona fisica con competenza e autorità ha un nome e un cognome. È lei che risponde.

Accountability: significato profondo

Nel linguaggio comune,accountabilityè diventata una parola di moda, usata e forse anche abusata nei contesti aziendali, nei discorsi sulla leadership, nei documenti strategici. Ma nel diritto europeo ha un significato preciso e vincolante: sei responsabile, devi poterlo dimostrare, e se non puoi, hai già violato qualcosa.

Applicato alla ricerca clinica nell’era dell’AI, questo principio cambia le regole del gioco in modo fondamentale. Non basta produrre un’analisi corretta — bisogna poter documentare come è stata prodotta, con quali dati, con quale processo di validazione, con quale supervisione umana. Non basta che il p-value sia sotto 0.05 — quel parametro così solito e così spesso frainteso — bisogna poter spiegare perché quel test è stato scelto, su quale dataset validato è stato condotto e chi ha firmato quella scelta.

L’AI non può farlo. Non perché non sia abbastanza intelligente, ma perché l’accountability è per definizione umana. È un atto che presuppone un soggetto responsabile, ossia una persona fisica che può essere chiamata a rispondere. L’AI non può essere chiamata a rispondere. Il ricercatore che ha usato l’AI sì.

E questo vale in modo particolare per l’analisi statistica, che è il cuore metodologico di qualsiasi studio clinico. Ogni decisione statistica ha conseguenze dirette sui risultati e sulla loro interpretazione. Delegare quelle decisioni a un sistema AI senza supervisione esperta non è solo un problema metodologico, ma è un problema normativo.

Il problema della firma nell’era AI

Da queste considerazioni deriva una conseguenza diretta: firmare un articolo scientifico, un SAP, un report di analisi statistica nell’era dell’AI non è più un gesto automatico. O meglio, non dovrebbe esserlo.

Fino a oggi, anche chi non possedeva una formazione statistica specifica poteva mettere la propria firma su un’analisi, nella ragionevole presupposizione che chi l’aveva condotta ne possedesse la competenza. Nell’era dell’AI questo presupposto non regge più. L’AI Act introduce di fatto un obbligo di competenza dimostrabile: chi usa un sistema AI ad alto rischio per produrre un’analisi deve poter provare di essere in grado di valutarla criticamente. È una logica non troppo diversa da quella che impone a un medico di dimostrare di possedere la laurea e l’abilitazione prima di esercitare. La competenza non si presume, si documenta.

La competenza non si presume: si documenta

Questo significa che il lavoro di chi conduce un’analisi statistica deve essere corredato da una dichiarazione sostanziale, non formale: ho verificato questo lavoro, ho validato questi dati, ho supervisionato questo processo, sono in grado di difendere ogni scelta metodologica davanti a un reviewer, a un comitato etico, a un’autorità regolatoria. E — esattamente come il medico dimostra di avere la laurea per esercitare — deve poter dimostrare di possedere le competenze specifiche per farlo.

Questa dichiarazione implicita esiste da sempre nella ricerca scientifica. Ma nell’era dell’AI il rischio è che diventi sempre più vuota — che qualcuno firmi un lavoro prodotto da uno strumento che non conosce abbastanza, su dati che non ha guardato, con scelte metodologiche che non ha fatto. Non per malafede. Semplicemente perché l’output sembrava completo, professionale, convincente. Perché nessuno ha fatto le domande giuste.

Il Viewpoint di JAMA pone questa domanda nel contesto americano, dove il quadro normativo è ancora in costruzione. In Europa, come abbiamo visto, la risposta normativa esiste già, ma la consapevolezza pratica nella comunità della ricerca clinica, e soprattutto il corretto inquadramento del problema, sono ancora molto limitati. E il territorio specifico della responsabilità nell’analisi statistica AI è ancora più scoperto: è qui che la ricerca metodologica deve ancora fare la sua parte.

Tre implicazioni concrete per chi lavora nella ricerca clinica.

La risposta normativa europea e la consapevolezza di un approccio diverso all’AI convergono su tre implicazioni concrete, che riguardano chiunque lavori nella ricerca clinica.

La prima riguarda i dati. Prima di caricare qualsiasi dataset su una piattaforma AI esterna è necessario verificare la base giuridica del trattamento ai sensi del GDPR, controllare gli accordi contrattuali con il committente e verificare i termini del protocollo approvato dal comitato etico. È il primo atto di accountability. E deve essere documentato, non solo compiuto.

La seconda riguarda la supervisione. L’AI Act è esplicito. La sorveglianza umana dei sistemi AI ad alto rischio deve essere affidata a persone con competenza specifica. Non basta avere accesso a una piattaforma AI: bisogna avere la competenza per valutarne criticamente l’output. Chi sceglie il test statistico suggerito dall’AI lo fa perché capisce perché è il test giusto o perché l’AI lo ha suggerito? La differenza non è sottile. Impatta direttamente sulla legittimità dell’atto e sull’affidabilità dei risultati. In assenza di competenza reale, la supervisione umana è nominale, non sostanziale e dunque non adempie agli obblighi normativi.

La terza riguarda la tracciabilità. Ogni decisione metodologica deve essere documentata: non si tratta solo di presentare un risultato, ma di mostrare il percorso che ha condotto dal dato grezzo all’output. Quale dataset. Con quale processo di validazione. Quali scelte metodologiche. Con quale motivazione. Chi ha supervisionato e con quale competenza. Questa documentazione è il contenuto reale di una firma responsabile. È ciò che distingue una firma apposta con consapevolezza da una messa su un documento che nessuno ha davvero letto.

L’AI come alleato, non come scudo

Il rischio che si sta materializzando nella ricerca clinica non è che l’AI produca errori. Gli errori si possono trovare e correggere. Il rischio è che l’AI diventi uno scudo: uno strumento dietro cui nascondere l’assenza di competenza, di processo, di responsabilità.

“L’ha fatto l’AI” non è una risposta accettabile davanti a un reviewer. Non lo è davanti a un comitato etico. Non lo è davanti a un’autorità regolatoria. E non lo sarà mai davanti a un paziente la cui scelta terapeutica dipende da risultati che nessuno ha davvero verificato. La responsabilità scientifica e normativa non si trasferisce a uno strumento: resta con chi lo usa.

L’AI nella ricerca clinica può fare moltissimo: accelerare il lavoro operativo, ridurre gli errori di esecuzione, produrre bozze di documenti in tempi impensabili fino a pochi anni fa. Può essere un alleato straordinario per chi ha la competenza per guidarla. Ma può farlo bene solo quando chi la usa sa cosa chiedere, come valutare la risposta e come firmare il risultato con piena consapevolezza di quello che sta facendo. Quella consapevolezza non è opzionale.