Fondi sanitari e casse di assistenza entrano nel perimetro del Regolamento europeo 2024/1689. Assidim ha già avviato il proprio percorso di adeguamento, partendo dalla formazione del personale.
C’è una data che, senza troppo clamore, ha già cambiato le regole del gioco per migliaia di operatori sanitari, assicurativi e di welfare in Europa: il 2 febbraio 2025. Da quel giorno è in vigore l’articolo 4 dell’AI Act (Regolamento UE 2024/1689), la normativa che disciplina lo sviluppo e l’utilizzo dell’intelligenza artificiale nell’Unione. E se il nome evoca scenari da grandi tech company, la realtà è molto più vicina di quanto sembri: riguarda anche fondi sanitari e casse di assistenza.
Il motivo è semplice. Chi gestisce dati sensibili, liquida sinistri, valuta rimborsi e dialoga ogni giorno con iscritti e strutture convenzionate si trova, prima o poi, a fare i conti con sistemi di intelligenza artificiale — utilizzati direttamente o ereditati da fornitori tecnologici e partner assicurativi. Ed è proprio questo il punto: l’AI Act non parla solo a chi sviluppa l’IA, ma anche a chi la usa.
Non serve essere una big tech per essere coinvolti
Nel linguaggio del Regolamento, chi utilizza un sistema di intelligenza artificiale nella propria attività assume il ruolo di “deployer”. Basta poco per rientrarci: un software che supporta l’analisi delle pratiche, uno strumento di gestione documentale basato su algoritmi, una chatbot per la comunicazione con gli assistiti. Tutto questo fa scattare obblighi precisi, a partire proprio dalla formazione.
L’articolo 4 impone infatti a fornitori e deployer di garantire un livello adeguato di alfabetizzazione in materia di IA al proprio personale, calibrato su conoscenze tecniche, esperienza e contesto operativo di ciascuno.
Per un settore che maneggia dati sanitari – tra i più delicati in assoluto – questo si traduce in un’attenzione rafforzata a tre nodi cruciali:
- i limiti intrinseci dei sistemi di IA (errori, bias, allucinazioni),
- i rischi per la protezione dei dati personali e
- la necessità di mantenere una supervisione umana reale sulle decisioni assistite da algoritmi.
Le tre fasi del percorso Assidim
Assidim ha scelto di non aspettare le scadenze successive del Regolamento e ha impostato un percorso di adeguamento strutturato in tre fasi progressive.
- Formazione (literacy). Il punto di partenza, già completato, è stata la formazione di tutti i collaboratori sui principi fondamentali dell’alfabetizzazione in materia di intelligenza artificiale: cos’è l’IA, come funziona, quali rischi comporta e come va supervisionata. Un focus specifico è stato dedicato a Copilot, lo strumento di intelligenza artificiale integrato nella suite Microsoft di molte aziende e quindi già presente, spesso in modo implicito, negli strumenti di lavoro quotidiani dei collaboratori. È la base su cui si costruisce tutto il resto.
- Mappatura. La fase successiva prevederà la ricognizione completa di tutti i sistemi e gli strumenti di IA utilizzati – o solo previsti – nell’operatività del fondo. Un censimento necessario per capire dove l’intelligenza artificiale è già presente nei processi aziendali, spesso in modo non evidente.
- Processi e compliance. Infine, la revisione dei processi interni per individuare dove l’IA interviene o potrebbe intervenire in futuro, con quale livello di rischio, seguita dalle attività di compliance vere e proprie: allineamento di procedure, documentazione e presidi organizzativi ai requisiti del Regolamento europeo.
Un approccio che Assidim rivendica come scelta strategica più che come semplice adempimento: trasformare un obbligo normativo in un’occasione di crescita organizzativa e di maggiore tutela per gli iscritti.
Quattro livelli di rischio, un solo obiettivo: la tutela delle persone
Per capire perché la fase di mappatura è così centrale, bisogna guardare al cuore dell’AI Act: un impianto basato sul rischio, che non tratta tutti i sistemi di intelligenza artificiale allo stesso modo, ma li colloca in quattro categorie con obblighi crescenti.
- Rischio inaccettabile — sono le pratiche vietate in assoluto: sistemi di manipolazione subliminale o ingannevole, punteggi sociali (social scoring), riconoscimento delle emozioni sui luoghi di lavoro o nelle scuole, e altre applicazioni ritenute incompatibili con i diritti fondamentali. Semplicemente, non possono esistere sul mercato europeo.
- Rischio alto — è la categoria che più interessa da vicino il settore sanitario e assicurativo. Vi rientrano i sistemi di IA impiegati in ambiti sensibili come la valutazione dell’affidabilità creditizia, la selezione del personale o — punto chiave per fondi e casse — i sistemi utilizzati per la valutazione dei rischi e la determinazione dei prezzi nell’assicurazione sanitaria e sulla vita. Per questi sistemi scattano obblighi stringenti: gestione del rischio, qualità dei dati, documentazione tecnica, tracciabilità, supervisione umana e accuratezza.
- Rischio limitato — riguarda sistemi come le chatbot o i contenuti generati artificialmente (i cosiddetti deepfake), per i quali il Regolamento richiede soprattutto obblighi di trasparenza: l’utente deve sapere che sta interagendo con una macchina o che un contenuto è generato dall’IA.
- Rischio minimo o nullo — la stragrande maggioranza dei sistemi di IA attualmente in uso (filtri antispam, videogiochi, strumenti di produttività) rientra in questa fascia, sostanzialmente libera da obblighi specifici, anche se restano incoraggiati codici di condotta volontari.
Il quadro si allarga: cos’è il Digital Omnibus e perché riguarda anche l’AI Act
C’è un ulteriore elemento da tenere d’occhio, perché ridisegna in parte lo scenario appena descritto: il Digital Omnibus. Si tratta di un pacchetto di semplificazione normativa presentato dalla Commissione europea il 19 novembre 2025, con l’obiettivo dichiarato di alleggerire e rendere più coerente l’insieme delle regole digitali dell’Unione — dalla protezione dei dati personali alla cybersicurezza, fino all’intelligenza artificiale — riducendo sovrapposizioni e oneri amministrativi per le imprese.
L’AI Act rientra in questo perimetro più ampio attraverso una sua componente specifica, il cosiddetto Digital Omnibus on AI: un insieme mirato di modifiche al Regolamento 2024/1689 che non ne stravolge l’impianto, ma ne rivede il calendario di applicazione. Dopo l’accordo raggiunto tra Parlamento europeo e Consiglio il 7 maggio 2026, l’approvazione del Parlamento in plenaria il 16 giugno e il via libera definitivo del Consiglio dell’Unione il 29 giugno 2026, il testo attende ora la pubblicazione nella Gazzetta ufficiale dell’UE, prevista entro la fine di luglio 2026 — comunque prima del 2 agosto, data in cui sarebbero altrimenti scattati i vecchi termini.
La modifica principale riguarda il rinvio degli obblighi per i sistemi ad alto rischio: il termine originario del 2 agosto 2026 slitta al 2 dicembre 2027 per i sistemi ad alto rischio “autonomi” (quelli, per intendersi, della fascia più rilevante anche per il settore assicurativo-sanitario) e al 2 agosto 2028 per i sistemi ad alto rischio integrati come componenti di sicurezza in prodotti già disciplinati da normative di settore.
Restano invece invariati, secondo il calendario originario, i divieti sulle pratiche vietate in assoluto, gli obblighi di alfabetizzazione in materia di IA (il già citato articolo 4) e le regole sui modelli di IA per finalità generali. Il Digital Omnibus, inoltre, introduce dal 2 dicembre 2026 due nuovi divieti espliciti, relativi ad applicazioni che generano immagini intime non consensuali e a sistemi che producono materiale di abuso sessuale su minori.
Per un fondo sanitario, il messaggio pratico è duplice. Da un lato, più tempo per allineare in modo solido i processi ad alto rischio, senza correre dietro a una scadenza ravvicinata. Dall’altro, nessuna pausa reale: la fase di alfabetizzazione resta un obbligo già pienamente in vigore, e la mappatura degli strumenti di IA in uso — passo propedeutico a qualunque valutazione del rischio — è un lavoro che conviene avviare per tempo, a prescindere dalle nuove scadenze.
Una corsa che non ammette soste
L’AI Act non è un “episodio” isolato, ma l’ultimo capitolo di un contesto normativo in continua evoluzione, destinato secondo molti osservatori a incidere più di ogni altra norma recente sul modo in cui le organizzazioni — comprese quelle della sanità integrativa — gestiranno tecnologia, dati e decisioni algoritmiche nei prossimi anni.
Per Assidim, restare aggiornati non è considerata un’opzione, ma una responsabilità verso chi ogni giorno si affida ai propri servizi. Ed è per questo che il fondo continua a investire in formazione, competenze e innovazione: l’obiettivo dichiarato è arrivare pronti al cambiamento prima ancora che diventi obbligo.
Antonio Corrias
Marketing, Comunicazione & Sviluppo Associativo ASSIDIM
