Due norme, una approvata di recente e una ancora in fase di approvazione, hanno scosso la comunità scientifica italiana. La prima è la modifica dell’articolo 110 del Codice dei dati personali, che (apparentemente) semplifica la raccolta di dati per la ricerca medica ma in realtà la limita e la rende meno gestibile; l’altra è l’articolo 8 del disegno di legge sull’AI che prevede, nel rispetto della normativa comunitaria, un regime generale di semplificazione per l’uso anche secondario dei dati necessari alla ricerca medica e non solo, dunque, di quelli relativi alla salute.

Questa differenza (sottile ma fondamentale) è quella che distingue una norma che penalizza la ricerca e il contributo, per esempio, dei centri di ricerca finanziati dai pazienti, da una norma che, invece, tutela il bene comune a prescindere da chi lo persegue.

Ricerca, uso secondario dei dati e interesse pubblico nel DDL AI

Il disegno di legge «recante disposizioni e delega al governo in materia di intelligenza artificiale» è stato annunciato dal governo qualche settimana fa. La strada perché il documento divenga norma dello stato è ancora lunga e probabilmente accidentata, come insegnano le tante iniziative legislative arenatesi nelle paludi parlamentari. Tuttavia, su alcuni aspetti la presa di posizione dell’esecutivo è chiara e, auspicabilmente, destinata a mantenersi ferma. Uno di questi è il tema della IA applicata alla ricerca scientifica e, a cascata, della ricerca in quanto tale.

L’articolo 8 del disegno di legge prevede che «i trattamenti di dati, anche personali, eseguiti da soggetti pubblici e privati senza scopo di lucro per la ricerca e la sperimentazione scientifica nella realizzazione di sistemi di intelligenza artificiale per finalità di prevenzione, diagnosi e cura di malattie, sviluppo di farmaci, terapie e tecnologie riabilitative, realizzazione di apparati medicali, incluse protesi e interfacce fra il corpo e strumenti di sostegno alle condizioni del paziente, di salute pubblica, incolumità della persona, salute e sicurezza sanitaria, in quanto necessari ai fini della realizzazione e dell’utilizzazione di banche dati e modelli di base, sono dichiarati di rilevante interesse pubblico in attuazione dell'articolo 32 della Costituzione e nel rispetto di quanto previsto nell'articolo 9 lettera g) del Regolamento UE 679/16» (GDPR).

Cosa significa l’articolo 8 del DDL AI per la ricerca

Sotto il profilo della gerarchia delle fonti, l’intervento sarebbe davvero di non poco momento, in quanto introdurrebbe nel sistema una norma di rango primario abrogativa di ogni preesistente disposizione incompatibile (incluse le disposizioni del codice dei dati personali).

Il portato pratico della disposizione è che, nei settori indicati, è consentito l’utilizzo dei dati particolari indicati dall’articolo 9 GDPR (altrimenti vietato) e non è necessario chiedere il consenso del paziente proprio per via della prevalenza dell’interesse collettivo alla salute. Inoltre, ai medesimi fini sopra indicati - specifica il comma 2° dell’articolo 8 - è sempre autorizzato l’uso secondario degli stessi dati personali privi di elementi identificativi diretti senza necessità di ulteriore consenso dell’interessato ove inizialmente previsto dalla legge (cioè se la se la legge impone l’acquisizione del consenso per l’uso primario)¹. I trattamenti sono solamente subordinati ad approvazione dei comitati etici interessati e comunicazione preventiva all’Autorità Garante, la quale può sempre intervenire per controllare e - se del caso - sanzionare con pienezza di poteri.

Ora, se le cose dovessero davvero rimanere in questi termini, saremmo di fronte a un cambio di passo di assoluto rilievo e che chiaramente detterebbe le regole per la ricerca in campo medico anche al di là di quella connessa all’utilizzo della intelligenza artificiale.

Il DDL AI riconosce il valore pubblicistico della ricerca

Francamente è un poco sconfortante dovere attendere un intervento normativo tanto esplicito per affermare quello che avrebbe già dovuto essere ovvio. La promozione della ricerca scientifica è posta, dalla nostra Costituzione, tra i principi fondamentali che conformano il modello repubblicano. Il valore della ricerca si pone al di sopra dei diritti fondamentali, di cui è strumento di attuazione. Il diritto alla libera espressione del pensiero nel campo delle arti e delle scienze, all’istruzione, ma anche alla salute - se pensiamo proprio all’ambito sanitario - sono attuati grazie alla ricerca. Sull’altro versante, la disciplina del trattamento dei dati, erroneamente confusa e sovrapposta con un inesistente (nel nostro ordinamento) diritto alla privacy tout court, regola diritti individuali che vanno interpretati in modo recessivo rispetto a interessi pubblici generali che riguardano il bene comune.

D’altronde il GDPR consente di essere interpretato in modo più flessibile quando sono in gioco le necessità della ricerca². Insomma, se si riesce a superare quella vera e propria isteria per la privacy che fa ormai parte della narrativa contemporanea, ci si accorge che, collocando i valori sociali nella corretta prospettiva ordinamentale, vi erano già ampi margini per liberare la ricerca scientifica da impostazioni burocratiche ingiustificate.

Le interpretazioni estemporanee del concetto di “uso secondario”

Chiunque pratichi il mondo scientifico, per esempio, avrà dovuto fare i conti con singolari interpretazioni del concetto di “uso secondario” per cui se sono stati raccolti dei dati per la ricerca sulla patologia A non possono essere riutilizzati per fare ricerca sulla patologia B senza chiedere nuovamente il consenso ai pazienti.

Degli anni in cui ho fatto parte del comitato etico dell’Università statale di Milano rammento bene che buona parte del tempo dedicato alla discussione dei singoli progetti era destinato alla disamina analitica, oserei dire minuziosa, di ridondanti moduli per l’acquisizione del consenso alla partecipazione.

Perché il nuovo articolo 110 del Codice dei dati personali è un problema e non una soluzione

Il lettore puntiglioso potrebbe osservare che il legislatore nazionale ha già dedicato la sua attenzione alle necessità della ricerca scientifica. Come è noto, infatti, il 1° maggio 2024 è entrata in vigore la nuova versione dell’articolo 110 del codice dei dati personali, salutato da media di lungo corso e operatori di settore come un fondamentale punto di svolta. L’articolo rende non necessario il consenso dell’interessato al fine di ricerca scientifica: dunque, che si vuole di più?

In prima battuta sembrerebbe che questa norma abbia effettivamente risolto i problemi, ma viste da vicino le cose sono molto diverse. Anche la versione emendata della predetta disposizione è, infatti, ben meno efficace di come potrebbe sembrare. Tanto per iniziare, l’articolo 110 non è norma di “sistema” e non potrebbe esserlo, stante la sua collocazione. Quindi, non afferma quell'importante statuizione generale e di principio per cui l’interesse pubblico è identificato normativamente (anche) nella ricerca scientifica.

Oltre a ciò, l’articolo 110 definisce dei limiti obiettivi e subiettivi alla sua applicazione di sapore tutto dirigista e passatista. Infatti, l’ambito di operatività della norma è esattamente quello dei dati “relativi alla salute”, ove l’articolo 8 di futura introduzione definisce il suo nel trattamento dei “dati, anche personali”.

La sfumatura non è di poco conto. L’attività di ricerca basata sui big data e sui metodi per analizzarli non è affatto limitata allo studio confinato della “patologia” e delle sue espressioni e non si avvale esclusivamente di dati concernenti la salute.

L’elaborazione di strumenti di potenziamento e interfaccia corpo/macchina, la prevenzione sanitaria, la salute pubblica - per dire - sono settori di ricerca che hanno come obiettivo ultimo quello di migliorare o tutelare la condizione psicofisica dell’individuo, ma che utilizzano dati individuali (antropometrici, fisiologici, fenotipici...) non strettamente pertinenti la salute, ma relativi, in senso ampio al funzionamento dell’organismo. Cosicché limitare un regime di maggiore favore solo ai dati concernenti la salute costituisce una limitazione e una disparità di trattamento non giustificabile.

Ma anche sotto l’aspetto degli “attori” della ricerca non mancano perplessità. L’articolo 110 si rivolge solo a soggetti che operano in forza di legge o nell’ambito di programmi di ricerca sanitaria funzionali al perseguimento degli obiettivi del Sistema sanitario nazionale. Rimangono fuori le associazioni e le fondazioni private finanziate dai pazienti. Il mondo no profit resta incredibilmente escluso dal regime normativo di favore, creando ancora una disparità del tutto immotivata (se non in un’antistorica ottica statalista) proprio quando si reclama - anche da parte pubblica - l’intervento della ricerca privata dotata di fondi che lo stato non è in grado di mettere in campo.

Ben diverso è l’atteggiamento culturale dell’articolo 8 del disegno di legge, il quale pone giustamente l’accento sul fine per il quale viene svolta una determinata attività di ricerca scientifica, non sulla fonte normativa che istituisce il soggetto che svolge la ricerca. Esso stabilisce un distinguo basato sulle finalità e non sui soggetti che la perseguono: maggiore facilità per chi (soggetto pubblico o privato) persegue fini obiettivi di interesse collettivo, controllo più esteso per chi ha (legittimi) obietti di guadagno.

Di regola, mi astengo dal commentare testi legislativi in corso di approvazione. Fino alla pubblicazione in Gazzetta Ufficiale tutto può accadere. Ma questa volta la posta in gioco è troppo alta per rimanere in silenzio e, anzi, c’è da sperare che i riflettori sull’articolo 8 del disegno di legge sull’IA rimangano accesi fino alla sua approvazione definitiva.

 

Note

1. In modo del tutto conseguenziale con quanto disposto dall’articolo 5 comma 1, lett. B) GDPR che stabilisce che l’uso secondario di dati per interesse pubblico e ricerca scientifica è possibile anche se i dati sono stati raccolti per finalità iniziali diverse.

2. L’articolo 14 comma 3, lett. D) esclude il diritto dell’interessato alla cancellazione dei dati trattati per interesse pubblico e ricerca scientifica; l’articolo 14, comma 5 esclude l’obbligatorietà della informativa agli interessati nei casi di interesse pubblico e ricerca scientifica quando comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato; l’art. 21 comma 6 esclude la possibilità di opporsi al trattamento dei dati per interesse pubblico.