Audit degli agenti AI nella sanità svizzera

Un caso concreto da delimitare

Esempio illustrativo: un agente vocale raccoglie una richiesta amministrativa e prepara una proposta di appuntamento. Il perimetro indica quali informazioni può chiedere, quali calendari consulta, chi approva la prenotazione e quali richieste devono essere trasferite a una persona.

La stessa configurazione non può dirsi valutata per diagnosi, trattamento o triage se queste funzioni non sono state esaminate. Vanno gestiti esplicitamente anche: informazioni incomplete, urgenze, identità incerta, richiesta di parlare con una persona e lingue non supportate.

Proteggere il contesto del paziente

Segui il percorso dei dati dalla raccolta alla cancellazione: identificativi, registrazioni, trascrizioni, messaggi e campi derivati. L’accesso dipende dal ruolo e dal paziente in cura; nascondere solo la risposta finale non ripara un recupero non autorizzato a monte.

Le professioni sanitarie elencate nell’art. 321 del Codice penale — e i loro ausiliari — sono vincolate al segreto professionale. Se usi fornitori terzi o cloud esteri, serve un’analisi separata di ruoli, accessi, dati del paziente, località e garanzie. Non basta dire che la legge svizzera sulla protezione dei dati (nLPD) non impone in generale la residenza svizzera: l’IFPDT raccomanda di evitare i cloud esteri per i dati dei pazienti, e le garanzie generali sui trasferimenti non risolvono da sole il segreto medico.

Prove che rendono osservabili i limiti

In un ambiente di prova autorizzato si simula una richiesta sul paziente A usando per errore il contesto del paziente B: l’accesso deve essere bloccato prima che quei dati raggiungano il modello. Per la prenotazione si verifica che cambiando orario o destinatario l’approvazione precedente decada.

Questi sono scenari proposti, non risultati ottenuti presso una clinica reale. La verifica deve conservare i parametri pertinenti e l’esito senza diffondere la cartella del paziente.

• Isolamento dei dati e verifica dell’identità nel flusso di lavoro pertinente.
• Escalation per urgenze, incertezza, lingue non supportate e richieste di una persona.
• Rifiuto di conferme scadute, riutilizzate o riferite a contenuti cambiati.
• Cancellazione e conservazione provate nei sistemi effettivamente coinvolti.

Evidenze e responsabilità da preparare

Prepara: diagramma dei flussi, tabella dei ruoli, elenco di fornitori e località, istruzioni di escalation, casi di prova e il nome del responsabile del processo. Un referente clinico competente deve esaminare tutto ciò che tocca la sicurezza dei pazienti.

Un punteggio tecnico non sostituisce la valutazione clinica né gli obblighi del tuo caso specifico. Il metodo rende visibili scopo, esclusioni e carenze, così la decisione operativa ha sempre un nome e un cognome.