ferie del dirigente e algoritmi

Intelligenza artificiale nelle aziende sanitarie: il dirigente non può andare in ferie e lasciare firmare l’algoritmo. Focu a cura di Luca Leccisotti.

C’è una nuova tentazione che attraversa le amministrazioni pubbliche, e nelle aziende sanitarie rischia di diventare irresistibile: prendere l’intelligenza artificiale, caricarla di atti, note, determine, fabbisogni, pareri, procedure, reclutamenti, contenziosi, capitolati, turni, segnalazioni, flussi informativi, obblighi PNRR, adempimenti privacy e richieste sindacali, e poi guardarla con la stessa speranza con cui si guarda un nuovo dirigente appena arrivato: “pensaci tu”. Peccato che l’IA non sia un dirigente, non sia un responsabile del procedimento, non sia un direttore di area, non sia un legale interno, non sia il RUP, non sia il DEC e, soprattutto, non sia il soggetto che risponde davanti al direttore generale, alla Corte dei conti, al TAR, al Garante privacy o all’Agenzia per la cybersicurezza nazionale.

Il dato di partenza, però, è ormai irreversibile. Un’indagine del Dipartimento della funzione pubblica su oltre 8.000 dipendenti pubblici indica che il 75,2% utilizza già strumenti di intelligenza artificiale e che l’80% li considera utili per automazione e analisi dati. Non siamo più nel territorio dei convegni futuristici, delle slide motivazionali o delle parole inglesi pronunciate per impressionare il pubblico. L’IA è già dentro la scrivania del dipendente pubblico. La vera questione, quindi, non è se entrerà nelle aziende sanitarie. È come vi entrerà, chi la governerà e con quali limiti.

La formula richiamata dal Ministro per la pubblica amministrazione Paolo Zangrillo coglie il punto essenziale: l’IA deve essere un supporto e la responsabilità deve restare degli uomini. Questa frase, nella sanità pubblica, non è un consiglio di buon senso. È una clausola di sopravvivenza istituzionale. Perché in un’azienda sanitaria l’errore amministrativo non è mai soltanto amministrativo. Può incidere su un appalto di dispositivi medici, su un servizio essenziale, su un incarico professionale, su una graduatoria, su una procedura di mobilità, su una manutenzione impiantistica, su un sistema informativo, su una prestazione sanitaria, su dati personali e sanitari, su contratti PNRR, su infrastrutture critiche, su responsabilità dirigenziali e contabili.

Il dirigente resta responsabile: l’IA deve supportare, non decidere

Il dirigente, dunque, deve continuare a fare il dirigente. Può usare l’IA per leggere meglio, analizzare più rapidamente, sintetizzare documenti, costruire check-list, confrontare clausole, individuare criticità, organizzare dati, simulare impatti, predisporre bozze. Ma non può sostituire il proprio giudizio con un output algoritmico, come se la funzione dirigenziale fosse diventata un servizio in cloud. Il dirigente decide, valuta, motiva, firma, organizza, controlla, assume responsabilità. L’IA supporta. Se questa gerarchia si ribalta, l’amministrazione non diventa più moderna: diventa più irresponsabile, ma con un’interfaccia più elegante.

Nelle aree del personale, l’impatto è enorme. L’intelligenza artificiale può aiutare a mappare competenze, analizzare fabbisogni, leggere curricula, individuare percorsi formativi, supportare processi di reskilling, costruire matrici di professionalità e orientare la mobilità interna. Il toolkit Minerva, richiamato nell’esperienza della Funzione pubblica, viene descritto come piattaforma per mettere a disposizione della PA dati, profili e strumenti per una gestione delle risorse umane basata sulle competenze, anche ai fini di selezione, mobilità e reskilling. Ma in un’azienda sanitaria tutto questo va maneggiato con estrema cautela.

L’algoritmo può aiutare a leggere un fabbisogno, ma non può decidere se una struttura complessa debba essere potenziata, se un incarico dirigenziale sia coerente con l’atto aziendale, se una carenza di personale impatti sui LEA, se una graduatoria debba essere utilizzata o se una professionalità sia davvero fungibile. L’IA può ordinare informazioni; non può sostituire il governo del personale. Se l’area personale si limita a chiedere alla macchina “quali profili servono?”, l’errore è già iniziato. La domanda vera resta amministrativa: quale organizzazione sanitaria vogliamo sostenere, con quali vincoli di spesa, con quali priorità assistenziali, con quali competenze e con quale responsabilità gestionale?

Appalti e aree tecniche: la tecnologia non può sostituire le verifiche

Nelle aree tecniche, l’IA può essere ancora più seducente. Può supportare la lettura di capitolati, la verifica di cronoprogrammi, il monitoraggio di SAL, la comparazione tra offerte, il controllo di manutenzioni, la gestione del patrimonio, l’analisi dei rischi negli impianti, la programmazione degli interventi PNRR, la raccolta di dati su apparecchiature, edifici, lavori, energia, sicurezza e tecnologie sanitarie. Ma proprio qui il rischio è altissimo. L’area tecnica sanitaria non gestisce astratte procedure: gestisce ospedali, ambulatori, impianti, sale operatorie, centrali tecnologiche, sistemi radiologici, reti, software, dispositivi, continuità di servizio. Un errore nella manutenzione o in un affidamento non produce solo un vizio di determina. Può bloccare un reparto, ritardare un intervento, compromettere una prestazione, esporre l’azienda a responsabilità plurime.

Nel Codice dei contratti pubblici, l’IA può essere un ausilio, non una scorciatoia. Può aiutare il RUP a costruire una matrice dei rischi, a verificare la coerenza di un capitolato, a individuare clausole mancanti, a predisporre uno schema di controllo dell’esecuzione. Ma non può decidere il fabbisogno, non può scegliere il criterio di aggiudicazione, non può valutare discrezionalmente offerte tecniche, non può sostituire la commissione giudicatrice, non può firmare il certificato di regolare esecuzione, non può assumere la responsabilità di una proroga, di una variante o di una contestazione all’appaltatore. La digitalizzazione degli appalti non è il funerale della responsabilità umana. È, semmai, la sua esposizione a una tracciabilità maggiore.

Nelle aree legali, poi, la tentazione del “parere automatico” è quasi irresistibile. L’IA scrive bene, argomenta con sicurezza, usa formule convincenti, cita norme, ricostruisce orientamenti. Il problema è che talvolta inventa, semplifica, confonde discipline, presenta come pacifico ciò che è controverso, trascina riferimenti non aggiornati o costruisce un ragionamento elegante su un presupposto sbagliato. In sanità, un parere errato può incidere su contenziosi del personale, responsabilità professionale, appalti, accreditamento, privacy, accesso agli atti, procedimenti disciplinari, convenzioni, rapporti con fornitori, conflitti sindacali. Il legale interno o l’avvocatura possono usare l’IA per studio, sintesi e comparazione, ma non possono delegarle la qualificazione giuridica del caso. Il diritto non è una produzione automatica di testo: è assunzione di responsabilità argomentativa.

Il rischio della deresponsabilizzazione e gli obblighi di cybersicurezza

Il rischio più grave è la deresponsabilizzazione dirigenziale. Prima si diceva “lo ha fatto l’ufficio”. Poi “lo ha fatto il software”. Ora rischiamo “lo ha suggerito l’IA”. Tre formule diverse per lo stesso tentativo: allontanare dal decisore il peso della decisione. Ma nel diritto amministrativo la responsabilità non evapora perché compare un’interfaccia intelligente. Se una determina è illegittima, non la salva il fatto che la bozza fosse generata da un sistema. Se un provvedimento è motivato male, non lo rende migliore la fluidità del linguaggio. Se un appalto è costruito su criteri distorsivi, non lo redime la tecnologia. Se un trattamento di dati sanitari è illecito, non lo purifica l’efficienza.

Nelle aziende sanitarie il tema si salda immediatamente con la cybersicurezza. La Direttiva NIS 2 è stata recepita in Italia con il d.lgs. 4 settembre 2024, n. 138, che stabilisce misure per garantire un livello elevato di sicurezza informatica a livello nazionale. Il Ministero della Salute è Autorità di settore per il settore sanitario e per il settore della fabbricazione di dispositivi medici e dispositivi medico-diagnostici in vitro, in collaborazione con l’Autorità nazionale competente NIS, cioè l’Agenzia per la cybersicurezza nazionale.

Questo significa che l’IA in sanità non può essere trattata come un giocattolo produttivo. Ogni strumento che entra nei processi aziendali deve essere letto anche alla luce del rischio cyber: accessi, credenziali, dati trattati, localizzazione dei server, logging, interoperabilità, vulnerabilità, dipendenza dal fornitore, continuità operativa, incident response, gestione delle terze parti, segmentazione delle reti, misure organizzative e formazione. NIS 2 non è una medaglia da appuntare sulla delibera di istituzione dell’ufficio cybersecurity. È un cambio di postura: la sicurezza diventa responsabilità gestionale, non problema del solo informatico.

L’azienda sanitaria è un bersaglio sensibile perché tiene insieme dati sanitari, dati amministrativi, sistemi clinici, appalti, forniture, personale, infrastrutture, dispositivi connessi, reti ospedaliere, piattaforme regionali, fascicolo sanitario, diagnostica, sale operatorie, pronto soccorso, laboratori, sistemi di prenotazione e fatturazione. Inserire IA in questo ecosistema senza governance significa aumentare la superficie di attacco. Non è modernità: è esposizione.

Fornitori, contratti e protezione dei dati: serve una governance integrata

Per questo l’area tecnica e i sistemi informativi devono parlare con l’area legale, con il personale, con il DPO, con il responsabile della transizione digitale, con il responsabile della cybersicurezza e con le direzioni strategiche. L’IA non può essere acquistata come una normale fornitura software, con quattro specifiche copiate e una demo convincente. Nei capitolati devono entrare clausole su sicurezza, auditabilità, tracciabilità, protezione dei dati, divieto di riutilizzo non autorizzato delle informazioni, localizzazione e trasferimento dei dati, livelli di servizio, gestione degli incidenti, obblighi del fornitore, subfornitori, interoperabilità, reversibilità, continuità operativa, formazione e supporto. Se il sistema usa modelli generativi, occorre sapere cosa entra, cosa esce, cosa resta memorizzato e chi può accedervi.

La NIS 2 impone di guardare anche alla supply chain. Un’azienda sanitaria non è sicura solo perché ha un firewall. È sicura se governa i fornitori che entrano nei propri sistemi, se controlla le credenziali, se valuta i software, se impone obblighi di sicurezza, se monitora le vulnerabilità, se sa cosa fare quando un servizio digitale si interrompe. L’IA, spesso fornita da terzi, amplifica questo tema. Il fornitore non è più soltanto chi consegna un applicativo. Può diventare il soggetto che tratta dati, elabora informazioni, influenza processi e condiziona decisioni operative. Il contratto, quindi, non può essere ingenuo.

Nell’area personale, l’IA può aiutare a costruire piani formativi mirati, ma non può profilare i dipendenti senza regole. Nell’area tecnica, può aiutare a prevenire criticità manutentive, ma non può occultare la necessità di verifica professionale. Nell’area legale, può supportare la ricerca, ma non può sostituire il parere qualificato. Nell’area appalti, può assistere la redazione degli atti, ma non può trasformare il RUP in un validatore distratto di testi generati. Nell’area sanitaria, può supportare processi clinico-organizzativi, ma deve restare dentro regole rigorose di responsabilità, sicurezza e appropriatezza.

Formazione e strumenti istituzionali per un uso responsabile dell’IA

Il vero punto è che l’intelligenza artificiale non deve diventare il modo elegante con cui il dirigente rinuncia a dirigere. Dirigere significa scegliere priorità, valutare rischi, organizzare risorse, assumere decisioni, controllare risultati, correggere errori, rispondere degli effetti. Se l’IA viene usata per evitare il giudizio, l’amministrazione si impoverisce. Se viene usata per rafforzarlo, l’amministrazione migliora. La differenza non la fa l’algoritmo. La fa il dirigente.

La PA sta sperimentando strumenti istituzionali come Agorà, descritto come ecosistema di soluzioni agentiche per i momenti chiave della vita professionale dei dipendenti pubblici, e il portale inPA con funzioni come Skill matrix e l’assistente virtuale Camilla. Questi strumenti indicano una direzione corretta: l’IA come infrastruttura governata, non come uso solitario e clandestino. Anche le aziende sanitarie devono muoversi così: policy interne, formazione, catalogo degli strumenti autorizzati, divieti chiari, procedure di validazione, coinvolgimento del DPO e della cybersecurity, controllo dei fornitori, audit periodici e responsabilità dirigenziale non delegabile.

La formazione è decisiva. Non basta insegnare a scrivere prompt. Bisogna insegnare a riconoscere errori, limiti, bias, allucinazioni, rischi privacy, rischi cyber, problemi di segreto d’ufficio, obblighi di trasparenza, impatti sulla motivazione amministrativa. Un dirigente che usa l’IA senza comprenderla è pericoloso quanto un dirigente che la vieta senza conoscerla. Nel primo caso delega troppo; nel secondo lascia crescere usi informali non controllati. La via adulta è governare.

Il dirigente non può delegare all’algoritmo la propria responsabilità

La satira finale è semplice. L’intelligenza artificiale non è il nuovo direttore amministrativo invisibile. Non è il dirigente tecnico che non chiede ferie. Non è l’avvocato che scrive pareri gratis. Non è il funzionario del personale che conosce tutti i fascicoli. Non è il RUP che non sbaglia mai. È uno strumento potente, utile, veloce e talvolta pericolosamente convincente. Ma se l’azienda sanitaria lo usa per sostituire il giudizio dirigenziale, non sta innovando. Sta solo costruendo una nuova forma di irresponsabilità digitale.

In conclusione, l’IA nelle aziende sanitarie deve entrare, ma dalla porta principale: governance, sicurezza, NIS 2, privacy, formazione, contratti robusti, controllo umano, responsabilità dirigenziale. Deve aiutare il personale a lavorare meglio, le aree tecniche a programmare e controllare, le aree legali a studiare e prevenire contenziosi, gli appalti a ridurre errori e migliorare qualità. Ma il dirigente deve restare dirigente. Perché quando l’algoritmo sbaglia, non firma la determina, non risponde alla Corte dei conti, non gestisce l’incidente cyber, non va davanti al TAR e non spiega al direttore generale perché un processo critico si è bloccato. Quella parte, per fortuna dell’ordinamento e sfortuna dei pigri, resta umana.