L’evoluzione delle sperimentazioni cliniche vede la progressiva integrazione di soluzioni di Intelligenza Artificiale (AI) e l’affermazione dei Decentralized Clinical Trials (DCT), che ridisegnano i modelli di Ricerca e Sviluppo (R&D) nel settore sanitario, biofarmaceutico e medtech.

Questo offre ovviamente opportunità straordinarie in termini di efficienza, velocizzazione del reclutamento e personalizzazione delle terapie, ma, dall’altra parte, comporta un’evoluzione parallela della matrice di rischio. Le sfide, dunque, non sono più unicamente cliniche o scientifiche, ma investono direttamente la governance legale, la protezione dei dati, la cybersecurity e la strutturazione delle filiere contrattuali delle organizzazioni partecipanti.

1. La Governance del dato nei Decentralized Clinical Trials (DCT)

La delocalizzazione della sperimentazione clinica, mediante l’impiego di wearable devices, sensoristica IoT, sistemi di telemedicina e protocolli di assistenza domiciliare, comporta una migrazione del trattamento dei dati al di fuori dal tradizionale perimetro della struttura sanitaria.

Dal punto di vista della Data Protection e del rispetto del Regolamento (UE) 2016/679 (GDPR), tale frammentazione solleva importanti criticità:

• Perimetrazione dei ruoli privacy: La coesistenza di molteplici attori (Sponsor, CRO, fornitori di piattaforme cloud, device provider e centri clinici) rende fondamentale definire con esattezza la qualificazione giuridica dei rapporti (accordi di Contitolarità ex art. 26 o catene di nomine a Responsabile del Trattamento ex art. 28 GDPR).
• Sicurezza delle architetture distribuite: Il flusso continuo di dati personali relativi alla salute, raccolti direttamente presso il domicilio del paziente e trasmessi attraverso reti e dispositivi terzi, amplia significativamente la superficie di attacco cyber.
• Minimizzazione e Data Governance: Occorre bilanciare la quantità di dati biometrici e fisiologici raccolti in tempo reale dai dispositivi con i principi di minimizzazione e limitazione della conservazione sanciti dal GDPR.

L’inadeguatezza dell’architettura di compliance privacy non espone l’azienda soltanto a sanzioni, ma rischia di inficiare l’utilizzabilità stessa dei dati raccolti ai fini dell’approvazione dello studio.

2. Intelligenza Artificiale e trial clinici: profili di imputabilità e AI Governance

L’impiego dell’Intelligenza Artificiale nelle fasi di progettazione dei trial, nell’identificazione dei target terapeutici e nella selezione/monitoraggio dei pazienti si sta consolidando rapidamente. Ciononostante, l’integrazione di sistemi algoritmici nei processi decisionali introduce anche profili rilevanti dal punto di vista giuridico:

• Allocazione della responsabilità civile: Nel caso in cui un algoritmo diagnostico o predittivo generi un errore, un bias di reclutamento o una mancata rilevazione di eventi avversi, la determinazione delle responsabilità non è lineare, rendendo complesso stabilire i limiti entro cui ciascun attore è tenuto a rispondere.
• Conformità con l’AI Act e il quadro regolatorio: L’impiego di sistemi di AI nel contesto medico-sanitario e nell’ambito dei dispositivi medici si scontra con la rigorosa disciplina europea sui sistemi ad alto rischio (AI Act) e con le linee guida delle autorità regolatorie.

L’auditabilità dei modelli algoritmici, la tracciabilità delle decisioni (explainability) e la gestione del rischio di discriminazione algoritmica diventano prerequisiti essenziali per garantire la validità scientifica e la sostenibilità legale dei progetti.

3. Dalla responsabilità sanitaria al “rischio complesso”: la convergenza delle tutele

L’approccio tradizionale al risk management, focalizzato quasi esclusivamente sulla Responsabilità Civile Sanitaria, si rivela oggi insufficiente di fronte alla convergenza di rischi interconnessi generata dall’innovazione:

1. Rischio clinico: Legato alla sicurezza del paziente e all’efficacia del trattamento.
2. Rischio tecnologico e di prodotto: Relativo al malfunzionamento di hardware, software o dispositivi IoT.
3. Rischio cyber e di Business Continuity: Derivante da possibili attacchi informatici, ransomware o perdite di dati che possono interrompere la continuità dello studio.
4. Rischio regolatorio: Conseguente alla non conformità alle normative europee e nazionali.

Per gestire tale complessità, è indispensabile procedere a una revisione sistematica della contrattualistica di filiera. I contratti tra Sponsor, CRO e Tech Vendor non possono essere considerati semplici accordi di fornitura di servizi IT, ma devono contenere clausole specifiche su responsabilità, manleve, garanzie, Service Level Agreements (SLA) e allocazioni del rischio perfettamente integrate con il protocollo clinico.

Considerazioni conclusive 

L’adozione di tecnologie emergenti nei trial clinici con IA e DCT offre un vantaggio competitivo straordinario per le scienze della vita, ma richiede una visione strategica e multidisciplinare fin dalla fase di concezione del protocollo di ricerca.

In questo scenario, la legal compliance, la tutela dei dati e la sicurezza delle infrastrutture informatiche smettono di essere meri adempimenti burocratici ex post e si trasformano in veri e propri abilitatori, volti a proteggere il valore degli investimenti, l’attrattività e la reputazione.