Chatbot sul sito di una clinica: cosa chiede l'AI Act e cosa evitare

Un assistente virtuale sul sito può rispondere a qualunque ora su orari, sedi, documenti da portare, preparazione agli esami e prenotazioni. Per una struttura sanitaria però le regole sono più di quelle di un negozio online: c'è l'AI Act europeo, c'è la legge italiana sull'intelligenza artificiale, ci sono i dati sulla salute e le regole della comunicazione sanitaria.

Ecco cosa controllare prima di pubblicarlo, o subito se il chatbot è già online.

Dire chiaramente che è un'intelligenza artificiale

L'articolo 50 dell'AI Act chiede che le persone sappiano di parlare con un sistema di intelligenza artificiale, a meno che sia evidente dal contesto. Questi obblighi di trasparenza si applicano dal 2 agosto 2026. Spettano al fornitore del sistema, ma il chatbot parla a nome della struttura: verifica che lo faccia.

In pratica basta un primo messaggio chiaro, per esempio: «Sono l'assistente virtuale della struttura, un sistema di intelligenza artificiale. Posso aiutarti con informazioni e prenotazioni, non con domande sulla tua salute».

Se il chatbot genera testi con un modello di intelligenza artificiale generativa, il fornitore deve anche marcarli in un formato leggibile dalle macchine, così che siano riconoscibili come generati artificialmente (articolo 50, paragrafo 2). Per i sistemi già sul mercato prima del 2 agosto 2026 l'Omnibus digitale sull'IA ha concesso tempo fino al 2 dicembre 2026. Chiedi al fornitore come e da quando lo fa.

Niente diagnosi: la decisione resta al medico

La Legge 132/2025, la legge italiana sull'intelligenza artificiale in vigore dal 10 ottobre 2025, è chiara: in sanità questi sistemi «costituiscono un supporto nei processi di prevenzione, diagnosi, cura e scelta terapeutica» e la decisione «è sempre rimessa agli esercenti la professione medica». Il paziente ha inoltre «diritto di essere informato sull'impiego di tecnologie di intelligenza artificiale».

Un chatbot che valuta sintomi o suggerisce se andare al pronto soccorso entra in un altro campo. Secondo le linee guida europee sul software medico (MDCG 2019-11), un software che risponde a domande generali o prenota visite non è un dispositivo medico. Può diventarlo quando ha uno scopo medico per il singolo paziente, per esempio elaborare i suoi sintomi per suggerire possibili condizioni, urgenze o terapie: a quel punto servono la marcatura CE e obblighi molto più pesanti. Conta anche come lo presenti, perché lo scopo dichiarato si legge pure nei testi promozionali: un chatbot descritto sul sito come «valuta i tuoi sintomi» rischia di entrare da solo in quella categoria.

Il confine pratico è semplice: informazioni generali, logistica e prenotazioni sì; sintomi, terapie e referti no. Quando la domanda è clinica il chatbot passa la mano: un numero di telefono, un modulo di contatto e, per le emergenze, il 112.

I dati sulla salute nelle conversazioni

Le persone scrivono ai chatbot anche quello che non dovrebbero: sintomi, farmaci, esiti di esami. Sono dati sulla salute, una delle categorie particolari dell'articolo 9 del GDPR. Prima di attivare il servizio:

• non chiedere informazioni cliniche e avvisa di non scriverle;
• scegli un fornitore che non usi le conversazioni per addestrare i propri modelli e firma con lui un accordo per il trattamento dei dati;
• decidi per quanto tempo conservare le conversazioni e chi può leggerle;
• aggiorna l'informativa privacy e valuta con il responsabile della protezione dei dati se serve una valutazione d'impatto.

Le risposte sono comunicazione sanitaria

Quello che il chatbot scrive è comunicazione della struttura. Per le strutture sanitarie private vale la legge sulla pubblicità sanitaria (art. 1, comma 525, della Legge 145/2018): sono ammesse le informazioni, non i toni promozionali o suggestivi. Quindi niente promesse di risultati, niente sconti in evidenza, niente confronti con altre strutture. Le risposte vanno costruite su testi approvati dalla direzione sanitaria e ricontrollate quando cambiano servizi o prezzi.

Accessibile, anche dal telefono

Il widget fa parte del sito: deve funzionare da tastiera, essere letto dai lettori di schermo e avere testi ben contrastati. Sul telefono non deve coprire il pulsante per prenotare né il banner dei cookie.

Checklist prima di pubblicarlo

1. Il primo messaggio dice che è un sistema di intelligenza artificiale e cosa può fare.
2. Il fornitore spiega per iscritto come rispetta gli obblighi di trasparenza dell'AI Act.
3. Il chatbot non risponde a domande cliniche e indica a chi rivolgersi.
4. Le risposte nascono da contenuti approvati dalla direzione sanitaria.
5. Nessun dato sulla salute richiesto, conservazione e accessi definiti, informativa aggiornata.
6. Accordo per il trattamento dei dati firmato con il fornitore.
7. Testi controllati rispetto alle regole della pubblicità sanitaria.
8. Widget provato da tastiera, con lettore di schermo e sul telefono.

Se stai valutando un assistente virtuale per il sito della tua struttura, possiamo aiutarti a decidere cosa deve fare e cosa no: guarda come lavoriamo con l'intelligenza artificiale oppure scrivici.

Fonti: Commissione europea, obblighi di trasparenza dal 2 agosto 2026; Regolamento (UE) 2026/1744; Legge 132/2025, articolo 7; MDCG 2019-11, revisione 1.

Aggiornato al 1 novembre 2026. Articolo preparato con il supporto di strumenti di intelligenza artificiale e verificato sulle fonti indicate.