AI e segreto professionale: guida pratica per psicologi

L'intelligenza artificiale sta entrando prepotentemente anche negli studi di psicologia. Strumenti di trascrizione automatica, assistenti per la gestione amministrativa, piattaforme di analisi del testo: le possibilità sono molteplici e potenzialmente utili. Tuttavia, molti colleghi si fermano di fronte a un dubbio legittimo: posso davvero utilizzare questi strumenti senza violare il segreto professionale e la normativa sulla privacy?

La questione non è banale. Da un lato, la curiosità professionale e il desiderio di ottimizzare il lavoro ci spingono a esplorare queste tecnologie. Dall'altro, la consapevolezza dei vincoli deontologici e normativi che ci legano ci rende giustamente cauti. Il rischio è rimanere paralizzati dall'incertezza, rinunciando a priori a strumenti che potrebbero migliorare alcuni aspetti della nostra attività.

La buona notizia è che esistono margini di utilizzo dell'AI compatibili con la nostra professione, a patto di conoscere esattamente cosa fare e cosa evitare. Vediamo quindi nel concreto quali sono i paletti normativi e deontologici, e soprattutto quali applicazioni pratiche sono possibili senza correre rischi.

Il quadro normativo di riferimento

Prima di parlare di applicazioni pratiche, dobbiamo essere chiari sui vincoli che ci legano. Il segreto professionale per noi psicologi non è una semplice buona pratica, ma un obbligo sancito su più livelli normativi.

Il Codice Deontologico degli Psicologi Italiani dedica al tema l'articolo 13, che stabilisce che lo psicologo è strettamente tenuto al segreto professionale su tutto ciò di cui viene a conoscenza nell'esercizio della propria attività. Questo vincolo non cessa con il cessare del rapporto professionale e sopravvive anche alla morte del paziente. L'articolo 14 specifica inoltre che lo psicologo deve adottare ogni cautela per la custodia del materiale relativo ai pazienti.

Sul piano normativo generale, l'articolo 622 del Codice Penale punisce la rivelazione di segreti professionali, mentre il GDPR (Regolamento UE 2016/679) all'articolo 9 classifica i dati relativi alla salute come "categorie particolari di dati personali", richiedendo misure di protezione rafforzate. In particolare, questi dati possono essere trattati solo in presenza di condizioni specifiche e con adeguate garanzie.

Infine, il Provvedimento del Garante per la Protezione dei Dati Personali del 12 novembre 2014 (aggiornato successivamente) fornisce le linee guida specifiche per il trattamento dei dati in ambito sanitario, includendo esplicitamente le professioni sanitarie come la nostra.

I rischi concreti dell'uso improprio dell'AI

Quando carichiamo dati su piattaforme di intelligenza artificiale, tipicamente questi dati vengono:

• Trasferiti sui server dell'azienda che fornisce il servizio, spesso localizzati fuori dall'UE
• Potenzialmente utilizzati per addestrare i modelli di AI (a meno di specifiche clausole contrattuali)
• Processati da sistemi che non garantiscono la cancellazione definitiva dopo l'elaborazione
• Esposti a possibili data breach, con conseguenze amplificate dalla natura sensibile dei dati

Un esempio concreto: utilizzare ChatGPT (versione gratuita) per riassumere il caso clinico di un paziente significa trasferire quei dati a OpenAI, che li processa su server americani e potenzialmente li utilizza per migliorare il proprio modello. Questo configura una palese violazione sia del segreto professionale sia del GDPR.

Le conseguenze possono essere severe: sanzioni del Garante della Privacy (fino a 20 milioni di euro o al 4% del fatturato globale annuo), procedimenti disciplinari da parte dell'Ordine degli Psicologi, e naturalmente responsabilità penale per violazione del segreto professionale ex art. 622 c.p.

Cosa si può fare: applicazioni legittime dell'AI

Chiarito cosa evitare, vediamo le applicazioni concrete che possiamo implementare senza violare i nostri obblighi:

1. Supporto amministrativo con dati anonimi

Possiamo utilizzare l'AI per gestione dell'agenda, promemoria, elaborazione di template per documenti amministrativi standard (contratti, consensi informati generici, privacy policy). L'importante è non inserire mai dati identificativi dei pazienti o contenuti clinici.

2. Formazione e supervisione con casi completamente anonimizzati

È possibile utilizzare strumenti AI per discutere di casi clinici, a patto che vengano completamente anonimizzati: non solo rimuovendo nome e cognome, ma eliminando qualsiasi elemento che possa rendere la persona identificabile (professione specifica, dettagli biografici particolari, eventi unici). L'anonimizzazione vera, però, è più complessa di quanto sembri e richiede cautela.

3. Strumenti AI locali o on-premise

Esistono soluzioni di intelligenza artificiale che possono essere installate localmente sui propri dispositivi, senza trasferimento dati a terzi. Questi strumenti, se adeguatamente configurati e utilizzati su dispositivi protetti, possono essere compatibili con i nostri obblighi. Ovviamente richiedono competenze tecniche più avanzate.

4. Piattaforme con contratti DPA conformi al GDPR

Alcune aziende offrono versioni "business" o "enterprise" dei loro servizi AI con Data Processing Agreements (DPA) conformi al GDPR. Questi contratti garantiscono che i dati non vengano utilizzati per training, vengano processati in UE o con adeguate garanzie, e siano cancellati dopo l'uso. Anche in questo caso, però, resta il vincolo del segreto professionale: dobbiamo valutare se il trattamento è davvero necessario e proporzionato.

5. Ricerca e aggiornamento professionale

Possiamo utilizzare l'AI per ricerche bibliografiche, sintesi di letteratura scientifica, traduzione di articoli, preparazione di materiali formativi. In questi casi non trattiamo dati personali e quindi non ci sono particolari vincoli, se non quelli del diritto d'autore.

Principi pratici per un uso sicuro

Al di là dei singoli strumenti, alcuni principi generali possono guidarci:

• Minimizzazione dei dati: chiediamoci sempre se è davvero necessario utilizzare l'AI per quella specifica attività, o se esistono alternative tradizionali altrettanto efficaci
• Separazione netta: utilizziamo l'AI solo per attività amministrative/formative, mai per il trattamento diretto di contenuti clinici identificabili
• Verifica dei ToS: leggiamo sempre i termini di servizio delle piattaforme, verificando dove vengono processati i dati e per quali finalità
• Documentazione: annotiamo nel registro dei trattamenti (obbligatorio per GDPR) quali strumenti AI utilizziamo e per quali finalità
• Formazione continua: il panorama tecnologico e normativo evolve rapidamente; manteniamoci aggiornati

Un criterio empirico utile: se avremmo dubbi a condividere quella stessa informazione via email non cifrata o a discuterne in un bar, probabilmente non dovremmo inserirla in uno strumento AI di terze parti.

Il modo più rapido per mettersi in regola

La complessità del quadro normativo e deontologico può scoraggiare. Tra Codice Deontologico, GDPR, provvedimenti del Garante e normative settoriali, orientarsi non è semplice, e il rischio di commettere errori è concreto.

Per questo motivo, molti colleghi scelgono di affidarsi a una modulistica già pronta, predisposta da esperti del settore, che tenga conto di tutte le fonti normative rilevanti. Avere a disposizione template aggiornati di informative privacy, consensi informati, registri dei trattamenti e policy interne può far risparmiare decine di ore di lavoro e, soprattutto, ridurre significativamente il rischio di non conformità.

Una documentazione ben strutturata non è solo un obbligo formale: è la dimostrazione concreta, in caso di verifiche o contestazioni, che abbiamo operato con la diligenza richiesta dalla nostra professione. È la differenza tra dover improvvisare giustificazioni e poter mostrare un sistema di tutele già implementato.

Il tempo che dedichiamo alla corretta gestione amministrativa e normativa del nostro studio è tempo investito nella serenità professionale e nella tutela dei nostri pazienti. E in un contesto tecnologico in rapida evoluzione come quello attuale, avere basi solide diventa ancora più importante.