La corsa all’intelligenza artificiale sta trasformando i dati personali nel nuovo petrolio dell’economia digitale, ma esistono informazioni che valgono molto più di qualsiasi cronologia di navigazione o preferenza di acquisto. I dati sanitari, la posizione geografica e persino ciò che milioni di persone confidano quotidianamente a chatbot come ChatGPT, Claude o Grok rappresentano una miniera di valore economico, assicurativo e commerciale. Negli Stati Uniti questo tema è tornato al centro del dibattito politico con una nuova proposta legislativa guidata dalla senatrice Elizabeth Warren e dalla deputata Mary Gay Scanlon, destinata ad aggiornare l’Health and Location Data Protection Act per adattarlo all’era dell’intelligenza artificiale.
La proposta nasce da una constatazione semplice quanto scomoda. Sempre più utenti caricano volontariamente cartelle cliniche, referti, risonanze magnetiche, esami del sangue e informazioni estremamente sensibili all’interno delle piattaforme AI, spesso nella convinzione che tali dati rimangano confinati all’interno di un rapporto privato con il modello. In realtà, negli Stati Uniti la protezione di queste informazioni dipende ancora in larga misura dalle policy aziendali, dai termini di servizio e dalle promesse formulate dalle singole imprese tecnologiche, in assenza di una legge federale generale sulla privacy paragonabile a quella europea.
La nuova versione del disegno di legge amplia significativamente il perimetro della normativa originaria del 2022. Non si limita più a vietare ai data broker di raccogliere e vendere dati sanitari e di geolocalizzazione, ma impedisce anche alle aziende che li raccolgono di cederli successivamente agli intermediari specializzati nella compravendita di dati personali. L’aspetto più innovativo riguarda però l’esplicito riferimento ai dati inseriti nei sistemi di intelligenza artificiale, un elemento che fino a pochi anni fa non sarebbe nemmeno stato immaginabile.
Il tempismo non è casuale. Negli ultimi mesi quasi tutti i grandi laboratori di AI hanno iniziato una rapida espansione nel settore sanitario. A gennaio Elon Musk ha invitato pubblicamente gli utenti a caricare cartelle cliniche e immagini diagnostiche su Grok per migliorare l’assistenza personalizzata. Nello stesso periodo OpenAI ha presentato ChatGPT Health e una versione dedicata agli operatori sanitari, mentre Anthropic ha annunciato Claude for Healthcare, progettato per essere conforme ai requisiti previsti dall’HIPAA, la normativa americana sulla protezione delle informazioni sanitarie. La sanità rappresenta probabilmente il mercato verticale più promettente per l’intelligenza artificiale, ma anche quello in cui una perdita di dati può produrre conseguenze economiche, assicurative e personali estremamente gravi.
La proposta legislativa attribuisce inoltre nuovi poteri di intervento alla Federal Trade Commission, imponendo all’autorità di definire le regole attuative entro 180 giorni dall’approvazione della legge. Verrebbe stanziato un finanziamento di un miliardo di dollari distribuito nell’arco di dieci anni per rafforzare le attività di controllo e di enforcement. Oltre alla FTC, anche i procuratori generali dei singoli Stati e gli stessi cittadini danneggiati potrebbero promuovere azioni legali contro eventuali violazioni.
Il dibattito americano mette inevitabilmente sotto i riflettori la situazione europea, dove il quadro regolatorio appare decisamente più avanzato. Il principale riferimento rimane il Regolamento Generale sulla Protezione dei Dati (GDPR), entrato in vigore nel 2018, che considera i dati sanitari una categoria particolare di dati personali soggetta a protezioni rafforzate. In Europa il trattamento di queste informazioni richiede specifiche basi giuridiche, forti garanzie organizzative e tecniche e il rispetto di rigorosi principi di minimizzazione, limitazione delle finalità e sicurezza.
Il quadro normativo europeo è stato ulteriormente rafforzato dall’AI Act, la prima disciplina organica al mondo dedicata all’intelligenza artificiale. Pur non affrontando direttamente il commercio dei dati da parte dei broker, il regolamento introduce obblighi stringenti per i sistemi AI ad alto rischio, molti dei quali operano proprio nel settore sanitario. A questo si aggiunge l’European Health Data Space, destinato a creare un ecosistema comune per la condivisione sicura delle informazioni mediche all’interno dell’Unione Europea, mantenendo il controllo in capo ai cittadini e agli enti autorizzati.
Questo non significa che l’Europa possa considerarsi immune dal problema. Molti chatbot utilizzati quotidianamente dai cittadini europei appartengono infatti ad aziende statunitensi, e i dati possono attraversare confini giuridici estremamente complessi. Inoltre, gli utenti spesso forniscono volontariamente informazioni molto più dettagliate rispetto a quelle che consegnerebbero a un medico o a una compagnia assicurativa, convinti che un assistente AI rappresenti una sorta di diario personale digitale. Dal punto di vista tecnologico, invece, quei dati costituiscono uno degli asset più preziosi per sviluppare modelli sempre più sofisticati, a condizione che vengano trattati nel rispetto delle norme applicabili.
La vera differenza tra Stati Uniti ed Europa non riguarda tanto la sensibilità verso la privacy quanto il modello regolatorio adottato. Negli Stati Uniti il legislatore continua a intervenire settore per settore, cercando di colmare lacune specifiche man mano che emergono nuove tecnologie. L’Europa ha invece scelto un approccio orizzontale, costruendo un sistema che tutela il dato personale indipendentemente dal contesto tecnologico nel quale viene utilizzato. Nessuno dei due modelli è perfetto, ma la crescente integrazione tra intelligenza artificiale e sanità dimostra che le regole scritte dieci anni fa devono essere costantemente aggiornate.
La vicenda evidenzia anche un cambiamento più profondo. L’intelligenza artificiale non sta semplicemente elaborando dati, ma sta diventando il luogo nel quale le persone confidano dubbi medici, sintomi, paure, diagnosi e decisioni terapeutiche. Quando un chatbot diventa il primo interlocutore sanitario di milioni di cittadini, la protezione delle informazioni condivise non rappresenta più soltanto una questione di privacy, bensì un elemento fondamentale di fiducia nell’intero ecosistema digitale. Chi controllerà questi dati controllerà una parte significativa dell’economia dell’AI dei prossimi dieci anni.