L’intelligenza artificiale generativa sta entrando rapidamente nei processi di farmacie, aziende farmaceutiche e organizzazioni healthcare: ricerca di informazioni, formazione, traduzioni, preparazione di bozze, analisi preliminari e supporto amministrativo. Il potenziale è concreto, soprattutto nei sistemi di gestione della qualità (QMS), dove molte attività dipendono da documentazione strutturata, aggiornamento continuo e capacità di recuperare rapidamente informazioni.
Per le organizzazioni che stanno strutturando o migliorando il proprio sistema qualità può essere utile partire anche dai principi alla base dei sistemi di gestione della qualità nelle farmacie svizzere.
Ma un uso utile dell’AI non coincide automaticamente con un uso conforme, affidabile o appropriato. Un modello linguistico può produrre una risposta molto convincente e, nello stesso tempo, inesatta; può utilizzare informazioni non aggiornate; può elaborare dati inviati a un fornitore esterno; e può rendere difficile ricostruire come si è arrivati a una determinata conclusione.
Nel settore sanitario questi aspetti assumono un peso particolare, perché dati personali, informazioni sanitarie, segreto professionale e responsabilità professionale possono essere coinvolti nello stesso processo.
Per questo la domanda non dovrebbe essere soltanto “possiamo usare l’intelligenza artificiale?”, ma piuttosto: “per quali attività, con quali dati, con quali strumenti e con quali controlli?”
AI in Svizzera: qual è il quadro normativo nel 2026?
Al 12 settembre 2026, in Svizzera non esiste ancora una legislazione generale e trasversale specificamente dedicata all’intelligenza artificiale. La Confederazione sta lavorando a un progetto di regolamentazione da porre in consultazione entro la fine del 2026. L’approccio annunciato dal Consiglio federale punta, per quanto possibile, su adeguamenti settoriali e su regole trasversali concentrate su aree quali trasparenza, protezione dei dati, non discriminazione e vigilanza.
Questo significa che l’AI Act dell’Unione europea non deve essere applicato automaticamente come se fosse diritto svizzero. Può naturalmente assumere rilevanza per determinate attività transfrontaliere, rapporti contrattuali o organizzazioni che operano anche sul mercato europeo, ma il suo impatto deve essere valutato caso per caso. L’approccio regolatorio svizzero annunciato è distinto e prevede anche l’attuazione della Convenzione del Consiglio d’Europa sull’intelligenza artificiale.
L’assenza di una “legge svizzera sull’AI” non equivale però a un vuoto normativo. L’IFPDT ha chiarito che la Legge federale sulla protezione dei dati (LPD) è tecnologicamente neutra e si applica direttamente anche ai trattamenti basati sull’AI.
La LPD considera inoltre i dati concernenti la salute come dati personali degni di particolare protezione. Prevede principi di liceità, proporzionalità, esattezza, privacy by design e by default e, nei casi che possono comportare un rischio elevato per la personalità o i diritti fondamentali, una valutazione d’impatto sulla protezione dei dati. Disciplina inoltre le decisioni individuali automatizzate: in determinate circostanze la persona interessata deve essere informata e può chiedere il riesame della decisione da parte di una persona fisica.
Per le professioni sanitarie entra anche in gioco il segreto professionale. L’UFSP ricorda che i professionisti della salute devono mantenere riservate le informazioni ricevute nell’esercizio della professione; fra le professioni interessate rientrano anche i farmacisti.
Un farmacista non dovrebbe quindi considerare un chatbot pubblico come un semplice “blocco note online” nel quale incollare informazioni riconducibili a un paziente.
Dove l’intelligenza artificiale può creare valore nel QMS
Ricerca documentale e consultazione delle SOP
Uno degli impieghi più promettenti consiste nel rendere interrogabile la documentazione interna. Un assistente collegato esclusivamente a SOP, istruzioni, moduli e documenti approvati può aiutare un collaboratore a individuare rapidamente la procedura corretta o il paragrafo rilevante.
Il beneficio è evidente: meno tempo speso a cercare file e maggiore accessibilità alla conoscenza aziendale. Il controllo decisivo consiste però nel fare in modo che il sistema risponda sulla base della documentazione vigente, mostri la fonte utilizzata e non presenti come certa un’informazione che non trova nei documenti approvati.
L’AI può quindi diventare un’interfaccia del QMS, ma non dovrebbe sostituire il documento controllato. La fonte ufficiale deve rimanere la versione approvata nel sistema documentale.
Formazione del personale e assistenza agli utenti
L’AI può trasformare una SOP in quiz, scenari formativi, FAQ o riassunti adattati al ruolo del collaboratore. Può inoltre supportare gli utenti nell’utilizzo di un software o nella comprensione di un processo.
È particolarmente interessante nelle organizzazioni multilingue: una stessa base formativa può essere adattata in italiano, francese, tedesco e inglese.
Anche qui occorre una revisione umana, soprattutto quando una traduzione può modificare il significato tecnico, clinico o regolatorio di una procedura.
Bozze, documentazione e attività amministrative
Verbali, e-mail, istruzioni operative, checklist, presentazioni, descrizioni di processo e bozze di documenti possono essere preparati più rapidamente con un assistente AI.
Per documenti soggetti al QMS, tuttavia, l’output dovrebbe essere trattato come una bozza: revisione, approvazione, versionamento e controllo delle modifiche restano quelli definiti dal sistema qualità.
L’AI può essere particolarmente efficace per attività amministrative a basso rischio, come riformattare testi, sintetizzare contenuti non riservati, proporre un indice o migliorare la chiarezza linguistica.
Reclami, deviazioni, CAPA e analisi preliminare dei dati
Un modello può aiutare a classificare reclami o deviazioni, identificare temi ricorrenti, raggruppare descrizioni simili e suggerire categorie per un’analisi di trend. Può inoltre supportare il brainstorming durante un’analisi delle cause.
Il confine da non superare è quello della decisione finale. La classificazione proposta dall’AI non dovrebbe determinare automaticamente criticità, causa radice, CAPA, chiusura di una deviazione o valutazione di impatto.
Per approfondire questo aspetto è utile collegare la governance dell’AI anche ai principi per costruire CAPA efficaci e analizzare correttamente la causa radice.
Traduzione e comunicazione multilingua
In Svizzera la traduzione è un caso d’uso particolarmente interessante. L’AI può ridurre sensibilmente tempi e costi nella produzione di comunicazioni multilingue, ma testi destinati a pazienti, autorità, documentazione regolata o istruzioni operative dovrebbero essere verificati da una persona competente nella lingua e nella materia.
Matrice rischi-benefici dell’AI nel QMS
| Caso d’uso | Beneficio potenziale | Rischio principale | Controllo minimo consigliato |
|---|---|---|---|
| Ricerca nelle SOP | Elevato | Risposta errata o versione obsoleta | Documenti approvati, fonte visibile, verifica utente |
| Formazione | Elevato | Semplificazione o interpretazione errata | Validazione del responsabile del processo |
| Bozze documentali | Elevato | Errori, contenuti inventati, scarsa tracciabilità | Revisione e approvazione secondo QMS |
| Reclami e deviazioni | Medio-alto | Classificazione errata o bias | AI come supporto, decisione umana |
| Analisi dati | Medio-alto | Correlazioni fuorvianti o dati incompleti | Verifica di dataset, metodo e risultati |
| Traduzioni | Elevato | Alterazione del significato tecnico | Revisione linguistica e tecnica |
| Supporto amministrativo | Elevato | Esposizione di informazioni riservate | Limitazione dei dati e strumenti autorizzati |
| Supporto clinico/professionale | Potenzialmente elevato | Errore con impatto sul paziente | Non delegare la decisione professionale all’AI |
I rischi che una farmacia o un’azienda deve governare
Il primo rischio è l’hallucination: il modello può inventare riferimenti, procedure, numeri o spiegazioni plausibili. Una risposta AI non deve quindi essere considerata automaticamente una fonte. Quando il contenuto conta, bisogna risalire al documento originale e verificarne versione e validità.
Il secondo rischio riguarda riservatezza e protezione dei dati. Inserire nomi, anamnesi, prescrizioni, dati di contatto, identificativi o descrizioni che permettano di riconoscere un paziente in un servizio non autorizzato può comportare un trattamento o una comunicazione di dati che l’organizzazione non ha adeguatamente valutato.
La stessa cautela vale per dati dei collaboratori, segreti commerciali, documenti regolatori e informazioni confidenziali.
I sistemi AI basati sul cloud richiedono inoltre di verificare il ruolo del fornitore, eventuali sub-responsabili, sicurezza, ubicazione del trattamento e possibili comunicazioni di dati all’estero. L’IFPDT sottolinea che il titolare resta responsabile della conformità anche quando affida il trattamento a un servizio cloud esterno.
Questi temi si collegano direttamente alla più ampia gestione della cybersecurity nel settore farmaceutico e sanitario.
Un terzo rischio è la mancata validazione rispetto all’uso previsto. Un tool eccellente per correggere una frase non è necessariamente adeguato per classificare deviazioni, analizzare trend o supportare un processo critico. Più l’AI influenza una decisione importante, più aumentano le esigenze di verifica, documentazione, controllo e monitoraggio.
Esistono poi rischi meno visibili: modifica improvvisa del modello da parte del fornitore, indisponibilità del servizio, variazioni nei risultati, cambiamenti nei subfornitori, utilizzo di informazioni obsolete e dipendenza tecnologica.
La governance dovrebbe quindi comprendere anche il ciclo di vita del servizio e, per gli utilizzi più importanti, una strategia di uscita.
Swissmedic, nel contesto dello sviluppo dei medicamenti e dei processi regolatori, richiama tra i punti critici dell’AI la qualità dei dati, la tracciabilità dei modelli, il controllo della qualità e la gestione dei possibili bias. Sono principi utili anche come riferimento di governance, pur senza trasformare queste indicazioni in una regola generale applicabile indistintamente a ogni utilizzo dell’AI in farmacia.
Una policy AI minima: esempio pratico
Una policy efficace non deve necessariamente essere lunga. Deve però dire con chiarezza che cosa è permesso, che cosa non lo è e chi ne è responsabile.
1. Strumenti autorizzati
L’organizzazione mantiene un elenco degli strumenti AI approvati, specificando proprietario interno, scopo autorizzato, tipologie di dati consentite, principali condizioni contrattuali e data dell’ultima revisione.
L’utilizzo di strumenti differenti per attività aziendali dovrebbe essere vietato salvo preventiva autorizzazione.
2. Dati che non devono essere inseriti
Negli strumenti non specificamente approvati per tale trattamento non dovrebbero essere inseriti:
- dati sanitari e dati personali degni di particolare protezione;
- dati che consentono di identificare pazienti;
- informazioni protette dal segreto professionale;
- credenziali e password;
- informazioni confidenziali di clienti e partner;
- documentazione interna classificata come riservata;
- dati dei collaboratori non necessari allo specifico utilizzo.
È inoltre importante ricordare che pseudonimizzare non significa necessariamente anonimizzare. Sostituire semplicemente un nome con iniziali o con un numero può non essere sufficiente se la persona rimane identificabile attraverso il resto delle informazioni.
3. Attività consentite
Tra gli utilizzi a rischio relativamente basso possono rientrare brainstorming, strutturazione di contenuti, riformulazione linguistica, traduzione preliminare, creazione di quiz, sintesi di documenti non riservati e produzione di bozze.
Per gli usi collegati al QMS, l’output resta soggetto ai normali controlli documentali.
4. Attività vietate
L’AI non dovrebbe essere autorizzata a prendere autonomamente decisioni cliniche, di dispensazione o altre decisioni che richiedono responsabilità professionale.
Analogamente, non dovrebbe chiudere autonomamente deviazioni o CAPA, approvare documenti, attribuire responsabilità a persone o assumere decisioni significative basate su dati personali senza un’adeguata valutazione del processo.
5. Responsabilità
Ogni utilizzo dovrebbe avere un process owner identificato. L’utente che impiega l’AI rimane responsabile della verifica dell’output nell’ambito delle proprie competenze.
Per i casi più sensibili dovrebbero essere definiti anche un reviewer e criteri di escalation.
6. Supervisione umana
La supervisione non deve essere soltanto formale. Chi revisiona deve disporre delle competenze e delle informazioni necessarie per individuare un errore.
Un “clic di approvazione” su un risultato che nessuno è realmente in grado di verificare non costituisce un controllo efficace.
7. Verifica delle fonti
Ogni affermazione normativa, clinica o tecnica rilevante dovrebbe essere verificata sulla fonte primaria.
Per un assistente documentale interno, la risposta dovrebbe possibilmente mostrare documento, versione e sezione da cui deriva.
8. Formazione
La formazione minima dovrebbe coprire hallucination, protezione dei dati, segreto professionale, limiti del sistema, verifica delle fonti, sicurezza informatica, casi d’uso autorizzati e modalità di segnalazione degli incidenti.
9. Gestione degli incidenti
L’organizzazione deve stabilire come segnalare rapidamente l’inserimento accidentale di dati in uno strumento non autorizzato, una risposta AI che abbia contribuito a una decisione errata o un problema di sicurezza.
L’incidente deve quindi essere valutato secondo le procedure interne. La LPD prevede inoltre specifici obblighi relativi alle violazioni della sicurezza dei dati quando ricorrono le condizioni stabilite dall’articolo 24.
Dalla sperimentazione alla governance
Una delle tentazioni più frequenti consiste nel partire dallo strumento: acquistare una licenza, creare un chatbot e soltanto in seguito chiedersi come inserirlo nei processi.
Nel QMS conviene fare il contrario.
Prima si identifica il processo, poi si stabiliscono dati, rischio, responsabilità, fonti ufficiali e criteri di accettazione. Solo successivamente si sceglie la tecnologia.
Questo approccio permette anche di decidere quali utilizzi richiedono controlli sofisticati e quali possono rimanere semplici. Correggere lo stile di una comunicazione interna anonima non presenta lo stesso profilo di rischio di un sistema che analizza migliaia di reclami o suggerisce una decisione riguardante un paziente.
Conclusione
L’intelligenza artificiale può rendere un QMS più accessibile, ridurre il lavoro ripetitivo e migliorare ricerca documentale, formazione, analisi e comunicazione.
Il valore maggiore non nasce però dal semplice “mettere un chatbot” sopra i processi esistenti, ma dall’integrare l’AI in un sistema governato.
Per farmacie e organizzazioni healthcare svizzere il punto di partenza è già oggi concreto: LPD, sicurezza delle informazioni, segreto professionale, responsabilità e regole settoriali continuano ad applicarsi anche quando una parte del lavoro viene svolta mediante strumenti di intelligenza artificiale.
Una buona governance non deve bloccare l’innovazione. Deve separare gli utilizzi a basso rischio da quelli critici, scegliere strumenti adeguati, limitare i dati, mantenere la supervisione umana e rendere verificabile il percorso che porta dall’informazione alla decisione.
È questa la differenza tra sperimentare con l’AI e integrarla realmente nel sistema qualità.
Le considerazioni contenute nell’articolo hanno carattere generale e informativo: l’applicabilità delle singole disposizioni deve essere valutata in funzione dell’organizzazione, del trattamento, dello strumento utilizzato e dello specifico contesto.