Il EU AI Act e l'industria farmaceutica: cosa significa, cosa richiede e cosa fare dopo?

Il regolamento UE sull'IA — Regulation (EU) 2024/1689 — è entrato in vigore il 1 August 2024, diventando il primo quadro giuridico completo al mondo a disciplinare lo sviluppo e l'implementazione dell'intelligenza artificiale. Per le aziende farmaceutiche e biotech che già gestiscono obblighi GxP, requisiti MDR e IVDR e le linee guida EMA in evoluzione, aggiunge un nuovo significativo livello di conformità.

L'Act non è un semplice avviso consultivo. Ha vere conseguenze applicative: le violazioni delle disposizioni sull'AI ad alto rischio comportano multe fino a €30 millioni o al 6% del fatturato annuo globale, a seconda di quale importo sia maggiore. Gli impieghi di AI proibiti rischiano sanzioni fino a €35 millioni o al 7% del fatturato globale. Con la scadenza principale per la conformità fissata per agosto 2026, la finestra per la preparazione si sta restringendo.

Che cos'è il EU AI Act e perché il settore farmaceutico non può considerarlo rumore di fondo?

L'AI Act è l'ultimo pezzo del più ampio pacchetto legislativo digitale dell'UE, che include anche il Digital Services Act, il Digital Markets Act, il Data Governance Act e il Data Act, tutti finalizzati tra il 2023 e il 2024. Si applica a qualsiasi organizzazione che sviluppi, distribuisca o utilizzi sistemi di AI all'interno dell'UE, o i cui sistemi di AI abbiano effetti su persone nell'UE. La portata geografica si estende ben oltre le aziende con sede in Europa.

L'industria farmaceutica rientra pienamente nel perimetro di massima priorità dell'Act. Le decisioni sullo sviluppo dei farmaci, i risultati diagnostici, i controlli di produzione e le presentazioni regolatorie influenzano direttamente la sicurezza dei pazienti. L'UE è stata esplicita: l'AI che tocca queste aree sarà soggetta agli standard più stringenti definiti dall'Act.

Tre aspetti dell'Act richiedono attenzione immediata da parte della leadership:

1. Classificazione del rischio determina quali obblighi di conformità si applicano e gran parte di ciò che le aziende farmaceutiche fanno con l'AI rientra nella categoria ad alto rischio
2. Tempistiche di applicazione sono ferme: i requisiti per l'AI ad alto rischio diventano applicabili nell'agosto 2026, con l'AI incorporata nei dispositivi a partire da agosto 2027
3. Sanzioni finanziarie sono significative e calcolate sul fatturato globale, non sui ricavi locali

Come l'EU AI Act classifica i sistemi di AI e dove ricadono le applicazioni farmaceutiche?

L'Act stabilisce quattro livelli di rischio, ciascuno con obblighi differenti. Sapere quale livello si applica a un determinato sistema di AI è la base di ogni valutazione di conformità.

Rischio inaccettabile equivale a sistemi proibiti. Le applicazioni di AI che rappresentano minacce fondamentali alla sicurezza o ai diritti fondamentali sono vietate in modo assoluto. Nessuna applicazione farmaceutica legittima rientra qui. L'alto rischio è il livello che conta maggiormente per il settore farmaceutico. Qui deve concentrarsi l'attenzione sulla conformità.

Si applicano due sotto-categorie:

1. I sistemi di AI che sono, o costituiscono un componente critico per la sicurezza di, un prodotto regolamentato dal Medical Device Regulation (MDR) o dall'In Vitro Diagnostic Regulation (IVDR) sono automaticamente classificati come ad alto rischio. Questo include software per imaging diagnostico, strumenti di monitoraggio dei pazienti basati su AI e Software as a Medical Device (SaMD).
2. I sistemi di AI elencati nell'Appendice III (Annex III) dell'Act, che copre infrastrutture critiche, occupazione, servizi essenziali e alcune applicazioni di supporto decisionale clinico, ricadono anch'essi qui a seconda del design e del contesto d'uso.

I modelli di AI a uso generale sono una categoria distinta e in crescita. I large language models e i foundation models usati per medical writing, rilevamento di segnali di farmacovigilanza, revisione della letteratura o redazione di documenti regolatori rientrano in una sezione separata dell'Act con obblighi specifici sia per i fornitori del modello sia per i deployer.

Il rischio limitato e minimo comporta solo obblighi di trasparenza. Strumenti amministrativi interni, semplici automazioni e AI usata esclusivamente per ricerca scientifica non regolamentata rientrano generalmente qui. Gli articoli 2(6) a 2(8) dell'Act includono esenzioni esplicite per l'AI utilizzata unicamente per ricerca e sviluppo scientifico, il che significa che molte applicazioni di scoperta di farmaci in fase iniziale e ricerche pre-competitive restano al di fuori dell'ambito pieno dell'Act.

L'AI negli ambienti GxP necessita di più della sola classificazione: richiede una governance validata fin dal primo giorno.

→ Leggi: Come l'AI sta trasformando l'Assicurazione di Qualità nel Pharma

I quattro obblighi core di conformità per i sistemi di AI ad alto rischio nel pharma

Per qualsiasi sistema di AI classificato come ad alto rischio, l'Act impone obblighi obbligatori. Questi sono requisiti legali, non linee guida, e dimostrare la conformità a ciascuno di essi è condizione per l'impiego legale nel mercato UE.

1. Gestione del rischio lungo l'intero ciclo di vita del sistema di AI: Un sistema documentato di gestione del rischio deve operare dalla progettazione iniziale fino alla dismissione. Deve identificare i rischi prevedibili associati all'uso previsto del sistema, valutare i rischi derivanti sia dal corretto funzionamento sia dall'uso improprio, implementare e verificare misure di mitigazione, e essere aggiornato regolarmente man mano che il sistema evolve. Questo si sovrappone ai principi di ICH Q9 e GAMP 5 ma si estende esplicitamente al comportamento algoritmico del sistema di AI — non solo all'ambiente di processo che lo circonda.
2. Governance e qualità dei dati di addestramento: I dataset di training, validazione e testing devono essere soggetti a pratiche di governance appropriate, essere sufficientemente rappresentativi e privi di errori materiali, avere proprietà statistiche adeguate per lo scopo previsto e essere documentati per dimostrare che i bias noti sono stati identificati e affrontati. Per le aziende farmaceutiche, questo interseca direttamente gli obblighi di integrità dei dati GxP e nella maggior parte delle organizzazioni le pipeline di dati di addestramento non sono state originariamente progettate per soddisfare entrambi gli standard simultaneamente.
3. Documentazione tecnica prima della messa in esercizio: Prima che un sistema di AI ad alto rischio sia immesso sul mercato o sia messo in servizio, deve essere prodotta e mantenuta una documentazione tecnica completa. Questa deve includere una descrizione dello scopo e del design del sistema, la metodologia di addestramento e il processo di validazione, le evidenze di gestione del rischio e i dettagli dei meccanismi di monitoraggio e supervisione umana integrati nel sistema.
4. Meccanismi di supervisione umana incorporati nel design del sistema: I sistemi IA ad alto rischio devono essere progettati in modo da permettere agli operatori umani di comprendere le capacità e i limiti del sistema, monitorarne il funzionamento, rilevare comportamenti anomali e annullare o sospendere gli output quando necessario. In ambito produttivo, ciò significa che le tecnologie analitiche di processo basate su IA devono includere protocolli di escalation definiti per output inattesi. In contesti clinici o regolatori, significa che le analisi generate dall'IA devono essere verificate da operatori qualificati prima di influenzare decisioni consequenziali.

Come interagisce il EU AI Act con MDR, IVDR e i framework GxP?

L'AI Act non sostituisce il Medical Device Regulation, l'In Vitro Diagnostic Regulation né i framework di qualità farmaceutica GxP. Li integra, creando obblighi sovrapposti che devono essere gestiti contemporaneamente.

I produttori di dispositivi medici i cui prodotti incorporano IA si trovano di fronte a un modello di conformità doppio: i loro componenti IA devono soddisfare sia i requisiti di conformità MDR o IVDR sia le disposizioni per gli alto rischio dell'AI Act contemporaneamente. Il gruppo di coordinamento sui dispositivi medici dell'UE ha affrontato direttamente la questione nella sua guida MDCG 2025-6, chiarendo che:

1. Le valutazioni del rischio AI, la documentazione tecnica e i requisiti di governance dei dati dovrebbero essere integrati nei processi esistenti del Sistema di Gestione della Qualità MDR o IVDR anziché funzionare come sistemi paralleli
2. L'articolo 8 dell'AI Act consente esplicitamente l'integrazione dei test e della documentazione specifici per l'IA nei processi di conformità MDR esistenti per evitare duplicazioni
3. Gli organismi notificati responsabili della valutazione di conformità MDR o IVDR sono tenuti a valutare la conformità all'AI Act simultaneamente quando sono presenti componenti IA

Per i produttori farmaceutici la cui IA è esterna ai dispositivi con marchio CE, coprendo tecnologie analitiche di processo, controllo dei processi produttivi, farmacovigilanza e generazione di documenti regolatori come quelli MDR e IVDR, l'interfacciamento non si applica, ma gli obblighi GxP sì. 

Queste organizzazioni devono valutare i loro sistemi IA rispetto ai requisiti dell'Act in modo indipendente mantenendo al contempo l'allineamento con le guidance EMA, GAMP 5 e gli obblighi QMS esistenti.

L'IA integrata nei dispositivi medici comporta obblighi doppi ai sensi di MDR e del EU AI Act. La conformità SaMD inizia qui.

→ Leggi: SaMD nel settore farmaceutico | Normativa, rischi e conformità

Date chiave di conformità che i leader farmaceutici e biotecnologici devono monitorare:

1. 1 August 2024 — L'Act è entrato in vigore; dovrebbero essere iniziate le valutazioni del portafoglio IA
2. 2 February 2025 — Le pratiche IA proibite sono diventate applicabili
3. 2 August 2025 — Gli obblighi per i fornitori di modelli IA a uso generale sono diventati applicabili
4. 2 August 2026 — Scadenza principale di conformità per le IA ad alto rischio non integrate in dispositivi medici con marchio CE
5. 2 August 2027 — Scadenza estesa per le IA ad alto rischio integrate in dispositivi con marchio CE ai sensi di MDR o IVDR

Una proposta di adeguamento legislativo nota come Digital Omnibus, pubblicata nel novembre 2025, ha segnalato possibili estensioni dei tempi. Le organizzazioni che pianificano in funzione di potenziali estensioni anziché di date consolidate accettano un rischio regolatorio che la maggior parte dei consulenti di conformità sconsiglia fortemente.

Una sequenza pratica di conformità per le organizzazioni farmaceutiche

Un programma di conformità efficace non può essere costruito in poche settimane. Questi sono i passaggi che le organizzazioni con capacità GxP mature stanno dando priorità:

1) Inventario dei sistemi IA e classificazione del rischio. Documentare ogni sistema IA in uso o in sviluppo. Classificare ciascuno secondo il livello di rischio previsto dall'Act. Questo esercizio rivela spesso un portafoglio IA più ampio e vario di quanto la leadership immagini, e stabilisce immediatamente dove concentrare gli sforzi.

2) Struttura di governance trasversale con sponsorizzazione esecutiva. Assegnare la responsabilità della conformità IA tra qualità, affari regolatori, legale, IT e data science, con una linea di reporting diretta alla leadership senior.

3) Valutazione delle lacune nei processi di gestione del rischio esistenti. Mappare le procedure di gestione del rischio ICH Q9 e GAMP 5 rispetto ai requisiti dell'Act. Estenderle per coprire i rischi specifici dell'IA: deriva del modello, bias nei dati di addestramento e limiti di spiegabilità.

4) Revisione della governance dei dati di addestramento. Valutare se i dati utilizzati per addestrare e convalidare i sistemi IA ad alto rischio soddisfano i requisiti di qualità e documentazione dell'Act. È qui che si riscontrano più comunemente le maggiori lacune di conformità.

5) Produzione della documentazione tecnica. Iniziare a costruire la documentazione tecnica richiesta per ogni applicazione IA ad alto rischio, integrandola nei file tecnici MDR o IVDR esistenti quando applicabile.

6) Revisione della qualificazione dei fornitori IA terzi. Revisionare gli accordi con i fornitori e i registri di qualificazione per confermare che gli strumenti IA di terze parti soddisfino i requisiti dell'Act e che la responsabilità del monitoraggio continuo della conformità sia chiaramente assegnata.

Perché la conformità al EU AI Act è un vantaggio strategico, non solo un obbligo normativo?

Le aziende farmaceutiche che costruiranno una reale infrastruttura di governance dell'IA in risposta all'Act otterranno capacità che vanno ben oltre la conformità. Potranno spostare gli strumenti di IA da progetti pilota alla produzione più rapidamente, perché l'infrastruttura di governance per validarli e rilasciarli sarà già in atto. 

Mantenere una posizione difendibile mentre EMA e altre agenzie formalizzano le proprie aspettative di supervisione sull'IA. E ridurranno il rischio di costosi fallimenti dell'IA in contesti di produzione, clinici o regolatori perché il monitoraggio del ciclo di vita richiesto dall'Act è la stessa disciplina che impedisce che il drift del modello e i problemi di qualità dei dati passino inosservati.

Le aziende che trarranno il maggior valore a lungo termine dall'IA negli ambienti farmaceutici regolamentati non sono quelle che si sono mosse più velocemente in contesti con scarsa governance. 

Sono quelle che hanno costruito l'infrastruttura di conformità in tempo per distribuire l'IA dove conta di più negli ambienti GxP, nelle applicazioni rivolte ai pazienti e nelle sottomissioni regolatorie con la credibilità scientifica e legale necessaria a supportare ogni output. 

L'EU AI Act rende necessaria la costruzione di tale infrastruttura. Le organizzazioni che lo considerano un investimento anziché un peso sono destinate a trovarsi significativamente meglio posizionate quando arriverà la prossima ondata di aspettative normative sull'IA.

Come l'EU AI Act classifica i sistemi di IA e dove ricadono le applicazioni farmaceutiche

In conclusione

L'EU AI Act rappresenta un punto di svolta per il settore farmaceutico e biotecnologico, introducendo obblighi chiari, scadenze rigorose e conseguenze finanziarie significative che i responsabili non possono più considerare lontane o teoriche. 

Le organizzazioni che agiranno ora rimappando i loro sistemi di IA, rafforzando la documentazione, colmando le lacune nei dati e allineando l'IA dei dispositivi medici ai requisiti regolatori doppi saranno quelle meglio posizionate per operare con fiducia sotto il nuovo regime.

Più importante, la conformità proattiva non riguarda solo evitare sanzioni; sta rapidamente diventando un indicatore di affidabilità, trasparenza e competitività a lungo termine. 

Le aziende che oggi stabiliscono una solida governance dell'IA, verificabile e tracciabile, non solo soddisferanno le aspettative regolatorie ma costruiranno anche la fiducia che genera vantaggio di mercato in un panorama farmaceutico sempre più guidato dall'IA.

FAQ

1. L'EU AI Act si applica alle aziende farmaceutiche e biotecnologiche al di fuori dell'UE?

Sì. L'Act si applica a qualsiasi organizzazione i cui sistemi di IA sono utilizzati nell'UE o hanno impatto su individui nell'UE — indipendentemente dalla sede legale dell'azienda. Questo significa che le aziende farmaceutiche e biotecnologiche globali devono conformarsi se i loro strumenti di IA supportano operazioni nell'UE, attività cliniche, sottomissioni regolatorie o servizi rivolti ai pazienti. In pratica, ciò rende l'Act uno standard di fatto globale per qualsiasi azienda che operi nelle scienze della vita regolamentate.

2. Perché la maggior parte dei sistemi di IA farmaceutici è considerata ad alto rischio secondo l'Act?

Le applicazioni di IA in ambito farmaceutico spesso influenzano la sicurezza del paziente, la qualità del prodotto, le decisioni cliniche o i processi regolatori. A causa di questo impatto, molte ricadono nella categoria ad alto rischio, in particolare l'IA integrata in dispositivi medici regolati da MDR/IVDR, strumenti diagnostici, sistemi di controllo della produzione e modelli di IA che supportano decisioni cliniche o regolatorie. La classificazione ad alto rischio attiva i requisiti di conformità più estesi dell'Act. Di conseguenza, la maggior parte dei casi d'uso dell'IA nel settore farmaceutico richiederà governance strutturata, documentazione e supervisione per rimanere conforme.

3. Cosa dovrebbero fare per prime le organizzazioni farmaceutiche per prepararsi alla scadenza del 2026?

Il primo passo essenziale è creare un inventario completo di tutti i sistemi di IA utilizzati in R&D, produzione, qualità, funzioni cliniche e regolatorie. Ogni sistema deve poi essere classificato per livello di rischio. Questo determina quali rientrano negli obblighi ad alto rischio e richiedono nuovi controlli, documentazione, miglioramenti della governance dei dati e meccanismi di supervisione ben prima della scadenza di conformità di agosto 2026. Iniziare per tempo aiuta i team a evitare interventi affrettati di rimedio e garantisce che i programmi di conformità possano essere scalati attraverso l'organizzazione.