L'AI medica ha due problemi: sbaglia la diagnosi precoce e rivela chi l'ha addestrata

Il 15 aprile 2026, The Register ha riportato uno studio su JAMA Network Open che ha testato 21 modelli di AI commerciali su 29 vignette cliniche standardizzate. Con un quadro clinico completo e una richiesta di diagnosi finale, i modelli hanno raggiunto il 91 per cento. La diagnosi differenziale precoce, fase in cui i clinici escludono o confermano condizioni, è fallita in oltre 8 casi su 10.

«Ogni modello testato ha fallito nella stragrande maggioranza dei casi», ha dichiarato Arya Rao, studentessa di medicina ad Harvard e autrice principale, a The Register. «È la fase in cui l'incertezza conta di più e dove questi sistemi sono più deboli».

Il coautore, il radiologo Marc Succi del Massachusetts General Hospital, è andato oltre: «I nostri risultati suggeriscono che gli LLM commerciali attuali non debbano essere affidati al ragionamento diagnostico per i pazienti senza una revisione umana strutturata e completa». Succi ha aggiunto che i modelli «possono proiettare sicurezza senza mostrare un ragionamento robusto», il che può alimentare l'ansia in pazienti già preoccupati per un sintomo.

Rao ha offerto una lettura più sfumata dei dati. Nel paper, «fallimento» significava che il modello non produceva una diagnosi differenziale del tutto corretta, non che fosse completamente errato. L'accuratezza grezza variava dal 63 al 78 per cento, indicando che i modelli erano spesso parzialmente corretti. Il team sostiene comunque che la metrica più severa conti, poiché questi sistemi vengono commercializzati come agenti di prima linea che restringono le diagnosi prima dell'intervento umano.

Inferenza di appartenenza, quasi perfetta a livello individuale

Il secondo problema sta sotto il primo. Il 24 giugno 2026, ricercatori tedeschi hanno pubblicato su Nature uno studio che mostra come i modelli di AI medica discriminativi, usati per classificare dati e prevedere su nuovi input, rivelino facilmente se il fascicolo di un paziente specifico facesse parte del set di addestramento.

La tecnica si chiama attacco di inferenza di appartenenza. Funziona perché un modello tende a essere più sicuro sugli input già visti. Un attaccante fornisce dati di pazienti, osserva la confidenza e deduce l'inclusione.

Su sette dataset medici che coprono immagini, tracciati ECG e cartelle cliniche elettroniche, il team ha scoperto che i singoli pazienti potevano essere identificati con un «successo dell'attacco quasi perfetto». L'autore principale, Moritz Knolle della Technical University of Munich, ha detto a The Register che i pazienti di gruppi sottorappresentati, per razza, stato assicurativo, sesso, protocollo di imaging o stato di malattia, sono più facili da individuare rispetto a quelli che non si distinguono.

«In generale, i rischi per la privacy derivanti dagli MIA diventano più gravi man mano che la coorte di addestramento di un modello diventa più specifica», ha affermato Knolle. Ha citato l'esempio di un dataset la cui stessa appartenenza rivela una condizione genetica latente come la malattia di Huntington, la depressione o la frequenza a una clinica specializzata.

«Nel nostro articolo mostriamo che un attaccante con accesso parziale può comunque condurre con successo MIA».

Knolle ha anche smontato la difesa abituale secondo cui i fascicoli anonimizzati sono al sicuro. «Chi conduce un MIA non ha bisogno di sapere a chi appartengono i dati», ha detto. «Anzi, tutti i dataset usati nel nostro studio erano anonimizzati». Risultati parziali di analisi del sangue sarebbero sufficienti, ha aggiunto, e dato quanto spesso i dati sanitari finiscono esposti, ottenerli non è un'impresa impossibile.

Cosa viene chiesto ai regolatori

Il team di Nature chiede due cambiamenti. Primo, gli audit sulla privacy dovrebbero misurare il rischio a livello del singolo paziente anziché in forma aggregata, poiché il protocollo standard non cattura adeguatamente cosa significhi un successo quasi perfetto per singolo paziente. Secondo, raccomandano framework di privacy differenziale, che limitano matematicamente ciò che un modello può rivelare su un singolo record di addestramento. Knolle spera che la comunità dell'AI medica «inizi a prendere sul serio i rischi per la privacy».

Si contrappone al versante dell'accuratezza. Il MAI Diagnostic Orchestrator di Microsoft, annunciato il 30 giugno 2025, ha raggiunto l'85,5 per cento su 304 casi complessi del New England Journal of Medicine, contro il 20 per cento di 21 medici, secondo GeekWire. WIRED, citando lo stesso lavoro, ha indicato l'AI all'80 per cento e ha riferito una riduzione dei costi del 20 per cento. Mustafa Suleyman, CEO di Microsoft AI, l'ha definito «un grande passo verso la superintelligenza medica».

David Sontag, scienziato del MIT, ha detto a WIRED che il lavoro era solido sul piano metodologico, ma ha avvertito che ai medici era vietato usare strumenti esterni, cosa che non riflette la pratica reale. Eric Topol di Scripps ha definito inedito il dato sui costi. Entrambi hanno indicato una sperimentazione clinica con pazienti reali come passo successivo. Microsoft non ha deciso se commercializzare lo strumento.

Il quadro che i regolatori hanno davanti non è un fallimento solo, ma due, che vanno in direzioni opposte: sistemi più deboli proprio dove l'incertezza è più alta, e sistemi più rivelatori proprio dove i dati di addestramento sono più specifici.