Gentile direttore,
la medicina sta attraversando una fase di adozione accelerata di strumenti basati su modelli linguistici di grandi dimensioni e sistemi generativi. Dalla generazione automatica di lettere di dimissione e referti radiologici alla sintesi di cartelle cliniche, dalla creazione di materiale educativo per pazienti alla stesura di bozze per articoli scientifici, l’intelligenza artificiale si sta insinuando in ogni canale della pratica clinica quotidiana. Questa transizione, che promette efficienza, riduzione dei tempi burocratici e supporto alla decisione clinica, solleva tuttavia un problema che precede qualunque valutazione di accuratezza o sicurezza: come si può stabilire, in modo affidabile e verificabile, se un determinato testo o immagine sia stato generato da un algoritmo oppure prodotto da un essere umano, e con quale grado di intervento umano nel mezzo?
La risposta tecnica dominante a questa domanda si chiama watermarking algoritmico. A differenza dei classificatori post-hoc, che analizzano il testo già prodotto per valutarne le probabilità di origine artificiale basandosi su caratteristiche stilistiche, il watermarking agisce a monte, durante la generazione stessa, alterando in modo controllato le distribuzioni di probabilità dei token o i valori dei pixel in modo da lasciare una firma rilevabile ma, idealmente, invisibile all’osservatore umano. In ambito sanitario, la promessa del watermarking è particolarmente seducente: potrebbe permettere di distinguere un referto generato da un modello linguistico e non ancora validato da un medico, di rilevare manipolazioni fraudolente di immagini diagnostiche, o di tracciare la provenienza di contenuti educativi rivolti ai pazienti.
Come funziona (e come si aggira)
Il watermarking algoritmico si basa su un’idea concettualmente semplice: durante la generazione di un testo, l’IA viene leggermente orientata verso l’uso di certe parole piuttosto che altre, creando una firma statistica invisibile all’occhio umano ma rilevabile con gli strumenti giusti. In termini tecnici, si tratta di suddividere il vocabolario in token “verdi” e “rossi” in base a una funzione hash del contesto precedente e di una chiave crittografica segreta, incentivando poi il modello a preferire i token della lista verde. Il risultato è un testo che appare statisticamente indistinguibile da uno generato senza vincoli, ma che presenta una proporzione anomala di token verdi rilevabile mediante un test statistico da chi possiede la chiave. Per le immagini, gli approcci più avanzati incorporano il segnale direttamente nello spazio latente del modello generativo, rendendo il watermark parte integrante del processo di sintesi piuttosto che un’aggiunta post-hoc nel dominio dei pixel, con l’obiettivo dichiarato di aumentarne la resistenza a compressione, ridimensionamento e screenshot.
Nella pratica clinica, tuttavia, questa firma si rivela estremamente fragile. Un referto radiologico generato dall’IA, una volta copiato, modificato manualmente o unito a note umane nel flusso della cartella clinica elettronica, perde il watermark. Lo stesso accade a una bozza di articolo scientifico riscritta con un secondo modello linguistico: il segnale statistico scompare, spesso al di sotto della soglia di significatività utilizzata per dichiarare un testo come generato dall’IA. Per le immagini diagnostiche sintetiche, le trasformazioni di routine nel flusso di lavoro clinico, ad esempio conversione di formato, ricompressione JPEG, ritaglio della regione di interesse, screenshot, ecc., possono degradare il segnale in modo spesso irreversibile, specialmente quando l’autore, anche inconsapevole, applica più trasformazioni in sequenza, come avviene di routine nella pratica radiologica quotidiana.
Esiste poi un fenomeno opposto, ancora più insidioso, il cosiddetto spoofing. Un testo scritto interamente da un medico può essere manipolato per apparire come generato dall’IA, minando la validità stessa del test come prova. Ciò significa che un clinico onesto potrebbe vedersi accusato di aver delegato all’algoritmo un referto che ha invece scritto personalmente, mentre un contenuto generato dall’IA e poi parafrasato potrebbe essere considerato umano. L’affidabilità del sistema viene compromessa in entrambe le direzioni.
Il problema di fondo è che ci troviamo di fronte a un compromesso strutturale, non a un difetto implementativo transitorio. Per rendere il watermark più resistente alle manipolazioni, bisogna aumentare l’intensità del segnale statistico, ovvero lo scostamento imposto dalla distribuzione originale del modello, ma così si rischia di alterare la fluidità, la coerenza fattuale e, in contesti clinici, l’accuratezza terminologica del contenuto generato: un referto meno fluido, un termine meno preciso, una descrizione meno accurata. Se invece si mantiene il segnale lieve per preservare l’accuratezza clinica, diventa statisticamente evanescente, cancellabile con un semplice copia-incolla, una parafrasi o una ricompressione. È un equilibrio impossibile, una tensione che discende direttamente dalle proprietà statistiche degli algoritmi generativi attuali.
La conseguenza più insidiosa, tuttavia, non è tecnica ma comportamentale, e riguarda il modo in cui medici, ricercatori e pazienti interagiscono con la tecnologia. La ricerca sull’interazione uomo-IA ha documentato un fenomeno noto come automation bias, cioè la tendenza a fidarsi troppo degli strumenti automatizzati, abbassando la soglia di attenzione critica. La semplice presenza di un’etichetta che dice “contenuto tracciato” o “verificato” genera un effetto di rassicurazione sproporzionato rispetto alla reale affidabilità del sistema. Il medico, il revisore, il paziente abbassano la guardia, convinti che l’infrastruttura tecnica abbia già svolto un lavoro di controllo che in realtà non esiste. Il watermarking non fornisce una garanzia binaria come una firma digitale crittografica: il suo output è un valore probabilistico, un p-value associato a un test statistico, non una certezza. Eppure, nella pratica, questa sfumatura si perde, e l’etichetta viene semplificata in un binario “contenuto generato da IA: sì/no”.
Ecco il paradosso nella sua interezza: il watermarking viene promosso come strumento di trasparenza algoritmica, ma la sua adozione, se comunicata senza un’adeguata contestualizzazione dei suoi limiti statistici, può ridurre, anziché aumentare, il livello di scrutinio umano applicato al contenuto. Il risultato è un effetto netto potenzialmente contrario a quello dichiarato.
Le implicazioni per la pratica clinica
Le implicazioni di questo paradosso attraversano almeno quattro ambiti della medicina contemporanea, ciascuno con conseguenze concrete per la pratica quotidiana. Nella documentazione clinica generata dall’IA, i sistemi di cartella clinica elettronica stanno integrando funzioni di generazione automatica di note, lettere di dimissione e riassunti di degenza. Se il watermarking è l’unico meccanismo di tracciabilità, un referto che passa attraverso il normale ciclo di copia-incolla, correzioni manuali e riformattazione che caratterizza la pratica clinica perde la sua firma senza che nessuno se ne accorga. In caso di contenzioso legale, ad esempio un errore diagnostico, una terapia inappropriata, diventa impossibile ricostruire chi o cosa abbia prodotto quel testo, con implicazioni potenzialmente gravi in termini di responsabilità professionale.
Nella comunicazione scientifica, l’uso di modelli linguistici per scrivere bozze di articoli e revisioni della letteratura, è ormai una realtà diffusa. Riviste ed enti finanziatori stanno valutando l’adozione di sistemi di rilevamento basati su watermarking per identificare contenuti non dichiarati. Un revisore che si affida all’assenza di watermark come prova di autenticità umana rischia di essere ingannato da un testo parafrasato, mentre un autore in buona fede potrebbe vedersi erroneamente segnalato il proprio lavoro a causa di un falso positivo statistico. Nei materiali educativi per pazienti, il problema è diverso: il paziente medio non ha gli strumenti statistici per interpretare un’etichetta di provenienza algoritmica, e la sua fiducia nel contenuto è mediata dalla fonte percepita, ad esempio il nome dell’ospedale o il medico che glielo presenta, non dalla presenza o assenza di un watermark tecnico. Nell’imaging diagnostico sintetico, le immagini generate dai modelli per ampliare i dataset di addestramento in radiologia, dermatologia e patologia digitale richiedono una tracciabilità rigorosa per evitare la contaminazione accidentale di dataset di validazione.
Verso un uso proporzionato
Non si tratta di abbandonare il watermarking algoritmico, che rimane una componente tecnica utile all’interno di un ecosistema di governance più ampio, ma occorre un ridimensionamento realistico delle aspettative regolatorie e cliniche che vi sono riposte. Il watermarking non deve mai essere l’unico meccanismo di tracciabilità di un contenuto clinico: va combinato con metadati di provenienza crittograficamente firmati, log di sistema immutabili e policy istituzionali di revisione umana obbligatoria.
Gli strumenti clinici che riportano l’esito di un rilevamento di watermark dovrebbero comunicare un livello di confidenza statistica, non un’etichetta booleana, ed essere accompagnati da formazione del personale sui limiti del test.
Le istituzioni che adottano sistemi con watermarking dovrebbero commissionare verifiche indipendenti e periodiche della resistenza agli attacchi noti, analogamente a quanto avviene per la cybersecurity. L’assenza o la presenza di un watermark non deve mai essere utilizzata come sostituto della revisione clinica di un referto o di una nota generata da IA prima dell’inserimento in cartella.
Gli enti regolatori, infine, dovrebbero evitare di presentare il watermarking come una garanzia di autenticità nei testi normativi e nelle linee guida, specificandone esplicitamente i limiti statistici noti.
Il watermarking algoritmico rappresenta un contributo tecnico reale, ma parziale, alla sfida della tracciabilità dei contenuti generati da intelligenza artificiale in medicina. La sua fragilità statistica, unita al rischio comportamentale di indurre una fiducia ingiustificata negli operatori sanitari, nei revisori scientifici e nei pazienti, impone un approccio cauto e proporzionato alla sua adozione. Le istituzioni sanitarie, gli sviluppatori di sistemi clinici e gli enti regolatori dovrebbero trattare il watermarking come uno strato aggiuntivo, e non sostitutivo, di un ecosistema di governance che deve continuare a fondarsi sulla revisione umana, sulla trasparenza dei limiti tecnici e su un aggiornamento continuo rispetto a un panorama di minacce in evoluzione.
La medicina non può permettersi l’illusione che una firma statistica invisibile possa sostituire il giudizio clinico. Come per ogni strumento tecnologico in sanità, il valore del watermarking non sta nella sua esistenza, ma nella consapevolezza dei suoi limiti e nella prudenza con cui viene impiegato. La vera trasparenza algoritmica non si ottiene nascondendo segnali nei testi, ma formando i clinici a interpretare criticamente ogni contenuto, indipendentemente dalla sua presunta origine. In un’epoca in cui l’intelligenza artificiale promette di rivoluzionare la medicina, il rischio più grande non è che la tecnologia sia imperfetta, ma che la nostra fiducia in essa diventi acritica, e che dimentichiamo che nessun algoritmo può sostituire la responsabilità e lo sguardo di chi ha davanti un paziente.
Francesco Branda
Unità di Statistica Medica ed Epidemiologia Molecolare, Università Campus Bio-Medico di Roma
