Prenotazioni, preparazioni,
referti: risponde l'AI. La diagnosi no.

In sintesi: dati in Unione Europea, visibili solo a chi autorizzate voi, per il tempo che scegliete voi. Dove finisce: l'infrastruttura è in Unione Europea. I sub-responsabili, cioè i fornitori a cui Userbot affida parte del trattamento, sono OVH e AWS per l'infrastruttura, Azure, Bedrock ed Eden AI per l'accesso ai modelli. Gli archivi sono tre (base dati, file, indice di ricerca), su dischi cifrati, con i dati isolati per area di lavoro. Al fornitore del modello AI arrivano solo il messaggio, la parte pertinente della conversazione, i passaggi recuperati e le istruzioni in vigore. I documenti per intero, mai. Con ogni fornitore vale la conservazione zero, cioè il fornitore non tiene copia dei dati, e una clausola vieta di usare i contenuti per addestrare. Chi lo vede: nessuno, finché non lo condividete. Un'eccezione da conoscere è il Customer Service: le conversazioni sono con i pazienti, quindi chi amministra e chi supervisiona le vede tutte. Per il resto i ruoli dell'area di lavoro sono Member, Editor e Admin, e i permessi si danno risorsa per risorsa. Con la connessione personale l'AI raggiunge solo ciò a cui la persona ha già accesso. Un nostro tecnico entra nella vostra area di lavoro solo con la vostra autorizzazione, e quell'accesso finisce nel vostro Registro di audit. Per quanto tempo si conserva: le chat le conservate per il tempo che scegliete voi, per sempre oppure 30, 90, 180 o 365 giorni. Le eliminazioni sono definitive e immediate, perché non esiste un cestino. A fine contratto la cancellazione avviene entro 30 giorni, con attestato su richiesta. Il quadro completo, con la tabella dei sub-responsabili, è in AI Governance e Sicurezza.

No. Il primo limite d'uso dichiarato lo esclude: le decisioni mediche restano a una persona. Userbot è una piattaforma di orchestrazione: integra e coordina modelli di AI generativa di terzi. Dichiara tre limiti d'uso. Primo: non sostituisce il giudizio umano nelle decisioni sensibili, mediche comprese. Secondo: non produce analisi predittive. Terzo: non fa raccomandazioni basate sui comportamenti pregressi delle persone. L'Agente dà informazioni pratiche: quando è l'appuntamento, come si sposta, cosa portare, cosa fare prima di un esame, dove si ritira un referto. E cita il documento che avete scritto voi. Su tutto il resto passa a una persona, con una regola di passaggio che scrivete in italiano. Per l'AI Act la classe di rischio dipende dalla finalità, cioè da cosa fate fare all'Agente. La piattaforma su cui l'Agente gira non cambia la classe di rischio. Se un vostro caso d'uso ricade nell'Allegato III, l'elenco degli usi ad alto rischio, la valutazione si fa prima di andare in produzione. Come leggiamo l'AI Act.

Sì, se il vostro IT espone un endpoint o un server MCP. Il CUP, la cartella clinica e il gestionale di reparto sono sistemi vostri, fuori da qualunque catalogo. Si collegano come ogni sistema fatto in casa: con una chiamata HTTP verso l'endpoint, cioè l'indirizzo che il vostro IT espone. Oppure con un server MCP, se il sistema ne ha uno: è il protocollo aperto con cui un sistema offre le sue operazioni a un'AI. Le credenziali restano solo sul server. Le app diffuse invece sono in un catalogo di centinaia di integrazioni già pronte, con le azioni esposte una per una. L'accesso passa da OAuth: l'autorizzazione si dà dall'app stessa, senza condividere password. Voi accendete le azioni che servono, e le altre l'Agente non le vede. Due limiti, che sono anche due garanzie. L'Agente vede solo le azioni che avete acceso. E con la connessione personale l'Agente raggiunge solo ciò a cui la persona che chiede ha già accesso. Se preferite usare l'Agente dal vostro portale del paziente, c'è l'API pubblica, compatibile con lo standard OpenAI: lo stesso formato di chiamata che molti sviluppatori usano già.

Sì, ed è un obbligo di legge. L'art. 50 dell'AI Act si applica dal 2 agosto 2026. L'esenzione per i casi in cui l'interazione è ovvia si interpreta in modo restrittivo: la diffusione dei chatbot non basta a esonerare dalla dichiarazione. L'Agente si presenta come assistente. Il nome e il ruolo nella web chat li scrivete voi, quindi la dichiarazione usa le parole della vostra struttura. Sui canali di conversazione il passaggio a una persona è sempre previsto. Ci sono la funzione Scala su operatore, gli stati della coda (in coda, in carico, chiusa) e gli orari di lavoro che impostate voi. Sul canale voce la telefonata lascia una trascrizione nella coda. Il trasferimento di una chiamata in corso dipende dal vostro centralino, quindi non possiamo garantirlo. La ripartizione completa degli obblighi fra noi e voi è nella pagina AI Act.

L'Agente. E il suo comportamento resta lo stesso anche quando la coda si allunga. Gli orari degli operatori si impostano per giorno della settimana, con il vostro fuso orario. Per il fuori orario scegliete voi fra tre comportamenti: mettere la conversazione in coda, rispondere con un messaggio che dice quando arriverà una persona, oppure avviare un Workflow, per esempio per raccogliere la richiesta in modo strutturato. Per i volumi c'è un caso reale: CupSolidale, CUP digitale per prestazioni sanitarie, ha gestito 1,1 milioni di messaggi in un anno: oltre 800 conversazioni al giorno, il 94% chiuse senza operatore. Lo stato del servizio e lo storico della sua disponibilità sono pubblici su status.userbot.ai. E quando serve una persona, chi risponde trova la conversazione per intero: il paziente non ripete quello che ha già raccontato.

Può succedere, e lo dichiariamo: l'AI generativa può sbagliare. Per questo ci sono tre controlli. Primo: l'Agente risponde sui documenti che gli avete dato, e ogni risposta rimanda al file e al passaggio esatto da cui arriva. Se cita la versione vecchia di una preparazione, si vede subito. Se il documento è in una fonte collegata (Google Drive, OneDrive, Outlook, Gmail o Google Calendar), l'Agente legge direttamente la versione aggiornata. Se è caricato nella Libreria, dove si tengono i file dell'area di lavoro, lo sostituite con la versione nuova e non resta nessuna seconda copia da aggiornare. Anche le scansioni sono leggibili: l'OCR riconosce il testo nelle immagini. Secondo: prima di metterlo a disposizione dei pazienti, l'Agente si prova. C'è l'Anteprima live, una prova che non salva niente. E ci sono i Test con giudice AI, inclusi in tutti i piani: ponete all'Agente domande di cui conoscete già la risposta giusta, e il giudice AI indica quali superano la prova. Terzo: scrivete una Regola per gli argomenti che devono passare a una persona. Per le azioni che richiedono approvazione il compito non parte senza un sì. E c'è già un caso in produzione. Al Policlinico Universitario A. Gemelli, Userbot risponde ai pazienti prima di visite ed esami gastroenterologici. Il 94% delle conversazioni si chiude in autonomia, il resto passa a un operatore, e l'80% dei pazienti si è dichiarato fortemente soddisfatto.