Intelligenza artificiale in sanità: come collegare Epic a ChatGPT

I team sanitari possono ora portare in ChatGPT il contesto autorizzato della cartella clinica elettronica (EHR) Epic, senza copiare a mano i dati clinici. OpenAI ha reso disponibile il collegamento il 1 settembre 2026, insieme a nove app dedicate a fonti sanitarie pubbliche. Il collegamento Epic è di sola lettura, eredita le autorizzazioni già assegnate a ciascun professionista e può essere utilizzato sia in ChatGPT sia, nelle implementazioni supportate, direttamente nel flusso di lavoro dell'EHR. Il vantaggio di questa applicazione dell'intelligenza artificiale in sanità è il minor tempo necessario per ricomporre note, esami di laboratorio, farmaci e aggiornamenti degli specialisti. La condizione non è negoziabile: ogni risposta resta una bozza finché un professionista sanitario non verifica la cartella di origine, le date e gli eventuali dati mancanti.

Intelligenza artificiale in sanità: due canali dati protetti

In questa versione, «collegare l'EHR» significa configurare il plugin Epic di OpenAI in uno spazio di lavoro aziendale approvato. Non significa che ChatGPT possa collegarsi a qualsiasi EHR. Il plugin recupera soltanto le informazioni cliniche alle quali l'utente Epic autenticato può già accedere; non può scrivere nella cartella, inserire un ordine, inviare un messaggio a un paziente o ampliare le autorizzazioni. La guida di OpenAI alla configurazione di Epic resta il riferimento ufficiale per requisiti e configurazione.

Il secondo canale è il plugin Healthcare Public Data. Le sue nove app di sola lettura effettuano ricerche in PubMed, ClinicalTrials.gov, DailyMed, RxNorm, openFDA, CMS Coverage, CMS Open Data, Medicare Care Compare e NPI Registry. Queste app consultano informazioni pubbliche, non le cartelle dei pazienti. Nomi, numeri di cartella clinica, date di nascita, numeri di iscrizione e altri identificativi dei pazienti non devono entrare in queste ricerche.

Il sistema funziona come due porte che conducono allo stesso ambiente di lavoro clinico. La porta Epic si apre con le credenziali personali di ogni professionista; quella dei dati pubblici dà accesso a una biblioteca di riferimento. Far passare l'identificativo di un paziente dalla porta della biblioteca resta la strada sbagliata, anche quando lo spazio di lavoro è coperto da un Business Associate Agreement.

Una checklist di implementazione capace di superare la revisione di sicurezza

La prova di una buona implementazione non è lo screenshot di una risposta utile. È una catena di evidenze che mostra quali dati erano ammessi, chi poteva raggiungerli, come è stato limitato l'accesso, che cosa ha verificato il professionista sanitario e che cosa è accaduto quando il contesto non era completo.

1. Verificare l'idoneità dello spazio di lavoro e i requisiti legali

Si parte da una decisione scritta di via libera o stop. Il plugin Epic è disponibile soltanto negli spazi di lavoro ChatGPT for Healthcare approvati e negli ambienti Enterprise abilitati HIPAA, nei limiti del piano di distribuzione dell'organizzazione e della configurazione Epic. Non è disponibile per gli account individuali ChatGPT for Clinicians.

Prima che le informazioni sanitarie protette (PHI) entrino nel flusso di lavoro, occorre verificare il Business Associate Agreement (BAA) applicabile, cioè il contratto che disciplina il trattamento coperto delle PHI, insieme allo spazio di lavoro e alle funzionalità idonee, all'autorizzazione Epic e agli eventuali accordi richiesti per l'uso previsto. La sola disponibilità di una funzione non dimostra che questa sia coperta dal BAA. L'elenco delle funzionalità idonee ai fini HIPAA di OpenAI è volutamente puntuale e specifica che la memoria migliorata non è coperta dal BAA: se un amministratore la abilita, non deve ricevere PHI.

Il documento di approvazione dovrebbe indicare quattro responsabili: il titolare dello spazio di lavoro, l'amministratore Epic, il responsabile privacy o sicurezza e il referente clinico autorizzato a interrompere il progetto pilota.

2. Censire le fonti prima di collegarle

Va preparata una matrice con una riga per ogni sistema o app. Per Epic bisogna registrare l'ambiente, le risorse FHIR approvate, la popolazione di pazienti, i ruoli utente e la modalità d'uso di ChatGPT: nel proprio spazio di lavoro oppure in un layout EHR supportato. FHIR è l'indirizzo di interfaccia standard usato per richiedere le risorse della cartella sanitaria. È una porta, non un'autorizzazione in sé.

Per i dati pubblici, ognuna delle nove app va approvata separatamente. Disponibilità del plugin, attivazione dell'app, permessi del ruolo e collegamento dell'utente sono interruttori distinti. Installare il plugin non collega automaticamente tutte le app. La guida alla configurazione dei dati pubblici avverte inoltre che una richiesta può uscire dallo spazio di lavoro per raggiungere l'organizzazione che gestisce la fonte: le ipotesi su conservazione e residenza dei dati richiedono quindi una verifica dedicata.

Nella matrice il confine deve essere netto: Epic può trasportare il contesto autorizzato del paziente; le ricerche sui dati pubblici non possono contenere PHI. Se un flusso richiede entrambi, la domanda alla fonte pubblica va formulata in termini generali. Sarà poi il professionista sanitario a confrontare la risposta pubblica citata con la cartella, all'interno del flusso approvato per il contesto del paziente.

3. Legare l'accesso a un'identità reale

Gli amministratori dello spazio di lavoro e di Epic configurano l'app EHR usando l'URL di base FHIR R4 dell'organizzazione, l'ID client OAuth, il client secret OAuth e l'URL di callback esatto mostrato durante la configurazione. OAuth è il passaggio di autenticazione che consente a Epic di concedere l'accesso senza inserire una password in una chat.

Ogni professionista collega poi il proprio account Epic. Installare il plugin per un ruolo non collega l'account di nessuno e non amplia le autorizzazioni Epic di quella persona. Credenziali, client secret e token di accesso devono restare nei flussi approvati di configurazione e autenticazione, mai in una conversazione ChatGPT o in un'attività Codex.

Prima del progetto pilota clinico, bisogna collaudare l'ingresso di nuovi utenti, i cambi di ruolo e le disattivazioni. Il single sign-on SAML e il provisioning degli account SCIM possono gestire il ciclo di vita delle identità nello spazio di lavoro, ma il test di accettazione deve anche dimostrare che la rimozione di un utente da un ruolo Epic elimina il relativo accesso alle cartelle tramite ChatGPT.

4. Rendere concreto il principio del privilegio minimo

«Sola lettura» riduce il rischio, ma non equivale al privilegio minimo. Se ruoli e ambiti sono troppo estesi, anche un utente con accesso in sola lettura può vedere più del necessario.

Il plugin Epic va impostato su Available o Installed soltanto per i ruoli approvati. Ogni ambito OAuth deve essere riesaminato insieme all'amministratore Epic. OpenAI documenta i comuni ambiti di lettura per pazienti, condizioni, allergie, richieste ed erogazioni di farmaci, osservazioni, documenti, referti diagnostici, incontri clinici e relativi file binari. Gli ambiti per appuntamenti, procedure, vaccinazioni o piani assistenziali vanno aggiunti solo quando sono necessari a un flusso di lavoro approvato.

Per i dati pubblici, ogni app va concessa esclusivamente ai ruoli che ne hanno bisogno. Un team di farmacia potrebbe aver bisogno di DailyMed e RxNorm; un gruppo di ricerca, di PubMed e ClinicalTrials.gov. Nessuno dei due necessita automaticamente di tutti i dataset CMS. È necessario registrare chi ha approvato ciascun permesso e quando verrà riesaminato.

5. Integrare la verifica clinica nell'output

Ogni template che utilizza il contesto del paziente dovrebbe imporre cinque campi:

1. Che cosa è cambiato.
2. Elementi della cartella a supporto.
3. Date rilevanti.
4. Contesto mancante o non disponibile.
5. Decisione e approvazione del professionista sanitario.

OpenAI afferma che la risposta di Epic rimanda alle informazioni cliniche di supporto e invita i professionisti a esaminare la cartella di origine e le date rilevanti prima di farvi affidamento. Il controllo decisivo è la verifica della fonte. Un riepilogo ben scritto ma privo di riscontri tracciabili nella cartella non dovrebbe superare la revisione.

OpenAI riferisce che i medici hanno giudicato sicuro il 99.1% di 4,363 risposte distribuite su 27 casi d'uso con EHR collegato. È un dato di valutazione utile, non un'autorizzazione a saltare la validazione locale. «Sicuro», inoltre, non significa necessariamente completo, aggiornato o corretto per uno specifico paziente.

6. Raccogliere evidenze di audit e bloccare il flusso se manca il contesto

Le conversazioni delle app sono disponibili tramite la Compliance API, un'interfaccia di esportazione per i sistemi di governance, mentre le chiamate alle app vengono registrate nei Compliance Logs. Prima del lancio occorre verificare che i campi richiesti dagli auditor siano effettivamente presenti. Come minimo, il pacchetto di evidenze dovrebbe collegare utente, ruolo, app, orario, classe della fonte, modello del caso d'uso, esito della revisione e ticket di eccezione, senza duplicare in un secondo sistema più PHI di quante ne richieda l'audit.

La procedura alternativa deve essere visibile nel flusso di lavoro. I dati disponibili dipendono dalla configurazione Epic, dalle risorse approvate e dalle autorizzazioni alla cartella già assegnate all'utente. Quando manca la cartella del paziente o una risorsa necessaria, l'output deve riportare «Missing context», indicare la categoria di fonte assente e rimandare il professionista a Epic. Non deve colmare la lacuna affidandosi alla memoria o a una ricerca su dati pubblici.

Se una fonte pubblica non restituisce risultati, bisogna restringere o riformulare la query priva di PHI, controllare la copertura dichiarata dalla fonte e riprovare più tardi se il fornitore non è disponibile o limita la frequenza delle richieste. L'assenza di risultati non dimostra che non esistano studi, avvertenze, policy o registrazioni di professionisti.

Fare i conti prima di estendere l'implementazione

OpenAI non pubblica un prezzo di listino per ChatGPT for Healthcare. Il costo dipende dalle dimensioni dell'organizzazione e dalle esigenze di implementazione; negli spazi di lavoro Enterprise, inoltre, l'uso delle funzionalità avanzate attinge a un fondo crediti condiviso a livello di contratto. Un business case credibile richiede quindi un preventivo e un progetto pilota misurato, non un confronto generico del costo per postazione.

Si può usare questa formula:

monthly workflow value = completed reviews x verified minutes saved x loaded clinician cost / 60

Dal risultato va sottratto l'intero costo operativo: contratto enterprise, configurazione di Epic e OAuth, revisione di sicurezza, progettazione del flusso di lavoro, formazione, validazione clinica, attività di audit e assistenza. Insieme al tempo risparmiato vanno misurati anche i riepiloghi che richiedono correzioni e le escalation. Una bozza prodotta più velocemente, ma che impone verifiche aggiuntive, non rappresenta un risparmio.

Il mercato adiacente offre un utile riferimento di prezzo. Il listino ufficiale di Freed indica per il piano Premier dedicato ai professionisti sanitari, che include contesto del paziente ed EHR push, un costo di $119 al mese oppure $104 al mese con fatturazione annuale. Non è un prezzo direttamente confrontabile con quello di un sistema sanitario. Dimostra però che i professionisti già pagano per ricostruire il contesto di una visita. Per ChatGPT, la domanda economica è se un unico spazio di lavoro governato possa coprire questa attività nei flussi clinici, di ricerca e operativi approvati, senza aggiungere un altro strumento frammentato.

Sette casi d'uso dell'AI in sanità, ordinati per ritorno operativo

1. Revisione pre-visita di pazienti complessi

Davanti a una cartella molto estesa, un medico di base o uno specialista potrebbe chiedere che cosa è cambiato dall'ultima visita, quali esami recenti meritano attenzione, se la terapia farmacologica è stata modificata e quali raccomandazioni degli specialisti sono ancora aperte. ChatGPT può comporre una bozza di briefing a partire da note, farmaci, condizioni, incontri clinici ed esami di laboratorio autorizzati, rimandando poi agli elementi della cartella che supportano il testo.

Questo caso è al primo posto perché l'attività si ripete prima di ogni appuntamento rilevante e assorbe tempo clinico costoso. Il flusso più efficace non consiste nel «riassumere tutto», ma nel produrre un breve resoconto delle modifiche, con date, link alle fonti e una sezione esplicita per il contesto mancante.

2. Passaggi di consegne tra turni e servizi

Un medico ospedaliero o di copertura potrebbe richiedere una cronologia dei recenti incontri clinici, dei problemi attivi, delle modifiche ai farmaci e dei follow-up irrisolti per un paziente al quale è autorizzato ad accedere. Prima di accettare il passaggio di consegne, chi subentra verifica ogni punto importante nella cartella.

Il beneficio è un punto di partenza più uniforme quando l'assistenza passa da una persona all'altra. Anche il rischio è evidente: se un tipo di nota o un incontro non rientra nell'ambito approvato, il passaggio deve segnalare la lacuna anziché lasciare intendere che la cartella sia completa.

3. Revisione delle modifiche alla terapia farmacologica

Un team clinico o di farmacia potrebbe confrontare richieste di farmaci correnti, registri di dispensazione, allergie, esami recenti e note Epic pertinenti, per poi consultare separatamente DailyMed o RxNorm in cerca di informazioni pubbliche su etichette e identificativi. Il canale del paziente risponde alla domanda «che cosa contiene questa cartella autorizzata?». Il canale pubblico chiarisce «che cosa dice la fonte ufficiale?».

Questa separazione riduce i passaggi tra schede, preservando il confine tra PHI e query pubbliche. Non decide dosaggio, intercambiabilità, copertura del formulario o trattamento: queste valutazioni restano affidate a professionisti qualificati.

4. Monitoraggio degli invii specialistici e dei problemi irrisolti

Un coordinatore dell'assistenza potrebbe chiedere gli invii specialistici recenti, le raccomandazioni degli specialisti e i follow-up aperti presenti nella cartella autorizzata. L'output potrebbe essere organizzato come elenco di azioni, associando a ogni voce la nota e la data di supporto.

Il vantaggio è la riduzione delle ricerche manuali in una cartella lunga. Il coordinatore deve comunque verificare se l'attività sottostante sia stata completata altrove, perché le risorse collegate potrebbero non includere tutti gli eventi di pianificazione, messaggistica o assistenza esterna.

5. Preparazione delle evidenze per l'autorizzazione preventiva

Un team che gestisce le autorizzazioni potrebbe usare il contesto clinico autorizzato per redigere i fatti specifici del paziente a sostegno di una richiesta, quindi consultare CMS Coverage con una query pubblica separata e priva di PHI per individuare la versione pertinente della policy. Prima di qualsiasi invio, un revisore umano riconcilia i due elementi.

Questo approccio può ridurre il lavoro di raccolta e stesura, ma non può determinare i benefici di una singola persona. Le fonti sulla copertura hanno limiti di ambito e versione, mentre la richiesta finale deve rispettare le regole correnti dell'assicuratore. Gli studi più piccoli non ancora pronti per un collegamento EHR enterprise possono ricavare un vantaggio più immediato dai flussi più semplici descritti in Automazione di uno studio dentistico con l'AI.

6. Screening di studi clinici ed evidenze

Un gruppo di ricerca potrebbe usare ClinicalTrials.gov per individuare studi in fase di reclutamento e confrontarne i criteri di idoneità, affiancando le ricerche correlate fornite da PubMed. Un professionista sanitario potrebbe quindi confrontare quei criteri pubblici con una cartella autorizzata, senza inserire identificativi del paziente nella richiesta ai dati pubblici.

Il vantaggio è una prima analisi più rapida di fonti frammentate. Lo stato dello studio e l'idoneità devono comunque essere confermati con il gruppo di ricerca, e i record delle fonti possono cambiare.

7. Pianificazione di programmi di salute della popolazione

Un team dedicato alla salute della popolazione che pianifica un programma per il diabete, le patologie cardiache o la sicurezza dei farmaci potrebbe riunire ricerca pubblica, studi attivi, informazioni sulla copertura Medicare, indicatori delle strutture e registri dei professionisti. Ne può risultare un briefing corredato di fonti per i responsabili del programma, senza usare dati riferiti ai singoli pazienti nelle app pubbliche.

Questo caso si colloca più in basso per ritorno immediato, perché è periodico e non legato a ogni visita; può però migliorare qualità e tracciabilità della pianificazione tra ricerca e attività operative.

Due prodotti da costruire attorno al collegamento

1. L'opportunità più solida: una console di evidenze per implementazioni EHR

Si può realizzare un control plane, cioè un unico ambiente da cui governare l'implementazione, per i team IT, privacy e governance clinica di un sistema sanitario. La console censirebbe fonti approvate, ruoli, ambiti Epic, casi di test, eccezioni ed esportazioni di audit, producendo poi un pacchetto di evidenze pronto per la revisione a ogni rilascio del flusso di lavoro.

Per un'attività infrastrutturale così specifica, il segnale di domanda è insolitamente commerciale. «EHR integration» registra circa 590 ricerche mensili negli Stati Uniti, con un costo per clic di $42.25. «EHR integration services» ne registra circa 140, con un costo per clic di $80.68 e un'offerta per la parte alta della pagina che arriva a $78.96. Gli acquirenti stanno già cercando assistenza e i fornitori investono molto per raggiungerli.

La versione minima vendibile supporta un ambiente Epic e uno spazio di lavoro ChatGPT. Importa o registra gli ambiti FHIR approvati e la matrice del controllo degli accessi basato sui ruoli (RBAC), esegue una libreria fissa di test di accettazione, conserva le approvazioni ed esporta un report delle eccezioni. Il limite, senza giri di parole, è un lungo ciclo di vendita enterprise accompagnato da continui cambiamenti della piattaforma. Il prodotto non può sostituire un BAA, l'analisi locale dei rischi o la responsabilità clinica. Il suo vantaggio difendibile deve derivare dalla qualità del modello di evidenze e della libreria di implementazione, non da una dashboard superficiale.

2. Un pacchetto di flussi pre-visita con verifica delle fonti

Si può creare per le cliniche che seguono casi complessi una serie di modelli riutilizzabili per ChatGPT for Healthcare, abbinati a un protocollo di revisione. Ogni briefing includerebbe cambiamenti, farmaci, esami di laboratorio, follow-up, riferimenti alla cartella, date e un blocco «Missing context» prima dell'approvazione del professionista.

«AI medical assistant» registra circa 140 ricerche mensili negli Stati Uniti, mostra un intento commerciale e ha un costo per clic di $24.01. Il piano Premier di Freed da $119 al mese comprende riepiloghi delle visite, contesto del paziente ed EHR push: è una prova diretta della disponibilità a pagare per questa attività, anche se non per questo preciso modello di implementazione.

L'MVP comprende tre modelli specifici per specialità, una mappa dei ruoli, una checklist per verificare fonti e date e una scheda di valutazione del progetto pilota. Va venduto inizialmente come pacchetto di implementazione, non come software autonomo. Il limite è la difendibilità: i modelli sono facili da copiare e il lavoro acquista valore soltanto se abbinato a gestione del cambiamento, validazione e governance specifica per specialità.

Che cosa non risolve questo collegamento

Il collegamento è adatto alla sintesi e alla revisione. Non lo è per decisioni assistenziali autonome o per l'esecuzione invisibile di flussi di lavoro.

• Non si collega a ogni EHR. L'integrazione documentata con le cartelle dei pazienti riguarda Epic.
• Non scrive nella cartella, non inserisce ordini e non invia messaggi ai pazienti.
• Non garantisce un contesto completo. Sono la configurazione, le risorse approvate e le autorizzazioni dell'utente a determinare che cosa è disponibile.
• Non trasforma un BAA in un'approvazione generale per qualsiasi funzione o servizio di terze parti.
• Non rende i dataset pubblici specifici per il paziente, completi o decisivi sul piano clinico.
• Non elimina la responsabilità del professionista sanitario di controllare la cartella di origine e le date.
• Non dimostra che i campi di audit esistenti soddisfino i requisiti probatori dell'organizzazione.

Sul fronte privacy vale la stessa lezione delle altre funzioni di ChatGPT ricche di contesto: l'utilità cresce insieme all'accesso, perciò la progettazione dei permessi e i limiti di conservazione diventano più importanti, non meno. Privacy della cronologia di ChatGPT Computer analizza questo compromesso in un altro scenario ad alto contenuto di contesto.

Il giudizio di sicurezza del 99.1% e quello di accuratezza buona o superiore, oltre il 93% per ciascuna delle cinque fonti pubbliche testate, sono risultati di valutazione promettenti. Non sostituiscono i test locali su ruoli, risorse, specialità e casi di errore dell'organizzazione.

Domande frequenti

Che cosa significa integrazione EHR?

L'integrazione EHR collega una cartella clinica elettronica a un altro sistema approvato, consentendo ai dati autorizzati di passare dall'uno all'altro. In questa versione di ChatGPT, il percorso EHR documentato è un plugin Epic di sola lettura che rispetta le autorizzazioni Epic già assegnate a ogni utente.

Come si integra un EHR?

Per ChatGPT, occorre prima verificare la presenza di uno spazio di lavoro ChatGPT for Healthcare approvato o Enterprise abilitato HIPAA, insieme alla necessaria copertura legale. Bisogna quindi coordinarsi con OpenAI e con l'amministratore Epic, configurare l'app EHR specifica dello spazio di lavoro usando l'URL FHIR R4 e i dati OAuth, rivedere ambiti e ruoli, pubblicare l'app e far collegare a ogni utente approvato il proprio account Epic.

Che cosa sono i servizi di integrazione EHR?

Sono servizi di implementazione che collegano, proteggono, testano e gestiscono i flussi di dati tra un EHR e un altro sistema. Per questa implementazione sono utili la configurazione dell'app Epic, la gestione delle identità, la progettazione di ambiti e RBAC, la validazione clinica, la mappatura degli audit, la formazione e la gestione delle eccezioni.

Quali sono tre sfide e criticità principali di un EHR?

In un flusso di AI collegato a un EHR, le tre sfide principali sono il contesto incompleto, un accesso troppo ampio e un output non verificato. I controlli concreti sono uno stato visibile per il contesto mancante, ruoli e ambiti basati sul privilegio minimo e la revisione, da parte del professionista sanitario, della cartella sottostante e delle date.

La mossa da fare lunedì

Riunire nella stessa sessione di lavoro il chief medical information officer (CMIO), il responsabile privacy, l'amministratore Epic, il titolare dello spazio di lavoro e due professionisti sanitari in prima linea. Scegliere un'attività di revisione ricorrente, mappare soltanto i dati necessari e testarla inizialmente su cartelle di prova o formazione approvate che comprendano una cartella completa, una risorsa con restrizioni, una sessione di accesso scaduta e un risultato mancante. Il progetto pilota non va esteso finché l'output non segnala il contesto mancante, i link alle fonti non superano la revisione, l'accesso non viene negato correttamente e l'esportazione di audit non risponde alle domande su chi ha consultato che cosa e quando.

Per realizzare una di queste integrazioni sanitarie governate nella propria organizzazione, sono disponibili i sistemi AI in produzione.