Il rapporto Neurodata governance: Evidence from innovators for public policy, pubblicato dall’OCSE il 6 ottobre 2026, considera come le neurotecnologie si stiano espandendo rapidamente negli ambiti clinico, della ricerca e consumer, creando opportunità senza precedenti per migliorare le cure mediche, superare disabilità e trasformare la vita quotidiana. Il loro funzionamento dipende dai neurodati, un insieme diversificato di segnali e informazioni derivati dalla loro lavorazione, generati in ambienti digitali, clinici e commerciali complessi e potenzialmente molto sensibili per le persone coinvolte. La combinazione tra numero crescente di strumenti internazionali e standard tecnici rivela, secondo l’OCSE, un livello di maturità, diffusione e impatto sociale che richiede un’attenzione politica collettiva. Il paper identifica lacune di conoscenza, di copertura regolatoria e di coordinamento istituzionale su tutte le dimensioni considerate, ricostruisce il panorama di governance applicabile ai neurodati — un mix di strumenti internazionali, quadri legislativi nazionali e orientamenti regolatori — presenta le evidenze dall’industria sui flussi di dati e sulle sfide di governance, e delinea opzioni di policy.
Il primo esito analitico è che poiché i neurodati differiscono ampiamente per sensibilità, identificabilità e potenziale di inferenza, le risposte di policy devono offrire garanzie proporzionate che affrontino efficacemente i rischi in ciascun contesto specifico. Lo studio identifica in particolare tre risultati chiave: i requisiti di governance dei neurodati variano significativamente in funzione del tipo di dato, del livello di trattamento e del contesto d’uso, limitando l’efficacia di un approccio politico uniforme; gli ecosistemi neurotecnologici coinvolgono di frequente molteplici attori, creando incertezza su ruoli, responsabilità e basi giuridiche del trattamento; e la lavorazione a strati — dal segnale grezzo al dato inferito — aumenta sia il valore dei neurodati sia i rischi privacy associati. Da questi risultati l’OCSE trae una conseguenza duplice: approcci uniformi rischiano tanto una sovraregolazione che ostacola l’innovazione, quanto di trascurare gli usi ad alto rischio. Il rapporto ricostruisce anche un ecosistema di dati ricco ma molto complesso, che accresce significativamente le difficoltà di una governance efficace e di una protezione robusta della privacy — segnali neurali, dati fisiologici e comportamentali, inferenze derivate come stati emotivi e tendenze comportamentali, elaborazioni automatizzate opache e rischio di manipolazione comportamentale — e rileva che i neurodati non costituiscono sempre dati personali sanitari, con la conseguenza che gli approcci di policy possono differire. Di qui la tendenza delle autorità di regolazione verso una definizione ampia di neurodati: l’EDPS li definisce come “informazioni raccolte dal cervello e/o dal sistema nervoso” e le inferenze che ne derivano [European Data Protection Supervisor, 2024, p. 4]. Tra i riutilizzi il rapporto menziona l’addestramento di IA, la profilazione, lo sviluppo di prodotto, la pubblicità, le analitiche sui datori di lavoro e la modellizzazione del rischio assicurativo. Le neurotecnologie, scrive l’OCSE, portano insieme opportunità e rischi complessi da gestire responsabilmente: privacy, autonomia mentale, sicurezza dei dati e accesso diseguale evidenziano la necessità di proteggere i diritti e gli interessi delle persone e di mantenere la fiducia pubblica.
Il quadro internazionale è descritto come un tentativo collettivo di prevenire la divergenza regolatoria, armonizzare le aspettative e sostenere i paesi privi di competenze interne sulla governance dei neurodati. Ne fanno parte la Raccomandazione OCSE sulle Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data — adottate nel 1980 e riviste nel 2013, primo insieme internazionale di principi sulla privacy, articolate in otto principi — e la Raccomandazione OCSE sull’innovazione responsabile nelle neurotecnologie. A questo si affianca un insieme crescente di leggi nazionali e regolazioni settoriali che si applicano alle neurotecnologie in modi diversi — dispositivi medici, protezione dei dati, intelligenza artificiale, tutela dei consumatori, supervisione della ricerca, cybersecurity — creando un ambiente denso e talvolta sovrapposto, con quadri di vigilanza e capacità di enforcement che differiscono tra giurisdizioni e comportano oneri operativi per le imprese. Tra i regimi comparati il rapporto cita il GDPR europeo e il UK GDPR, il FTC Act statunitense, l’APPI giapponese, la PIPA sudcoreana, la PIPEDA canadese e il CCPA/CPRA californiano; discipline settoriali sanitarie come l’HIPAA; tutele per studenti e minori come FERPA e COPPA tra Stati Uniti e Regno Unito. Il regolamento europeo sui dispositivi medici si applica direttamente in tutti gli Stati membri, prevalendo sulle norme nazionali dove disciplina i requisiti dei dispositivi e convivendo con il diritto interno su enforcement, procedure di indagine clinica e regime linguistico. L’OCSE conclude che, oltre ai quadri nazionali generali e intersettoriali, è emerso un insieme diversificato di orientamenti e standard internazionali per le neurotecnologie e per i neurodati, che si affianca ai quadri esistenti di protezione dei dati e di data governance.
Le evidenze dall’industria sono il contributo più concreto del paper e vanno lette come tali. Dopo il workshop multistakeholder sulle implicazioni privacy delle neurotecnologie convocato dall’OCSE nel giugno 2025, l’OCSE ha condotto uno studio basato su questionario (Annex B) e interviste con 16 aziende in 7 paesi membri — 7 sviluppano un dispositivo per uso sanitario, 4 mirano allo spazio consumer e 5 vedono applicazioni in altre aree (campione in Annex C) — comprendente una mappatura dettagliata di tipi di dato, flussi di dati e punti di rischio lungo il ciclo di vita dei neurodati. Le imprese riferiscono che i quadri privacy attuali forniscono una base per un trattamento lecito ma mancano di indicazioni specifiche sui neurodati: le regolazioni vigenti non distinguono chiaramente tra tipi di segnali neurali, metriche derivate e analisi, creando difficoltà agli innovatori nel determinare come trattare lecitamente i neurodati. L’incertezza aumenta per la natura stratificata della lavorazione analitica — la Figura 3.3 distingue tre livelli di analisi sui dati — e le imprese sottolineano che le disposizioni sulla categorizzazione del rischio nella legislazione sull’IA, come l’AI Act europeo, creano incertezza giuridica su come classificare i neurodati, incertezza amplificata quando tali disposizioni si intersecano con le leggi di protezione dei dati; l’OCSE annota che una governance dell’IA poco chiara o troppo rigida favorisce gli incumbent rispetto alle startup. Sul piano organizzativo le pratiche variano: alcune aziende seguono l’ISO/IEC 27001, adottano processi sicuri di sviluppo software, designano data protection officer o si conformano a GDPR, CCPA o al Privacy Mark giapponese, mentre altre si affidano a schemi nazionali o a policy interne generali. Quanto all’interazione con le autorità, l’impegno riferito varia ampiamente per profondità, finalità ed esperienze per giurisdizione: tutte le aziende indicano interazioni con i regolatori dei dispositivi medici e con i processi di policy rilevanti, mentre quasi nessuna riferisce un dialogo con le autorità di protezione dei dati. Le forme di coinvolgimento citate includono la collaborazione con organizzazioni internazionali come OCSE e UNESCO attraverso gruppi di lavoro, consultazioni e workshop; il contributo a iniziative nazionali o autorità etiche, come il Government Accountability Office statunitense e il KEK svizzero; e la fornitura di prospettive tematiche su questioni quali i rischi di sovraregolazione o temi neuroscientifici come la scienza del sonno. La sezione 3 precisa infine che, sebbene i neurodati siano sensibili e richiedano protezioni robuste, i loro rischi variano significativamente per contesto, modalità e livello di trattamento, e che una governance coerente e proporzionata dipende dalla comprensione di tali differenze piuttosto che dall’applicazione di assunti uniformi.
Le raccomandazioni, tratte dalle evidenze presentate e rivolte a regolatori, policymaker e stakeholder industriali in linea con recenti risultanze OCSE e con gli sforzi dei paesi per snellire la regolazione delle tecnologie emergenti, si articolano in cinque azioni di policy. La prima è chiarire i quadri sui neurodati: serve maggiore chiarezza su come i quadri di protezione dei dati esistenti si applichino ai neurodati nei diversi contesti e casi d’uso, con orientamenti settoriali su responsabilità di titolari e responsabili del trattamento — in particolare in assetti multi-entità complessi e modelli di uso secondario — e percorsi chiari per gli usi secondari leciti con garanzie adeguate; i regolatori dovrebbero inoltre offrire indicazioni pratiche su consenso, limitazione delle finalità e trattamento dei dati inferiti, chiarendo come segnali neurali e metriche derivate vadano classificati in base a identificabilità e contesto, insieme a un sostegno regolatorio per approcci privacy-by-design e tecnologie di miglioramento della privacy. La seconda è rafforzare i percorsi regolatori per le neurotecnologie abilitate da dispositivi medici, protezione dei dati e IA: i rapidi progressi stanno creando incertezza regolatoria proprio dove questi requisiti si intersecano, e per migliorare la prevedibilità e ridurre le barriere all’innovazione i regolatori dovrebbero ampliare le occasioni di dialogo precoce con gli sviluppatori e offrire percorsi più chiari per la valutazione e l’approvazione di sistemi adattivi e abilitati dall’IA, con maggiore coordinamento tra domini regolatori per ridurre sovrapposizioni e ambiguità di conformità. La terza è sostenere infrastrutture, dataset e standard interoperabili: poiché sviluppo e diffusione delle neurotecnologie dipendono dall’accesso a dati di alta qualità, sistemi interoperabili e meccanismi di collaborazione affidabili, i policymaker dovrebbero promuovere standard di dati interoperabili, requisiti di metadati e quadri di interoperabilità per migliorare qualità, comparabilità e riuso tra applicazioni e giurisdizioni, investendo in infrastrutture sostenibili di condivisione dei neurodati e in meccanismi che accrescano la disponibilità di dataset diversificati e di alta qualità e abilitino i flussi transfrontalieri. La quarta è approfondire la cooperazione multistakeholder e internazionale, data la complessità e la natura transfrontaliera dello sviluppo neurotecnologico: meccanismi strutturati di partecipazione, inclusi gruppi di lavoro, consultazioni e sandbox regolatori, possono aiutare a far sì che i quadri di policy riflettano le prospettive di industria, ricercatori, operatori sanitari, organizzazioni della società civile, organismi di standardizzazione e comunità interessate; la Raccomandazione 4.2 invita a favorire il dialogo internazionale per ridurre gli approcci divergenti, migliorare la prevedibilità e sostenere l’innovazione. La quinta è creare percorsi ad hoc per le neurotecnologie basate su piattaforma e per la sola ricerca: i quadri esistenti possono non riflettere adeguatamente le caratteristiche delle neurotecnologie emergenti, in particolare dispositivi software-driven, aggiornati continuamente o progettati per più casi d’uso, e i percorsi regolatori dovrebbero essere modernizzati per accogliere tecnologie impiantabili, aggiornabili e basate su piattaforma che evolvono nel tempo attraverso aggiornamenti software e analitiche adattive. Nel loro insieme, queste misure possono sostenere lo sviluppo di un ecosistema neurotecnologico affidabile e favorevole all’innovazione, con maggiore coerenza delle politiche, più prevedibilità per gli innovatori e garanzie ottimali per i diritti e gli interessi delle persone.
La conclusione del rapporto è che serve un approccio di policy reattivo, human-centric e basato sull’evidenza, adattabile agli sviluppi tecnologici e allineato a innovazione, crescita e beneficio pubblico, fondato su una comprensione granulare dei diversi tipi di neurodati e del loro flusso — come vengono generati, trattati, trasferiti e conservati — tra sviluppatori, ricercatori, organizzazioni, paesi e individui, invece di trattare tutti i neurodati come uniformemente sensibili.
Balancing emerging neurotechnology benefits and privacy considerations: Neurodata governance | OECD
The Global Eye è in partnership con SIOI
