Un numero non diventa una misura perché ha due decimali.

«Ho la pressione a 128 su 82.» Il numero viene da un orologio. È scritto in cifre nette, con la sua unità, e sullo schermo sta esattamente dove starebbe il numero di un apparecchio da ambulatorio.

Poi c'è la domanda che quasi nessuno fa: 128 su 82 secondo cosa?

Non è una domanda ostile, ed è l'unica che separa un dato utile da un dato che sembra utile. Vale identica per la schermata di un'app, per la scheda tecnica di un fornitore e per il capitolato che stai per firmare.

Ogni misura è una stima

Misurare non è il contrario di stimare. È il malinteso più comodo, ed è quello che rende sbagliato tutto il resto.

Anche l'apparecchio da ambulatorio, quello con il bracciale, stima. Vale la pena vedere come, perché quell'apparecchio è il metro di paragone di tutto il resto.

Il bracciale si gonfia finché non chiude l'arteria del braccio, poi si sgonfia piano. Mentre la pressione nel bracciale scende, il sangue ricomincia a passare a ogni battito e fa vibrare la parete dell'arteria. Dentro il bracciale si registrano allora piccole oscillazioni di pressione, che prima crescono, arrivano a un massimo e poi calano. Da come cambia l'ampiezza di quelle oscillazioni, un algoritmo ricava la pressione massima e la minima. È il metodo oscillometrico, ed è quello di quasi tutti gli apparecchi automatici in commercio.

Nessuno, in questa storia, legge la pressione dentro l'arteria. La si legge dentro un bracciale, e si risale ai due numeri con un modello — un modello che, fra l'altro, cambia da un costruttore all'altro. La norma internazionale che disciplina la prova clinica di questi apparecchi lo mette nero su bianco nel proprio oggetto: parla di stima automatica, non invasiva e intermittente della pressione arteriosa.

La differenza fra il numero del bracciale e quello dell'orologio non sta quindi nel fatto che uno sia vero e l'altro inventato. Sta in cosa c'è dietro. E quello che sta dietro ha due nomi precisi, che vale la pena spiegare una volta per tutte.

Il primo è la riferibilità metrologica. Il vocabolario internazionale di metrologia — il dizionario condiviso di chi misura per mestiere, pubblicato dagli enti che custodiscono le unità di misura — la definisce come la proprietà di un risultato per cui quel risultato può essere collegato a un riferimento attraverso una catena documentata e ininterrotta di tarature, ognuna delle quali contribuisce all'incertezza.

Va sciolta pezzo per pezzo, perché ogni parola porta un obbligo.

Taratura vuol dire confrontare quello che uno strumento indica con quello che indica un riferimento di valore noto, e scrivere lo scarto. Riferimento non vuol dire «un altro apparecchio che ci sembra buono»: vuol dire un campione — che in metrologia è lo strumento o il materiale di riferimento, non un gruppo di persone — la cui esattezza è stata a sua volta verificata contro un campione superiore, e così via risalendo. Catena è appunto questa risalita, un anello dopo l'altro. Documentata vuol dire che di ogni anello esiste un foglio con una data e una firma. Ininterrotta vuol dire che non ne manca nessuno.

Se un anello manca, o se c'è ma nessuno l'ha scritto, la catena non esiste — e senza catena il numero resta un numero. Non è un cavillo formale: è la ragione per cui due strumenti diversi, in due posti diversi, possono dire la stessa cosa e sapere quanto si somigliano.

Il secondo è l'incertezza di misura. Sempre lo stesso vocabolario: un parametro non negativo che descrive quanto sono dispersi i valori che si possono ragionevolmente attribuire al misurando — cioè alla grandezza che si è deciso di misurare — sulla base delle informazioni disponibili.

Nella pratica è il ± che accompagna il numero. Dire «122 mmHg», cioè centoventidue millimetri di mercurio, l'unità in cui si esprime la pressione arteriosa, non significa niente da solo. Dire «122 mmHg con un'incertezza di 8 mmHg» significa che il valore vero sta ragionevolmente fra 114 e 130, e che chi lo usa deve deciderlo sapendolo. Un valore senza incertezza non è un valore prudente: è un valore di cui non si sa niente, perché nessuno ha dichiarato quanto può sbagliare.

Lo stesso vocabolario chiarisce infine una parola che si usa a sproposito ogni giorno. Un sensore è «un elemento di un sistema di misura direttamente influenzato da un fenomeno, un corpo o una sostanza che porta una grandezza da misurare». Un elemento. Non il sistema.

La distinzione conta perché nell'orologio senza bracciale il sensore è un LED che illumina la pelle e un fotodiodo che misura quanta luce torna indietro. Quella quantità cambia a ogni battito, perché cambia il sangue che passa nei vasi sotto la pelle: si chiama fotopletismografia, ed è la stessa tecnica che sta dietro al battito cardiaco che l'orologio ti mostra da anni. Fra quel segnale luminoso e un valore di pressione arteriosa, però, ci sono un modello, una taratura fatta sulla singola persona e una fila di ipotesi. Sono quelli, non il sensore, a decidere se esce una misura o un'indicazione.

Da qui la frase che si può portare via: un numero non diventa una misura perché ha due decimali.

Due orologi al polso, e non sono la stessa cosa

Al polso, due dispositivi possono sembrare lo stesso oggetto. Il primo ha un piccolo bracciale gonfiabile nascosto nel cinturino e usa il metodo oscillometrico descritto sopra: è un apparecchio da ambulatorio rimpicciolito e portato al polso. Il secondo non ha nessun bracciale: guarda la luce riflessa dal sangue e da lì ricava un valore con un algoritmo, dopo una taratura iniziale fatta su chi lo indossa, di solito con un misuratore a bracciale.

Il primo ha alle spalle studi di validazione, che è una parola precisa e non un modo di dire: si prende un gruppo di persone, si misura la loro pressione con lo strumento in prova e con un metodo di riferimento, e si guarda quanto i due si discostano — con una soglia decisa prima, che il dispositivo o rispetta o non rispetta. La procedura è scritta in uno standard congiunto di tre organizzazioni: l'associazione americana per la strumentazione medica (AAMI), la Società europea dell'ipertensione (ESH) e l'ISO, l'organizzazione internazionale che pubblica le norme tecniche.

Sul secondo, quello senza bracciale, la letteratura è netta. Un commento pubblicato nel 2026 su «Hypertension Research», la rivista della Società giapponese dell'ipertensione, lo riassume così: al momento non esiste evidenza convincente che una qualunque tecnologia senza bracciale abbia l'accuratezza richiesta per l'uso clinico, e le società scientifiche non ne raccomandano l'impiego. Lo firma Anastasios Kollias, del centro per l'ipertensione dell'Università di Atene.

Non è l'opinione di una persona sola. Lo stesso testo ricorda che le tre linee guida di riferimento — quella della Società europea dell'ipertensione del 2023, quella della Società europea di cardiologia del 2024 e quella americana firmata da American Heart Association e American College of Cardiology nel 2025 — dicono la stessa cosa nel modo che conta davvero: questi dispositivi non vanno usati per prendere decisioni cliniche.

Il motivo tecnico sta nella taratura. Il modello viene calibrato su di te in un momento, e da lì in avanti prosegue per estensione. Se la taratura invecchia, se cambi posizione, se il polso non è all'altezza del cuore — e la pressione del sangue cambia con l'altezza a cui misuri, per semplice effetto del peso della colonna di liquido — il modello lavora fuori dalle condizioni in cui è stato costruito. Nessuno se ne accorge, perché il numero esce lo stesso.

Non è un verdetto sulla tecnologia, che intanto va avanti e migliora. È l'ordine dei passaggi: prima la catena, poi la decisione.

Il caso in cui un numero basso è quello giusto

L'11 settembre 2025 la FDA, l'agenzia statunitense che autorizza la vendita dei dispositivi medici, ha dato il via libera a una funzione dell'orologio Apple che segnala i possibili segni di ipertensione. La pratica ha un numero, `K250507`, e il fascicolo è pubblico: tutto quello che segue è letto lì.

Il percorso seguito si chiama 510(k) e va distinto dall'approvazione richiesta ai dispositivi ad alto rischio: si ottiene dimostrando l'equivalenza sostanziale a un dispositivo già legalmente in commercio, che qui è un software di un'altra azienda che segnala i segni di una cardiomiopatia ipertrofica — una malattia del muscolo cardiaco — leggendo un elettrocardiogramma. Il prodotto è classificato in classe II, la classe di rischio intermedia.

Il fascicolo contiene la destinazione d'uso registrata, cioè la dichiarazione formale di che cosa il prodotto serve a fare. È il documento che decide tutto il resto. In traduzione dice che la funzione:

• analizza i dati fotopletismografici raccolti in modo opportunistico dall'orologio, per individuare schemi che suggeriscono ipertensione, e manda una notifica;
• è destinata all'uso senza prescrizione, da parte di adulti dai ventidue anni in su che non hanno già una diagnosi di ipertensione;
• non sostituisce i metodi tradizionali di diagnosi, non serve a seguire l'effetto di una terapia e non è un metodo di sorveglianza della pressione;
• non è destinata all'uso in gravidanza;
• e l'assenza di una notifica non indica l'assenza di ipertensione.

Cinque righe, e quattro su cinque servono a togliere. È questo che vuol dire scrivere una destinazione d'uso: dire che cosa il prodotto fa e, soprattutto, che cosa non fa.

Le prestazioni misurate stanno nello stesso fascicolo. Lo studio ha arruolato 2.229 persone senza diagnosi di ipertensione, che hanno portato l'orologio per trenta giorni misurandosi in parallelo la pressione con un misuratore domestico a bracciale, usato come riferimento; 1.863 hanno fornito almeno quindici giorni di dati utilizzabili.

Il risultato sta in tre cifre. Prima di leggerle conviene sapere a quale domanda risponde ognuna, perché sono domande diverse e vengono confuse di continuo.

Quest'ultima cifra vale per una prevalenza del 31,4%, cioè supponendo che sia davvero iperteso il 31,4% del gruppo. Ogni cifra è poi accompagnata da due numeri fra parentesi — per la sensibilità, da 37,2 a 45,3 — che sono l'intervallo di confidenza al 95%: la fascia entro cui è ragionevole collocare il valore, visto che è stato stimato su un gruppo di persone e non su tutte.

Sensibilità 41,2% vuol dire che la funzione non si accorge di più della metà delle persone che risulterebbero ipertese. Su una scheda di prodotto sembra un disastro.

Non lo è. Quella funzione non è uno strumento diagnostico e non dichiara di esserlo: serve a mandare una persona a misurarsi la pressione con un bracciale. Giudicata contro quello scopo, la specificità alta è la proprietà che conta, perché significa poche notifiche a vuoto, cioè poche persone spedite dal medico per niente. E la sensibilità bassa costa meno di quanto sembri — non perché il silenzio sia una buona notizia, ma perché nel fascicolo c'è scritto in lettere che non lo è.

Un numero non si giudica da solo. Si giudica contro la destinazione d'uso — e la destinazione d'uso è una decisione di progetto, non una riga di marketing.

C'è un ultimo pezzo, e riguarda chi vende AI dentro un dispositivo. Insieme alla pratica è stato approvato un piano di modifiche prestabilito, cioè l'elenco dei cambiamenti che il costruttore potrà fare al modello senza ripresentare tutto. Quel piano non prevede algoritmi che continuano ad apprendere sul campo: le modifiche si addestrano, si mettono a punto e si congelano prima del rilascio. La domanda che ne discende arriva prima o poi su ogni progetto con un modello dentro: quello che hai validato è ancora quello che gira?

La destinazione d'uso decide anche il regime

La dichiarazione che hai appena letto non è un documento americano e basta: in Europa esiste lo stesso obbligo, e su di esso poggia un meccanismo che conviene conoscere prima di progettare.

Un prodotto ricade fra i dispositivi medici se dichiara una finalità medica; se dichiara solo benessere, sport o stile di vita, resta fuori. E dentro, non tutti i dispositivi hanno gli stessi obblighi: si dividono in classi di rischio, e da quelle dipendono i controlli, i documenti e se serve o meno un ente terzo indipendente a verificarli — quegli enti si chiamano organismi notificati, e sono designati dagli Stati per fare le verifiche al posto dell'autorità.

I due passaggi hanno un nome. Decidere se un prodotto è un dispositivo medico si chiama qualificazione; decidere in che classe finisce si chiama classificazione. Applicati al software sono entrambi difficili, ed è per questo che esiste una guida dedicata.

Quella guida è la MDCG 2019-11, aggiornata alla revisione 1 il 17 giugno 2025. MDCG sta per Medical Device Coordination Group, il gruppo di coordinamento istituito dall'articolo 103 del regolamento europeo sui dispositivi medici: ne fanno parte i rappresentanti di tutti gli Stati membri ed è presieduto dalla Commissione. I suoi documenti non sono legge — vincolante è il regolamento — ma dicono come le autorità nazionali e gli organismi notificati leggono la legge, il che nella pratica quotidiana pesa quanto la legge.

Ne segue una cosa che chi compra scopre spesso tardi. Lo stesso sensore e lo stesso algoritmo possono ricadere in regimi diversi — cioè in insiemi di obblighi diversi, e in un caso in nessun obbligo — a seconda di quello che c'è scritto nella destinazione d'uso. Quella riga la scrive qualcuno, in un momento preciso. Se la scrivi dopo aver progettato, ti resta una scelta fra due mosse scomode: restringerla finché i conti tornano, oppure allargarla e scoprire a quel punto cosa comporta.

Quali esempi rientrano e quali restano fuori non te li riassumiamo: è il tipo di dettaglio che i riassunti di seconda mano sbagliano. Il documento è pubblico e il link è in fondo.

Anche la norma si occupa di dirlo a chi guarda il numero

Per gli apparecchi che danno la pressione in continuo esiste una norma dedicata: ISO 81060-3:2022, prima edizione, pubblicata il 16 dicembre 2022, trentasei pagine. Stabilisce come si conduce l'indagine clinica di questi dispositivi — cioè lo studio su persone reali con cui si dimostra che l'apparecchio fa quello che dichiara, in confronto a un metodo di riferimento. Due dettagli valgono più di tutto il resto.

Il primo. La norma tiene distinti due tipi di apparecchio: quelli che dichiarano di dare un valore accurato in assoluto e quelli che dichiarano di seguire una tendenza, cioè di dire se la pressione sta salendo o scendendo senza garantire il valore. E in una nota indica come rendere chiaro a chi lo usa di quale dei due si tratta: applicando la norma sull'ingegneria dell'usabilità, la IEC 62366-1 — la IEC è l'ente internazionale che pubblica le norme dell'elettrotecnica, come l'ISO lo è per il resto. Sono le regole con cui si progetta un dispositivo medico perché venga capito e usato correttamente da chi ci si trova davanti.

Il secondo. La norma dichiara di non fornire, per l'indagine clinica, un metodo per valutare l'effetto degli artefatti — cioè delle alterazioni del segnale dovute a cause estranee a quello che si vuole misurare, per esempio il movimento della persona. Per un apparecchio da ospedale, che si usa su un paziente sdraiato, è una lacuna gestibile. Per un dispositivo che si porta al polso tutto il giorno, il movimento non è un caso limite: è la giornata.

Manca un ultimo dettaglio, e riguarda la norma stessa. L'ISO riesamina i propri documenti ogni cinque anni; dal 26 luglio 2025 questo è classificato «da rivedere», e l'edizione che lo sostituirà è già in preparazione con un titolo diverso: dove oggi si legge clinical investigation, indagine clinica, si leggerà clinical performance verification, verifica delle prestazioni cliniche. Lo stesso cambio è in corso sulla parte che riguarda gli apparecchi a bracciale.

Anche la norma che dice come si verifica un dispositivo ha una data di scadenza. Se citi una norma in un capitolato, cita anche la data in cui hai controllato in che stato era.

Il test dei dieci minuti

Prendi la scheda tecnica del dispositivo che stai per comprare, o il capitolato che stai per firmare. Non leggerlo da cima a fondo: cerca queste cinque cose, e segna quali trovi.

1. La grandezza e l'unità di misura. Che cosa dichiara di misurare, e in che unità. Se trovi «indice», «punteggio» o «livello» senza un'unità, non è una misura: è un indicatore, cioè un numero costruito dal costruttore secondo una scala sua. Può andare benissimo — a patto che nessuno prenda decisioni come se fosse una misura.
2. Il riferimento. Contro che cosa è stato confrontato, da chi e quando. «Confrontato con un dispositivo di riferimento» non è una risposta utile: serve sapere quale apparecchio, tarato da chi, e con quale scadenza di taratura. Senza questo, la catena di cui sopra si interrompe al primo anello.
3. L'incertezza. Un ± con l'intervallo dichiarato, e le condizioni in cui vale. Se manca, quel valore non è stato dichiarato: è stato soltanto mostrato. E un valore mostrato non si può contestare, perché non promette niente.
4. Le condizioni della prova. Le persone erano sedute, ferme, a riposo? Quante erano, e chi? Se il dispositivo si indossa tutto il giorno e la prova è stata fatta da fermi, hai il dato di una condizione in cui chi lo userà si troverà raramente.
5. La destinazione d'uso scritta per esteso, e chi la firma. Ne hai vista una qualche riga più su. Confrontala con quella sul sito del produttore e con quella nel contratto: se le tre non coincidono, quella che vincola è la più impegnativa, e non è mai quella del sito.

Se su cinque punti ne trovi soltanto due, il problema non è il dispositivo. È che stai per decidere con un numero che non sai leggere.

Dove passa la linea, e quando si decide

La linea fra un indicatore e una misura non si sposta alla fine. Quando il prodotto esiste, il dato è già stato prodotto in un certo modo — con quel sensore, quella taratura, quelle condizioni di prova — e cambiarne la natura significa rifarlo, non riscriverne la descrizione.

Si decide all'inizio, e la decisione ha tre uscite.

La terza riga è quella che si prende più spesso, e non per superficialità. Ci si arriva perché la domanda sembra burocratica finché il prodotto non è pronto, e diventa la più cara che ci sia esattamente un minuto dopo — quando cambiare la risposta vuol dire rifare le prove.

Cosa fare, in ordine

Il test di prima serve a leggere il dispositivo di qualcun altro. Se il dispositivo lo stai progettando tu, l'ordine di lavoro è questo.

1. Scrivi la destinazione d'uso prima dell'architettura, in una frase, e falla firmare a chi risponderà del prodotto. È il documento che decide tutti gli altri, e va scritto quando costa poco cambiarlo.
2. Decidi se il numero è un valore o una tendenza, e mettilo sull'interfaccia, non solo nel manuale. Chi guarda lo schermo il manuale non l'ha letto, e la norma stessa considera questo un problema di progetto.
3. Cerca la norma di validazione del tuo settore, e leggi la data del suo stato oltre all'anno di pubblicazione. Una norma in revisione cambia il lavoro che stai pianificando, e te ne accorgi meglio adesso che a prove iniziate.
4. Congela il modello che hai validato, e scrivi in anticipo quali modifiche potrai fargli e come le verificherai. È la strada che il fascicolo americano rende obbligatoria, ed è comunque l'unica in cui, sei mesi dopo, sai ancora che cosa gira.
5. Metti una data su ogni affermazione di accuratezza. Vale per la scheda tecnica, per il sito e per la presentazione commerciale: un dato senza data non si può né confermare né smentire, e col tempo diventa indifendibile.

Perché ne scriviamo

Progettiamo dispositivi indossabili per l'ambito medicale e sportivo, e dove passa questa linea è una domanda che ci facciamo su ogni progetto, prima dell'elettronica.

Quello che sappiamo di questo confine viene da un lavoro che chiunque può controllare: uno studio pubblicato su «Sensors», rivista con revisione paritaria — cioè valutata prima della pubblicazione da ricercatori indipendenti del settore — in cui sono stati seguiti per dodici mesi novecento fra paramedici e operatori dell'emergenza, con l'elettrocardiogramma e il respiro registrati mentre lavoravano. G&G Technologies è una delle affiliazioni, insieme al Consiglio Nazionale delle Ricerche, all'Università di Bologna, alla Johns Hopkins University e all'Università Politecnica delle Marche. Chi firma questo articolo ne è il secondo autore.

Lo studio ha un DOI, cioè un identificatore permanente che porta sempre allo stesso documento anche se cambia il sito che lo ospita. È in fondo a questa pagina.

DigiSense®, il framework su cui costruiamo le implementazioni con sensori, AI e robot, tiene separati l'acquisizione del dato, la sua elaborazione e la decisione che ne segue. La separazione serve anche a questo: si può cambiare il modello che stima senza toccare quello che è stato acquisito, e resta scritto quale dei due ha prodotto il numero che qualcuno ha guardato.

Se hai un dispositivo che mostra un numero e non sai in quale delle tre righe della tabella si trova, si parte da lì.

Fonti

• Kollias A., «The quest for accurate wearable blood pressure monitors», Hypertension Research, 2026;49(3):1025–1029 — commento pubblicato il 5 novembre 2025. Da qui vengono la posizione delle società scientifiche sui dispositivi senza bracciale, il richiamo alle tre linee guida (ESH 2023, ESC 2024, AHA/ACC 2025) e le ragioni tecniche per cui un dispositivo senza bracciale ha bisogno di una taratura sulla singola persona.
• FDA — pratica 510(k) K250507, Hypertension Notification Feature — lettera di equivalenza sostanziale dell'11 settembre 2025 e sommario 510(k). Da qui vengono la destinazione d'uso registrata riportata sopra, la classe di rischio, il dispositivo usato per l'equivalenza, lo studio clinico (2.229 persone arruolate, 1.863 analizzate, misuratore domestico a bracciale come riferimento), le tre cifre di prestazione con i loro intervalli di confidenza e il piano di modifiche prestabilito.
• ISO 81060-3:2022 — Non-invasive sphygmomanometers, Part 3: Clinical investigation of continuous automated measurement type — scheda di catalogo ISO: prima edizione, pubblicata il 16 dicembre 2022, 36 pagine, comitato ISO/TC 121/SC 3, stato «da rivedere» dal 26 luglio 2025. Da qui anche la distinzione fra apparecchi a valore assoluto e apparecchi di tendenza, il rimando alla IEC 62366-1 e la nota sugli artefatti.
• ISO/AWI 81060-3 — Clinical performance verification of continuous automated measurement type — l'edizione in preparazione che sostituirà quella sopra, con il titolo cambiato.
• ISO 81060-2:2018 — Clinical investigation of intermittent automated measurement type — la norma sugli apparecchi a bracciale, il cui oggetto parla di stima della pressione arteriosa.
• Stergiou G.S. et al., «A Universal Standard for the validation of blood pressure measuring devices», Hypertension, 2018;71:368–374 — lo standard congiunto AAMI/ESH/ISO citato nel testo.
• MDCG 2019-11 rev. 1 — Qualification and classification of software — Commissione europea, pubblicata il 17 giugno 2025; il documento si scarica da questa pagina.
• JCGM 200:2012 — Vocabolario internazionale di metrologia — le definizioni di riferibilità metrologica (2.41), incertezza di misura (2.26) e sensore (3.8).
• Studio su «Sensors» — novecento fra paramedici e operatori dell'emergenza, dodici mesi — lo studio con revisione paritaria fra le cui affiliazioni c'è G&G Technologies.