Al San Raffaele di Milano un embrione crioconservato è stato trasferito alla donna sbagliata.
L’errore è stato scoperto dopo pochi minuti e la paziente ha successivamente accettato un intervento per evitare l’instaurarsi della gravidanza. Un episodio rarissimo che pone però interrogativi enormi: fino a che punto possiamo affidarci all’errore umano quando medicina e tecnologia intervengono sull’origine stessa della vita?
Otto minuti
Ci sono errori che possono essere corretti cancellando un dato, sostituendo un documento o ripetendo una procedura. E poi ci sono errori nei quali l’oggetto della procedura è la vita umana. Alla fine di luglio, nel centro di Procreazione medicalmente assistita dell’ospedale San Raffaele di Milano, a una donna è stato trasferito un embrione crioconservato destinato a un’altra coppia.
Secondo quanto ricostruito, nella sala d’attesa si trovavano due pazienti. L’ordine con il quale avrebbero dovuto essere chiamate sarebbe stato invertito e il transfer dell’embrione sarebbe stato quindi eseguito sulla donna sbagliata. L’errore sarebbe stato individuato appena otto minuti dopo. Otto minuti.
Un intervallo temporale brevissimo che, tuttavia, è sufficiente per aprire questioni mediche, organizzative, giuridiche ed etiche enormi.
La donna è stata informata e, il giorno successivo, ha accettato di sottoporsi a un’aspirazione endometriale per evitare che potesse instaurarsi una gravidanza derivante dall’embrione geneticamente appartenente all’altra coppia.
Alla seconda coppia è stato successivamente trasferito un altro embrione correttamente identificato. L’ospedale ha parlato di “errore umano”, ha espresso rammarico e ha annunciato misure correttive. L’Ats di Milano ha sospeso per quindici giorni l’attività del Laboratorio di Embriologia dedicato alla PMA, dopo le non conformità emerse durante le verifiche. Una delle ispezioni è stata condotta con il Ministero della Salute. Ma la vicenda non può esaurirsi nella cronaca. Perché pone una domanda molto più difficile:
quando una procedura riguarda l’origine di una possibile vita, possiamo ancora considerare sufficiente spiegare un incidente con le parole “errore umano”?
L’errore umano esisterà sempre
Occorre partire da una considerazione apparentemente banale. L’essere umano sbaglia. Sbaglia il medico, l’infermiere, il biologo, il tecnico, il pilota, l’ingegnere, il controllore. Nessuna organizzazione complessa può realisticamente immaginare di eliminare completamente la possibilità dell’errore.
Per questo i sistemi più evoluti non vengono progettati partendo dall’idea che l’operatore non debba mai sbagliare. Vengono progettati partendo dall’ipotesi opposta: prima o poi qualcuno sbaglierà.
Il problema diventa allora costruire procedure capaci di intercettare quell’errore prima che produca conseguenze. È il principio delle barriere successive. Un controllo può fallire. Il secondo dovrebbe intercettare l’errore. Se fallisce anche quello, dovrebbe intervenire il terzo. Più grave è la possibile conseguenza, maggiore dovrebbe essere la ridondanza dei controlli. Perché affidare la sicurezza esclusivamente all’attenzione dell’essere umano significa pretendere dall’uomo ciò che nessun essere umano può garantire: l’infallibilità.
Quando il paziente è anche un codice
La medicina contemporanea è diventata straordinariamente complessa. Ogni paziente è contemporaneamente una persona e una quantità crescente di informazioni. Nome. Data di nascita. Cartella clinica. Esami. Campioni biologici. Farmaci. Procedure. Nel caso della procreazione medicalmente assistita la complessità aumenta ulteriormente.
Occorre mantenere una corrispondenza assolutamente certa tra paziente, gameti, embrioni, contenitori, crioconservazione, scongelamento e trasferimento. Non è sufficiente sapere quale embrione deve essere trasferito. Bisogna garantire che quell’embrione arrivi proprio a quella persona. E questa corrispondenza deve rimanere intatta durante l’intero percorso.
La PMA non è più un fenomeno marginale
L’episodio assume ancora maggiore importanza se consideriamo quanto la procreazione medicalmente assistita sia ormai parte della medicina contemporanea. Secondo la Relazione al Parlamento sulla PMA 2025, riferita all’attività del 2023, in Italia sono state trattate 89.870 coppie, attraverso 112.804 cicli, e sono nati 17.235 bambini grazie alle tecniche di procreazione medicalmente assistita.
Nel solo 2023 sono stati effettuati oltre 32 mila cicli attraverso FER, cioè utilizzando embrioni precedentemente crioconservati. Non stiamo quindi parlando di una procedura eccezionale. La PMA è diventata una componente strutturale della medicina della riproduzione. E quanto più aumenta il numero delle procedure, tanto più diventa essenziale che organizzazione, tecnologia e controlli crescano insieme alla capacità scientifica.
Un sistema regolato
È importante evitare un equivoco. Il caso milanese non significa che la procreazione medicalmente assistita sia un settore privo di regole. È vero esattamente il contrario. I centri di PMA, poiché raccolgono, trattano e conservano cellule riproduttive umane, sono assimilati agli istituti dei tessuti e devono rispettare specifici requisiti di qualità e sicurezza previsti dalla normativa italiana derivante anche dalle direttive europee.
Il sistema riguarda tutte le fasi: prelievo, manipolazione, conservazione, stoccaggio e distribuzione di gameti ed embrioni. Sono inoltre previste verifiche periodiche da parte delle autorità competenti.
La questione sollevata dal caso del San Raffaele, dunque, non è l’assenza di regolamentazione. È un’altra: quanto devono essere evoluti i sistemi di sicurezza quando le conseguenze dell’errore sono potenzialmente irreversibili?
Il “witnessing”: quando la tecnologia controlla il controllo
Esistono già strumenti progettati proprio per ridurre il rischio di scambio dei campioni. Uno di questi è il cosiddetto electronic witnessing, un sistema elettronico di identificazione e tracciamento utilizzato nei laboratori di procreazione assistita. In termini semplici, campioni biologici, contenitori e procedure vengono associati attraverso identificatori elettronici che permettono di verificare la corrispondenza tra il materiale biologico e il paziente. Il sistema può quindi segnalare eventuali incompatibilità prima che la procedura venga completata. Dopo l’episodio milanese, il San Raffaele ha annunciato anche la disponibilità a implementare un sistema elettronico di witnessing. Ed è forse questo uno dei punti sui quali la vicenda dovrebbe farci riflettere maggiormente.
La tecnologia non serve soltanto a permetterci di fare cose che prima erano impossibili. Può servire anche a impedirci di commettere errori che prima erano inevitabilmente affidati all’attenzione dell’uomo.
La sicurezza deve quindi accompagnare l’embrione lungo l’intera catena del processo. Non basta identificarlo correttamente in laboratorio: occorre garantire che la corrispondenza tra coppia, materiale biologico e paziente rimanga verificabile fino all’istante immediatamente precedente al transfer. La tecnologia consente oggi di costruire una successione di barriere proprio per impedire che un singolo errore possa attraversare indisturbato l’intero sistema.
Dalla coppia all’embrione: dove intervengono i controlli nella PMA
| Fase del percorso | Rischio da prevenire | Controllo necessario | Supporto tecnologico |
| 1. Identificazione della coppia | Errata associazione tra paziente e percorso terapeutico | Verifica documentale e identificazione univoca | Codice identificativo, barcode o RFID |
| 2. Prelievo dei gameti | Scambio di ovociti o spermatozoi | Associazione immediata tra campione e paziente | Etichettatura elettronica e tracciabilità |
| 3. Attività di laboratorio | Utilizzo di gameti appartenenti a persone diverse | Doppio controllo dell’identità prima delle procedure | Electronic witnessing |
| 4. Fecondazione e sviluppo embrionale | Perdita della corrispondenza embrione-coppia | Tracciabilità continua durante tutte le manipolazioni | Sistema informatico di laboratorio |
| 5. Crioconservazione | Errata identificazione durante stoccaggio e conservazione | Identificazione univoca di contenitori e posizione | Barcode/RFID e registrazione elettronica |
| 6. Scongelamento dell’embrione | Preparazione dell’embrione appartenente a un’altra coppia | Verifica incrociata prima dello scongelamento | Alert automatici del sistema |
| 7. Identificazione della paziente | Ingresso in sala della persona sbagliata | Identificazione attiva attraverso più elementi identificativi | Braccialetto/codice elettronico |
| 8. Preparazione al transfer | Mancata corrispondenza paziente-embrione | Stop di sicurezza immediatamente prima della procedura | Electronic witnessing e doppia conferma |
| 9. Transfer embrionale | Trasferimento dell’embrione alla donna sbagliata | Conferma finale paziente-embrione prima del transfer | Blocco informatico in caso di incompatibilità |
| 10. Registrazione della procedura | Errori nella ricostruzione successiva del percorso | Registrazione completa di operatori, tempi e procedure | Audit trail elettronico |
Fonte: elaborazione sulla base della normativa italiana ed europea relativa a qualità, sicurezza e tracciabilità di cellule e tessuti e delle procedure di witnessing applicate alla procreazione medicalmente assistita.
La tavola evidenzia un principio fondamentale della gestione del rischio: la sicurezza non dipende da un unico controllo, ma dalla capacità di costruire controlli successivi e indipendenti. Se una barriera fallisce, deve essercene un’altra capace di intercettare l’errore. Ed è proprio nell’ultimo passaggio – la verifica della corrispondenza tra paziente ed embrione immediatamente prima del transfer – che il sistema dovrebbe diventare praticamente invalicabile.
Un evento rarissimo. Ma rarissimo non significa irrilevante
È necessario mantenere le proporzioni. Secondo quanto riferito dal San Raffaele sulla base della letteratura, errori di questo tipo avrebbero una frequenza indicativa di circa un caso ogni 10.000-12.000 cicli di PMA. Parliamo quindi di eventi estremamente rari. E sarebbe profondamente scorretto utilizzare il caso per alimentare sfiducia generalizzata nei confronti della procreazione medicalmente assistita. Ma la rarità statistica non elimina il problema organizzativo. Perché nella gestione del rischio non conta soltanto la probabilità che un evento accada. Conta anche la gravità delle sue conseguenze.
Un evento rarissimo ma potenzialmente devastante richiede comunque sistemi di prevenzione estremamente robusti. È la stessa logica applicata nell’aviazione, nelle centrali energetiche, nella chirurgia e in tutte le attività nelle quali un errore può avere conseguenze irreversibili.
E se l’errore non fosse stato scoperto?
È probabilmente la domanda più difficile. Che cosa sarebbe accaduto se lo scambio non fosse stato individuato dopo pochi minuti? E se la gravidanza fosse iniziata? E se fosse arrivata a termine? Chi sarebbero stati, giuridicamente e biologicamente, i genitori? Quali diritti avrebbero avuto la donna che aveva portato avanti la gravidanza e la coppia alla quale apparteneva geneticamente l’embrione? Quale sarebbe stato soprattutto l’interesse del bambino? Sono domande alle quali non è opportuno dare risposte semplicistiche.
La giurisprudenza italiana ha già dovuto confrontarsi in passato con vicende di scambio di embrioni, mostrando quanto questi casi mettano alla prova categorie giuridiche costruite quando situazioni del genere erano semplicemente inconcepibili. La tecnologia, ancora una volta, arriva prima delle nostre certezze.
Non esiste soltanto un danno biologico
C’è poi un aspetto che rischia di essere sottovalutato. Il danno prodotto da un errore del genere non può essere misurato soltanto attraverso le conseguenze cliniche. Chi affronta un percorso di PMA spesso arriva al transfer dopo mesi o anni di visite, diagnosi, terapie, speranze, tentativi falliti e attese. L’embrione crioconservato non viene percepito dalla coppia semplicemente come una provetta identificata da un codice. Rappresenta una possibilità. Talvolta l’ultima. Per questo un errore nella sua identificazione può produrre conseguenze psicologiche molto profonde anche quando viene scoperto rapidamente. La sicurezza, in questi percorsi, non riguarda soltanto il corpo. Riguarda anche la fiducia.
La medicina ha bisogno dell’organizzazione quanto della scienza
Siamo abituati a valutare la qualità della medicina attraverso la competenza dei professionisti e l’avanzamento tecnologico. Ma esiste una terza componente altrettanto importante: l’organizzazione.
Un eccellente medico inserito in un sistema organizzativo vulnerabile può commettere errori. Una tecnologia sofisticatissima utilizzata attraverso procedure insufficientemente protette può diventare essa stessa fonte di rischio. La vera qualità sanitaria nasce quindi dall’incontro di tre elementi: competenza professionale, tecnologia e organizzazione.
Se ne manca uno, anche gli altri due diventano più fragili. Dall’errore individuale all’errore di sistema
Ed è qui che il caso milanese assume una valenza che supera la singola vicenda. Quando accade un evento grave, la reazione più immediata consiste nel cercare chi ha sbagliato. È comprensibile. Ma per prevenire il prossimo incidente occorre formulare una domanda differente: perché il sistema ha consentito a quell’errore di arrivare fino al paziente?
È una distinzione fondamentale. L’errore individuale identifica chi ha commesso materialmente un’azione sbagliata. L’analisi organizzativa cerca invece di capire quali barriere siano mancate o non abbiano funzionato. Perché le pazienti potevano essere confuse? In quale momento veniva verificata l’identità? Quante verifiche indipendenti erano previste? Il materiale biologico veniva preparato prima o dopo l’ingresso della paziente? Esisteva un sistema elettronico capace di bloccare automaticamente un’incompatibilità? Sono domande molto più utili della semplice ricerca del colpevole se l’obiettivo è evitare che l’evento si ripeta.
La lezione degli otto minuti
La medicina del XXI secolo ci permette qualcosa che per gran parte della storia dell’umanità sarebbe sembrato impossibile. Possiamo prelevare ovociti. Fecondarli in laboratorio. Osservare lo sviluppo embrionale. Crioconservare embrioni. Mantenerli per anni a temperature estremamente basse. Scongelarli. Trasferirli nell’utero. Aiutare migliaia di persone a diventare genitori. È una straordinaria conquista scientifica.
Ma proprio perché cresce il nostro potere sulla vita deve crescere parallelamente la nostra responsabilità.
Il caso del San Raffaele non dovrebbe allora trasformarsi in un processo alla procreazione medicalmente assistita. Dovrebbe diventare qualcosa di più utile: un’occasione per interrogarsi sulla sicurezza della medicina altamente tecnologica.
Perché più una procedura diventa sofisticata, meno possiamo permetterci che il suo ultimo passaggio dipenda soltanto dalla memoria, dall’attenzione o dall’ordine con cui due persone vengono chiamate da una sala d’attesa. Quegli otto minuti di Milano raccontano, in fondo, uno dei grandi paradossi del nostro tempo. Siamo diventati capaci di intervenire sui processi più delicati della vita con una precisione impensabile soltanto pochi decenni fa. Ma continuiamo a essere esseri umani. E gli esseri umani sbagliano. La risposta non può essere pretendere che smettano di farlo. La risposta deve essere costruire sistemi nei quali un errore umano non possa trasformarsi automaticamente in un errore sulla vita.
