Protezione dei dati
Intelligenza artificiale e nLPD: cosa deve sapere una PMI svizzera
Redazione ERUNNA SAPubblicato 8 min di lettura
Dal 1° settembre 2023 in Svizzera è in vigore la nuova legge sulla protezione dei dati (nLPD). Non esiste una legge separata per l'IA: secondo l'Incaricato federale della protezione dei dati (IFPDT) la nLPD, scritta in modo tecnologicamente neutro, si applica direttamente anche ai trattamenti basati sull'intelligenza artificiale.
Quando la nLPD entra in gioco
La legge si applica ogni volta che si trattano dati personali: nomi, indirizzi, email, dati di clienti, collaboratori o fornitori persone fisiche. Se in un prompt, in un documento caricato o in una registrazione ci sono dati di questo tipo, l'uso dello strumento di IA è un trattamento di dati personali.
Se invece si lavora con testi senza riferimenti a persone (per esempio una descrizione di prodotto), la nLPD in genere non è toccata. È la prima domanda da porsi, prima di qualsiasi altra.
Gli obblighi che contano di più
- —Informare: le persone interessate devono sapere che i loro dati vengono trattati e a quale scopo; l'informativa sulla privacy va aggiornata se si introducono nuovi strumenti (art. 19 nLPD).
- —Decisioni automatizzate: se una decisione con effetti giuridici o rilevanti per una persona è presa solo dalla macchina, la persona va informata e può chiedere che sia riesaminata da una persona (art. 21 nLPD).
- —Valutazione d'impatto: se un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali, va valutato prima di iniziare (art. 22 nLPD).
- —Sicurezza dei dati: misure tecniche e organizzative adeguate, come accessi personali, autenticazione a due fattori e separazione dei dati (art. 8 nLPD).
- —Trasferimenti all'estero: se il fornitore tratta i dati fuori dalla Svizzera, il Paese deve garantire una protezione adeguata o servono garanzie, per esempio clausole contrattuali standard (art. 16 nLPD).
Dove finiscono i dati
Molti servizi di IA elaborano i dati negli Stati Uniti o nell'Unione europea. I Paesi UE/SEE figurano nell'elenco degli Stati con protezione adeguata. Per gli Stati Uniti il Consiglio federale riconosce dal 15 settembre 2024 le imprese certificate nel quadro Swiss-U.S. Data Privacy Framework.
In pratica: prima di adottare uno strumento conviene verificare la sede del trattamento, il contratto di trattamento dei dati (DPA) e se i dati vengono usati per addestrare i modelli. Le versioni aziendali dei principali servizi di solito permettono di escluderlo; quelle gratuite non sempre.
Le sanzioni riguardano le persone
Una particolarità svizzera: le multe previste dalla nLPD, fino a CHF 250'000, colpiscono le persone fisiche responsabili e non l'azienda, e solo per violazioni intenzionali di alcuni obblighi (art. 60–63 nLPD). È un motivo in più perché la direzione sappia quali strumenti vengono usati e con quali dati.
Lista di controllo per la PMI
- —Elenco degli strumenti di IA usati in azienda, anche quelli "provati" da singoli collaboratori.
- —Per ciascuno: quali dati riceve, dove li tratta, se li usa per l'addestramento.
- —Regola interna scritta: quali dati non vanno mai inseriti (per esempio dati sanitari o salariali).
- —Informativa sulla privacy aggiornata.
- —Controllo umano su ogni decisione che riguarda clienti o collaboratori.
- —Valutazione d'impatto se il trattamento è delicato o su larga scala.
Questo articolo offre un'informazione generale e non sostituisce una consulenza giuridica sul caso specifico.
Domande frequenti
Posso usare ChatGPT in azienda secondo la nLPD?+
Sì, se si rispettano gli obblighi della legge: niente dati personali senza base e informazione adeguate, verifica di dove vengono trattati i dati e delle condizioni del fornitore, controllo umano sulle decisioni.
Serve un consulente per la protezione dei dati?+
Per le aziende private non è obbligatorio. Nominarlo può però semplificare alcune procedure, per esempio la consultazione dell'IFPDT dopo una valutazione d'impatto (art. 10 e 23 nLPD).
L'AI Act europeo vale anche in Svizzera?+
Non direttamente. Può però riguardare un'impresa svizzera che offre sistemi di IA nell'UE o i cui risultati vi vengono utilizzati. Va valutato caso per caso.