La legge copre già l'IA
La legge federale sulla protezione dei dati riveduta, spesso chiamata nLPD, è in vigore dal 1° settembre 2023. È formulata in modo neutro rispetto alla tecnologia. L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha precisato che si applica direttamente ai trattamenti di dati basati sull'IA. Al momento non esiste una legge svizzera specifica sull'IA che le PMI debbano rispettare.
Dati personali nei prompt
Sono dati personali tutte le informazioni che si riferiscono a una persona identificata o identificabile. Con l'IA compaiono spesso senza che nessuno se ne accorga. Un caso tipico: una collaboratrice copia l'e-mail di un cliente in uno strumento di chat pubblico per preparare in fretta una risposta. L'e-mail contiene nome, indirizzo e magari i dettagli di un reclamo. Si tratta di un trattamento di dati personali, che ora avviene presso terzi, spesso fuori dalla Svizzera. Fate particolare attenzione a:
- E-mail di clienti e fornitori con nomi, numeri di telefono e indirizzi
- Documenti del personale come curriculum, certificati di lavoro o assenze
- Dati sulla salute, per esempio in uno studio medico o presso un broker assicurativo, che sono dati personali degni di particolare protezione
La regola più semplice è la minimizzazione. Date all'IA solo ciò che le serve per il compito. Spesso il lavoro si può svolgere togliendo i nomi o sostituendoli con segnaposto. Dove non è possibile, scegliete una soluzione in cui siete voi a decidere dove vengono trattati i dati e cosa può farne il fornitore.
I fornitori di IA sono responsabili del trattamento
Quando un servizio esterno tratta dati personali per vostro conto, la legge parla di trattamento da parte di un responsabile del trattamento (art. 9 LPD). La responsabilità resta a voi in quanto titolari. Potete affidare dati solo se il responsabile li tratta come potreste fare voi stessi, e dovete accertarvi che garantisca la sicurezza dei dati. In pratica serve un contratto scritto. Prima di usare un servizio di IA con dati reali, verificate che il contratto regoli almeno:
- Quali dati vengono trattati e per quale scopo
- Che il fornitore non usi i vostri dati per addestrare i propri modelli
- Dove i dati vengono memorizzati e trattati, compresi eventuali subfornitori
- Per quanto tempo input e risultati vengono conservati e quando vengono cancellati
- Le misure di sicurezza tecniche e organizzative
- Il supporto in caso di violazione della sicurezza dei dati o di richiesta d'informazioni
Inviare dati all'estero
Molti modelli di IA girano in centri dati fuori dalla Svizzera. Secondo l'art. 16 LPD, i dati personali possono essere comunicati all'estero se il Consiglio federale ha stabilito che lo Stato di destinazione garantisce una protezione adeguata. L'elenco nell'ordinanza sulla protezione dei dati comprende gli Stati dell'UE e del SEE, il Regno Unito e altri Paesi. Dal 15 settembre 2024 gli Stati Uniti sono considerati adeguati solo per le aziende certificate secondo lo Swiss-US Data Privacy Framework.
Per gli altri Paesi, o per un fornitore statunitense non certificato, servono garanzie supplementari, di solito clausole contrattuali standard riconosciute dall'IFPDT, insieme a una valutazione dei rischi nel Paese di destinazione. L'art. 17 LPD prevede alcune eccezioni, come il consenso esplicito, ma non sono pensate come base per l'attività quotidiana.
| Hosting | Cosa significa per la protezione dei dati |
|---|---|
| Svizzera | Nessuna comunicazione all'estero. La soluzione più semplice per dati sensibili e amministrazioni pubbliche. |
| UE o SEE | Protezione adeguata secondo il diritto svizzero. Una buona scelta per la maggior parte degli usi nelle PMI. |
| Stati Uniti, fornitore certificato | Adeguato se il fornitore è certificato secondo lo Swiss-US Data Privacy Framework. Verificate la certificazione e quali servizi copre. |
| Altri Paesi | Servono clausole contrattuali standard e una valutazione dei rischi. Da evitare per dati personali senza un buon motivo. |
Obbligo d'informare e decisioni automatizzate
Secondo l'art. 19 LPD dovete informare le persone quando raccogliete i loro dati personali. La vostra dichiarazione sulla protezione dei dati indica gli scopi, i destinatari o le categorie di destinatari e, se i dati vanno all'estero, i Paesi e le garanzie utilizzate. Se introducete un servizio di IA che tratta dati dei clienti, aggiornate la dichiarazione. Se mettete un assistente chat sul vostro sito, indicate chiaramente che i visitatori stanno parlando con un'IA e non con una persona.
L'art. 21 LPD prevede un obbligo specifico per le decisioni individuali automatizzate. Se una decisione si basa esclusivamente su un trattamento automatizzato e ha effetti giuridici o conseguenze significative per la persona, per esempio il rifiuto di una candidatura, dovete informarla. La persona può esprimere il proprio punto di vista e chiedere che una persona riesamini la decisione. Il modo più semplice per evitarlo è un processo in cui l'IA prepara e una persona decide. È così che costruiamo le nostre soluzioni: le persone approvano ciò che l'IA prepara.
Quando serve una valutazione d'impatto
L'art. 22 LPD richiede una valutazione d'impatto sulla protezione dei dati quando un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali delle persone interessate. La legge cita come esempi il trattamento su vasta scala di dati degni di particolare protezione e la sorveglianza sistematica di ampi spazi pubblici, e anche le nuove tecnologie possono aumentare il rischio. Rispondere a domande sugli orari d'apertura o leggere fatture di fornitori di solito non raggiunge questa soglia. Analizzare cartelle cliniche, valutare collaboratori o profilare clienti con l'IA può raggiungerla. Se nonostante le misure previste resta un rischio elevato, occorre consultare prima l'IFPDT (art. 23 LPD).
Controllate anche il registro delle attività di trattamento (art. 12 LPD). Le aziende con meno di 250 collaboratori ne sono esentate, a meno che trattino su vasta scala dati degni di particolare protezione o effettuino una profilazione a rischio elevato. Anche se siete esentati, un breve elenco di quale strumento di IA tratta quali dati è utile e costa poco.
L'AI Act europeo: rilevante se lavorate con l'UE
L'AI Act dell'Unione europea non si applica come tale in Svizzera. Può però riguardare aziende svizzere che immettono un sistema di IA sul mercato dell'UE, o il cui sistema di IA produce risultati utilizzati nell'UE. Una PMI svizzera che usa uno strumento di IA per la propria attività in Svizzera di norma non è toccata. Un'azienda di software svizzera che vende un prodotto di IA a clienti nell'UE può esserlo. Gli obblighi vengono introdotti a tappe, e parte del calendario potrebbe ancora cambiare. Per la maggior parte delle PMI i punti rilevanti sono la trasparenza, per esempio segnalare agli utenti che interagiscono con un'IA, e regole più severe per gli usi ad alto rischio come la selezione del personale. Se vendete nell'UE, fate verificare il vostro caso specifico.
Checklist pratica
- Elencate gli strumenti di IA in uso, compresi quelli gratuiti che i collaboratori usano di propria iniziativa
- Usate offerte aziendali o API con contratto di trattamento dei dati, non account privati
- Verificate dove vengono trattati i dati e preferite la Svizzera o l'UE
- Per i fornitori statunitensi, controllate la certificazione Data Privacy Framework
- Aggiornate la dichiarazione sulla protezione dei dati e segnalate gli assistenti chat come IA
- Valutate se serve una valutazione d'impatto in caso di dati sensibili o profilazione
- Scrivete una breve regola interna su cosa si può inserire negli strumenti di IA e formate il vostro team
Il nostro approccio da Linxa
Sviluppiamo soluzioni di IA per PMI e amministrazioni pubbliche svizzere tenendo conto di queste regole fin dall'inizio. Su richiesta l'hosting avviene in Svizzera o nell'UE, i dati dei clienti non vengono usati per addestrare modelli e sono le persone ad approvare ciò che l'IA prepara. Nel workshop AI Discovery (da CHF 1'200) esaminiamo i vostri casi d'uso insieme alle questioni di protezione dei dati, così sapete prima di un progetto pilota quali dati possono andare dove. Per un primo parere, prenotate la consulenza gratuita di 30 minuti in videochiamata.