IA e protezione dei dati vanno di pari passo non appena uno strumento di IA lavora con dati personali. E succede più in fretta di quanto molti pensino: una richiesta di un cliente nella finestra della chat, un curriculum da riassumere, il verbale di un colloquio da analizzare. Ed ecco che una macchina sta già trattando informazioni su persone.
La Svizzera non ha una legge specifica sull’IA. Non si tratta però di uno spazio senza regole, perché la legge federale sulla protezione dei dati (LPD) si applica anche all’IA dal 1° settembre 2023. Secondo l’Ufficio federale di statistica, nel 2025 già più di due persone su cinque creavano testi o immagini con l’IA.
Il nostro articolo sull’IA sovrana dei dati mostra dove si trovano i dati. Qui parliamo degli obblighi: vi mostriamo che cosa richiede il diritto svizzero in materia di IA e protezione dei dati e come riconoscere una soluzione rispettosa della protezione dei dati.
La risposta breve: sì. L’IFPDT ha chiarito già nel 2023 che la LPD, formulata in modo tecnologicamente neutro, è direttamente applicabile al trattamento dei dati basato sull’IA. Lo ha ribadito in una comunicazione aggiornata dell’8 maggio 2025.
In occasione della Giornata della protezione dei dati 2026, l’IFPDT ha sottolineato: l’IA in quanto tale non è soggetta alla LPD. Non appena però vengono trattati dati personali, la legge è direttamente applicabile. Si intendono tutte le informazioni concernenti una persona fisica identificata o identificabile – anche solo un nome nel prompt può bastare.
Secondo l’IFPDT, produttori, distributori e utenti di sistemi di IA devono rendere trasparenti lo scopo, il funzionamento e le fonti dei dati – quindi anche le aziende che si limitano a utilizzare l’IA.
L’IFPDT è particolarmente chiaro sui modelli linguistici: chi scrive o parla con un chatbot ha il diritto legale di sapere se a rispondere è una macchina. Allo stesso modo, le utenti e gli utenti possono sapere se i loro input vengono trattati ulteriormente per migliorare i programmi o per altri scopi.
Per la vostra azienda significa che un assistente IA sul sito web dovrebbe presentarsi come tale e che la vostra informativa sulla privacy spieghi che cosa succede agli input. In breve: nessuna macchina travestita da essere umano.
Quanto l’IFPDT prenda sul serio il tema lo dimostra il suo 33° rapporto d’attività del 30 giugno 2026, in cui l’IA è un tema prioritario a sé stante. Nel rapporto ricorda l’obbligo di trasparenza e la valutazione d’impatto sulla protezione dei dati per i trattamenti a rischio elevato.
Degna di nota è una valutazione sull’Amministrazione federale, che sta preparando propri sistemi di assistenza basati sull’IA: secondo il rapporto, i sistemi della Confederazione consentono di conservare internamente i prompt e i dati in essi contenuti. L’utilizzo di modelli linguistici commerciali implicherebbe invece la raccolta dei dati, quantomeno temporanea, nel cloud del fornitore – e quindi un rischio per la sicurezza dei dati.
Dovreste conoscere questi cinque articoli prima che i dati della vostra clientela o del vostro team confluiscano in un sistema di IA.
Dovete informare in modo adeguato le persone interessate quando raccogliete i loro dati. Come minimo indicate la vostra identità e i vostri dati di contatto, lo scopo e, se del caso, i destinatari, tra cui può rientrare anche un fornitore di IA esterno. Se i dati vengono comunicati all’estero, indicate inoltre lo Stato destinatario.
Se un sistema decide da solo e la decisione ha effetti giuridici o conseguenze significative per la persona, si tratta di una decisione individuale automatizzata. Se ad esempio un’IA respinge candidature senza alcuna verifica umana, il caso può rientrarvi. In tal caso informate la persona interessata, che può esigere un riesame da parte di una persona fisica. Entrambi gli obblighi decadono ad esempio in caso di consenso espresso.
Se un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali, effettuate previamente una valutazione d’impatto sulla protezione dei dati. Come indizi la legge cita le nuove tecnologie e il trattamento su grande scala di dati personali degni di particolare protezione, come i dati sulla salute. La valutazione descrive il trattamento, valuta i rischi e stabilisce i provvedimenti di protezione.
Un fornitore di servizi di IA tratta di solito i dati personali in qualità di responsabile del trattamento. Ciò è ammesso se effettua soltanto i trattamenti che voi stessi avreste il diritto di effettuare e se nessun obbligo di serbare il segreto lo vieta. Dovete inoltre assicurarvi che sia in grado di garantire la sicurezza dei dati.
Verificate quindi il contratto: il fornitore può usare i vostri input per scopi propri, ad esempio per l’addestramento? La LPD vincola i dati personali a uno scopo determinato e riconoscibile per la persona interessata (art. 6).
Se l’IA elabora i dati fuori dalla Svizzera, i dati personali vengono comunicati all’estero. Ciò è consentito se il Consiglio federale ha constatato che lo Stato destinatario garantisce una protezione adeguata, come fa ad esempio l’elenco dell’ordinanza sulla protezione dei dati per la Germania, la Francia o l’Italia.
Gli Stati Uniti vi figurano dal 15 settembre 2024, ma solo per le organizzazioni certificate secondo il quadro per la protezione dei dati tra la Svizzera e gli Stati Uniti. Altrimenti servono garanzie appropriate, ad esempio clausole tipo di protezione dei dati riconosciute dall’IFPDT.
Prima di introdurre uno strumento di IA, vale la pena fare una breve verifica. Queste sono le domande da porre al vostro fornitore – e a voi stessi:
Stabilite inoltre internamente quali dati possono finire negli strumenti di IA. Una strategia di IA chiara risponde a questa domanda una volta per tutte, invece di riproporla in ogni team. Così IA e protezione dei dati diventano routine.
IA e protezione dei dati non sono avversari. La LPD esige la protezione dei dati sin dalla progettazione (art. 7). Chi tiene conto degli obblighi fin dall’inizio costruisce applicazioni di IA di cui clientela e team si fidano.
Noi di BE BRAVE puntiamo quindi su un’infrastruttura svizzera. Tutte le offerte di BE BRAVE sono gestite sui nostri server di proprietà in Svizzera. Dati dei clienti, elaborazione, log e backup restano in Svizzera e non vengono mai utilizzati per l’addestramento di modelli di IA.
EagleCHAT è stato sviluppato per elevati requisiti svizzeri ed europei di protezione dei dati. La conservazione dei dati in Svizzera, l’infrastruttura propria e un ISMS certificato ISO/IEC 27001:2022 supportano le aziende in un utilizzo conforme alla protezione dei dati. Gli obblighi del titolare del trattamento restano in capo alla vostra azienda; maggiori informazioni in Sovranità dei dati & sicurezza.
Questo articolo ha carattere informativo generale e non sostituisce una consulenza legale.
Una legge specifica sull’IA non esiste. Per l’IA e la protezione dei dati vale la LPD, in vigore dal 1° settembre 2023 e direttamente applicabile al trattamento dei dati basato sull’IA.
Secondo l’IFPDT sì. Chi comunica con un modello linguistico ha il diritto di sapere se a rispondere è una macchina e se i suoi input vengono riutilizzati.
In linea di principio quando un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali delle persone interessate – e prima del suo avvio.
Solo se la comunicazione all’estero è ammessa secondo l’art. 16 o 17 LPD e se informate le persone interessate. Con i fornitori internazionali, il luogo di elaborazione, il diritto applicabile e l’utilizzo dei contenuti inseriti dipendono dalle rispettive condizioni contrattuali.
In caso di violazione intenzionale degli obblighi di informare di cui agli articoli 19 o 21, i privati rischiano, a querela di parte, una multa fino a 250.000 franchi (art. 60). Lo stesso vale ad esempio per la comunicazione intenzionale di dati personali all’estero in violazione della legge (art. 61). Sono punite in primo luogo le persone fisiche responsabili, le aziende solo in via eccezionale (art. 64).
","featured_image":"/blog-media/ki-datenschutz-schweiz/ki-datenschutz-schweiz-header.jpg","category":null,"author_name":"BE BRAVE","tags":null,"is_featured":false,"status":"published","published_at":"2026-07-02T08:00:00.000000Z","seo_title":"IA e protezione dei dati: cosa richiede la LPD","meta_description":"IA e protezione dei dati in Svizzera: quali obblighi prevede la LPD nell’uso dell’IA e che cosa si aspetta l’IFPDT dalle aziende. Scoprite di più qui!","og_image":null,"canonical_url":"/it/ki-datenschutz-schweiz","created_at":"2026-07-02T08:00:00.000000Z","updated_at":"2026-07-02T08:00:00.000000Z"}}