La Legge federale sulla protezione dei dati rivista (LPD, spesso chiamata «nLPD») è in vigore dal 1° settembre 2023. L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) precisa: la LPD è neutrale dal punto di vista tecnologico e si applica quindi direttamente anche ai trattamenti di dati con l'IA.
In Svizzera non esiste finora una legge specifica sull'IA. Il Consiglio federale intende ratificare la Convenzione del Consiglio d'Europa sull'IA e adeguare mirabilmente il diritto svizzero a tale scopo; ha annunciato un progetto posto in consultazione entro la fine del 2026. Questa pagina riassume quanto vige oggi.
Per chi si applica la LPD
La LPD si applica a tutte le aziende private che trattano dati personali, ossia informazioni che si riferiscono a una persona fisica determinata o determinabile (art. 5 lett. a LPD). L'IFPDT menziona espressamente produttori, fornitori e utilizzatori di applicazioni di IA. Chiunque tratti dati personali con l'IA, sia internamente sia tramite un servizio cloud, deve rispettare le disposizioni della LPD.
Trasparenza e informazione
Chi raccoglie dati personali deve informare adeguatamente le persone interessate, di norma mediante una dichiarazione sulla protezione dei dati (art. 19 LPD). Secondo l'IFPDT, nell'impiego dell'IA rientrano anche lo scopo, il funzionamento e le fonti dei dati del trattamento. Se i modelli linguistici comunicano direttamente con gli utenti, questi ultimi dovrebbero sapere, secondo l'IFPDT:
- se e in che misura stanno comunicando con una macchina;
- se i loro input vengono utilizzati per migliorare il sistema o per altri scopi.
Se volti, immagini o voci di persone riconoscibili vengono modificati con l'IA (i cosiddetti deepfake), ciò deve essere chiaramente riconoscibile, a meno che non sia già di per sé punibile.
Decisioni individuali automatizzate e opposizione
Se un sistema prende una decisione in modo esclusivamente automatizzato e questa produce effetti giuridici per la persona interessata o la pregiudica in modo considerevole (ad es. il rifiuto automatico di una candidatura), si applica l'art. 21 LPD:
- l'azienda deve informare la persona interessata sulla decisione automatizzata;
- la persona può, su richiesta, far valere il proprio punto di vista e esigere che la decisione sia riesaminata da una persona fisica;
- questi obblighi decadono se la decisione è direttamente connessa alla conclusione o all'esecuzione di un contratto con la persona interessata e se la sua richiesta viene accolta, oppure se la persona vi ha espressamente acconsentito.
Grazie al diritto d'accesso, le persone interessate possono inoltre sapere se è stata presa una decisione individuale automatizzata e su quale logica essa si basa (art. 25 cpv. 2 lett. f LPD).
Indipendentemente da ciò, le persone interessate possono opporsi a un trattamento dei loro dati. Se un'azienda continua a trattare i dati nonostante un'opposizione esplicita, necessita di un motivo giustificativo, ad esempio un interesse preponderante (art. 30 cpv. 2 lett. b e art. 31 LPD).
Rischi elevati e valutazione d'impatto sulla protezione dei dati
Se un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali delle persone interessate, l'azienda deve previamente effettuare una valutazione d'impatto sulla protezione dei dati (art. 22 LPD). Un rischio elevato è particolarmente probabile in caso di impiego di nuove tecnologie, di trattamento su larga scala di dati personali degni di particolare protezione e di sorveglianza sistematica di ampi spazi pubblici. Se, nonostante le misure di protezione, la valutazione d'impatto rivela un rischio residuo elevato, occorre consultare previamente l'IFPDT (art. 23 LPD).
Le applicazioni di IA ad alto rischio sono in linea di principio ammissibili se vengono adottate misure di protezione adeguate. Secondo l'IFPDT, sono invece inammissibili le applicazioni volte a svuotare la sfera privata e l'autodeterminazione informativa, ad esempio il riconoscimento facciale su vasta scala in tempo reale o il «social scoring».
Chi è competente all'interno dell'azienda
Responsabile ai sensi della protezione dei dati è l'azienda stessa (il «responsabile» ai sensi della LPD), non lo strumento di IA. Di norma il fornitore tratta i dati come responsabile del trattamento per vostro conto (art. 9 LPD). Se li utilizza anche per fini propri, ad esempio per addestrare i propri modelli, ne è responsabile egli stesso. Per la vostra azienda si tratta di una comunicazione a terzi, in merito alla quale dovete informare nella dichiarazione sulla protezione dei dati. Conviene pertanto escludere contrattualmente l'addestramento con i vostri dati.
La LPD non richiede un incaricato o un'incaricata dell'IA. Le aziende private possono nominare un consulente o una consulente della protezione dei dati (art. 10 LPD), ma non sono tenute a farlo.
Nella pratica, tuttavia, serve comunque una persona chiaramente responsabile, altrimenti domande e decisioni restano in sospeso. Si è rivelato utile designare nominalmente una persona che:
- tenga aggiornato il registro degli strumenti di IA utilizzati;
- decida sui nuovi strumenti o prepari la relativa decisione;
- sia il referente per domande e incidenti;
- organizzi le formazioni e tenga aggiornata la direttiva interna sull'IA.
Nelle piccole aziende si tratta di solito del titolare, della titolare o della direzione. È importante che il compito sia esplicitamente assegnato e che venga previsto del tempo a tale scopo. Per gli istituti sottoposti alla vigilanza della FINMA si applicano aspettative più estese in materia di governance e competenze (si veda Aspettative della FINMA sulla governance dell'IA).
Multe in caso di violazioni
La LPD prevede multe fino a CHF 250'000, tra l'altro in caso di violazione degli obblighi d'informazione e d'accesso, di comunicazione illecita all'estero, di ricorso a un responsabile del trattamento senza i requisiti legali e di inosservanza dei requisiti minimi di sicurezza dei dati (art. 60 e 61 LPD). A differenza dell'UE, le multe sono di norma rivolte alle persone fisiche responsabili, ad esempio i membri della direzione, e non all'azienda. È punibile solo l'atto intenzionale, e il perseguimento avviene su querela. L'azienda stessa può essere multata fino a CHF 50'000 se l'individuazione della persona responsabile risulterebbe sproporzionata (art. 64 LPD).
Cosa possono fare ora le PMI
- Creare una panoramica: annotate quali strumenti di IA trattano dati personali. Le aziende con meno di 250 collaboratori devono tenere un registro delle attività di trattamento (art. 12 LPD) solo se trattano su larga scala dati personali degni di particolare protezione o effettuano una profilazione ad alto rischio (art. 24 OPDa).
- Adeguare la dichiarazione sulla protezione dei dati e le regole interne. Come punto di partenza serve il modello di direttiva sull'IA (Word).
- In caso di rischio elevato, effettuare una valutazione d'impatto sulla protezione dei dati prima dell'avvio dell'applicazione.
- Chiarire con i fornitori: contratto di trattamento dei dati su mandato, addestramento con i vostri dati, luogo di archiviazione e comunicazione all'estero (si veda LLM ospitati negli USA secondo la nLPD).
- Garantire un controllo umano quando l'IA prende o prepara decisioni con effetti rilevanti sulle persone.
- Designare una persona responsabile (si veda Chi è competente all'interno dell'azienda).