IA, diritto e privacy
Assistente telefonico IA e protezione dei dati: cosa devono sapere le PMI svizzere
Quali dati tratta un assistente telefonico IA
Un assistente telefonico IA è un software che gestisce autonomamente chiamate in entrata o in uscita: comprende il linguaggio parlato, risponde con una voce sintetica e svolge compiti come fissare appuntamenti, fornire informazioni o inoltrare la chiamata. Sul piano della privacy, il punto chiave è che vengono continuamente generati dati personali: la voce stessa, il nome, il numero, la richiesta e spesso altri dettagli menzionati incidentalmente.
- Registrazioni vocali e trascrizioni sono dati personali; se la voce serve a identificare le persone si tratta di dati biometrici, quindi dati personali degni di particolare protezione.
- Dati sanitari, finanziari o religiosi emersi nella conversazione sono degni di particolare protezione e richiedono maggiore attenzione.
- Anche i metadati come numero, orario e durata sono dati personali, pur senza nome.
Basi della nLPD per gli assistenti vocali
La legge di riferimento è la nuova legge sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023; l'autorità di vigilanza è l'IFPDT. Non prevede un obbligo generale di autorizzazione ma impone un trattamento responsabile. Chi impiega un assistente telefonico IA è il «titolare del trattamento» e risponde del rispetto dei principi, sia che la tecnologia sia sviluppata internamente sia acquistata da un fornitore.
- Limitazione della finalità: usare i dati solo per lo scopo dichiarato (es. appuntamenti), non di nascosto per training o marketing.
- Minimizzazione e proporzionalità: raccogliere e conservare solo il necessario e definire tempi di conservazione.
- Privacy by design e by default, oltre a un registro delle attività; una valutazione d'impatto in caso di rischio elevato.
- Diritti degli interessati: chi chiama può chiedere accesso, rettifica e cancellazione; i processi devono poterlo garantire.
Obbligo di trasparenza: informare che è un'IA
La trasparenza è il punto più delicato. Chi chiama non deve essere ingannato: deve poter capire di parlare con una macchina, non con una persona. La nLPD richiede un'informazione adeguata sul trattamento dei dati. In parallelo, l'articolo 50 del regolamento europeo sull'IA impone esplicitamente di informare le persone quando interagiscono con un sistema di IA, salvo che sia già evidente. Il regolamento ha effetto extraterritoriale e può riguardare imprese svizzere che si rivolgono a persone nell'UE.
- Annuncio iniziale: comunicare in modo chiaro e breve che risponde un assistente IA e offrire un passaggio a un operatore.
- Registrazione: registrare di nascosto conversazioni non pubbliche è reato ex art. 179bis CP; registrare solo con previa informazione e base giuridica.
- Informativa privacy: documentare in modo facilmente reperibile finalità, destinatari, conservazione ed eventuale trasferimento all'estero.
Trattamento: cloud, responsabili esterni e trasferimenti all'estero
La maggior parte degli assistenti telefonici IA si basa su servizi cloud e modelli linguistici di fornitori esterni. Secondo la nLPD sono di norma responsabili del trattamento: il loro impiego richiede un contratto su finalità, sicurezza ed esclusione di usi impropri, oltre al controllo su eventuali sub-responsabili. Se i dati sono trasferiti all'estero, per esempio in un data center statunitense, va garantito un livello di protezione adeguato, se necessario con clausole contrattuali tipo e misure supplementari.
- Verificare dove la voce è trattata e archiviata: contano sede e giurisdizione del fornitore.
- Escludere per contratto l'uso dei contenuti delle chiamate per l'addestramento senza base giuridica.
- Sicurezza tecnica: cifratura, controlli di accesso e tempi di cancellazione definiti per registrazioni e trascrizioni.
Errori frequenti e una breve checklist pratica
Molti problemi non nascono dalla tecnologia ma dalla mancanza di trasparenza e da responsabilità poco chiare. Una PMI svizzera che automatizza la reception telefonica con l'IA dovrebbe trattarla come ogni altro trattamento: documentato, minimo e tracciabile. I punti seguenti riassumono le insidie tipiche.
- Errore: lasciare nel dubbio se si parla con un'IA. Meglio: annuncio chiaro e opzione umana.
- Errore: registrare tutto «per sicurezza». Meglio: solo il necessario, con termini e base giuridica.
- Errore: usare un fornitore senza contratto di trattamento. Meglio: definire contratto, sub-responsabili e sede dei server.
- Errore: non poter gestire i diritti degli interessati. Meglio: prevedere un processo per accesso e cancellazione.
Domande frequenti
Devo dire a chi chiama che risponde un assistente telefonico IA?
Sì, la trasparenza è centrale. Chi chiama non deve essere ingannato e deve poter capire di parlare con un'IA. Deriva dal principio di trasparenza della nLPD e, quando è coinvolta l'UE, esplicitamente dall'articolo 50 del regolamento europeo sull'IA. Un annuncio chiaro all'inizio è la soluzione più semplice.
Un assistente telefonico IA può registrare le chiamate?
Solo con previa informazione e una base giuridica. Registrare di nascosto conversazioni non pubbliche è reato in Svizzera ex art. 179bis CP. Chi registra deve informare all'inizio, indicare la finalità, limitare la conservazione e custodire le registrazioni in modo sicuro.
Il regolamento europeo sull'IA vale per le imprese svizzere?
Può. Il regolamento ha effetto extraterritoriale e riguarda anche fornitori o utilizzatori fuori dall'UE quando il sistema di IA si rivolge a persone nell'UE o vi produce effetti. Una PMI svizzera con clientela nell'UE dovrebbe quindi prevedere l'obbligo di trasparenza dell'articolo 50. Ciò non sostituisce una consulenza legale individuale.
Dove vengono trattati i dati vocali di un assistente telefonico IA?
Dipende dal fornitore ed è una domanda chiave. Molti servizi trattano la voce in data center cloud, talvolta all'estero. Secondo la nLPD tali fornitori sono di norma responsabili del trattamento e richiedono un contratto; per i trasferimenti all'estero va garantito un livello adeguato. Chiarire sede dei server, sub-responsabili e se i contenuti servono per l'addestramento.
Quali primi passi dovrebbe fare una PMI prima dell'introduzione?
Definire finalità e tipi di dati, verificare il fornitore con sede dei server e contratto di trattamento, preparare l'annuncio di trasparenza e l'informativa, fissare tempi di conservazione e cancellazione e predisporre processi per accesso e cancellazione. In caso di rischio elevato è consigliata una valutazione d'impatto. Questa panoramica è generale e non sostituisce una consulenza legale individuale.
Termini nel glossario
AI pratica per la vostra azienda
Dall’idea alla realizzazione: vi mostriamo cosa è concretamente possibile nel vostro caso.
Richiedi una demo