nLPD e IA: quali obblighi per le aziende svizzere?

La nLPD in breve: campo d'applicazione, portata e multe

La nLPD ha sostituito la legge del 1992 avvicinando la Svizzera al livello di protezione europeo, pur senza coincidere con il GDPR. Ora protegge solo i dati delle persone fisiche; i dati delle persone giuridiche non rientrano più. Per l'IA conta soprattutto: appena un modello o uno strumento tratta dati personali, gli obblighi si applicano, che il fornitore sia a Zurigo, Dublino o in California.

• Effetto extraterritoriale: la nLPD copre anche i trattamenti all'estero con effetti in Svizzera.
• Vigilanza: l'IFPDT (Incaricato federale della protezione dei dati e della trasparenza) sorveglia e può avviare indagini.
• Sanzioni: multe fino a 250'000 franchi colpiscono in linea di principio le persone fisiche responsabili, non anzitutto l'azienda - a differenza del GDPR.

Dati personali degni di particolare protezione e IA

La nLPD definisce i dati degni di particolare protezione, il cui trattamento richiede requisiti più severi - come un consenso esplicito o una valutazione d'impatto. Proprio queste categorie ricorrono nei progetti IA: chatbot sanitari, riconoscimento biometrico del volto o della voce, screening HR o modelli di scoring creditizio. Chi immette questi dati in un sistema IA deve chiarire prima la base giuridica e le misure di protezione.

• Categorie coperte: opinioni e attività religiose, ideologiche, politiche o sindacali; salute, sfera intima, origine razziale o etnica.
• Dati genetici e dati biometrici che identificano univocamente una persona - molto rilevanti per i sistemi di riconoscimento basati su IA.
• Dati su procedimenti e sanzioni amministrativi e penali, e su misure di assistenza sociale.

Obblighi principali nell'uso dell'IA

• Rispettare i principi: liceità, buona fede, proporzionalità, limitazione della finalità, trasparenza ed esattezza - anche per i dati di addestramento e di input.
• Obbligo di informazione: gli interessati vanno informati in modo comprensibile sulla raccolta dei dati e sull'uso dell'IA.
• Valutazione d'impatto (VIPD) in caso di rischio elevato probabile - nuove tecnologie, trattamento esteso di dati sensibili o sorveglianza sistematica; se resta un rischio residuo elevato, va consultato l'IFPDT.
• Tenere un registro delle attività di trattamento; le PMI con meno di 250 dipendenti e rischio ridotto sono in parte esentate.
• Integrare privacy by design e impostazioni predefinite rispettose della privacy fin dall'inizio nei sistemi IA.
• Garantire la sicurezza dei dati e notificare le violazioni all'IFPDT il più rapidamente possibile in caso di rischio elevato per gli interessati.

Decisioni individuali automatizzate e profilazione a rischio elevato

Se un sistema IA prende una decisione esclusivamente automatizzata con effetti giuridici o notevole incidenza - ad esempio rifiuto di credito, selezione automatica dei candidati o classificazione tariffaria -, l'azienda deve informare l'interessato. Questi può chiedere che una persona fisica riesamini la decisione ed esprimere il proprio punto di vista. Vi sono eccezioni, tra cui quando la decisione è legata a un contratto e la richiesta è accolta, o in presenza di consenso.

• La profilazione a rischio elevato - una valutazione estesa di caratteristiche essenziali della personalità - può richiedere un consenso esplicito.
• Documentate quando una persona riesamina la decisione IA (human-in-the-loop) e come gli interessati possono opporsi.

Trasferimenti all'estero: usare correttamente i fornitori IA

Molti servizi IA operano su server fuori dalla Svizzera. Un trasferimento all'estero è ammesso se lo Stato di destinazione figura nell'elenco di adeguatezza del Consiglio federale. In assenza di un livello adeguato servono garanzie appropriate - clausole contrattuali tipo, norme vincolanti d'impresa o, entro limiti stretti, il consenso. Per i fornitori statunitensi va inoltre verificato il quadro vigente (Swiss-US Data Privacy Framework).

• Verificate i contratti di responsabile del trattamento: il fornitore IA tratta i dati solo su istruzione e con sicurezza adeguata.
• Valutate alternative sovrane: hosting svizzero o UE e modelli aperti come Apertus (ETH Zurigo, EPFL, CSCS) possono ridurre i trasferimenti all'estero.

nLPD, GDPR ed EU AI Act: come interagiscono

Le aziende svizzere sono soggette alla nLPD, ma possono ricadere anche sotto il GDPR se si rivolgono a persone nell'UE. L'EU AI Act regola l'IA come prodotto per classi di rischio ed è anch'esso extraterritoriale - può applicarsi quando gli output IA sono usati nell'UE. I tre regimi si integrano: la nLPD riguarda la protezione dei dati, l'EU AI Act la sicurezza e la governance del sistema IA.

• Oggetto di tutela: nLPD - dati delle persone fisiche; EU AI Act - sicurezza e diritti fondamentali attorno al sistema IA.
• Logica sanzionatoria: nLPD - multe verso le persone responsabili fino a 250'000 franchi; GDPR - sanzioni aziendali fino a una quota del fatturato.
• In pratica: un framework di governance unico copre protezione dati e rischio IA in modo più efficiente di progetti separati.

Checklist pratica per le aziende svizzere

• Inventariate tutti gli strumenti IA e i dati personali trattati, inclusi prompt e documenti caricati.
• Definite una policy interna d'uso dell'IA: cosa si può inserire e cosa no (dati sensibili, segreti aziendali)?
• Aggiornate informativa privacy, registro dei trattamenti e contratti di trattamento per includere l'uso dell'IA.
• Eseguite presto una VIPD per i progetti IA rischiosi e definite un human-in-the-loop per le decisioni automatizzate.
• Nota: questo articolo è un orientamento generale e non sostituisce una consulenza legale individuale.