Le aziende svizzere possono impiegare agenti IA, ma un agente non è al di fuori del diritto vigente. Quando tratta dati personali, si applica la legge federale sulla protezione dei dati. Occorre comprendere i flussi di dati, rendere trasparente il trattamento, controllare fornitori e autorizzazioni e mantenere una revisione umana quando una decisione automatizzata incide in modo significativo su una persona.
Questo articolo offre indicazioni operative, non consulenza legale. Prima del lancio, fate esaminare il caso d’uso concreto dal vostro consulente o dalla funzione privacy.
La Svizzera ha una legge sull’IA?
Al 19 settembre 2026 la Svizzera non ha una legge generale specifica per l’IA. Il Consiglio federale segue un approccio settoriale e intende integrare nel diritto svizzero la Convenzione del Consiglio d’Europa sull’IA (UFCOM). Gli obblighi attuali possono già derivare dalla LPD, dal diritto del lavoro, contrattuale e dalle norme settoriali. In presenza di un legame con l’UE possono applicarsi anche GDPR e AI Act europeo.
Cosa significa la LPD per un agente IA?
La LPD è tecnologicamente neutra e si applica ai trattamenti supportati dall’IA. L’IFPDT sottolinea la trasparenza su scopo, funzionamento e fonti dei dati, nonché il diritto a una revisione umana di determinate decisioni individuali automatizzate (IFPDT). L’unità di conformità è quindi l’intero workflow, non soltanto il modello linguistico.
Checklist di implementazione in 12 punti
1. Definite uno scopo aziendale preciso
Descrivete in una frase un’attività comprensibile anche a chi non è tecnico. « Migliorare le operazioni con l’IA » non basta.
2. Mappate ogni movimento di dati
Documentate fonte, campi, responsabile del trattamento, destinazione, archiviazione e conservazione, inclusi prompt, documenti recuperati, output, log e accessi di supporto.
3. Classificate i dati personali
Individuate dati ordinari, sensibili, dati dei dipendenti o informazioni che possono creare un profilo della personalità. Rimuovere un nome non rende automaticamente anonimo un record.
4. Verificate base legale e contrattuale
Controllate perché ogni categoria può essere trattata e se informative, contratti e policy esistenti coprono il nuovo scopo.
5. Rendete riconoscibile il trattamento
Le persone devono capire quando interagiscono con un sistema IA e come vengono utilizzati i loro dati.
6. Valutate le decisioni individuali automatizzate
Senza un coinvolgimento umano effettivo, una decisione con conseguenze legali o rilevanti può richiedere informazione e revisione umana ai sensi dell’art. 21 LPD.
7. Decidete se serve una VIP
Una valutazione d’impatto sulla protezione dei dati è necessaria quando il trattamento previsto comporta probabilmente un rischio elevato, ad esempio con nuove tecnologie, dati sensibili su larga scala o sorveglianza sistematica (IFPDT).
8. Esaminate ogni responsabile e sub-responsabile
Un fornitore cloud o IA non trasferisce la responsabilità dell’azienda. Verificate istruzioni, sub-responsabili, sicurezza, cancellazione, audit e meccanismi di uscita (IFPDT).
9. Controllate la comunicazione transfrontaliera
Documentate i paesi in cui i dati possono essere trattati o accessibili. Dove la protezione non è adeguata, servono un meccanismo legale appropriato e, se necessario, misure supplementari.
10. Applicate il privilegio minimo
Separate autorizzazioni di lettura, preparazione ed esecuzione. L’agente deve ricevere soltanto strumenti e dati necessari al compito.
11. Conservate un controllo umano effettivo
L’approvazione deve fornire prove, incertezza e possibilità di correggere o rifiutare l’azione proposta.
12. Registrate, monitorate e ritirate
Registrate versioni, prove, azioni, approvazioni e incidenti in proporzione al rischio. Definite chi può sospendere il sistema e come eliminare i dati.
Un modello semplice di autorizzazioni
| Livello | Capacità dell’agente | Uso appropriato |
|---|---|---|
| Leggere | Recuperare informazioni approvate | Ricerca e preparazione dei casi |
| Preparare | Redigere testo o modifica proposta | Risposte clienti, report, note CRM |
| Raccomandare | Ordinare opzioni con prove | Triage e gestione delle eccezioni |
| Eseguire in modo reversibile | Aggiornare uno stato interno controllato | Instradamento a basso rischio con log completi |
| Eseguire con conseguenze | Influire su denaro, diritti o impegni esterni | Approvazione umana e controlli più forti |
L’autonomia deve aumentare solo dopo che il livello precedente ha dimostrato affidabilità.
Cosa inserire in un registro IA?
- nome e scopo del caso d’uso;
- responsabile aziendale;
- fornitore, modello, categorie di dati e sistemi;
- persone interessate e livello di decisione e approvazione;
- riferimento a rischio o VIP, soglia di qualità e data di valutazione;
- conservazione, cancellazione, stato e ultima revisione.
Errori comuni
Esaminare solo il modello. I principali rischi operativi stanno nel recupero, nelle autorizzazioni, nelle integrazioni e nelle azioni successive.
Confondere la pagina compliance di un fornitore con la vostra valutazione. Le certificazioni sono elementi di input, non sostituiscono la comprensione del vostro trattamento.
Conservare ogni prompt per sempre. Anche i log hanno bisogno di uno scopo, controllo degli accessi e periodo di conservazione.
Dire che una decisione è revisionata da un umano senza una vera revisione. Il revisore deve avere tempo, prove e autorità per modificare il risultato.
Domande frequenti
Un’azienda svizzera può usare un fornitore IA statunitense?
Potenzialmente sì. Deve valutare responsabile del trattamento, trasferimenti, garanzie contrattuali, sicurezza e sensibilità dei dati nella configurazione concreta.
Ogni progetto IA richiede una VIP?
No. È necessaria quando il rischio elevato è probabile. Documentate anche una decisione motivata di non svolgerla.
Basta dichiarare che si tratta di un chatbot?
No. Restano da disciplinare scopo, uso dei dati, fornitori, conservazione, sicurezza, autorizzazioni e diritti delle persone.
Un agente IA può decidere automaticamente?
Alcune automazioni possono essere lecite. Decisioni che incidono in modo significativo sulle persone possono però far scattare obblighi di trasparenza e revisione umana.
Costruite le prove prima dell’autonomia
Un impiego sicuro richiede uno scopo ristretto, una mappa esplicita dei dati, autorizzazioni limitate, comportamento valutato e un vero percorso di eccezione. Swiss Product Studio realizza agenti IA e automazioni di workflow con permessi definiti, controlli umani e visibilità operativa. Prenotate un Operations Review per mappare un caso d’uso prima di scegliere l’architettura.