LPD svizzera e GDPR: implicazioni per i fornitori di IA

La LPD può applicarsi ai trattamenti che producono effetti in Svizzera, anche se avvengono all’estero. Il GDPR può applicarsi in ragione di uno stabilimento nell’UE. Può anche riguardare un fornitore fuori dall’UE che offre beni o servizi a persone nell’UE o ne monitora il comportamento sul territorio. La cittadinanza di una persona, da sola, non determina la risposta. ^{2 3}

Valuta ogni organizzazione e ogni attività di trattamento. Avere un’impresa cliente nell’UE non determina, da solo, se un responsabile del trattamento svizzero sia direttamente soggetto al GDPR. Esamina gli obblighi del cliente, l’attività del responsabile, il suo collegamento con offerte o monitoraggio nell’UE e i requisiti contrattuali.

Questi esempi ipotetici illustrano le domande da porsi:

Una differenza centrale riguarda la giustificazione dei trattamenti privati. Il GDPR richiede una base giuridica ai sensi dell’articolo 6 per ogni finalità. Il consenso è una possibilità. Altre basi comprendono la necessità contrattuale e il legittimo interesse, nel rispetto delle relative condizioni. Le categorie particolari di dati, come le informazioni sanitarie, richiedono anche una condizione ai sensi dell’articolo 9. ⁴

La LPD svizzera ha una struttura diversa per le imprese private. Il trattamento deve rispettarne i principi e non ledere illecitamente la personalità, compresa la vita privata. Quando serve una giustificazione, possono rilevare il consenso, un interesse privato o pubblico preponderante oppure la legge. Valuta l’uso concreto invece di riprendere soltanto il nome di una base giuridica del GDPR. ⁵

Le differenze relative a informative, consulenti, incidenti e sanzioni sono approfondite di seguito. La tabella presenta una selezione di temi, non l’elenco completo degli obblighi.

I dati personali degni di particolare protezione secondo il diritto svizzero comprendono anche informazioni sulle misure di assistenza sociale e sui procedimenti o sulle sanzioni amministrative. Considera queste categorie quando classifichi i dati di un servizio usato in Svizzera. ²

Per la realizzazione, le stesse domande sono utili in entrambi i quadri: quali dati servono, chi può accedervi, quanto a lungo restano conservati e come una persona può esercitare i propri diritti? Le risposte dovrebbero orientare il servizio prima del lancio.

Serve una chiara ripartizione delle responsabilità tra cliente, studio di sviluppo, società di hosting e fornitore del modello. Un titolare del trattamento determina finalità e mezzi del trattamento. Un responsabile del trattamento tratta dati per conto del titolare. Lo stesso fornitore può avere ruoli diversi per attività diverse.

Uno studio può, per esempio, trattare documenti del cliente per fornire un assistente. Se li riutilizza per sviluppare un proprio prodotto, quella finalità aggiuntiva richiede una valutazione specifica del ruolo e della liceità. Definirlo responsabile del trattamento nel contratto non determina ciò che effettivamente fa. ⁶

Secondo la LPD, l’esternalizzazione lascia al titolare la responsabilità di scegliere, istruire e sorvegliare adeguatamente i responsabili. Il ricorso a un ulteriore responsabile richiede la sua autorizzazione preventiva. Un’autorizzazione generale può prevedere la comunicazione dei cambiamenti e la possibilità di opporsi. ⁷

Per il team di realizzazione, il contratto deve quindi disciplinare istruzioni, sicurezza, sub-responsabili, segnalazione degli incidenti, assistenza per i diritti e cancellazione o restituzione al termine dell’incarico. Esamina il contratto insieme al sistema: una promessa di cancellazione richiede un processo funzionante.

Che cosa dovrebbe spiegare l’informativa di un servizio di IA?

Le persone dovrebbero poter capire chi è il titolare, perché i dati vengono trattati e chi li riceve. Per le comunicazioni all’estero, le informative svizzere devono indicare anche gli Stati destinatari e le garanzie o eccezioni pertinenti. ⁸

Spiega l’uso dell’IA in un linguaggio comune. La persona interagisce con una macchina? I suoi messaggi servono a rispondere a una richiesta, migliorare un modello o perseguire un’altra finalità? L’IFPDT affronta esplicitamente queste domande di trasparenza. ¹

Usare dati personali per rispondere a una richiesta non giustifica automaticamente il loro riutilizzo per addestrare un modello. Le operazioni possono avere finalità, destinatari e tempi di conservazione diversi. Con il GDPR, valuta separatamente la base giuridica dell’addestramento. Il consenso raccolto per una finalità non ne copre automaticamente un’altra. ⁹

Mappa separatamente le operazioni:

• Inferenza: un modello elabora un input per produrre una risposta.
• Recupero dei documenti, o RAG: il servizio trova documenti e fornisce passaggi pertinenti come contesto. Il solo recupero non modifica i pesi del modello.
• Registrazione dei log: il servizio o il fornitore conserva una copia per l’operatività, la sicurezza o un’altra finalità dichiarata.
• Fine-tuning o addestramento: i dati influenzano i parametri del modello, creando altre domande sul riutilizzo e sui diritti delle persone.

Un esempio pratico è l’API OpenAI. La documentazione indica che i dati dell’API non vengono usati per l’addestramento, a meno che il cliente attivi questa opzione. Descrive inoltre log di monitoraggio degli abusi conservati per impostazione predefinita fino a 30 giorni, con eccezioni, e ulteriore memorizzazione dipendente dalla funzione. Zero Data Retention richiede un’approvazione e presenta limiti. Verifica queste impostazioni per il servizio che intendi usare. ¹⁰

Un’impostazione «nessun addestramento» lascia ancora da chiarire conservazione e accesso. Controlla prodotto, endpoint, impostazioni dell’account e contratto. Gli strumenti per consumatori e le API aziendali possono avere condizioni diverse.

Sì, nel rispetto dei requisiti applicabili. La LPD non impone in generale di mantenere tutti i dati personali in Svizzera. La comunicazione all’estero richiede un meccanismo appropriato, come protezione adeguata, garanzie idonee o un’eccezione legale applicabile. Norme settoriali, segreto professionale e contratti con i clienti possono imporre ulteriori vincoli. ¹¹

Verifica dove avviene ogni operazione: conservazione dei documenti, inferenza, log, backup e accesso del supporto. Un database svizzero può inviare un prompt a un modello all’estero. Anche l’accesso remoto di un destinatario distinto situato all’estero può sollevare questioni di trasferimento. ¹²

Se si usano strumenti contrattuali come le clausole contrattuali tipo, valuta la loro idoneità, gli adattamenti svizzeri e le misure supplementari necessarie. Il GDPR ha propri requisiti per i trasferimenti internazionali. Il riconoscimento dell’adeguatezza svizzera da parte dell’UE facilita i trasferimenti coperti verso la Svizzera. Non certifica un singolo fornitore e non risolve i suoi trasferimenti successivi. ^{11 13}

Una valutazione d’impatto sulla protezione dei dati (DPIA) esamina il trattamento previsto, i rischi per le persone e le misure di protezione. Secondo la LPD, il criterio determinante è un rischio elevato verosimile. Contano natura, portata, circostanze e finalità; un esempio è il trattamento su larga scala di dati particolarmente protetti. Il GDPR ha propri criteri di rischio e le autorità pubblicano elenchi specifici. La sola etichetta «IA» non rende obbligatoria una DPIA. ^{14 15}

Rischi elevati che permangono dopo le garanzie previste possono richiedere una consultazione dell’autorità di controllo. La LPD prevede una specifica eccezione per i titolari privati che consultano un consulente per la protezione dei dati con i requisiti richiesti. La sua designazione non elimina la DPIA stessa. ¹⁴

Come esempio, un assistente che riassume normali richieste di supporto e un servizio che valuta candidature in vista di un rifiuto meritano analisi diverse. Lavoro, sanità e finanza comportano inoltre regole che vanno oltre questa panoramica.

Le decisioni automatizzate richiedono particolare attenzione:

• L’articolo 21 LPD riguarda decisioni esclusivamente automatizzate con effetti giuridici o che incidono considerevolmente sulla persona. Salvo eccezioni, il titolare deve informarla e consentirle, su richiesta, di esprimere il proprio punto di vista e ottenere un riesame umano. ¹⁶
• L’articolo 22 GDPR tutela generalmente le persone da decisioni esclusivamente automatizzate con effetti giuridici o che incidono in modo analogamente significativo, con eccezioni e garanzie specifiche. ¹⁷

Integra il riesame umano nel processo quando richiesto. Chi riesamina deve avere informazioni, tempo e autorità per rivalutare l’esito. Per un candidato che contesta un rifiuto, deve esserci una reale possibilità di riesame.

Le procedure per i diritti devono raggiungere ogni copia pertinente dei dati personali. Per un assistente IA, possono comprendere documenti originali, passaggi recuperati, indici, cronologie delle conversazioni, log e dati presso i fornitori.

Un approccio tecnico consiste nel tracciare queste copie dal documento originario e definire come le richieste raggiungono ogni sistema. Cancellare un documento originale non elimina necessariamente i suoi passaggi in cache o la cronologia delle conversazioni. Definisci anche la gestione di backup, eccezioni alla cancellazione e copie presso i fornitori.

L’addestramento introduce un’ulteriore difficoltà. La CNIL distingue i dati personali nelle banche dati esterne di recupero da quelli che possono restare nei parametri del modello. Le misure necessarie dipendono dal sistema e dai diritti applicabili. ¹⁸

Non presumere che un embedding, o rappresentazione vettoriale, o un modello addestrato sia anonimo perché le informazioni sono state convertite in numeri. Secondo il CEPD, l’anonimato del modello va valutato caso per caso, compresa la probabilità di identificare le persone o estrarre i loro dati personali. ¹⁹

Secondo la LPD, il titolare deve notificare l’IFPDT quanto prima se una violazione della sicurezza dei dati comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali. Informare le persone interessate richiede una valutazione distinta: deve essere necessario per la loro protezione o richiesto dall’IFPDT, con le eccezioni previste dalla legge. ²⁰

Secondo il GDPR, il titolare deve notificare l’autorità competente salvo che sia improbabile un rischio per le persone. La notifica deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione. Un rischio elevato verosimile comporta la comunicazione alle persone interessate, salvo eccezioni. ²¹

In entrambi i quadri, i responsabili del trattamento devono segnalare tempestivamente le violazioni ai titolari. Definisci contatti e procedure di escalation prima di un incidente. Se si applicano entrambe le normative, valuta entrambi gli obblighi di notifica. La soglia svizzera non sostituisce il criterio del GDPR.

Anche le sanzioni differiscono. Alcuni reati intenzionali previsti dalla LPD riguardano principalmente persone fisiche e possono comportare una multa penale fino a CHF 250 000. Non è un tetto alla responsabilità civile o a tutte le conseguenze di una violazione. ²²

Per determinate violazioni, le sanzioni amministrative del GDPR possono raggiungere EUR 20 milioni o il 4 % del fatturato annuo mondiale, se superiore. Le autorità possono anche limitare o vietare il trattamento. ^{23 24}

Il regolamento europeo sull’IA aggiunge una valutazione distinta del sistema, del suo uso e del ruolo dell’organizzazione. Soddisfare gli obblighi di protezione dei dati non risolve tutti quelli del regolamento sull’IA. Un fornitore svizzero dovrebbe valutarne l’ambito quando entra nel mercato dell’UE. ²⁵

Alla data di aggiornamento dell’articolo, il calendario della Commissione indica che i requisiti di trasparenza per alcuni sistemi, compresi i chatbot, si applicano dal 2 agosto 2026. Le regole per i sistemi ad alto rischio dell’allegato III si applicano dal 2 dicembre 2027. Quelle per i sistemi ad alto rischio integrati in prodotti regolamentati si applicano dal 2 agosto 2028. Verifica la disposizione pertinente e le regole transitorie per il servizio. ²⁶

La regolamentazione svizzera dell’IA in preparazione è uno sviluppo distinto. Gli obblighi attuali di protezione dei dati si applicano già mentre questi lavori proseguono. ²⁷

Usa questa checklist per preparare la valutazione tecnica e giuridica del servizio. È un aiuto alla realizzazione, non una certificazione di conformità.

1. Definisci uso e mercati. Indica che cosa fa il servizio, di chi tratta i dati e quali normative potrebbero applicarsi.
2. Mappa il flusso dei dati. Includi prompt, recupero, output, log, addestramento, backup e accesso del supporto.
3. Assegna i ruoli per attività. Identifica titolari, responsabili e fornitori che usano dati per finalità proprie.
4. Documenta la giustificazione. Valuta separatamente basi del GDPR e requisiti svizzeri, dati sensibili e riutilizzi facoltativi.
5. Verifica contratti e luoghi. Controlla istruzioni, sub-responsabili, meccanismi di trasferimento e impostazioni effettive di conservazione.
6. Valuta i rischi prima del lancio. Determina i requisiti di DPIA e delle decisioni automatizzate, poi assegna le responsabilità di riesame necessarie.
7. Testa controlli e procedure per i diritti. Verifica che il recupero rispetti le autorizzazioni degli utenti e separi i documenti dei clienti. Testa anche cancellazione ed escalation degli incidenti.
8. Mantieni aggiornata la documentazione. Rivaluta il servizio quando cambiano fornitore, funzione, mercato o finalità.

Parti da un solo processo: una richiesta del cliente, i documenti consultati, i fornitori raggiunti e le copie lasciate. Il team e i consulenti legali avranno una base concreta da esaminare prima di ampliare il servizio.

La conformità al GDPR soddisfa anche la LPD svizzera riveduta?

Offre una base utile, ma serve comunque una valutazione svizzera. Verifica gli Stati destinatari nell’informativa, i meccanismi di trasferimento, gli obblighi locali di notifica e l’eventuale rappresentanza. Le normative si sovrappongono senza avere obblighi identici. ^{8 28}

Quali sono le implicazioni della privacy svizzera per le imprese di IA soggette al GDPR?

Un’impresa di IA soggetta a entrambe le normative deve documentare entrambe le valutazioni del servizio. Controlli comuni possono sostenere sicurezza, minimizzazione e diritti. Informative, ragionamento giuridico e procedure per gli incidenti vanno comunque verificati rispetto a ogni normativa. Le sezioni precedenti mostrano le conseguenze per la realizzazione.

Serve sempre il consenso per usare dati personali in un servizio di IA?

No. Dipende dalla finalità e dalle regole applicabili. Il GDPR prevede diverse basi giuridiche. Secondo la LPD, quando il consenso è richiesto, deve essere esplicito per i dati particolarmente protetti e la profilazione a rischio elevato da parte di privati. Un’unica casella selezionata non autorizza ogni uso dell’IA. ^{4 29}

I fornitori di IA hanno bisogno di un responsabile della protezione dei dati o di un rappresentante svizzero?

La designazione di un consulente è generalmente facoltativa per le imprese private secondo la LPD. Il GDPR può richiedere un responsabile della protezione dei dati, per esempio per determinate attività principali di monitoraggio su larga scala o trattamento di dati sensibili. Un titolare privato all’estero deve avere un rappresentante svizzero quando ricorrono tutte le quattro condizioni dell’articolo 14: offerta o monitoraggio in Svizzera, trattamento su larga scala, regolarità e rischio elevato. ^{30 31 28}

L’hosting svizzero rende un servizio di IA conforme alla LPD?

Il luogo di hosting risponde soltanto a una parte della valutazione. Esamina inferenza e supporto all’estero, finalità, sicurezza, conservazione e diritti. Un indirizzo di hosting svizzero non dimostra la conformità dell’intero servizio. ⁷

Lettura correlata: Agenti IA e protezione dei dati svizzera.

1. IFPDT. IA e protezione dei dati. ↑1 ↑2
2. IFPDT. Guida alle misure tecniche e organizzative di protezione dei dati. Definizioni: sezione 1.2; ambito di applicazione: sezione 1.1. ↑1 ↑2
3. Comitato europeo per la protezione dei dati. Linee guida 3/2018 sull’ambito territoriale del GDPR. ↑1
4. Comitato europeo per la protezione dei dati. Trattare i dati personali in modo lecito. ↑1 ↑2
5. IFPDT. Guida su cookie e tecnologie analoghe. Versione 1.1, 6 ottobre 2025. Sezione 3.5: principi e giustificazione dei trattamenti privati. ↑1
6. Comitato europeo per la protezione dei dati. Azione coordinata: servizi cloud. ↑1
7. IFPDT. Trattamento dei dati da parte di responsabili. ↑1 ↑2
8. IFPDT. Obbligo di informare. ↑1 ↑2
9. CNIL. Liceità e base giuridica nello sviluppo dell’IA. ↑1
10. OpenAI. Controlli dei dati dell’API. ↑1
11. IFPDT. Comunicazione di dati personali all’estero. ↑1 ↑2
12. Comitato europeo per la protezione dei dati. Raccomandazioni sulle misure supplementari per i trasferimenti. Versione 2.0, 18 giugno 2021. Paragrafi 8–13 e nota 23: trasferimenti e accesso remoto. ↑1
13. IFPDT. Adeguatezza. ↑1
14. IFPDT. Valutazione d’impatto sulla protezione dei dati. ↑1 ↑2
15. Comitato europeo per la protezione dei dati. Protezione dei dati fin dalla progettazione e valutazioni d’impatto. ↑1
16. IFPDT. Conoscere e far valere i propri diritti. ↑1
17. Comitato europeo per la protezione dei dati. Rispettare i diritti delle persone. ↑1
18. CNIL. Consentire e facilitare l’esercizio dei diritti nei sistemi di IA. ↑1
19. Comitato europeo per la protezione dei dati. Parere sui modelli di IA e il GDPR. ↑1
20. IFPDT. Guida sulle violazioni della sicurezza dei dati. ↑1
21. Comitato europeo per la protezione dei dati. Violazioni dei dati personali. ↑1
22. IFPDT. Diritto penale. ↑1
23. Comitato europeo per la protezione dei dati. Linee guida 04/2022 sul calcolo delle sanzioni amministrative. ↑1
24. Commissione europea. Conseguenze del mancato rispetto delle norme sulla protezione dei dati. ↑1
25. Commissione europea. Domande e risposte sul regolamento sull’IA. ↑1
26. Commissione europea. Applicazione e calendario del regolamento sull’IA. Aggiornato il 6 ottobre 2026. Date di applicazione delle regole di trasparenza e dei sistemi ad alto rischio. ↑1
27. Ufficio federale delle comunicazioni. Intelligenza artificiale: regolamentazione svizzera. ↑1
28. IFPDT. Rappresentanza secondo l’articolo 14 LPD. ↑1 ↑2
29. Confederazione Svizzera. Legge federale sulla protezione dei dati: testo adottato. Articolo 6: consenso; articoli 30–31: personalità e giustificazione. ↑1
30. IFPDT. Consulente per la protezione dei dati. ↑1
31. Comitato europeo per la protezione dei dati. Azione coordinata: responsabili della protezione dei dati. ↑1