nLPD e IA: che cosa deve sapere una PMI svizzera prima di iniziare

L'intelligenza artificiale apre numerose possibilità alle PMI: smistamento delle e-mail, riassunti di documenti, agenti vocali, assistenti interni. Ma non appena questi strumenti trattano informazioni su persone (clienti, pazienti, collaboratori), entra in gioco la protezione dei dati. In Svizzera, il quadro di riferimento è la nuova legge federale sulla protezione dei dati, chiamata nLPD.

Questo articolo presenta i principali punti di riferimento. Non costituisce una consulenza giuridica: per qualsiasi decisione, Le raccomandiamo di consultare un giurista o un avvocato specializzato.

Il quadro: una legge in vigore dal 1° settembre 2023

La nLPD e la relativa ordinanza d'esecuzione (OPDa) sono entrate in vigore il 1° settembre 2023. Sostituiscono la vecchia legge del 1992 e avvicinano il diritto svizzero agli standard europei, pur mantenendo regole proprie.

La legge è formulata in modo tecnologicamente neutro. Non contiene un capitolo specifico sull'IA, ma si applica pienamente a qualsiasi trattamento di dati personali, anche quando passa attraverso un modello di IA. L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) lo ha ricordato nelle sue comunicazioni.

I principi da rispettare nella quotidianità

Diversi principi della nLPD riguardano direttamente i progetti di IA:

• Trasparenza: le persone devono essere informate della raccolta dei loro dati e del suo scopo. Concretamente, la Sua dichiarazione sulla protezione dei dati deve rispecchiare gli strumenti effettivamente utilizzati. Quando una decisione è presa esclusivamente in modo automatizzato e produce effetti importanti per una persona, la legge prevede in linea di principio uno specifico obbligo d'informazione.
• Finalità e proporzionalità: si raccolgono solo i dati necessari allo scopo dichiarato. È il principio di minimizzazione. Prima di inviare un intero documento a uno strumento di IA, si chieda se tutte le informazioni che contiene sono utili.
• Esattezza: i dati trattati devono essere corretti. Un risultato prodotto da un'IA deve poter essere verificato e corretto.
• Sicurezza: il titolare del trattamento deve adottare misure tecniche e organizzative adeguate al rischio: gestione degli accessi, cifratura, registrazione, backup.
• Protezione dei dati fin dalla progettazione e per impostazione predefinita: le impostazioni predefinite di uno strumento devono limitare il trattamento allo stretto necessario.

Quando il trattamento presenta un rischio elevato per le persone interessate, la legge prevede una valutazione d'impatto sulla protezione dei dati, da effettuare prima del trattamento.

Registro, violazioni e responsabili del trattamento

Tre obblighi pratici meritano un'attenzione particolare:

• Registro delle attività di trattamento: la nLPD impone in linea di principio di tenere un registro che descriva i trattamenti effettuati. L'ordinanza prevede un'eccezione per le aziende con meno di 250 collaboratori, salvo se trattano su vasta scala dati degni di particolare protezione o effettuano una profilazione a rischio elevato. Anche quando non è obbligatorio, un registro semplice resta un buono strumento di gestione.
• Notifica delle violazioni: in caso di violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per le persone interessate, il titolare deve notificarla all'IFPDT il prima possibile. L'IFPDT mette a disposizione un modulo di notifica sul suo sito.
• Trattamento da parte di terzi: se un fornitore (editore di uno strumento di IA, fornitore di hosting) tratta dati per Suo conto, un contratto deve disciplinare tale trattamento, e Lei resta responsabile di assicurarsi che il fornitore garantisca la sicurezza dei dati.

Trasferimento di dati all'estero

Numerosi servizi di IA funzionano su server situati fuori dalla Svizzera. La nLPD disciplina questi trasferimenti:

• Il Consiglio federale pubblica un elenco degli Stati che offrono un livello di protezione adeguato. I trasferimenti verso questi Paesi sono in linea di principio possibili.
• Verso gli altri Paesi sono necessarie garanzie, ad esempio clausole contrattuali tipo riconosciute dall'IFPDT.
• La dichiarazione sulla protezione dei dati deve indicare i Paesi di destinazione.

È uno dei motivi per cui molte PMI preferiscono, quando possibile, un hosting dei dati in Svizzera. Ciò non esonera dagli altri obblighi, ma semplifica la questione dei trasferimenti.

Come lavoriamo

Da LYL Software integriamo queste questioni fin dalla progettazione di un progetto di IA e automazione:

• individuiamo con Lei i dati personali interessati e limitiamo ciò che viene inviato ai modelli;
• privilegiamo un hosting in Svizzera (Infomaniak) quando possibile e documentiamo gli eventuali fornitori esteri;
• prevediamo la gestione degli accessi, la registrazione delle attività e una convalida umana per le decisioni importanti;
• Le forniamo le informazioni tecniche utili per il Suo registro e la Sua dichiarazione sulla protezione dei dati.

Non siamo giuristi. Per convalidare la Sua conformità, in particolare nei settori sensibili come gli studi medici o le assicurazioni e il brokeraggio, si rivolga a un giurista o a un avvocato specializzato. Anche i siti ufficiali admin.ch e edoeb.admin.ch pubblicano guide utili.