La risposta breve
Sì, il vostro team può utilizzare assistenti IA per il lavoro. Tuttavia, per tutto ciò che riguarda clienti, collaboratori o segreti aziendali, è necessario un account aziendale con contratto che regoli dove vengono trattati i dati e che il fornitore non li utilizzi per l’addestramento dei suoi modelli. Con account gratuiti privati sono consentite solo domande generiche senza riferimenti a persone.
La legge sulla protezione dei dati (LPD) si applica direttamente all’IA; non serve una legge specifica sull’IA. Lo ha chiarito espressamente l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).
Quando si tratta di dati personali?
Più rapidamente di quanto molti pensino. I dati personali sono tutte le informazioni che si riferiscono a una persona determinata o determinabile. Basta un nome, un numero cliente, e spesso è sufficiente il contesto: «Riassumi il reclamo del nostro cliente di Herisau con la Tesla rossa» permette di identificare la persona.
| Inserimento | Dati personali? | Account gratuito è sufficiente? |
|---|---|---|
| «Formula un sollecito di pagamento amichevole, tono: deciso» | No | Sì |
| «Traduci questa descrizione del prodotto in francese» | No | Sì, a condizione che il prodotto non sia ancora segreto |
| Inserire un’e-mail di una cliente con firma per rispondere | Sì | No |
| Riassumere dossier di candidatura | Sì, in parte dati degni di particolare protezione | No |
| Verificare un calcolo di offerta o codice sorgente | Di solito no, ma segreto aziendale | No |
Account gratuito o account aziendale: la differenza decisiva
Nei grandi fornitori, le versioni private e aziendali non si differenziano solo per il prezzo. Le versioni aziendali (a seconda del fornitore chiamate Business, Team o Enterprise, per Microsoft Copilot all’interno del contratto Microsoft 365) offrono di norma:
- un contratto per il trattamento da parte di terzi, richiesto dalla LPD quando un fornitore tratta dati personali per voi (art. 9 LPD);
- l’esclusione dei vostri inserimenti dall’addestramento dei modelli;
- una gestione centralizzata: vedete chi ha accesso e potete bloccare gli account in caso di uscita;
- in parte la scelta della sede dei dati, ad esempio nell’UE.
Le condizioni cambiano spesso. Verificate quindi il contratto attuale del vostro fornitore e non un articolo di blog dell’anno scorso. Con gli account privati è spesso possibile disattivare l’addestramento nelle impostazioni. Questo non sostituisce però un contratto con la vostra azienda.
Esempio: Una fiduciaria a Frauenfeld con otto collaboratori passa da account privati a una licenza aziendale. In questo modo è garantito che i dati dei mandanti non vengano utilizzati per l’addestramento e, in caso di uscita di una collaboratrice, il suo accesso e la cronologia scompaiono in modo controllato.
Cosa richiede concretamente la LPD
- Informazione: La vostra informativa sulla protezione dei dati deve menzionare che trattate dati personali con servizi di IA e a quali destinatari vengono trasmessi (art. 19 LPD).
- Trattamento da parte di terzi: Contratto con il fornitore che lo vincola alle vostre istruzioni e regola la sicurezza dei dati (art. 9 LPD).
- Estero: Se i dati vengono trasmessi negli USA o in altri Paesi al di fuori dell’UE, è necessaria una base giuridica secondo l’art. 16 LPD, ad esempio la certificazione del fornitore secondo il Swiss-US Data Privacy Framework o clausole contrattuali standard. Maggiori informazioni nella guida Dati sensibili e IA.
- Valutazione d’impatto: In caso di rischio presumibilmente elevato, ad esempio quando vengono trattati dati sanitari o candidature tramite IA, è necessaria una valutazione d’impatto sulla protezione dei dati (art. 22 LPD).
- Decisioni automatizzate: Se l’IA prende decisioni senza verifica umana su una persona, ad esempio un rifiuto, dovete dichiararlo e permettere su richiesta una verifica da parte di una persona (art. 21 LPD).
Per avvocati, medici, fiduciari con mandato di revisione e altri soggetti tenuti al segreto professionale valgono regole più severe (art. 321 CP). Per loro un account aziendale presso un fornitore estero spesso non è sufficiente.
Impostazioni da verificare oggi
- L’addestramento con i vostri dati è escluso, e questo per tutti gli account del team?
- Per quanto tempo il fornitore memorizza le conversazioni e si può cancellare la cronologia?
- I link di condivisione delle conversazioni sono disattivati o limitati all’azienda?
- Quali estensioni, plugin e connessioni a e-mail, calendario o archivio sono attivi? Ognuno di essi dà all’IA accesso a ulteriori dati.
- Per Copilot in Microsoft 365: le autorizzazioni in SharePoint e Teams sono corrette? Copilot trova tutto ciò che un collaboratore può aprire, anche l’elenco delle retribuzioni mal protetto.
Regole per il team
Basta una pagina. Stabilite quali strumenti sono consentiti con quale account, quali dati non devono mai essere inseriti e che ogni risultato deve essere verificato da una persona prima di essere inviato ai clienti. Un modello da adattare è disponibile nel Piano d’azione IA.
I divieti da soli servono a poco. Chi non riceve un account aziendale utilizza di solito l’account privato sul cellulare, e allora nessuno vede più cosa viene inserito.
Domande frequenti
ChatGPT è permesso in Svizzera?
Sì. Non esiste alcun divieto. Per scopi professionali con dati personali valgono però le regole della legge sulla protezione dei dati: contratto con il fornitore, informazione degli interessati e una base per la comunicazione all’estero.
I collaboratori possono utilizzare il loro account ChatGPT privato per il lavoro?
Per attività generiche senza dati personali e senza segreti aziendali sì. Non appena sono coinvolti dati di clienti, dati del personale o documenti riservati, no. In questo caso serve un account aziendale con contratto.
Microsoft Copilot è più sicuro di ChatGPT?
Non automaticamente. Copilot in Microsoft 365 funziona all’interno del vostro contratto Microsoft esistente, il che semplifica la protezione dei dati. Tuttavia, Copilot vede tutti i file a cui un collaboratore ha accesso. Autorizzazioni mal gestite diventano così un rischio.
Devo informare i clienti che utilizzo l’IA?
Se trattate i loro dati personali con servizi di IA, questo deve essere menzionato nell’informativa sulla protezione dei dati. Per i chatbot, i clienti devono riconoscere che stanno parlando con una macchina. Chi si rivolge a persone nell’UE è obbligato a farlo dal 2 agosto 2026 secondo il EU AI Act.
Esistono alternative svizzere?
Sì, diversi fornitori offrono servizi di IA con conservazione dei dati in Svizzera, e modelli open source come Apertus possono essere gestiti autonomamente. Una panoramica è disponibile nella guida Dati sensibili e IA.
Fonti
Questa pagina offre una panoramica e non sostituisce una consulenza personalizzata. Leggi e scadenze cambiano; fanno fede i testi ufficiali collegati.