Norme sull'IA in Svizzera

L'orientamento del Consiglio federale

Invece di una legge completa sull'IA, la Svizzera punta su tre elementi:

1. La Convenzione sull'IA del Consiglio d'Europa. La Svizzera l'ha firmata il 27 marzo 2025. La Convenzione obbliga soprattutto le autorità pubbliche a proteggere i diritti umani, la democrazia e lo Stato di diritto nell'uso dell'IA.
2. Adeguamenti settoriali delle leggi esistenti, dove necessario, ad esempio in ambiti legati ai diritti fondamentali come la protezione dei dati. Si tratta di trasparenza, non discriminazione e vigilanza. Il DFGP sta elaborando una bozza di consultazione insieme al DATEC e al DFAE.
3. Misure non vincolanti come linee guida e soluzioni di settore. A tal fine, il DATEC presenterà un piano.

Non è ancora chiaro fino a che punto si estenderanno gli obblighi per i privati. Politicamente controverso è se l'attuazione riguarderà principalmente lo Stato o anche le imprese. Vi informeremo nel KI-Briefing non appena la bozza sarà disponibile.

La legge sulla protezione dei dati è già applicabile

L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha chiarito che la legge sulla protezione dei dati in vigore dal 1° settembre 2023 è neutrale dal punto di vista tecnologico e si applica direttamente all'IA, sia per l'addestramento che per l'utilizzo.

Chi utilizza l'IA con dati personali deve rendere noti lo scopo, il funzionamento e le fonti dei dati. Gli utenti devono sapere se comunicano con una macchina e se i loro input vengono riutilizzati, ad esempio per l'addestramento. Le persone interessate possono opporsi al trattamento dei loro dati (art. 30 cpv. 2 LPD).

Se un sistema prende autonomamente una decisione con effetti giuridici o un impatto significativo, ad esempio un rifiuto automatico, si tratta di una decisione individuale automatizzata (art. 21 LPD). La persona interessata deve essere informata e può esporre il proprio punto di vista e chiedere che un essere umano riesamini la decisione.

In caso di rischio elevato per la personalità, è obbligatoria una valutazione d'impatto sulla protezione dei dati (art. 22 LPD). Con le applicazioni di IA che trattano dati personali, questo è spesso il caso.

L'IFPDT ha inoltre stabilito due ulteriori punti. Secondo la sua interpretazione, i deepfake di persone identificabili devono essere sempre riconoscibili come tali. Inoltre, sono vietate le applicazioni che mirano a violare la sfera privata, come il riconoscimento facciale in tempo reale negli spazi pubblici o il social scoring.

Per quanto riguarda i dati personali degni di particolare protezione, la comunicazione all'estero e i segreti professionali, consultare Dati sensibili e IA.

FINMA: aspettative per banche e assicurazioni

Nel comunicato di vigilanza 08/2024 del 18 dicembre 2024, la FINMA descrive cosa si aspetta dagli istituti vigilati nell'uso dell'IA. Non esiste una legislazione specifica sull'IA, ma i requisiti esistenti in materia di governance e gestione dei rischi si applicano anche all'IA. La FINMA si aspetta:

• chiari ruoli e responsabilità, un inventario centrale delle applicazioni di IA e la loro classificazione dei rischi;
• qualità dei dati, test e monitoraggio continuo;
• documentazione e spiegabilità dei risultati;
• una verifica indipendente delle applicazioni rilevanti;
• per le soluzioni esternalizzate, test aggiuntivi e garanzie contrattuali.

Anche per le PMI non vigilate, questo elenco rappresenta un buon punto di riferimento. Una fiduciaria di San Gallo, ad esempio, può utilizzarlo come modello per il proprio inventario dell'IA.

Altre leggi applicabili all'IA

• Codice delle obbligazioni e responsabilità civile: chi trasmette a clienti i risultati dell'IA risponde come per il proprio lavoro.
• Diritto d'autore: i contenuti generati esclusivamente da macchine non sono protetti secondo l'opinione dominante. Non è consentito riprendere opere altrui senza adeguata verifica.
• Parità di trattamento e diritto del lavoro: le decisioni discriminatorie restano vietate, anche se preparate da un'IA.
• Legge contro la concorrenza sleale (LCSl): la pubblicità ingannevole sulle capacità dell'IA e le recensioni false sono vietate.
• Segreto professionale (art. 321 CP, art. 47 LBCR) e obbligo di riservatezza professionale (art. 62 LPD).

E l'AI Act dell'UE?

Non si applica direttamente in Svizzera, ma riguarda le imprese svizzere che offrono IA nell'UE o i cui risultati dell'IA vengono utilizzati nell'UE. Molte PMI orientate all'esportazione si adeguano quindi di fatto allo standard UE. Maggiori informazioni nella guida all'AI Act dell'UE.

Domande frequenti

Questa pagina offre una panoramica e non sostituisce una consulenza personalizzata. Leggi e scadenze cambiano; fanno fede i testi ufficiali collegati.