LPD e IA generativa: quali obblighi per le aziende svizzere?
La nuova legge federale sulla protezione dei dati si applica pienamente agli strumenti di IA generativa. Panoramica degli obblighi concreti per le PMI che utilizzano ChatGPT o soluzioni simili.
Dall'entrata in vigore della nuova legge federale sulla protezione dei dati (LPD) il 1° settembre 2023, qualsiasi azienda svizzera che tratta dati personali è soggetta a obblighi più severi: trasparenza, sicurezza, minimizzazione e responsabilità. L'arrivo massiccio di strumenti di IA generativa nei flussi di lavoro quotidiani pone questi obblighi sotto una nuova luce, poiché ogni prompt inviato a un assistente IA può contenere dati personali di clienti, collaboratori o partner.
Il primo punto di attenzione riguarda il trasferimento di dati all'estero. L'articolo 16 LPD vieta la comunicazione di dati personali verso un paese che non offre un livello di protezione adeguato senza garanzie appropriate. Tuttavia, la maggior parte dei servizi di IA di consumo elabora le richieste su server situati negli Stati Uniti. Una società fiduciaria che copia un estratto della contabilità clienti in un chatbot pubblico sta quindi effettuando, giuridicamente, un trasferimento internazionale di dati, spesso senza una solida base contrattuale.
Il secondo punto riguarda il dovere d'informazione. Le persone interessate devono sapere che i loro dati sono trattati da un sistema di IA, per quale scopo e da quale subappaltatore. Ciò comporta l'aggiornamento della dichiarazione sulla privacy dell'azienda e, in alcuni casi, dei contratti con i clienti. Una PMI che utilizza l'IA per redigere bozze di risposta ai clienti senza informare questi ultimi si espone a contestazioni fondate.
Terzo requisito: la sicurezza del trattamento. L'articolo 8 LPD impone misure tecniche e organizzative adeguate al rischio. Concretamente, ciò significa crittografia dei dati a riposo e in transito, controllo degli accessi, tracciabilità dei log e capacità di cancellare i dati su richiesta. Con un servizio di IA pubblico condiviso, l'azienda non ha alcun controllo reale su questi parametri; con un'istanza dedicata ospitata in Svizzera, può documentare con precisione ogni misura.
Infine, la LPD sancisce i diritti delle persone interessate: accesso, rettifica, cancellazione e opposizione. Se le conversazioni dei vostri collaboratori sono memorizzate presso un fornitore estero che potenzialmente le utilizza per addestrare i propri modelli, soddisfare una richiesta di cancellazione diventa praticamente impossibile. Il controllo sul ciclo di vita dei dati è quindi un prerequisito, non un'opzione.
In pratica, tre misure consentono di distribuire l'IA generativa rimanendo conformi: scegliere una soluzione in cui i dati rimangano in Svizzera presso un subappaltatore identificato, regolamentare l'uso tramite una chiara direttiva interna (quali dati possono o meno essere inviati all'IA) e tenere aggiornato un registro delle attività di trattamento che includa il nuovo strumento. Un'istanza IA privata come Walterdesk risponde strutturalmente al primo punto e facilita notevolmente gli altri due grazie all'amministrazione centralizzata e ai log di controllo.