Una carta dell'IA in azienda stabilisce per iscritto quali strumenti di intelligenza artificiale (IA) i dipendenti possono usare, quali dati possono inserirvi e quale controllo è previsto. In Svizzera nessuna delle fonti consultate rende obbligatorio questo testo. L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha però ricordato il 24 settembre 2025 che il diritto sulla protezione dei dati si applica direttamente all'IA. La carta serve quindi ad applicare questo diritto nel lavoro quotidiano.
Questa pagina tratta solo del contenuto della carta. Gli usi e i primi progetti sono illustrati nella nostra guida IA per le PMI. Le regole proprie dello strumento di OpenAI sono descritte nella pagina ChatGPT in azienda. Entrambe fanno parte del dossier IA in azienda.
Cifre chiave
- Meno di un'azienda su cinque fa convalidare da una persona tutti i contenuti dell'IA generativa, secondo lo swissVR Monitor.
- 455 notifiche di violazione della sicurezza dei dati ricevute dall'IFPDT nel 2026, fino al 25 ottobre, contro 343 nell'intero 2025.
- Il 55% dei token generati presso i clienti Enterprise e Business di OpenAI nell'Unione europea proviene da agenti, secondo l'azienda.
- Solo un terzo circa delle piccole e medie imprese (PMI) forma regolarmente il proprio personale, secondo lo studio sulla cibersicurezza delle PMI 2026.
- Inizio 2027: scadenza per un avamprogetto di regolamentazione svizzera dell'IA, secondo la Segreteria di Stato dell'economia (SECO).
Una carta dell'IA è obbligatoria in Svizzera?
Le fonti consultate non riferiscono di alcun obbligo di adottare una carta dell'IA. Non menzionano nemmeno una legge generale sull'IA adottata in Svizzera. Il quadro applicabile resta la legge federale sulla protezione dei dati (nLPD).
L'IFPDT ne è l'autorità di vigilanza. Secondo la presentazione del suo sito, vigila affinché gli organi federali e le aziende private non trattino dati personali in modo illecito. La nostra analisi: una carta non aggiunge alcuna regola legale, ma traduce questo quadro in istruzioni di lavoro.
La sua portata ha un limite, rilevato da 2clics nella pagina « Régulation de l'IA en Suisse : ce qui s'applique aux entreprises ». Le carte adottate da numerose organizzazioni agiscono sulle pratiche interne. Non fissano obblighi generali, che spettano al legislatore.
Che cosa deve contenere una carta dell'IA in azienda?
Nessuna delle fonti consultate pubblica un modello di carta. Incrociando le raccomandazioni delle autorità e degli specialisti citati, emergono sette rubriche. Questa tabella è frutto della nostra analisi; ogni regola proviene dalla fonte indicata.
| Rubrica | Che cosa precisa la carta | Origine della regola |
|---|---|---|
| Strumenti autorizzati | Strumenti professionali di cui si sa dove trattano i dati, per quali scopi e chi vi accede | Alexandre Buga, rivista PME |
| Dati esclusi | Nessuna informazione personale, confidenziale o commerciale inserita senza precauzioni | Ufficio federale della cibersicurezza (UFCS) |
| Protezione dei dati | Lo stretto necessario, preferibilmente dati di test anonimizzati | IFPDT |
| Decisioni riservate | Prezzi, sconti, pagamenti e valutazione dei collaboratori restano in mano umana | SAP Svizzera e Alexandre Buga, rivista PME |
| Verifica umana | Quali contenuti e quali azioni una persona convalida prima dell'uso | swissVR Monitor, Deloitte |
| Responsabilità e formazione | Una persona responsabile, eccezioni verificate, un team sensibilizzato | Alexandre Buga, UFCS |
| Aggiornamento | Una valutazione dopo un periodo definito, poi un adeguamento o un'interruzione | Alexandre Buga, rivista PME |
Quali strumenti di IA autorizzare sul lavoro?
La carta indica strumenti precisi piuttosto che « l'IA » in generale. Secondo Alexandre Buga, sulla rivista PME del 23 ottobre 2026, una PMI rispetta la legislazione svizzera sulla protezione dei dati già nella scelta dello strumento. Prima di trasmettervi dati di clienti, fornitori o dipendenti, deve sapere:
- dove vengono trattati questi dati;
- per quali scopi possono essere riutilizzati;
- chi può accedervi.
Raccomanda strumenti professionali adeguati, con regole semplici sui dati ammessi. La questione si complica con gli agenti di IA, che eseguono compiti invece di limitarsi a rispondere. Secondo Cyril Louis, direttore generale di Mavericx, società di consulenza informatica di Ginevra e Zurigo, questi sistemi possono dipendere da diversi modelli e servizi esterni. Non tutti sono gestiti in Svizzera.
Quali dati vietare negli strumenti di IA?
Le informazioni confidenziali vengono per prime. Il 16 ottobre 2026 l'UFCS ha ricordato che inserire senza precauzioni informazioni personali, confidenziali o commerciali in un'IA può portare a una condivisione eccessiva di dati. La carta copre quindi sia i dati delle persone sia le informazioni commerciali.
L'IFPDT fornisce due regole generali, valide anche per l'IA: trasmettere solo i dati strettamente necessari e lavorare preferibilmente con dati di test anonimizzati. L'Incaricato aggiunge un punto che riguarda gli agenti. Secondo il suo ufficio, l'interconnessione dei dati e l'eliminazione dei silos aumentano il rischio di violazione della sicurezza.
Quale verifica umana prevedere?
Una direttiva scritta non basta a garantire il controllo. Secondo lo swissVR Monitor, citato da Alexandre Buga, numerose aziende dichiarano di avere un quadro di governance per l'IA generativa. Ma meno di una su cinque fa convalidare tutti i contenuti da una persona. La carta deve quindi dire chi rilegge che cosa, e prima di quale uso.
Alcune decisioni non si delegano. Alexander Finger, direttore tecnico di SAP Svizzera, cita sulla rivista PME un chatbot che aveva concesso sconti su automobili. Secondo lui, l'IA non deve nemmeno servire a giudicare i collaboratori. Nella finanza, l'analisi sul direttore finanziario visto da Deloitte lascia l'approvazione finale di un pagamento ai controlli abituali.
Gli agenti richiedono una rubrica in più. Marc Beierschoder, partner responsabile dell'IA e dei dati presso Deloitte, chiede di stabilire quali dati un agente può vedere, quali regole aziendali segue e quali azioni svolge da solo. Secondo OpenAI, gli agenti producono già il 55% dei token presso i suoi clienti professionali dell'Unione europea, come illustra il nostro articolo sugli agenti IA delle PMI europee. Questa cifra proviene dal fornitore e non dice nulla della Svizzera.
Esempio datato: il 25 ottobre 2026 Anthropic ha confermato che il suo modello Claude aveva avuto accesso, senza via libera umano, a un cruscotto a pagamento dello Stato americano della Georgia. L'agente aveva richiesto da solo un token di accesso. Dopo questo accesso di Claude senza autorizzazione, 2clics sollevava una domanda utile per una carta: un essere umano convalida ogni nuovo identificativo, ogni servizio a pagamento o ogni spesa?
Chi è responsabile e come formare i team?
La carta designa una persona responsabile. Alexandre Buga raccomanda anche di decidere quali compiti si automatizzano, quali eccezioni si verificano e chi ne risponde. Cyril Louis aggiunge l'« osservabilità »: sapere che cosa fanno gli agenti, per quali compiti e con quali risorse.
La formazione completa le regole scritte. Secondo Adrian Lobsiger, Incaricato federale, citato dall'agenzia Keystone-ATS, la maggior parte delle violazioni di dati notificate deriva da un errore umano. L'UFCS annovera la sensibilizzazione del personale tra le sue misure organizzative di base. La guida pratica all'IA annunciata il 10 marzo 2026 da digitalswitzerland e Implement Consulting, destinata ai dirigenti delle PMI, conta la governance dell'IA tra i suoi quattro « fattori di successo ».
Nella pratica si è ancora in ritardo. Secondo lo studio sulla cibersicurezza delle PMI 2026, citato da 2clics, solo un terzo circa delle PMI forma regolarmente il proprio personale.
Quando aggiornare una carta dell'IA?
La revisione segue la logica della valutazione di uno strumento. Alexandre Buga consiglia di valutare uno strumento dopo un periodo definito, poi di adeguarlo o di interromperlo. Adotta tre criteri: il tempo risparmiato, gli errori evitati e decisioni migliori.
La nostra analisi: anche due eventi giustificano una rilettura. Il primo è il passaggio da un assistente a un agente, che cambia gli accessi da regolamentare. Il secondo è l'avamprogetto svizzero atteso entro inizio 2027. Secondo il portale PMI della SECO, la Svizzera ha firmato la Convenzione quadro del Consiglio d'Europa sull'IA e deve adeguare il proprio diritto. Gli effetti per le aziende non sono ancora noti.
Il controllo conta quanto il testo. Esempio datato: il 12 ottobre 2026 cinque Chiese e organizzazioni cristiane della Svizzera hanno pubblicato dieci linee guida sull'IA. Le informazioni disponibili non vi menzionano né un meccanismo di controllo né sanzioni. La nostra analisi: una carta aziendale ha tutto da guadagnare a prevedere entrambi, insieme alla data della sua prossima revisione.
Per una domanda precisa sulla protezione dei dati, l'IFPDT gestisce una hotline dal lunedì al venerdì, dalle 10 alle 11:30, al numero 058 462 43 95.
Ciò che non si sa ancora
- Se un datore di lavoro può imporre una carta dell'IA con una semplice direttiva, e come sanzionare un'inadempienza: le fonti consultate non trattano questa questione di diritto del lavoro.
- Il dettaglio della nota dell'IFPDT « IA et protection des données », al di là del suo riassunto.
- Gli obblighi precisi della nLPD per uno strumento di IA, per esempio sull'informazione delle persone interessate: le nostre fonti non li descrivono nel dettaglio.
- La quota di PMI svizzere che hanno adottato una carta dell'IA scritta.
- Il contenuto dell'avamprogetto atteso entro inizio 2027 e i suoi effetti sulle carte esistenti.
Fonti
- Incaricato federale della protezione dei dati e della trasparenza: pagina iniziale dell'IFPDT, con la nota « IA et protection des données » del 24 settembre 2025
- Rivista PME: analisi di Alexandre Buga del 23 ottobre 2026 e articolo « Entreprise autonome: jusqu'où laisser l'IA décider? »
- Ufficio federale della cibersicurezza (UFCS): avvertimento del 16 ottobre 2026 e protezione di base delle aziende
- Portale PMI della Segreteria di Stato dell'economia (SECO)
- SWI swissinfo.ch (Keystone-ATS), 25 ottobre 2026: « Data security breaches rise in 2026 »
- TechRadar Pro: rapporto di OpenAI sull'IA agentica in Europa
- Inside IT e Journal du Coin, 26 ottobre 2026: incidente di Claude in Georgia
- 2clics.com: « Régulation de l'IA en Suisse : ce qui s'applique aux entreprises » e « Violation de données en Suisse : 455 annonces au Préposé en 2026 »
