Non appena una PMI vi inserisce dati personali, l'uso di ChatGPT in azienda rientra in Svizzera nella legge sulla protezione dei dati (nLPD). L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) lo ha ricordato il 24 settembre 2025: questo diritto si applica direttamente ai trattamenti di dati che ricorrono all'intelligenza artificiale (IA). Per una PMI, il rischio dipende quindi meno dallo strumento di OpenAI che dalle informazioni che i dipendenti vi incollano e dalle decisioni che gli si lasciano.
Questa pagina tratta un solo strumento e le regole per il suo uso. La panoramica degli usi, dei costi e dei primi progetti si trova nella nostra guida IA per le PMI, all'interno del dossier IA in azienda.
Cifre chiave
- 24 settembre 2025: l'IFPDT ricorda che il diritto svizzero in materia di protezione dei dati si applica direttamente all'IA.
- 16 ottobre 2026: l'Ufficio federale della cibersicurezza (UFCS) mette in guardia dall'inserire senza precauzioni informazioni confidenziali in un'IA.
- Meno di un'impresa su cinque fa convalidare da una persona tutti i contenuti di IA generativa, secondo lo swissVR Monitor.
- 455 notifiche di violazione della sicurezza dei dati ricevute dall'IFPDT nel 2026, fino al 25 ottobre, contro 343 in tutto il 2025.
- Utenti settimanali di Codex e di ChatGPT Work nelle PMI europee moltiplicati per più di otto in meno di sei mesi, secondo OpenAI.
- Il 76% delle persone interpellate dal DigitalBarometer 2026 antepone la protezione dei dati alla comodità.
A che cosa serve ChatGPT in una PMI?
ChatGPT serve anzitutto da assistente. Gli si chiede di scrivere un testo, di riassumere informazioni o di preparare un'analisi, osserva il sito specializzato Inside IT il 26 ottobre 2026. In una PMI, ciò comprende per esempio un'offerta commerciale o un rapporto da redigere.
Lo strumento sta però cambiando natura. OpenAI, la società che sviluppa ChatGPT, ha integrato ChatGPT Work, uno strumento agentico, nella sua «superapp». Un agente non si limita più a rispondere: analizza una situazione, cerca le informazioni utili, poi esegue una serie di azioni.
Secondo un rapporto di OpenAI citato da TechRadar Pro, gli utenti attivi settimanali di Codex e di ChatGPT Work nelle PMI europee sarebbero stati moltiplicati per più di otto in meno di sei mesi. Questa cifra proviene dal fornitore e riguarda soltanto i suoi prodotti. Non dice nulla sulla Svizzera, come rilevavamo a proposito del rapporto di OpenAI sulle PMI europee.
La nostra analisi: la distinzione conta per le regole interne. Un assistente produce un testo che il dipendente rilegge. Un agente agisce, e un suo errore può allora impegnare l'azienda.
Quale versione di ChatGPT scegliere, e che fine fanno i dati?
Le fonti consultate per questa pagina non descrivono nel dettaglio le condizioni di ciascuna offerta di ChatGPT. Il rapporto di OpenAI menziona clienti «Enterprise» e «Business», senza descrivere la sorte dei loro dati. Qui non confrontiamo quindi le versioni gratuite e quelle a pagamento.
Il metodo per scegliere, invece, è noto. Secondo Alexandre Buga, nella rivista PME del 23 ottobre 2026, una PMI deve rispettare la legislazione svizzera sulla protezione dei dati fin dalla scelta dello strumento. Prima di trasmettere dati di clienti, di fornitori o di dipendenti, deve sapere:
- dove questi dati vengono trattati;
- per quali scopi possono essere riutilizzati;
- chi vi può accedere.
Raccomanda strumenti professionali adeguati, accompagnati da regole semplici sui dati autorizzati.
Con gli agenti, il luogo del trattamento diventa più incerto. Secondo Cyril Louis, direttore generale di Mavericx, società di consulenza informatica con sede a Ginevra e a Zurigo, questi sistemi possono dipendere da diversi modelli linguistici e servizi esterni. Non tutti sono gestiti in Svizzera. Alcuni fornitori svizzeri rispondono a questa domanda: Elca propone una piattaforma di IA sovrana, in cui dati e modelli restano sotto il controllo del cliente.
Che cosa dice la nLPD quando si usa ChatGPT sul lavoro?
Le fonti consultate non menzionano alcuna regola svizzera specifica per ChatGPT. Il quadro applicabile è la legge sulla protezione dei dati. L'IFPDT, autorità indipendente, vigila affinché gli organi federali e le imprese private non trattino dati personali in modo illecito, secondo la presentazione del suo sito.
La sua nota «IA e protezione dei dati», datata 24 settembre 2025, parte da una constatazione: l'IA entra sempre più nella quotidianità della popolazione. L'Incaricato ne conclude che il diritto svizzero in materia di protezione dei dati è direttamente applicabile ai trattamenti che vi ricorrono.
Una regolamentazione specifica per l'IA è ancora in preparazione. Secondo il Portale PMI della Segreteria di Stato dell'economia (SECO), la Svizzera ha firmato la Convenzione quadro del Consiglio d'Europa sull'IA e deve adeguare il proprio diritto. Un avamprogetto deve essere elaborato entro inizio 2027. I suoi effetti per le PMI non sono ancora noti.
Per una domanda precisa, l'IFPDT gestisce una hotline dal lunedì al venerdì, dalle 10 alle 11:30, al numero 058 462 43 95.
Quali dati non bisogna inserire in ChatGPT?
Le informazioni confidenziali vengono al primo posto. Il 16 ottobre 2026, l'UFCS ha ricordato che inserire senza precauzioni informazioni personali, confidenziali o commerciali in un'IA può portare a una condivisione eccessiva di dati.
L'IFPDT indica due regole generali, valide anche per uno strumento di IA: trasmettere soltanto i dati strettamente necessari e lavorare preferibilmente con dati di test anonimizzati.
| Tipo di informazione | Regola tratta dalle fonti | Origine |
|---|---|---|
| Dati di clienti, di fornitori o di dipendenti | Sapere dove vengono trattati, per quali scopi e chi vi accede prima di trasmetterli | Alexandre Buga, rivista PME |
| Informazioni personali, confidenziali o commerciali | Non inserirle senza precauzioni in un'IA | UFCS, 16 ottobre 2026 |
| Dati utili a un compito | Limitarsi allo stretto necessario, usare preferibilmente dati anonimizzati | IFPDT |
Quali decisioni non affidare a ChatGPT?
Le decisioni che impegnano l'azienda o una persona restano umane. Alexander Finger, direttore tecnico di SAP Svizzera, cita nella rivista PME un chatbot che aveva concesso sconti su alcune automobili, poi vendute a prezzo ridotto. Secondo lui, l'IA non deve nemmeno servire a giudicare i collaboratori.
La finanza segue la stessa logica. Nell'analisi sul direttore finanziario visto da Deloitte, l'approvazione finale di un pagamento resta soggetta ai controlli abituali. Lo strumento prepara, la direzione decide.
L'errore umano resta la prima falla. Adrian Lobsiger, Incaricato federale della protezione dei dati, ha ricevuto 455 notifiche di violazione della sicurezza dei dati nel 2026, fino al 25 ottobre. Secondo lui, il punto debole è raramente la tecnologia: si tratta, nella grande maggioranza dei casi, di un errore umano. Giudica «reale» la minaccia legata all'IA, senza collocarla al primo posto tra le cause.
Come inquadrare l'uso di ChatGPT da parte dei dipendenti?
Una direttiva scritta è un inizio, non una garanzia. Secondo lo swissVR Monitor citato da Alexandre Buga, numerose imprese dichiarano di avere un quadro di governance per l'IA generativa. Ma meno di una su cinque fa convalidare tutti i contenuti da una persona.
Le carte interne agiscono sulle pratiche, non sulla legge. Numerose organizzazioni ne adottano, ma questi testi non stabiliscono obblighi generali: questi spettano al legislatore.
La nostra analisi: incrociando le raccomandazioni dell'IFPDT, dell'UFCS e di Alexandre Buga, una regola d'uso di ChatGPT in azienda può coprire sei punti.
- Lo strumento autorizzato, scelto tra offerte professionali di cui si sa dove trattano i dati.
- Le informazioni escluse: dati personali, confidenziali o commerciali inseriti senza precauzioni.
- Il principio dello stretto necessario e, se possibile, dei dati anonimizzati.
- La convalida umana dei contenuti inviati o pubblicati.
- Le decisioni riservate a una persona: prezzi, sconti, pagamenti, valutazione dei collaboratori.
- Una persona responsabile, e una valutazione dello strumento dopo un periodo definito, prima di adattarlo o di interromperlo.
La formazione completa queste regole. L'UFCS annovera la sensibilizzazione del personale tra le sue misure organizzative di base. Anche la guida pratica all'IA annunciata il 10 marzo 2026 da digitalswitzerland e Implement Consulting, destinata ai dirigenti di PMI, conta la governance dell'IA tra i suoi quattro «fattori di successo».
Quali limiti tenere presenti?
Il guadagno finanziario non è automatico. Secondo Alexandre Buga, investire nell'IA non fa necessariamente rima con risparmi, e il ritorno non è immediato.
Conta infine la fiducia dei clienti. Secondo il DigitalBarometer 2026, il 76% delle persone interpellate antepone la protezione dei dati alla comodità.
Ciò che non si sa ancora
- Le condizioni di trattamento dei dati proprie a ciascuna offerta di ChatGPT: le fonti consultate non le descrivono nel dettaglio.
- La quota di PMI svizzere che usano ChatGPT, e quella che ha fissato regole scritte per il suo uso.
- Il contenuto dell'avamprogetto atteso entro inizio 2027 e i suoi eventuali obblighi per le imprese.
- Il dettaglio della nota dell'IFPDT «IA e protezione dei dati», al di là della sua sintesi.
Fonti
- Incaricato federale della protezione dei dati e della trasparenza: pagina iniziale dell'IFPDT, con la nota «IA e protezione dei dati» del 24 settembre 2025
- Rivista PME: analisi di Alexandre Buga del 23 ottobre 2026 e articolo «Entreprise autonome: jusqu'où laisser l'IA décider?»
- Inside IT, 26 ottobre 2026: «Bei Enterprise-KI entscheidet nicht Modell, sondern Kontext»
- Ufficio federale della cibersicurezza (UFCS): avvertimento del 16 ottobre 2026 e protezione di base delle imprese
- TechRadar Pro: rapporto di OpenAI sull'IA agentica in Europa
- Portale PMI della Segreteria di Stato dell'economia (SECO)
- SWI swissinfo.ch (Keystone-ATS), 25 ottobre 2026: «Data security breaches rise in 2026»
- digitalswitzerland: DigitalBarometer 2026
