La legge federale sulla protezione dei dati (LPD), in vigore dal 1° settembre 2023, disciplina la decisione individuale automatizzata al suo articolo 21. Un'impresa o un servizio federale che lascia decidere da solo un algoritmo su una pratica deve informarne la persona interessata. Questa può allora esprimere il proprio parere ed esigere che la decisione sia riesaminata da un essere umano.
Questa pagina tratta solo questa questione: i diritti di una persona di fronte a una decisione presa da un sistema automatizzato. Il quadro generale, IA compresa, figura nella nostra pagina sulla regolamentazione dell'IA in Svizzera.
Cifre chiave
- 1° settembre 2023: entrata in vigore della LPD riveduta, secondo la piattaforma di pubblicazione del diritto federale Fedlex.
- 30 giorni: termine entro il quale, di norma, un'impresa risponde a una richiesta d'accesso (art. 25 LPD).
- 10 anni: età massima dei dati che un'impresa può utilizzare per valutare la solvibilità di un cliente (art. 31 LPD).
- Meno di un'impresa su cinque fa convalidare da una persona tutti i suoi contenuti di IA generativa, secondo lo swissVR Monitor.
- Inizio 2027: scadenza per un avamprogetto di regolamentazione dell'IA, secondo il portale PMI della Segreteria di Stato dell'economia (SECO).
Che cos'è una decisione individuale automatizzata secondo la LPD?
La legge pone tre condizioni cumulative. Occorre anzitutto una decisione che riguardi una persona. Questa decisione deve poi essere basata «esclusivamente su un trattamento automatizzato di dati personali». Deve infine avere per la persona «effetti giuridici» o «conseguenze significative».
La parola «esclusivamente» fissa il confine. La nostra analisi: una decisione presa da una persona con l'aiuto di un punteggio calcolato da un software non soddisfa questa condizione alla lettera.
La decisione automatizzata si distingue dalla profilazione, che la LPD definisce come un trattamento automatizzato che valuta una persona: rendimento sul lavoro, situazione economica, salute, affidabilità. La profilazione valuta; la decisione automatizzata decide. Una profilazione a rischio elevato effettuata da un'impresa privata richiede inoltre un consenso esplicito (art. 6).
Chi deve rispettare queste regole?
La LPD riguarda i dati di persone fisiche, trattati da privati o da organi federali. L'obbligo incombe al titolare del trattamento, cioè a chi stabilisce le finalità e i mezzi del trattamento.
Il luogo del trattamento conta poco. Secondo il suo articolo 3, la LPD si applica alle situazioni che producono effetti in Svizzera, anche se originate all'estero. La nostra analisi: un algoritmo gestito fuori dalla Svizzera può quindi rientrare nell'articolo 21.
Quando deve l'impresa informare la persona interessata?
L'informazione è dovuta per ogni decisione individuale automatizzata, senza attendere una richiesta della persona. Si aggiunge al dovere generale d'informare al momento della raccolta dei dati (art. 19).
Il diritto d'accesso completa questo dovere. Secondo l'articolo 25, una persona può chiedere se vengono trattati dati che la concernono. La risposta deve indicare, se del caso, l'esistenza di una decisione individuale automatizzata «e la logica su cui si fonda la decisione».
La risposta è gratuita, salvo eccezioni previste dal Consiglio federale, e arriva di norma entro 30 giorni. Nessuno può rinunciare anticipatamente a questo diritto.
Come esprimere il proprio parere e ottenere un riesame umano?
La persona interessata deve farne richiesta. L'articolo 21 prevede allora due diritti distinti. Il titolare del trattamento le dà anzitutto la possibilità di esprimere il proprio parere. Essa può poi esigere che la decisione sia riesaminata da una persona fisica.
La nostra analisi: la legge non vieta l'algoritmo, apre una via di ricorso umana a chi la reclama. L'articolo 21 non fissa né un termine né una forma per questa richiesta.
In quali casi questi diritti non si applicano?
L'articolo 21 prevede due eccezioni, che escludono sia il dovere d'informare sia i diritti di ricorso:
- La decisione è in relazione diretta con la conclusione o l'esecuzione di un contratto tra l'impresa e la persona, e la richiesta di quest'ultima è soddisfatta.
- La persona ha espressamente acconsentito a che la decisione sia presa in modo automatizzato.
La nostra analisi: alla lettera, la prima eccezione copre il cliente che ottiene ciò che ha chiesto, per esempio un ordine accettato. Un rifiuto pronunciato dal sistema non soddisfa la condizione di una richiesta «soddisfatta».
Che cosa cambia la legge quando la decisione viene da un organo federale?
Un organo federale deve qualificare la sua decisione come decisione individuale automatizzata. Il diritto di esprimere il proprio parere e di ottenere un riesame conosce un limite: non si applica quando la persona non deve essere sentita prima della decisione.
Questo limite rinvia all'articolo 30 capoverso 2 della legge federale sulla procedura amministrativa (PA), o a un'altra legge federale. L'organizzazione dell'IA nei servizi della Confederazione è descritta nella nostra pagina sull'IA nell'amministrazione federale.
Esempio: una domanda di credito trattata da un algoritmo
La valutazione della solvibilità illustra come le regole si combinano. Secondo l'articolo 31, un'impresa può invocarla come interesse preponderante a più condizioni: né dati degni di particolare protezione né profilazione a rischio elevato, dati risalenti al massimo a dieci anni, una persona maggiorenne.
La nostra analisi: questa regola riguarda i dati, non il modo di decidere. Se un software decide da solo, si aggiunge l'articolo 21. Un credito concesso può rientrare nell'eccezione contrattuale; un rifiuto automatico apre in linea di principio il diritto al riesame umano, salvo consenso esplicito del cliente.
Le banche e le assicurazioni seguono anche l'Autorità federale di vigilanza sui mercati finanziari (FINMA). La sua comunicazione 08/2024 del 18 dicembre 2024 riguarda la governance dell'IA, senza effetti giuridici voluti, come illustra nel dettaglio la nostra pagina FINMA e intelligenza artificiale.
Che cosa può fare l'Incaricato federale di fronte a una decisione automatizzata?
L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), autorità indipendente, vigila sull'applicazione della LPD. Nella sua nota del 24 settembre 2025 ricorda che questo diritto si applica direttamente ai trattamenti che ricorrono all'IA.
I suoi poteri riguardano anche l'articolo 21. Secondo l'articolo 49, l'IFPDT apre un'inchiesta d'ufficio o su denuncia, se vi sono indizi sufficienti di violazione. L'articolo 51 gli consente di ordinare a un'impresa o a un organo federale di informare le persone interessate conformemente agli articoli 19 e 21.
L'autore di una denuncia è informato sul seguito e sul risultato di un'eventuale inchiesta. Per una domanda, la hotline dell'IFPDT risponde dal lunedì al venerdì, dalle 10 alle 11:30, al numero 058 462 43 95.
Che cosa cambia la decisione automatizzata per una PMI in Svizzera
Una piccola o media impresa (PMI) che affida decisioni a un software deve anzitutto individuarle. I suoi obblighi derivanti dalla LPD:
| Situazione | Obbligo | Base nella LPD |
|---|---|---|
| Un sistema decide da solo, con un effetto notevole su una persona | Informare la persona della decisione | Art. 21 cpv. 1 |
| La persona contesta | Raccogliere il suo parere e far riesaminare la decisione da una persona fisica | Art. 21 cpv. 2 |
| La persona chiede l'accesso ai suoi dati | Indicare l'esistenza della decisione e la sua logica, di norma entro 30 giorni | Art. 25 |
| Il trattamento presenta un rischio elevato | Effettuare preventivamente una valutazione d'impatto | Art. 22 |
| Profilazione a rischio elevato da parte di un'impresa privata | Ottenere il consenso esplicito | Art. 6 cpv. 7 |
Alcune imprese tracciano da sé un limite. Secondo Alexander Finger, direttore tecnico di SAP Svizzera, citato dalla rivista PME, SAP ha escluso i sistemi che prendono decisioni riguardanti persone.
Il controllo umano resta disomogeneo: meno di un'impresa su cinque fa convalidare tutti i suoi contenuti di IA generativa, secondo lo swissVR Monitor. La nostra analisi: per una decisione che riguarda un cliente o un dipendente, l'articolo 21 rende questo controllo esigibile su richiesta.
Il quadro può ancora evolvere?
È aperto un cantiere, senza un testo noto. La Svizzera ha firmato la convenzione sull'IA del Consiglio d'Europa, aperta alla firma il 5 settembre 2024. Questo trattato obbliga gli Stati a fornire informazioni sufficienti per contestare una decisione presa per mezzo di un'IA.
Secondo il portale PMI della SECO, la Svizzera si è impegnata ad adeguare il proprio diritto, e un avamprogetto deve essere elaborato entro l'inizio del 2027. Il suo contenuto e i suoi effetti sull'articolo 21 non sono noti. Gli altri testi del quadro legale dell'IA sono riuniti nella nostra rubrica.
Che cosa non si sa ancora
- Il grado d'intervento umano che basta perché una decisione non sia più presa «esclusivamente» da un sistema: il testo della legge non lo precisa.
- La prassi dell'IFPDT sull'articolo 21: le fonti consultate non citano alcuna inchiesta riguardante una decisione automatizzata.
- Le eventuali sanzioni penali: la parte consultata del testo della LPD si ferma ai compiti dell'IFPDT.
- L'effetto del futuro avamprogetto sull'IA sui diritti previsti dall'articolo 21.
Fonti
- Confederazione Svizzera, Fedlex: Legge federale sulla protezione dei dati (LPD), RS 235.1, stato al 7 luglio 2025
- Incaricato federale della protezione dei dati e della trasparenza: pagina iniziale dell'IFPDT, con la nota «IA e protezione dei dati» del 24 settembre 2025
- 2clics.com, « IA pour PME : usages concrets et premiers pas en Suisse », secondo la rivista PME e il portale PMI della SECO
