In Svizzera, il diritto della protezione dei dati si applica direttamente all'intelligenza artificiale (IA). L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) lo ha ricordato il 24 settembre 2025, in una nota intitolata «IA e protezione dei dati». Uno strumento di IA che tratta dati personali rientra quindi nella legge federale sulla protezione dei dati, spesso chiamata nLPD, e nella vigilanza dell'Incaricato.
Questa pagina tratta soltanto della protezione dei dati. La panoramica del quadro, con le prese di posizione politiche e gli impegni volontari, si trova nella nostra pagina sulla regolamentazione dell'IA in Svizzera. Secondo le fonti consultate, nel Paese non è in vigore alcuna legge generale sull'IA.
Cifre chiave
- 24 settembre 2025: nota dell'IFPDT «IA e protezione dei dati».
- 455 notifiche di violazione della sicurezza dei dati ricevute dall'IFPDT nel 2026, fino al 25 ottobre, contro 343 nell'intero anno 2025.
- Meno di un'impresa su cinque fa convalidare da una persona tutti i suoi contenuti di IA generativa, secondo lo swissVR Monitor.
- Il 76% delle persone interpellate dal DigitalBarometer 2026 antepone la protezione dei dati alla comodità.
- 5 settembre 2024: apertura alla firma della convenzione quadro del Consiglio d'Europa sull'IA, che la Svizzera ha firmato.
- Inizio 2027: scadenza di un avamprogetto di regolamentazione dell'IA, secondo il portale PMI della Segreteria di Stato dell'economia (SECO).
La protezione dei dati si applica all'IA in Svizzera?
Sì, senza attendere un testo specifico per l'IA. Nella sua nota del 24 settembre 2025, l'IFPDT constata che l'IA entra sempre di più nella vita quotidiana della popolazione. Ne conclude che il diritto svizzero della protezione dei dati è direttamente applicabile ai trattamenti di dati che ricorrono all'IA.
Il criterio non è dunque la tecnologia, ma il dato trattato. La nostra analisi: non appena un assistente conversazionale o un agente di IA manipola dati di clienti o di dipendenti, la nLPD si applica come a qualsiasi altro software. Il testo della legge si può consultare su Fedlex, la piattaforma di pubblicazione del diritto federale, che lo annovera tra i suoi testi scelti.
La regola vale anche per gli organi federali. L'IFPDT siede, con l'Ufficio federale della cibersicurezza (UFCS) e la Segreteria di Stato della politica di sicurezza (SEPOS), nel polo sicurezza della rete di competenze in IA della Cancelleria federale. Questo dispositivo è descritto nella nostra pagina sull'IA nell'amministrazione federale.
Per le banche e le assicurazioni, le questioni di dati personali competono anch'esse all'IFPDT, come spiega la nostra pagina FINMA e intelligenza artificiale.
Che cosa può fare l'IFPDT di fronte a un uso dell'IA?
L'IFPDT è un'autorità indipendente. Secondo il suo sito, vigila affinché gli organi federali e le imprese private non procedano a trattamenti illeciti di dati personali. Ogni anno consegna un rapporto d'attività all'Assemblea federale; l'ultima edizione vi è segnalata al 29 giugno 2026.
Il suo strumento più incisivo è l'inchiesta formale. La apre contro un'impresa quando vi sono indizi di una possibile violazione delle norme sulla protezione dei dati. Le fonti consultate non menzionano alcuna inchiesta riguardante uno strumento di IA.
Un esempio datato: il 23 ottobre 2026, l'Incaricato ha aperto un'inchiesta formale contro PK Softech, fornitore di software di diverse casse pensioni svizzere, dopo un ciberattacco. Secondo il suo comunicato del 24 ottobre 2026, ripreso da Keystone-ATS, intende accertare quali dati siano stati affidati al fornitore, il quadro giuridico di questi trasferimenti e la loro applicazione nella pratica.
La nostra analisi: questo caso non riguarda l'IA, ma ne mostra il metodo. L'Incaricato risale l'intera catena di trattamento, dal cliente fino al suo fornitore. Un'impresa che affida dati a un servizio di IA si espone alle stesse domande.
Adrian Lobsiger, l'Incaricato federale, segue anche le notifiche di violazione dei dati, secondo un'intervista ripresa da Keystone-ATS il 25 ottobre 2026. Definisce «reale» la minaccia legata all'IA, senza collocarla al primo posto. Nella grande maggioranza dei casi notificati, il punto debole è un errore umano. Il suo ufficio rileva inoltre che l'interconnessione dei dati e la soppressione dei silos aumentano il rischio di violazione.
Da notare: la «trasparenza» nel titolo dell'Incaricato rimanda all'accesso ai documenti ufficiali, secondo la legge sulla trasparenza (LTras), non agli algoritmi.
Quali requisiti di trasparenza per un'IA?
Il riassunto pubblico della nota dell'IFPDT non dettaglia gli obblighi d'informazione propri dell'IA. I riferimenti più precisi provengono da un trattato, la convenzione sull'IA del Consiglio d'Europa, aperta alla firma il 5 settembre 2024 e firmata dalla Svizzera.
Questo testo chiede in particolare agli Stati:
- di informare le persone che interagiscono con un'IA, e non con un essere umano;
- di documentare i sistemi di IA e il loro uso, e di rendere queste informazioni accessibili alle persone interessate;
- di fornire informazioni sufficienti per contestare una decisione presa per mezzo di un'IA;
Questi obblighi riguardano gli Stati, non direttamente le imprese. Secondo il portale PMI della SECO, la Svizzera si è impegnata ad adeguare di conseguenza il proprio diritto, con un avamprogetto atteso entro l'inizio del 2027. Il piano d'azione Svizzera digitale affida il progetto legislativo di attuazione all'Ufficio federale di giustizia (UFG). Finché questo testo non sarà noto, tali requisiti restano punti di riferimento, non regole applicabili alle imprese.
Si possono affidare dati a un'IA ospitata fuori dalla Svizzera?
Le fonti consultate non dettagliano le condizioni legali di un trasferimento di dati personali all'estero. Mostrano invece perché la questione si pone con l'IA. Secondo Cyril Louis, direttore generale di Mavericx, società di consulenza informatica di Ginevra e di Zurigo, gli agenti di IA possono dipendere da diversi modelli linguistici e servizi esterni. Non tutti sono gestiti in Svizzera, ha spiegato alla rivista PME.
Alexandre Buga, citato dalla stessa rivista, ricorda che una PMI deve rispettare la legislazione svizzera sulla protezione dei dati, anche nella scelta dello strumento. Prima di trasmettere dati di clienti, di fornitori o di dipendenti, deve sapere:
- dove vengono trattati questi dati;
- per quali scopi possono essere riutilizzati;
- chi vi può accedere.
Il rischio è concreto. Il 16 ottobre 2026, l'UFCS ricordava che inserire senza precauzioni informazioni confidenziali in un'IA può esporre questi dati. Il sito specializzato TechRadar Pro descriveva, il 28 ottobre 2026, il meccanismo: senza un contratto aziendale, i dati immessi in un assistente di IA possono essere trasmessi al fornitore e conservati. A seconda delle condizioni applicabili, possono persino servire ad addestrare i modelli.
Alcuni fornitori svizzeri rispondono a questa preoccupazione. Elca, gruppo informatico svizzero, propone una piattaforma di IA sovrana in cui dati e modelli restano sotto il controllo del cliente.
Che cosa cambia per una PMI in Svizzera?
Per una piccola o media impresa (PMI), la nLPD è la prima regola da rispettare con l'IA. Le raccomandazioni dell'Incaricato e degli esperti citati si traducono in gesti semplici:
- trasmettere a uno strumento di IA soltanto i dati strettamente necessari, come chiede l'IFPDT;
- lavorare di preferenza con dati di test anonimizzati, altra raccomandazione dell'Incaricato;
- scegliere uno strumento professionale e fissare regole interne sui dati autorizzati, secondo Alexandre Buga;
- verificare il luogo di trattamento, i possibili riutilizzi e gli accessi prima di qualsiasi invio;
- far convalidare da una persona i contenuti prodotti dall'IA, una pratica ancora rara secondo lo swissVR Monitor.
Per una domanda, la hotline dell'IFPDT risponde dal lunedì al venerdì, dalle 10 alle 11:30, al numero 058 462 43 95. Altri testi sul quadro legale dell'IA sono riuniti nella nostra rubrica.
Ciò che non si sa ancora
- Il contenuto dettagliato della nota dell'IFPDT del 24 settembre 2025, al di là del suo riassunto pubblico.
- Le condizioni legali di un trasferimento di dati verso un fornitore di IA stabilito all'estero: le fonti consultate non le dettagliano.
- Gli obblighi d'informazione che la nLPD impone precisamente a una decisione presa da un'IA.
- I criteri e il termine esatti di notifica di una violazione dei dati secondo la nLPD.
- Il contenuto dell'avamprogetto atteso entro l'inizio del 2027, e la modalità scelta dalla Svizzera per applicare la convenzione al settore privato.
Fonti
- Incaricato federale della protezione dei dati e della trasparenza, pagina iniziale dell'IFPDT, compreso il riassunto della nota «IA e protezione dei dati» del 24 settembre 2025
- Fedlex, raccolta del diritto federale, legge federale sulla protezione dei dati
- SWI swissinfo.ch (Keystone-ATS), 24 e 25 ottobre 2026, sull'inchiesta PK Softech e le notifiche di violazione dei dati, ripreso da 2clics.com
- Rivista PME, «Entreprise autonome: jusqu'où laisser l'IA décider?», e swissVR Monitor, ripresi da 2clics.com il 28 ottobre 2026
- Consiglio d'Europa, Convenzione quadro sull'intelligenza artificiale; portale PMI della SECO; piano d'azione Svizzera digitale; Cancelleria federale, ripresi da 2clics.com
- FINMA, comunicazione sulla vigilanza 08/2024, ripresa da 2clics.com
- TechRadar Pro (Francia), 28 ottobre 2026, secondo Cybernews; UFCS, avvertimento del 16 ottobre 2026; DigitalBarometer 2026, ripresi da 2clics.com
