Il divario svizzero nella governance dell’IA: perché attendere il 2027 potrebbe costarvi il mercato UE

Se la vostra impresa ha sede in Svizzera e il vostro prodotto basato sull’IA serve anche un solo cliente nell’Unione Europea – uno strumento SaaS che seleziona candidati a Monaco di Baviera, un’API che valuta il rischio creditizio a Milano, un chatbot che smista richieste assicurative a Parigi – allora il Regolamento UE sull’IA si applica già a voi. Non nel 2027. Non quando la Svizzera adotterà una propria legge. Adesso.

Questa è la realtà che molte imprese svizzere non hanno ancora interiorizzato. Mentre il dibattito politico interno procede con passo misurato – la decisione del Consiglio federale del febbraio 2025 ha tracciato una «via di mezzo» che non produrrà un avamprogetto per la consultazione prima della fine del 2026 – la macchina normativa dell’UE è già operativa. E la sua portata è esplicitamente extraterritoriale.

Il risultato è un divario normativo che si allarga di mese in mese. Le imprese svizzere che aspetteranno la legislazione nazionale per sapere cosa fare si troveranno escluse dal loro principale mercato di esportazione, esposte a sanzioni che possono raggiungere 35 milioni di euro o il 7 % del fatturato annuo globale, a seconda di quale importo sia superiore. Le imprese che agiscono ora trasformeranno la conformità in un vantaggio competitivo.

Questo articolo analizza il divario, illustra le scadenze e delinea ciò che le organizzazioni svizzere devono fare – a partire da oggi.

Il Regolamento UE sull’IA: cosa è già in vigore e cosa arriverà

Il Regolamento UE sull’IA è entrato in vigore il 1° agosto 2024. Ma non si applica tutto in una volta. Il calendario di attuazione graduale è concepito per dare alle organizzazioni il tempo di adeguarsi – ma questa gradualità implica anche che alcuni obblighi sono già operativi e altri si avvicinano rapidamente.

Ecco le scadenze che contano:

2 febbraio 2025 – Sono entrati in vigore i Capi I e II. Questo comprende le definizioni fondamentali, il divieto delle pratiche di IA a rischio inaccettabile (punteggio sociale, sorveglianza biometrica in tempo reale negli spazi pubblici con limitate eccezioni, tecniche di manipolazione) e l’obbligo di alfabetizzazione in materia di IA. Se la vostra organizzazione utilizza sistemi di IA, siete già tenuti a garantire che il personale che interagisce con tali sistemi possieda un’adeguata alfabetizzazione in materia di IA. Non si tratta di un requisito futuro. È diritto vigente.

2 agosto 2025 – Sono divenute applicabili le disposizioni sui modelli di IA per finalità generali (GPAI), le strutture di governance, le norme sulla riservatezza e il quadro sanzionatorio. Se fornite o integrate modelli di fondazione, i requisiti di trasparenza e documentazione previsti dagli articoli 52–55 sono ora esecutivi. L’Ufficio europeo per l’IA è operativo e dotato di poteri d’indagine.

2 agosto 2026 – Questa è la data cruciale. Entra in vigore l’applicazione generale del Regolamento, compresi tutti i requisiti per i sistemi di IA ad alto rischio: sistemi di gestione del rischio, governance dei dati, documentazione tecnica, tenuta dei registri, obblighi di trasparenza, disposizioni sulla sorveglianza umana e standard di accuratezza e robustezza. Le categorie ad alto rischio definite nell’Allegato III – biometria, infrastrutture critiche, istruzione e formazione professionale, occupazione e risorse umane, accesso a servizi essenziali come la valutazione del merito creditizio e la tariffazione assicurativa, attività di contrasto, gestione della migrazione e amministrazione della giustizia – rientrano tutte nella piena portata normativa.

2 agosto 2027 – Le disposizioni sulla sicurezza dei prodotti per i sistemi di IA incorporati in prodotti regolamentati (dispositivi medici, macchinari, veicoli, giocattoli, apparecchiature aeronautiche) entrano pienamente in vigore.

L’elemento chiave: se il vostro sistema di IA rientra in una categoria ad alto rischio ai sensi dell’Allegato III – e molti casi d’uso aziendali comuni vi rientrano – avete tempo fino ad agosto 2026 per essere conformi. Mancano diciassette mesi. Per l’IA incorporata nei prodotti, la scadenza è agosto 2027. Nessuna delle due tempistiche lascia margine per un approccio attendista.

Extraterritorialità: perché «noi siamo svizzeri» non è uno scudo

L’articolo 2 del Regolamento UE sull’IA non potrebbe essere più chiaro. Il Regolamento si applica ai fornitori e agli operatori di sistemi di IA «indipendentemente dal fatto che siano stabiliti nell’Unione o in un paese terzo», a condizione che il risultato del sistema di IA sia «usato nell’Unione».

Rifletteteci. Il fattore determinante non è dove vi trovate. Non è dove sono i vostri server. È dove il risultato della vostra IA produce i suoi effetti. Se l’algoritmo di valutazione creditizia di una fintech svizzera valuta un richiedente a Francoforte, il Regolamento si applica. Se lo strumento di screening di un’azienda svizzera di HR tech filtra curricula per un cliente ad Amsterdam, il Regolamento si applica. Se il modello tariffario di un assicuratore svizzero è utilizzato per assicurati a Roma, il Regolamento si applica.

Questa portata extraterritoriale ricalca l’approccio che l’UE ha inaugurato con il RGPD – e le imprese svizzere sanno per esperienza diretta quanto quell’applicazione possa essere concreta. Ma il Regolamento sull’IA va oltre per due aspetti importanti. In primo luogo, le sanzioni sono nettamente più elevate: fino a 35 milioni di euro o il 7 % del fatturato globale per le pratiche vietate, 15 milioni o il 3 % per le violazioni sostanziali relative ai sistemi ad alto rischio, e 7,5 milioni o l’1 % per la fornitura di informazioni false alle autorità. In secondo luogo, gli obblighi sono basati sul ruolo e specifici per il sistema, non limitati al trattamento dei dati. Dovete classificare i vostri sistemi di IA, implementare quadri di gestione del rischio, mantenere la documentazione tecnica, garantire la sorveglianza umana e istituire strutture di governance – indipendentemente da dove si trovi la vostra sede.

Il vuoto normativo svizzero

Nel frattempo, la Svizzera non dispone di alcuna legislazione orizzontale sull’IA. Nessuna. A marzo 2026, il panorama normativo svizzero in materia di IA è un mosaico di regole settoriali esistenti – la protezione dei dati ai sensi della LPD/OPDa, le regolamentazioni settoriali in ambito finanziario (FINMA), sanitario e in altri settori – ma nessun quadro organico di governance dell’IA.

La decisione del Consiglio federale del 12 febbraio 2025 ha definito la direzione: la Svizzera perseguirà una «via di mezzo». Adotterà la Convenzione quadro del Consiglio d’Europa sull’IA (il primo trattato internazionale sull’IA), apporterà adeguamenti settoriali mirati e svilupperà norme orizzontali limitate incentrate sui diritti fondamentali. Il DFGP (Dipartimento federale di giustizia e polizia) è stato incaricato di elaborare un avamprogetto per la consultazione entro la fine del 2026. Il DATEC (Dipartimento federale dell’ambiente, dei trasporti, dell’energia e delle comunicazioni) lavora parallelamente a misure non legislative.

Anche nello scenario più ottimistico, ciò significa che la legislazione svizzera sull’IA non entrerà in vigore prima del 2028 come minimo – probabilmente più tardi, considerati i tempi delle procedure di consultazione federale e dell’iter parlamentare. A quel punto il Regolamento UE sull’IA sarà pienamente operativo da oltre un anno.

Ciò crea un problema strutturale. Le imprese svizzere non possono fare affidamento sul diritto interno per orientare la propria postura di governance dell’IA. Le regole che contano per l’accesso al mercato vengono scritte a Bruxelles, non a Berna. Aspettare Berna significa restare indietro rispetto a Bruxelles.

Il triplice livello di conformità

La vera complessità per le imprese svizzere non risiede in un singolo regolamento – bensì nell’intersezione di tre quadri normativi sovrapposti che devono essere gestiti simultaneamente.

Livello 1: LPD/OPDa (Legge federale sulla protezione dei dati e relativa Ordinanza) – Disciplina la raccolta, il trattamento e il trasferimento dei dati personali in Svizzera e verso paesi terzi. Rivista e rafforzata nel settembre 2023, con applicazione da parte dell’IFPDT (Incaricato federale della protezione dei dati e della trasparenza).

Livello 2: RGPD (Regolamento generale sulla protezione dei dati dell’UE) – Si applica alle imprese svizzere che trattano dati personali di persone fisiche nell’UE. La maggior parte delle imprese svizzere con clienti nell’UE vi è già soggetta.

Livello 3: Regolamento UE sull’IA – Impone obblighi basati sul ruolo e specifici per il sistema, che si aggiungono alla protezione dei dati. Non si tratta solo di dati. Si tratta del sistema di IA in sé – della sua classificazione del rischio, della sua documentazione, della sua governance, dei suoi meccanismi di sorveglianza.

Gestire questo triplice livello manualmente – con fogli di calcolo, policy ad hoc e documentazione sparsa – non è sostenibile. Le organizzazioni che avranno successo saranno quelle che costruiranno un’infrastruttura di governance integrata, in cui la conformità a tutti e tre i quadri normativi è incorporata nel ciclo di vita dell’IA, dallo sviluppo al deployment fino al monitoraggio continuo.

Cosa devono fare ora le imprese svizzere

Il divario normativo è reale, ma è colmabile. Ecco la roadmap operativa.

1. Mappatura dell’inventario IA. Non si può governare ciò che non si vede. Il primo passo è un inventario completo di ogni sistema di IA che la vostra organizzazione sviluppa, utilizza o acquisisce. Per ciascun sistema, mappate il caso d’uso, i dati in ingresso, le decisioni in uscita e le giurisdizioni in cui tali risultati producono effetti. Questo inventario è la base di tutto ciò che segue.

2. Classificazione del rischio. Alla luce delle categorie dell’Allegato III e del quadro di rischio più ampio del Regolamento, classificate ciascun sistema di IA. È vietato? A rischio inaccettabile? Ad alto rischio? A rischio limitato? A rischio minimo? La classificazione determina i vostri obblighi. I sistemi ad alto rischio nell’ambito delle risorse umane, della valutazione creditizia, della tariffazione assicurativa e di settori analoghi sono soggetti all’intero peso dei requisiti del Regolamento.

3. Programmi di alfabetizzazione in materia di IA. Questo obbligo è già in vigore dal febbraio 2025. Ogni persona nella vostra organizzazione che interagisce con sistemi di IA – non solo gli sviluppatori, ma anche gli utenti, i decisori e il personale di sorveglianza – deve possedere un’adeguata alfabetizzazione in materia di IA. Si tratta di un obbligo continuativo, non di una formazione una tantum.

4. Ruoli e strutture di governance. Il Regolamento richiede responsabilità chiare. Chi nella vostra organizzazione è responsabile della governance dell’IA? Chi conduce le valutazioni del rischio? Chi mantiene la documentazione tecnica? Chi supervisiona i meccanismi di sorveglianza umana? Questi ruoli devono essere definiti, dotati di poteri e di risorse adeguate.

5. Sistemi di gestione del rischio. I sistemi di IA ad alto rischio richiedono un sistema documentato di gestione del rischio che operi durante l’intero ciclo di vita del sistema. Ciò comprende l’identificazione e l’analisi dei rischi noti e ragionevolmente prevedibili, la loro stima e valutazione, l’adozione di misure di mitigazione e la verifica dell’efficacia di tali misure.

6. Governance dei dati. I dataset di addestramento, validazione e test devono soddisfare i criteri di qualità definiti nel Regolamento. Le pratiche di governance dei dati devono riguardare la raccolta, la preparazione, l’etichettatura, la pertinenza, la rappresentatività e l’assenza di errori.

7. Documentazione tecnica e registrazione. I sistemi di IA ad alto rischio devono essere accompagnati da una documentazione tecnica che dimostri la conformità. La registrazione automatica delle operazioni del sistema deve essere mantenuta per garantire la tracciabilità dei risultati.

8. Sorveglianza umana. I sistemi di IA ad alto rischio devono essere progettati in modo da consentire una sorveglianza umana efficace. Ciò significa costruire interfacce che permettano ai revisori umani di comprendere, interpretare e, ove necessario, sovrascrivere i risultati del sistema.

9. Contratti lungo la catena di fornitura. Se utilizzate sistemi di IA di fornitori terzi, i vostri contratti devono garantire che il fornitore soddisfi i requisiti del Regolamento. Se siete un fornitore i cui sistemi sono utilizzati nell’UE, i vostri operatori esigeranno lo stesso da voi. La catena di fornitura è una catena di conformità.

La questione dell’ARM: una leva strategica, ma non fateci affidamento

Alcune imprese svizzere sperano che l’Accordo di mutuo riconoscimento (ARM) tra Svizzera e UE offra una scorciatoia – che i quadri di conformità svizzeri vengano riconosciuti come equivalenti, agevolando l’accesso al mercato. Si tratta di una possibilità strategica che vale la pena monitorare, ma non su cui fondare una strategia di conformità.

Il precedente è eloquente. Il settore dei dispositivi medici offre un caso di studio su come gli aggiornamenti dell’ARM possano arenarsi. La Svizzera è stata esclusa dal quadro del Regolamento UE sui dispositivi medici dopo il fallimento dei negoziati sull’accordo istituzionale, costringendo le aziende svizzere del settore a nominare rappresentanti autorizzati nell’UE per mantenere l’accesso al mercato. Le dinamiche politiche legate ai negoziati sull’ARM – connesse alle più ampie questioni istituzionali tra Svizzera e UE – rendono improbabile un rapido accordo di equivalenza per il Regolamento sull’IA.

L’approccio pragmatico: conformarsi direttamente al Regolamento UE sull’IA. Se un accordo di equivalenza nell’ambito dell’ARM dovesse concretizzarsi, sarete già conformi. Se non si concretizza, non sarete colti impreparati.

La conformità come vantaggio competitivo

Ecco il cambio di prospettiva che le imprese svizzere più lungimiranti stanno già operando: la conformità non è un centro di costo. È un elemento di differenziazione sul mercato.

Le imprese svizzere hanno da sempre fatto leva sulla fiducia – «qualità svizzera», «precisione svizzera», «affidabilità svizzera». Nell’era dell’IA, fiducia significa governance. Un’azienda svizzera di IA che possa dimostrare la piena conformità al Regolamento UE sull’IA, una documentazione solida, una gestione trasparente del rischio e processi decisionali verificabili ha una posizione di mercato più forte rispetto ai concorrenti che trattano la conformità come un aspetto secondario.

Ciò è particolarmente vero nei settori regolamentati. Se vendete un sistema di IA per il reclutamento, la valutazione creditizia o la tariffazione assicurativa, i vostri clienti nell’UE richiederanno sempre più spesso la prova della conformità al Regolamento sull’IA come condizione contrattuale. Le imprese in grado di produrre tale prova – immediatamente, da una piattaforma di governance integrata – si aggiudicano il contratto. Le imprese che necessitano di sei mesi per raccogliere la documentazione da sistemi dispersi lo perdono.

Per le startup svizzere, questo è particolarmente rilevante. I costi di conformità aumentano per i casi d’uso regolamentati, ma la «fiducia by design» – integrare la governance nel prodotto fin dal primo giorno – diventa un potente fattore di differenziazione. Una startup svizzera che possa dire a un cliente aziendale nell’UE: «Il nostro sistema di IA è pienamente conforme al Regolamento UE sull’IA, ecco la nostra valutazione del rischio, ecco la nostra documentazione tecnica, ecco i nostri log di audit» dispone di un vantaggio che nessun investimento in marketing può replicare.

Il costo dell’attesa

Parliamo chiaramente dello scenario negativo. Un’impresa svizzera che non intraprende alcuna azione in materia di governance dell’IA fino a quando la legislazione nazionale non glielo impone si espone ai seguenti rischi:

Esclusione dal mercato. I clienti e i partner nell’UE richiederanno sempre più spesso la conformità al Regolamento sull’IA come condizione per fare affari. Nessuna conformità, nessun contratto.

Sanzioni finanziarie. Le azioni esecutive ai sensi del Regolamento sull’IA prevedono sanzioni fino a 35 milioni di euro o il 7 % del fatturato annuo globale. Per un’impresa svizzera di medie dimensioni, si tratta di un rischio esistenziale.

Danno reputazionale. In un’epoca in cui le carenze nella governance dell’IA fanno notizia, una violazione della conformità sul mercato UE danneggia il valore del marchio ben oltre la sanzione pecuniaria.

Disruzione operativa. Adeguare retroattivamente la governance a sistemi di IA costruiti senza di essa è enormemente più costoso e dirompente che integrarla fin dall’inizio.

Rischio di perdita di talenti. I migliori professionisti dell’IA vogliono sempre più lavorare in organizzazioni che prendono sul serio la governance. Un vuoto di governance è un deterrente per i talenti.

La scadenza di agosto 2026 per la conformità dei sistemi di IA ad alto rischio non è un orizzonte lontano. Mancano diciassette mesi. L’infrastruttura di governance – inventari IA, quadri di classificazione del rischio, sistemi di documentazione, meccanismi di sorveglianza, programmi di alfabetizzazione – richiede tempo per essere costruita e resa operativa. Le organizzazioni che iniziano ora saranno pronte. Quelle che aspetteranno il 2027 si troveranno a rincorrere concorrenti che hanno pianificato in anticipo.

La via da seguire

Il divario svizzero nella governance dell’IA è reale, ma non è inevitabile. È una scelta. Le imprese che riconoscono la realtà extraterritoriale del Regolamento UE sull’IA, che costruiscono proattivamente un’infrastruttura di governance e che trattano la conformità come un asset strategico anziché come un onere burocratico prospereranno nel nuovo scenario normativo.

Gli strumenti esistono. Le piattaforme di governance dell’IA che automatizzano la mappatura dell’inventario, la classificazione del rischio, la documentazione e la gestione delle tracce di audit possono comprimere mesi di lavoro manuale in settimane. I motori di enforcement delle policy possono garantire che i sistemi di IA operino entro confini definiti in modo continuo, non solo al momento del deployment. Le dashboard di conformità integrate possono offrire alla dirigenza una visibilità in tempo reale sulla postura di governance dell’IA su tutti e tre i livelli normativi.

La domanda non è se le imprese svizzere dovranno conformarsi al Regolamento UE sull’IA. Dovranno farlo. La domanda è se lo faranno in modo proattivo – trasformando la governance in vantaggio competitivo – oppure in modo reattivo, affannandosi per evitare sanzioni ed esclusione dal mercato.

Per un Paese che ha costruito la propria reputazione globale sulla precisione, l’affidabilità e la fiducia, la risposta dovrebbe essere ovvia.

hegyon.ai fornisce l’infrastruttura di governance dell’IA di cui le imprese svizzere hanno bisogno per colmare il divario di conformità. La nostra piattaforma offre mappatura dell’inventario IA, classificazione automatizzata del rischio, enforcement delle policy, tracce di audit complete e documentazione integrata – progettata per le organizzazioni che si muovono all’intersezione tra la legge svizzera sulla protezione dei dati, il RGPD e il Regolamento UE sull’IA. Che siate un’impresa multinazionale che gestisce centinaia di sistemi di IA o una startup che integra la fiducia by design nel suo primo prodotto, hegyon.ai vi offre il livello di governance che trasforma la complessità normativa in chiarezza competitiva.