Quali dei vostri prompt sono dati personali secondo il diritto svizzero?
La LPD riveduta si applica da settembre 2023 e non nomina mai l’IA. Governa comunque gran parte di ciò che la vostra squadra digita in un chatbot.
La legge federale riveduta sulla protezione dei dati si applica dal 1° settembre 2023. Non contiene alcuna regola sull’intelligenza artificiale, e non ne ha bisogno. Governa il trattamento di dati personali — e un prompt è un trattamento.
Questa sola frase risolve la maggior parte delle domande che le aziende pongono su IA e diritto svizzero.
Il test è più semplice di quanto si creda
Sono dati personali tutte le informazioni concernenti una persona fisica identificata o identificabile. Non solo i nomi: un numero cliente, una targa, una funzione in una piccola azienda, o una descrizione abbastanza precisa da indicare una persona.
Quindi: incollare un reclamo di un cliente in un chatbot è trattamento di dati personali. Far riformulare una valutazione del personale pure, e per giunta si tratta di dati degni di particolare protezione. Chiedere un sinonimo, no.
La distinzione non riguarda quanto sia intelligente lo strumento, ma se nel testo una persona sia identificabile.
Che cosa ne consegue in pratica
- Servono uno scopo lecito e la proporzionalità. Inviare un intero dossier cliente per riassumere un paragrafo fallisce sulla proporzionalità, consenso o no.
- La comunicazione all’estero richiede una base. La maggior parte dei grandi modelli gira fuori dalla Svizzera. Stato adeguato, quadro Svizzera-USA sulla protezione dei dati o clausole contrattuali tipo: uno dei tre deve applicarsi, e il fornitore deve dire quale.
- Va nel registro delle attività di trattamento. Molte PMI ne sono esentate; chi lo tiene vi iscrive gli strumenti di IA come ogni altro trattamento.
- I dati degni di particolare protezione alzano l’asticella. Salute, religione, appartenenza sindacale, procedimenti, biometria. In una PMI si tratta soprattutto di materiale del personale. Per i chatbot generalisti: vietati, salvo percorso espressamente autorizzato.
L’unica regola da dare alla squadra
Lasciate perdere il lessico giuridico e date questa: prima di incollare, chiedetevi se dal testo si possa riconoscere una persona precisa. Se sì, togliete le parti identificanti oppure usate lo strumento autorizzato.
Non è un riassunto completo della legge. È la versione che le persone ricorderanno davvero un martedì pomeriggio, e previene la grande maggioranza degli incidenti reali.