SICUREZZA
NUMEZISADVISORY &
ENGINEERING
Sommario
Risposta diretta
Usare l’IA in sicurezza significa decidere quali dati entrano in quale strumento, e poterlo dimostrare. Bastano tre livelli. Interno: nello strumento professionale dell’azienda. Cliente: solo in uno strumento convalidato, con un contratto di trattamento dei dati per conto terzi, senza addestramento sui vostri dati e con un luogo di trattamento noto. Protetto (dati personali degni di particolare protezione ai sensi della nLPD, segreto professionale, segreti d’affari): non in uno strumento esterno senza una decisione scritta. La nLPD si applica già a ogni uso che tocca dati personali.
Una PMI svizzera che usa l’IA non ha bisogno di una nuova legge per avere degli obblighi: la legge federale sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023, si applica non appena un collaboratore inserisce in uno strumento di IA un’e-mail di un cliente o una pratica del personale. La buona notizia: il lavoro si riduce a poche decisioni scritte. Ecco il metodo, senza gergo giuridico, e che cosa bisogna verificare.
Che cosa chiede già la nLPD
Per un uso corrente dell’IA contano cinque obblighi:
- Scopo e proporzionalità. Sapete a che cosa serve ogni uso e vi inserite solo i dati necessari. «Risparmiare tempo» non giustifica il caricamento di tutto lo storico dei clienti.
- Trattamento per conto terzi (art. 9). Il fornitore di IA che tratta dati personali per voi è un responsabile del trattamento: serve un contratto che disciplini questo trattamento e i suoi eventuali subfornitori. Le condizioni per i privati degli strumenti gratuiti non lo fanno.
- Comunicazione all’estero (art. 16 e 17). Se i dati sono trattati fuori dalla Svizzera, il Paese deve garantire una protezione adeguata (è il caso dell’Unione europea) oppure il contratto deve contenere garanzie, come le clausole contrattuali tipo. Per gli Stati Uniti, le aziende certificate secondo lo Swiss-US Data Privacy Framework sono riconosciute dal 15 settembre 2024.
- Informazione (art. 19). La vostra informativa sulla protezione dei dati indica le categorie di destinatari, compresi i fornitori di IA, e i Paesi in cui i dati sono trattati.
- Valutazione d’impatto (art. 22). È richiesta prima di un trattamento che può comportare un rischio elevato, per esempio su dati sanitari o per valutare delle persone.
La legge prevede anche multe penali che colpiscono le persone responsabili, non solo l’azienda. L’analisi nLPD, AI Act e IA generativa approfondisce questi punti e il caso delle aziende che lavorano con l’Unione europea.
Passo 1: elencare gli usi, non tutti i dati
Non serve inventariare tutti i dati dell’azienda. Si elenca ciò che andrà nell’IA: per ogni uso previsto, i documenti interessati, la loro provenienza (interna, cliente, fornitore, candidato) e la persona responsabile. Basta mezza giornata; fa parte del Workshop IA.
Passo 2: classificare su tre livelli
| Livello | Esempi | Regola |
|---|---|---|
| Interno | Procedure, modelli, offerte standard, note interne, testi da pubblicare | Nello strumento professionale dell’azienda. Mai in un account gratuito o personale |
| Cliente | E-mail, pratiche, fatture e recapiti di clienti, fornitori, candidati o collaboratori | Solo nello strumento convalidato (contratto per il trattamento per conto terzi, nessun addestramento, luogo di trattamento noto), per gli usi elencati, con il minimo di dati |
| Protetto | Dati personali degni di particolare protezione ai sensi della nLPD (salute, opinioni religiose o politiche, dati biometrici, perseguimenti e sanzioni, assistenza sociale…), informazioni coperte da segreto professionale o da un impegno di riservatezza, segreti d’affari | Per impostazione predefinita non in uno strumento esterno. Eccezione solo su decisione scritta, dopo un’analisi, con una soluzione adeguata |
La trappola è classificare tutto al livello più severo: rassicura, ma lo strumento diventa inutilizzabile e i collaboratori tornano al loro account gratuito. Una buona classificazione protegge ciò che va protetto e lascia lavorare sul resto.
Passo 3: scegliere e configurare lo strumento
Da verificare una volta all’apertura degli account, poi a ogni cambio di formula o di fornitore:
- Nessun addestramento sui vostri contenuti. Sulle formule professionali dei principali assistenti (ChatGPT Business ed Enterprise, Claude Team ed Enterprise, Microsoft 365 Copilot, Gemini per Google Workspace) è l’impostazione predefinita. Non c’è un «opt-out» da cercare, ma una clausola da leggere.
- Il contratto per il trattamento per conto terzi e l’elenco dei subfornitori del fornitore.
- Il luogo di trattamento e la base del trasferimento: Paese con protezione adeguata, certificazione secondo il Data Privacy Framework o clausole contrattuali tipo.
- La conservazione: per quanto tempo conversazioni e file vengono conservati, e chi può cancellarli.
- Gli accessi: chi amministra lo spazio, accesso centralizzato (SSO) se possibile, chiusura degli account il giorno stesso di una partenza.
- I connettori: quali strumenti esterni (posta elettronica, archiviazione di file) l’assistente può leggere. All’inizio, il meno possibile.
La nostra guida ChatGPT gratuito, Plus, Business o Enterprise applica questo elenco a ChatGPT.
Passo 4: il segreto professionale e i vostri impegni
Il segreto professionale non dipende dalla nLPD. Le professioni previste dall’articolo 321 del Codice penale (in particolare avvocati, notai, medici, revisori e i loro ausiliari) possono affidare un’informazione coperta dal segreto a un terzo solo in un quadro compatibile con quel segreto: contratto adeguato, soluzione ospitata sotto il vostro controllo o consenso del cliente, a seconda dei casi. Una fiduciaria è inoltre tenuta al dovere di discrezione verso i propri mandanti; una banca al segreto bancario.
Rileggete anche i vostri contratti con i clienti: un accordo di riservatezza o una clausola che vieta il ricorso non dichiarato a terzi può vietare un uso che la legge permetterebbe.
Passo 5: rileggere prima che esca
Ogni risultato dell’IA destinato all’esterno (cliente, fornitore, autorità) viene riletto da una persona. Per gli agenti che inviano messaggi la regola è severa: bozza convalidata all’inizio, invio automatico solo per una categoria a basso rischio, dopo almeno quattro settimane di bozze convalidate e su decisione scritta. La guida agli agenti la descrive nel dettaglio.
Passo 6: prevedere l’incidente e seguire nel tempo
Mettete per iscritto che cosa si fa se un dato protetto finisce nello strumento o se un errore arriva a un cliente: chi cancella, chi informa, chi decide. Se una violazione della sicurezza dei dati comporta un rischio elevato per le persone interessate, va notificata all’IFPDT il prima possibile.
Rivedete poi le regole a ogni nuovo strumento, nuovo fornitore o nuovo uso: un breve controllo ogni mese all’inizio, poi ogni trimestre.
I tre errori che rendono la sicurezza solo di facciata
- La regola scritta smentita dallo strumento. La direttiva vieta gli account personali, ma non viene fornito nessuno strumento professionale. Risultato: usi non dichiarati.
- La classificazione «tutto è protetto». Lo strumento diventa inutile e le regole vengono aggirate.
- La rilettura tolta troppo presto. La si toglie quando l’uso è stabile e misurato, non quando si ha fretta.
Quanto costa
La scheda dei dati ammessi e vietati fa parte del Workshop IA (CHF 1'900 IVA esclusa, 4 ore). La configurazione dello strumento con il vostro reparto informatico, i contratti da verificare, le regole e l’accompagnamento rientrano nell’Accompagnamento IA, a prezzo fisso su preventivo oppure in abbonamento da CHF 1'800 al mese per 10 ore, per almeno tre mesi. Questa guida è un metodo di lavoro, non un parere giuridico sulla vostra situazione.
Domande
Serve un giurista per usare l’IA?
Non per le regole di base: livelli di dati, scelta dello strumento, impostazioni, rilettura. Un giurista è utile non appena un uso tocca dati protetti, un segreto professionale o clienti vincolati da clausole severe.
Bisogna attivare un «opt-out» perché i nostri dati non servano all’addestramento?
Non sulle formule professionali dei grandi assistenti: l’esclusione è l’impostazione predefinita. Verificatelo nel contratto e nella console di amministrazione; su un account gratuito o personale l’azienda non può né imporlo né controllarlo.
I nostri dati possono essere trattati negli Stati Uniti?
Sì, se il fornitore è certificato secondo lo Swiss-US Data Privacy Framework o se il contratto contiene garanzie riconosciute, come le clausole contrattuali tipo. Verificate la certificazione nell’elenco ufficiale e indicate il trasferimento nella vostra informativa sulla protezione dei dati.
Che cosa fare se un collaboratore ha messo dati protetti nello strumento?
Applicare il piano previsto: cancellare la conversazione, individuare che cosa è uscito, informare il responsabile. Se ne deriva un rischio elevato per le persone interessate, la nLPD impone di notificare la violazione all’IFPDT il prima possibile.
Il metodo cambia a seconda del settore?
Il quadro è lo stesso, cambia l’elenco dei dati protetti: la salute in uno studio medico, le pratiche dei mandanti in una fiduciaria o in uno studio legale, i dati dei candidati nelle risorse umane.
Parliamo di questa decisione
hello@numezis.com ↗