IA generativa al lavoro: cosa richiede la LPD quando i collaboratori usano ChatGPT o Claude

Di Thomas Contin, Managing Partner

Nell'ottobre 2026 l'IFPDT e l'Ufficio federale della cibersicurezza (UFCS) hanno condotto una campagna comune sui rischi dell'IA generativa sul posto di lavoro. Il messaggio è semplice: inserire dati personali in uno strumento come ChatGPT, Claude o Copilot è un trattamento di dati personali, e la Legge federale sulla protezione dei dati (LPD) vi si applica integralmente.

L'IFPDT aveva già precisato che la LPD si applica direttamente ai trattamenti effettuati con l'IA. La Svizzera ha scelto per ora di non adottare una legge separata sull'IA, quindi il quadro che conta sono le regole esistenti sulla protezione dei dati.

Dove sta il rischio

Raramente il problema è lo strumento in sé. È il collaboratore che incolla un contratto di un cliente, una lettera di un paziente o un fascicolo del personale in una chat per ottenere un riassunto. A seconda del piano e delle impostazioni, il fornitore può conservare il contenuto, trattarlo all'estero o usarlo per migliorare i suoi modelli. I dati escono dall'impresa senza che nessuno l'abbia deciso.

Cosa richiede la LPD

Ogni trattamento deve avere uno scopo riconoscibile ed essere proporzionato (art. 6 LPD). Il fornitore dello strumento è un responsabile del trattamento e serve un contratto conforme all'art. 9 LPD. Se i dati vanno in un Paese senza protezione adeguata, servono garanzie come le clausole contrattuali tipo (art. 16 LPD). Clienti e collaboratori vanno informati (art. 19 LPD), e un trattamento che può comportare un rischio elevato richiede una valutazione d'impatto (art. 22 LPD).

Il segreto professionale aggiunge un ulteriore livello: avvocati, medici, fiduciari e banche vi restano vincolati qualunque strumento usino.

Una direttiva praticabile

Decidete quali strumenti sono ammessi, con quale piano e con quali impostazioni: un minimo sono i piani aziendali che escludono l'addestramento sui vostri dati. Definite quali categorie di dati non vanno mai inserite, come dati sanitari, identità dei clienti o segreti protetti dalla legge. Preferite input anonimizzati o pseudonimizzati.

Valutate ogni fornitore come qualsiasi altro: dove tratta i dati, per quanto tempo li conserva, chi vi accede e cosa dice il contratto. Formate i collaboratori con esempi concreti e mettete la direttiva per iscritto.

Conclusione

L'IA generativa può far risparmiare tempo in quasi ogni ufficio, ma richiede la stessa disciplina di qualsiasi altra esternalizzazione. Advisorn redige direttive sull'uso dell'IA, esamina i contratti e le condizioni di trattamento dei fornitori ed effettua le valutazioni d'impatto quando sono necessarie.