Introdurre l'IA in sicurezza nelle PMI: checklist in 10 passi

Il quadro giuridico in sintesi

• Svizzera: una legge specifica sull'IA non esiste ancora. La legge sulla protezione dei dati (LPD) si applica però direttamente alle applicazioni di IA, come sottolinea l'IFPDT. Il 12 febbraio 2025 il Consiglio federale ha deciso di ratificare la Convenzione del Consiglio d'Europa sull'IA. Un progetto da porre in consultazione è previsto entro la fine del 2026.
• UE (per Germania, Austria e aziende svizzere con un legame con l'UE): si applicano il GDPR e l'AI Act. L'art. 4 (alfabetizzazione in materia di IA) si applica dal 2 febbraio 2025, la maggior parte delle altre regole dal 2 agosto 2026. Gli obblighi per i sistemi ad alto rischio sono stati rinviati con il «Digital Omnibus» rispettivamente al 2 dicembre 2027 e al 2 agosto 2028.

I 10 passi

1. Fare il punto: chi usa quale IA?

• Chieda apertamente al team quali servizi di IA vengono usati e per cosa, anche con account privati. Senza cercare colpevoli, altrimenti sentirà solo metà della verità.
• Annoti servizio, tipo di account e scopo in un semplice elenco.

Maggiori dettagli: Shadow AI nelle PMI.

2. Definire casi d'uso e classi di dati

• Scelga due o tre casi d'uso concreti con un beneficio chiaro, ad esempio redigere testi, riassumere verbali o spiegare codice.
• Suddivida i dati in classi semplici, ad esempio: pubblici, interni, confidenziali, dati personali, dati degni di particolare protezione e dati coperti dal segreto professionale.
• Stabilisca quale classe può essere inserita in quale strumento. Cosa non va mai inserito lo mostra la guida IBAN, numero AVS & co..

3. Scegliere strumenti e account

• Offerta aziendale invece di account privato: scelga un'offerta con contratto. Chi trasmette dati personali a un fornitore deve assicurarsi che questo sia in grado di garantire la sicurezza dei dati (art. 9 LPD). Nell'UE serve un contratto con il responsabile del trattamento (art. 28 GDPR).
• Chiarire l'ubicazione dei dati e i subresponsabili: se i dati vanno all'estero, si applicano gli art. 16 e 17 LPD o gli art. 44 segg. GDPR.
• Verificare l'addestramento: chiarisca se il fornitore usa gli input per l'addestramento e, dove possibile, lo disattivi. Istruzioni: Disattivare l'addestramento dell'IA. Per gli ambienti Microsoft: Copilot e protezione dei dati.

4. Valutare la necessità di una valutazione d'impatto

• Se un trattamento può comportare un rischio elevato per le persone interessate, è necessaria preventivamente una valutazione d'impatto sulla protezione dei dati (art. 22 LPD, art. 35 GDPR). Un esempio lo fa la LPD stessa: il trattamento su vasta scala di dati degni di particolare protezione, come i dati sanitari.
• Per il normale lavoro sui testi senza dati personali di solito non è il caso. Lo verifichi e lo documenti comunque brevemente. L'IFPDT offre a tal fine una scheda informativa.
• Attenzione alle decisioni sulle persone, ad esempio nella selezione delle candidature: l'IA per la selezione del personale è considerata ad alto rischio dall'AI Act (allegato III punto 4).

5. Scrivere una direttiva sull'IA

• Bastano una o due pagine: strumenti consentiti, dati vietati, gestione dei risultati, servizio a cui segnalare.
• Disciplini anche la gestione dei risultati: verificare testi, cifre e fonti prodotti dall'IA prima di trasmetterli.
• Faccia confermare la direttiva da tutti. Gratuito da adattare: Modello di direttiva sull'IA.

6. Formare i collaboratori

• Per le aziende a cui si applica l'AI Act, l'art. 4 richiede misure per l'alfabetizzazione in materia di IA del personale. Secondo la Commissione europea non serve un certificato.
• Un'ora con esempi tratti dal proprio lavoro quotidiano è un buon inizio. Annoti chi è stato formato e quando.

Contenuti e svolgimento: Alfabetizzazione in materia di IA secondo l'art. 4 dell'AI Act.

7. Definire barriere tecniche

• Account: gestire centralmente gli account aziendali, escludere gli account privati per i dati aziendali.
• Accessi: con gli assistenti di IA che leggono e-mail e file, mettere prima ordine nelle autorizzazioni.
• Intercettare le distrazioni: la maggior parte degli errori avviene incollando in fretta, ad esempio una password o un elenco di clienti. Una soluzione DLP o un'estensione del browser controlla gli input prima dell'invio. Confronto: DLP per strumenti di IA.

8. Essere trasparenti dove necessario

• Secondo l'IFPDT, le persone che parlano con una chat di IA hanno il diritto di sapere che stanno comunicando con una macchina. Riguarda ad esempio un chatbot sul Suo sito web.
• Se dati personali dei clienti vanno a un fornitore di IA, ciò va indicato nell'informativa sulla protezione dei dati (destinatari ed estero, art. 19 LPD, art. 13 e 14 GDPR).
• Nell'UE l'art. 50 dell'AI Act richiede tra l'altro di rendere noti i deepfake e i testi generati dall'IA su temi di interesse pubblico, se non sono stati sottoposti a revisione redazionale.

9. Segnalare e gestire gli incidenti

• Designi un servizio a cui segnalare. Chi segnala rapidamente non viene punito.
• In caso di errore: sostituire subito password e chiavi coinvolte, poi cancellare la chat e i link condivisi e documentare l'incidente. Cancellare da solo non basta, il testo è già arrivato al fornitore. Vedi Password incollata in ChatGPT: cosa fare ora?.
• Verifichi se è necessaria una notifica: in Svizzera all'IFPDT «il prima possibile», se presumibilmente ne deriva un rischio elevato per le persone interessate (art. 24 LPD); nell'UE senza ingiustificato ritardo e, ove possibile, entro 72 ore, a meno che sia improbabile che presenti un rischio (art. 33 GDPR).

10. Verificare regolarmente

• Una volta all'anno e a ogni nuovo strumento: aggiornare elenco, direttiva e formazione.
• Tenga d'occhio il quadro giuridico, ad esempio la consultazione svizzera sulla regolamentazione dell'IA e le scadenze dell'AI Act.

Chi fa cosa?

Domande frequenti