nLPD: la legge svizzera si applica già alla Sua IA

Molte dirigenti svizzere ci dicono: «non siamo nell’UE, il GDPR è per gli altri». Falso su due punti.

Uno — appena Lei si rivolge a clienti nell’Unione, il GDPR può applicarsi in più.
Due — per tutto il resto, la legge federale sulla protezione dei dati (LPD revisionata, nLPD), in vigore dal 1° settembre 2023, c’è già. Ed è tecnologicamente neutra.

L’Incaricato federale (IFPDT) l’ha ripetuto: questa legge si applica direttamente ai trattamenti che passano per IA. Non serve attendere una «legge IA svizzera». Il Consiglio federale ha firmato la convenzione del Consiglio d’Europa; la consultazione sui testi di accompagnamento non è per domani mattina. Nel frattempo comanda la LPD.

(Il 28 gennaio 2026, Giornata della protezione dei dati, l’IFPDT è tornato sugli usi di IA generativa — l’argomento non è più teorico.)

Non è un «piccolo GDPR»

I due testi si assomigliano (finalità, proporzionalità, sicurezza, diritti di accesso). Le differenze che contano per una PMI da 12 persone:

	nLPD (Svizzera)	GDPR (UE)
Autorità	IFPDT	CNIL (Francia) e omologhi
Fuga da notificare	Rischio elevato, «nei migliori termini» (art. 24) — non un cronometro automatico 72 h	72 h in principio (art. 33), salvo eccezione
Sanzioni	Multe penali soprattutto verso persone (dirigenti), fino a 250 000 CHF, su denuncia, in caso di violazione intenzionale di certi doveri (art. 60)	Multe amministrative contro l’organismo (tetti % fatturato)
Registro dei trattamenti	Obbligatorio, con possibile eccezione se meno di 250 dipendenti e rischio trascurabile (art. 12 + ordinanza)	Logica simile, eccezione 250 — da documentare

Traduzione office manager: in Svizzera «vedremo se l’IFPDT scrive» non è il piano. Su certi inadempimenti (informazione, diritto di accesso, collaborazione a un’indagine), può essere preso di mira il dirigente. Non per un refuso. Per rifiuto volontario di informare o collaborare.

E il registro: meno di 250 persone non esonera se tratta dati sensibili su larga scala o profilazione ad alto rischio. Un assistente IA agganciato a tutta la casella mail non è «trascurabile» per magia. In caso di dubbio, tenga il registro. Sta in un foglio di calcolo.

L’IA quotidiana, vista dall’IFPDT

Sugli esempi pratici, l’Incaricato insiste sull’art. 6 LPD: liceità, buona fede, proporzionalità, finalità.

La trappola classica: ha raccolto mail per rispondere ai clienti. Incollarle in un chatbot USA per «migliorare il modello del fornitore» è spesso un cambio di finalità. Va giustificato — consenso o motivo previsto dalla legge. «È comodo» non lo è.

Stessa idea del GDPR / CNIL: lo strumento consumer non è una cassaforte. I trasferimenti verso gli USA restano un tema (quadro Swiss–US, clausole, subappaltatori). Un datacenter «da qualche parte in Europa» non cancella una casa madre americana.

Cosa Le chiediamo questa settimana

Non un progetto «conformità 2028».

• Una frase scritta: nessun dato cliente / collaboratore in ChatGPT, Copilot consumer, Gemini, Claude — finché non ha inquadrato il subappaltatore.
• Sapere dove gira lo strumento che terrà (Svizzera, UE, USA) e chi può essere costretto a consegnarlo.
• Poter cancellare un indice se qualcuno esercita i diritti.

AroBox è pensato per questo: dati e indice in azienda; inferenza su infra privata Arobass in Svizzera. Prova 15 giorni, su preventivo. DPA e contratto a parte.

Non è parere legale. Per un caso preciso: il Suo consulente, o l’IFPDT.

Richiedere una prova — installiamo in azienda, e la nLPD non è più una slide «per dopo».