HeyPapaya
HeyPapaya
La nLPD non è un motivo per rinunciare all’IA: è un quadro da impostare fin dalla progettazione. Ecco, in modo chiaro e senza gergo giuridico, i cinque punti che contano davvero: dove ospitare i dati, come mascherare quelli sensibili, che cos’è un DPA e chi risponde di che cosa.
La nuova legge federale sulla protezione dei dati (nLPD), entrata in vigore nel settembre 2023, disciplina il trattamento dei dati personali. Molti dirigenti la vedono come un ostacolo all’IA. In realtà è soprattutto una questione di sequenza: se la protezione dei dati è pensata fin dalla progettazione dell’agente, per una PMI è perfettamente gestibile. Se viene affrontata a posteriori, spesso bisogna ricostruire tutto. Ecco le cinque leve concrete.
La prima domanda che si pongono i vostri clienti, e l’autorità di vigilanza (l’IFPDT), è: dove finiscono i dati? La risposta sensata per una PMI svizzera è ospitarli di default in Svizzera o nell’Unione europea, giurisdizioni che garantiscono una protezione adeguata. In pratica, questo significa fornitori come Infomaniak a Ginevra per l’infrastruttura e la scelta di regioni UE per i servizi di terzi. Si evitano così i trasferimenti verso Paesi senza un livello di protezione riconosciuto, oppure li si inquadra rigorosamente quando sono inevitabili. È una scelta di architettura, da fare all’inizio.
Non tutto ciò che transita da un modello linguistico deve contenere dati personali in chiaro. Il principio di minimizzazione vuole che si invii solo lo stretto necessario. Concretamente, si mascherano o pseudonimizzano le informazioni sensibili, nome, numero AVS, recapiti, dati sulla salute, prima che lascino il vostro ambiente. L’agente lavora su dati ridotti al minimo e l’identità reale resta dalla vostra parte. Questo limita l’esposizione e semplifica notevolmente la conformità.
Non appena un fornitore tratta dati personali per vostro conto, il rapporto deve essere disciplinato da un contratto per il trattamento dei dati su incarico (DPA). Il contratto precisa la finalità del trattamento, le categorie di dati, le misure di sicurezza, gli eventuali sub-responsabili autorizzati e gli obblighi in caso di incidente. Non è una formalità decorativa: è il documento che attesta che ognuno sa che cosa fa dei dati. Un’implementazione IA seria è sempre accompagnata da un DPA firmato.
Conservare i dati a tempo indeterminato è al tempo stesso un rischio e una non conformità. La nLPD impone di definire durate di conservazione proporzionate alla finalità, e poi di cancellare o anonimizzare i dati. Per un agente IA, ciò significa finestre di conservazione chiare per conversazioni, trascrizioni e log: si conserva ciò che serve alla qualità e al supporto, il resto si elimina secondo un calendario definito. Da impostare fin dalla messa in opera.
È la distinzione più fraintesa, eppure la più determinante. Il titolare del trattamento è chi decide perché e come vengono trattati i dati: siete voi, la PMI. Il responsabile del trattamento è chi esegue il trattamento per vostro conto, secondo le vostre istruzioni: è il vostro fornitore IA. Questa ripartizione determina le responsabilità. Da HeyPapaya il modello è esplicito: voi restate titolari del trattamento, noi siamo responsabili del trattamento, e il DPA formalizza questo rapporto.
Nessuno di questi punti richiede un esercito di giuristi. Richiedono però di essere impostati fin dalla progettazione, da un partner che li integri di default invece di aggiustarli alla meno peggio alla fine. È il nostro approccio: hosting Svizzera/UE, mascheramento, DPA e conservazione fanno parte dello standard, non sono un’opzione. La strategia di conformità si inserisce in un percorso di adozione più ampio: vedete il nostro servizio Strategia & adozione IA e la nostra guida all’IA per le PMI svizzere.
Avvertenza. Questo articolo ha scopo puramente informativo e non costituisce una consulenza legale. La conformità dipende dalla vostra situazione concreta. Per un’analisi adatta al vostro caso, rivolgetevi a un consulente legale qualificato o a uno specialista della protezione dei dati.
Prenotate una chiamata di 30 minuti. Analizziamo insieme i vostri flussi e il vostro quadro di protezione dei dati, e ripartite con tre idee concrete di agenti, conformi alla nLPD.