ChatGPT in Svizzera: cosa chiede la legge e dove vanno i tuoi dati
Chi cerca «ChatGPT Svizzera» di solito non vuole sapere se il servizio è disponibile. Funziona qui da anni, si paga in franchi o in dollari e nessuno ha bisogno di una VPN. La domanda vera arriva quasi sempre da un'azienda ed è: possiamo davvero usarlo, e dove finiscono i nostri dati?
Cosa chiede davvero il diritto svizzero
Dal 1° settembre 2023 è in vigore la legge sulla protezione dei dati (nLPD) riveduta. Si ispira dichiaratamente al GDPR ma non gli è uguale: meno formalistica, multe più basse, e a essere sanzionata è di regola la persona fisica responsabile, non l'azienda. Per l'uso di un servizio IA ne discendono soprattutto tre obblighi, e in nessuno di essi compaiono i «server svizzeri».
Devi essere trasparente quando dati personali vanno all'estero. Devi rispettare i principi del trattamento: buona fede, proporzionalità, vincolo di scopo e sicurezza dei dati. A differenza del GDPR, le aziende private non hanno bisogno di una base giuridica per ogni singolo trattamento: trattare è in linea di massima lecito, e un motivo giustificativo come il consenso, un interesse preponderante o una legge serve solo quando il trattamento lede illecitamente la personalità. La base legale la devono avere gli organi federali, non le imprese private. E chi esternalizza ha bisogno di un contratto di trattamento che vincoli il responsabile allo stesso livello di protezione. Le spiegazioni di riferimento le pubblica l'IFPDT.
Gli Stati Uniti non sono di per sé un problema: il Consiglio federale riconosce lo Swiss-U.S. Data Privacy Framework, a condizione che il destinatario americano sia certificato. Se valga per un fornitore preciso si controlla nell'elenco ufficiale.
Molte aziende svizzere ricadono anche sotto il GDPR, ma non per il semplice fatto di trattare dati di cittadini UE. Senza una sede nell'UE si applica, ai sensi dell'art. 3 par. 2 GDPR, solo se offri beni o servizi a persone nell'UE oppure ne monitori il comportamento. In quel caso una verifica limitata al diritto svizzero non basta.
Niente di tutto questo sostituisce una consulenza legale, e il caso concreto spetta al tuo ufficio legale. La direzione però è quella giusta: un servizio statunitense non è vietato in partenza in Svizzera, e con un destinatario certificato la comunicazione all'estero non richiede garanzie aggiuntive. Resta l'obbligo di rendere conto: trasparenza, rispetto dei principi del trattamento e un contratto di trattamento fatto bene.
Dove si stringe davvero: il segreto professionale
Il punto in cui la discussione cambia non è la legge sulla protezione dei dati ma l'art. 321 del Codice penale. Medici, avvocati, farmacisti, psicologi e i loro ausiliari sono tenuti al segreto professionale, e violarlo è un reato, non una sanzione amministrativa. Per le banche si aggiunge il segreto bancario.
Qui il consenso al trattamento serve fino a un certo punto, e la domanda su chi potrebbe teoricamente accedere a quei dati assume di colpo rilievo penale. È in queste professioni che incontriamo i requisiti di hosting più severi, quasi sempre a ragione.
«Data center svizzero» non vuol dire giurisdizione svizzera
L'errore più comune: si legge «ospitato in Svizzera» e si considera chiusa la questione. Il CLOUD Act statunitense, all'18 U.S.C. § 2713, obbliga i fornitori di servizi di comunicazione elettronica e di cloud soggetti alla giurisdizione statunitense a consegnare i dati in loro possesso, custodia o controllo, e questo a prescindere da dove siano archiviati. Non riguarda quindi ogni azienda con sede negli Stati Uniti, ma riguarda eccome gli hyperscaler e i fornitori di modelli di cui stiamo parlando. Se una filiale svizzera cambi le carte in tavola non è una questione di forma ma di controllo effettivo, e i giudici statunitensi interpretano quel concetto in senso ampio.
Sono perciò tre domande distinte e non una: in quale paese stanno i server, quale azienda li gestisce e a quale diritto è soggetta quell'azienda. Lo abbiamo approfondito in un articolo sulla residenza dei dati, comprese le rinunce che un livello più severo comporta su scelta dei modelli e velocità.
Quando conviene l'hosting svizzero, e quando no
A essere onesti: non sempre. I modelli più capaci oggi vengono in prevalenza da fornitori statunitensi, e l'hosting svizzero significa spesso una scelta più ristretta e a volte tempi di risposta più lunghi. Per un team di marketing che scrive bozze è un cattivo affare.
Per uno studio medico, uno studio legale, una fiduciaria o un'amministrazione pubblica il bilancio cambia. Il segreto professionale non impone server svizzeri, perché anche un trattamento all'estero può essere lecito con le giuste garanzie contrattuali e tecniche, ma alza parecchio l'onere di motivazione. Qui l'hosting svizzero è semplicemente la soluzione più facile da sostenere. Per tutti gli altri vale la regola pratica: severo quanto serve, non quanto è possibile.
Abbiamo costruito botts.ai in modo che questo livello sia un'impostazione e non una caratteristica del fornitore: server in Svizzera, libera scelta del modello con il paese di hosting visibile per ciascuno, nessun addestramento sui tuoi dati. Se stai valutando cosa debba offrire un'alternativa a ChatGPT per un'azienda svizzera, parti da qui. La panoramica dei modelli mostra dove gira ciascun modello, e la pagina sulla sicurezza spiega come trattiamo i dati. Se il tuo tema è meno la localizzazione e più un'IA per tutta l'azienda sui contenuti interni, l'articolo sul ChatGPT interno affronta proprio quel caso.
Hai un requisito di conformità specifico, per esempio legato al segreto professionale? Contattaci e ti aiutiamo volentieri a scegliere il livello giusto.
