AI Act, LPD e marketing: cosa devono sapere le aziende svizzere
Quando la norma europea tocca una PMI svizzera, cosa impone l'articolo 50 al marketing e cosa dice già oggi la LPD.
- Date
- 18 agosto 2026
- Category
- AI & Compliance
- Reading
- 10 min
- Byline
- Outsmart Studio
Dal 2 agosto 2026 sono in vigore gli obblighi di trasparenza dell'AI Act. Un'azienda svizzera può esserne soggetta senza avere sede nell'UE: basta che l'output sia utilizzato nell'Unione.
Dal 2 agosto 2026 sono in vigore gli obblighi di trasparenza dell'articolo 50 dell'AI Act europeo, quelli che toccano chatbot, deepfake e contenuti generati. Un'azienda svizzera può esserne soggetta anche senza avere sede nell'UE: basta che l'output del sistema sia utilizzato nell'Unione. In Svizzera non esiste ancora una legge sull'AI, ma la LPD si applica già oggi, come ha chiarito l'IFPDT. Questo articolo è informazione di orientamento, non consulenza legale.
- Trasparenza in vigore
- Gli obblighi dell'art. 50 AI Act sono applicabili dal 2 agosto 2026.
- Alto rischio rinviato
- Il Digital Omnibus sull'IA, Regolamento (UE) 2026/1744, ha spostato gli obblighi sui sistemi ad alto rischio al 2 dicembre 2027 e al 2 agosto 2028.
- Vale anche senza sede UE
- Una PMI svizzera può ricadere nell'AI Act senza stabilimento nell'Unione.
- Nessun vuoto normativo in Svizzera
- Manca una legge sull'AI, ma si applicano LPD, LCSl, diritto della personalità e diritto d'autore.
- Il GDPR non è cambiato
- Il secondo Digital Omnibus, quello su dati e GDPR, non è ancora legge: a fine giugno 2026 il testo di compromesso è stato ritirato in Consiglio per mancanza di maggioranza.
- 2 febbraio 2025
- Divieti (art. 5) e alfabetizzazione IA (art. 4). In vigore.
- 2 agosto 2025
- Modelli GPAI, governance, sanzioni. In vigore.
- 2 agosto 2026
- Trasparenza (art. 50) e applicazione generale. In vigore.
- 2 dicembre 2026
- Fine del periodo di grazia per la marcatura dei sistemi immessi sul mercato prima del 2 agosto 2026. Imminente.
- 2 dicembre 2027
- Sistemi ad alto rischio stand-alone (Allegato III). Differito.
- 2 agosto 2028
- Alto rischio incorporato in prodotti (Allegato I). Differito.
Quando l'AI Act tocca un'azienda svizzera
L'articolo 2, paragrafo 1, lettera c è la porta d'ingresso: il regolamento si applica a fornitori e utilizzatori professionali stabiliti in un paese terzo «qualora l'output prodotto dal sistema di IA sia utilizzato nell'Unione».
- Vendete o licenziate un tool AI a clienti UE
- Anche in white label. Attenzione: qui rischiate di scivolare nel ruolo di fornitore, con obblighi ben più pesanti, anche se la tecnologia è di terzi.
- Producete contenuti per campagne pubblicate nell UE
- Visual, video, voci sintetiche o testi generati: l'output è utilizzato nell'Unione.
- Gestite un chatbot rivolto a utenti UE
- O un qualsiasi servizio AI destinato a quel pubblico.
- Fornite analisi AI a una controllata o a un cliente UE
- L'output attraversa il confine.
- Interazione diretta — obbligo del fornitore
- Chi interagisce con un chatbot deve sapere che sta parlando con un'AI, salvo che sia ovvio per una persona ragionevolmente informata.
- Marcatura leggibile dalla macchina — fornitore
- Audio, immagini, video e testo generati devono essere marcati: watermarking, metadati, fingerprinting. L'obbligo grava su chi fornisce il modello, ma l'agenzia deve verificare che i tool siano conformi e non rimuovere le marcature. Per i sistemi già sul mercato, conformità entro il 2 dicembre 2026.
- Deepfake e testi di interesse pubblico — deployer
- È il cuore della questione per il marketing. Chi diffonde immagini, audio o video che costituiscono un deepfake deve dichiararlo, al più tardi alla prima esposizione. L'esenzione per opere artistiche o satiriche esiste, ma va esercitata senza ostacolare la fruizione.
- Riconoscimento emozioni e biometria — deployer
- Informare le persone esposte e rispettare la normativa sui dati.
Se la lettura estensiva della nozione di deepfake si consolida, andranno etichettate anche le visualizzazioni di prodotto generate e le voci sintetiche negli spot.
A che punto è la Svizzera
Il Consiglio federale ha deciso il 12 febbraio 2025 di ratificare la Convenzione quadro del Consiglio d'Europa sull'IA, firmandola a Strasburgo il 27 marzo 2025. La scelta di fondo è un approccio settoriale: niente legge orizzontale in stile AI Act, ma regolazione per settori, con adeguamenti trasversali limitati a protezione dei dati e non discriminazione.
L'Ufficio federale di giustizia deve elaborare un progetto da porre in consultazione entro fine 2026; il DATEC un piano di misure non vincolanti. Ad agosto 2026 l'avamprogetto non risulta ancora pubblicato: è l'evento normativo svizzero da monitorare nell'ultimo trimestre. La ratifica seguirà l'adozione della legislazione interna, realisticamente non prima del 2027-2028.
Nel frattempo la LPD si applica già
L'IFPDT è stato netto in una comunicazione dell'8 maggio 2025: l'attuale legge sulla protezione dei dati è direttamente applicabile all'IA. La LPD è formulata in modo tecnologicamente neutro, quindi non serve una nuova legge per essere già vincolati.
- Trasparenza — art. 19
- Su scopo, funzionamento e fonti dei dati. Se usate fornitori esteri, l'informativa deve indicare Stato di destinazione e garanzie applicate: è la parte che quasi tutti dimenticano.
- Diritto di sapere
- Se si sta parlando con una macchina e se i propri dati, compresi i prompt, saranno usati per addestrare i modelli.
- Decisione automatizzata — art. 21
- Se una decisione è basata esclusivamente su trattamento automatizzato e produce effetti significativi, l'interessato va informato e può chiedere il riesame umano.
- Valutazione d'impatto — art. 22
- Per i trattamenti a rischio elevato. Profilazione predittiva, lead scoring con AI o personalizzazione cross-canale sono tipicamente il momento in cui serve.
- Registro dei trattamenti — art. 12
- Le imprese sotto i 250 collaboratori ne sono esentate, ma l'esenzione decade con profilazione a rischio elevato. Molte attività di marketing data-driven ricadono nella seconda ipotesi.
- Trasferimenti all'estero — art. 16-17
- Gli Stati Uniti sono adeguati dal 15 settembre 2024, ma solo verso destinatari certificati Swiss-U.S. DPF. La violazione espone a multe fino a 250.000 franchi, a carico della persona fisica responsabile, non dell'azienda: è la differenza sostanziale rispetto al GDPR.
Il dato che rende tutto questo urgente
Messo accanto all'altro dato — oltre l'80% della popolazione svizzera ha più fiducia in un servizio digitale se è Made in Switzerland — il quadro dice una cosa sola: in Svizzera la conformità non è un costo di compliance, è un asset di marca. E in questo momento è un asset che due PMI su tre non stanno raccogliendo.
- Mappate dove usate l'AI
- Contenuti, chatbot, lead scoring, customer service, analisi.
- Stabilite il vostro ruolo
- Per ciascun uso: deployer o fornitore, e se l'output arriva nell'UE.
- Verificate i contratti dei tool
- Se i prompt vengono usati per il training; attivate e documentate le opzioni no-training dei piani business.
- Aggiornate l'informativa privacy
- Finalità AI, destinatari, Stato di destinazione, garanzia applicata.
- Istituite un registro di approvazione editoriale
- Chi ha rivisto, quando, cosa è stato modificato. È la prova che rende difendibile l'esenzione da revisione umana sui testi.
- Fissate una regola interna di etichettatura
- Prima che ve la imponga un cliente o un'autorità.
- L'AI Act si applica alle aziende svizzere?
- Può applicarsi anche senza stabilimento nell'UE, quando l'output del sistema è utilizzato nell'Unione. Il criterio pratico è il targeting del mercato UE, non la semplice raggiungibilità del sito.
- Devo etichettare le immagini generate con l'AI?
- Se sono realistiche e diffuse nell'UE, molto probabilmente sì: l'art. 50 par. 4 impone di dichiarare i deepfake, e l'esenzione artistica non copre in modo pacifico il contenuto commerciale. Valutate il vostro caso con un legale.
- La Svizzera ha una legge sull'intelligenza artificiale?
- Non ancora. Il Consiglio federale ha scelto un approccio settoriale e ha incaricato l'Ufficio federale di giustizia di predisporre un progetto in consultazione entro fine 2026.
- Se non c'è una legge sull'AI, sono libero?
- No. LPD, LCSl, diritto della personalità e diritto d'autore si applicano già. L'IFPDT ha dichiarato esplicitamente che la LPD è direttamente applicabile all'IA.
- Posso usare ChatGPT con i dati dei miei clienti?
- Dipende dal piano e dal contratto: verificate se i prompt alimentano il training, attivate le opzioni che lo escludono, controllate che il fornitore sia certificato Swiss-U.S. DPF o coperto da clausole contrattuali tipo, e aggiornate l'informativa.
