AI Act, LPD e marketing: cosa devono sapere le aziende svizzere
Quando la norma europea tocca una PMI svizzera, cosa impone l'articolo 50 al marketing e cosa dice già oggi la LPD.
- Data
- 18 agosto 2026
- Categoria
- AI & Compliance
- Lettura
- 10 min
- Firma
- Outsmart Studio
Dal 2 agosto 2026 sono in vigore gli obblighi di trasparenza dell'AI Act. Un'azienda svizzera può esserne soggetta senza avere sede nell'UE: basta che l'output sia utilizzato nell'Unione.
Dal 2 agosto 2026 sono in vigore gli obblighi di trasparenza dell'articolo 50 dell'AI Act europeo, quelli che toccano chatbot, deepfake e contenuti generati. Un'azienda svizzera può esserne soggetta anche senza avere sede nell'UE: basta che l'output del sistema sia utilizzato nell'Unione. In Svizzera non esiste ancora una legge sull'AI, ma la LPD si applica già oggi, come ha chiarito l'IFPDT. Questo articolo è informazione di orientamento, non consulenza legale.
- Trasparenza in vigore
- Gli obblighi dell'art. 50 AI Act sono applicabili dal 2 agosto 2026.
- Alto rischio rinviato
- Il Digital Omnibus sull'IA, Regolamento (UE) 2026/1744, ha spostato gli obblighi sui sistemi ad alto rischio al 2 dicembre 2027 e al 2 agosto 2028.
- Vale anche senza sede UE
- Una PMI svizzera può ricadere nell'AI Act senza stabilimento nell'Unione.
- Nessun vuoto normativo in Svizzera
- Manca una legge sull'AI, ma si applicano LPD, LCSl, diritto della personalità e diritto d'autore.
- Il GDPR non è cambiato
- Il secondo Digital Omnibus, quello su dati e GDPR, non è ancora legge: a fine giugno 2026 il testo di compromesso è stato ritirato in Consiglio per mancanza di maggioranza.
- 2 febbraio 2025
- Divieti (art. 5) e alfabetizzazione IA (art. 4). In vigore.
- 2 agosto 2025
- Modelli GPAI, governance, sanzioni. In vigore.
- 2 agosto 2026
- Trasparenza (art. 50) e applicazione generale. In vigore.
- 2 dicembre 2026
- Fine del periodo di grazia per la marcatura dei sistemi immessi sul mercato prima del 2 agosto 2026. Imminente.
- 2 dicembre 2027
- Sistemi ad alto rischio stand-alone (Allegato III). Differito.
- 2 agosto 2028
- Alto rischio incorporato in prodotti (Allegato I). Differito.
Il Digital Omnibus ha ammorbidito l'articolo 4: l'obbligo di alfabetizzazione passa da obbligo di risultato a obbligo di mezzi. Resta esigibile: l'autorità valuterà se avete fatto qualcosa, non se ogni collaboratore ha superato un test. Per le PMI il pacchetto introduce documentazione semplificata e tetti sanzionatori attenuati, e l'art. 99 par. 6 prevede che si applichi l'importo più basso fra i due parametri.
Quando l'AI Act tocca un'azienda svizzera
L'articolo 2, paragrafo 1, lettera c è la porta d'ingresso: il regolamento si applica a fornitori e utilizzatori professionali stabiliti in un paese terzo «qualora l'output prodotto dal sistema di IA sia utilizzato nell'Unione».
- Vendete o licenziate un tool AI a clienti UE
- Anche in white label. Attenzione: qui rischiate di scivolare nel ruolo di fornitore, con obblighi ben più pesanti, anche se la tecnologia è di terzi.
- Producete contenuti per campagne pubblicate nell UE
- Visual, video, voci sintetiche o testi generati: l'output è utilizzato nell'Unione.
- Gestite un chatbot rivolto a utenti UE
- O un qualsiasi servizio AI destinato a quel pubblico.
- Fornite analisi AI a una controllata o a un cliente UE
- L'output attraversa il confine.
Il criterio pratico è il targeting: consegne a clienti UE, pubblicità mirata, prezzi in euro. Il solo fatto che il vostro sito svizzero sia raggiungibile dall'Italia non basta. Ma il confine fra «raggiungibile» e «mercato mirato» non è ancora stato testato in giurisprudenza: è un'analisi da fare caso per caso, non un'autoassoluzione. Vale anche la distinzione di ruolo: uno studio che usa strumenti generativi per un cliente è tipicamente deployer, non fornitore.
- Interazione diretta — obbligo del fornitore
- Chi interagisce con un chatbot deve sapere che sta parlando con un'AI, salvo che sia ovvio per una persona ragionevolmente informata.
- Marcatura leggibile dalla macchina — fornitore
- Audio, immagini, video e testo generati devono essere marcati: watermarking, metadati, fingerprinting. L'obbligo grava su chi fornisce il modello, ma l'agenzia deve verificare che i tool siano conformi e non rimuovere le marcature. Per i sistemi già sul mercato, conformità entro il 2 dicembre 2026.
- Deepfake e testi di interesse pubblico — deployer
- È il cuore della questione per il marketing. Chi diffonde immagini, audio o video che costituiscono un deepfake deve dichiararlo, al più tardi alla prima esposizione. L'esenzione per opere artistiche o satiriche esiste, ma va esercitata senza ostacolare la fruizione.
- Riconoscimento emozioni e biometria — deployer
- Informare le persone esposte e rispettare la normativa sui dati.
La Commissione europea ha pubblicato gli orientamenti finali sull'art. 50 il 20 luglio 2026 e ha giudicato adeguato il Codice di condotta sulla trasparenza dei contenuti generati da IA. Chi non aderisce deve dimostrare individualmente l'adeguatezza delle proprie misure.
Se la lettura estensiva della nozione di deepfake si consolida, andranno etichettate anche le visualizzazioni di prodotto generate e le voci sintetiche negli spot.
Secondo analisi specialistiche degli orientamenti, la nozione di deepfake sarebbe interpretata in senso ampio: qualsiasi contenuto realistico generato o modificato dall'AI, senza che serva la raffigurazione di persone reali e a prescindere dall'intento ingannevole, e il contenuto commerciale non beneficerebbe dell'esenzione artistica. È un'interpretazione ancora in discussione, con impatto operativo enorme: verificatela sul testo ufficiale prima di riprogettare i vostri processi. Le sanzioni per violazione degli obblighi di trasparenza arrivano a 15 milioni di euro o al 3% del fatturato mondiale.
A che punto è la Svizzera
Il Consiglio federale ha deciso il 12 febbraio 2025 di ratificare la Convenzione quadro del Consiglio d'Europa sull'IA, firmandola a Strasburgo il 27 marzo 2025. La scelta di fondo è un approccio settoriale: niente legge orizzontale in stile AI Act, ma regolazione per settori, con adeguamenti trasversali limitati a protezione dei dati e non discriminazione.
L'Ufficio federale di giustizia deve elaborare un progetto da porre in consultazione entro fine 2026; il DATEC un piano di misure non vincolanti. Ad agosto 2026 l'avamprogetto non risulta ancora pubblicato: è l'evento normativo svizzero da monitorare nell'ultimo trimestre. La ratifica seguirà l'adozione della legislazione interna, realisticamente non prima del 2027-2028.
Nel frattempo la LPD si applica già
L'IFPDT è stato netto in una comunicazione dell'8 maggio 2025: l'attuale legge sulla protezione dei dati è direttamente applicabile all'IA. La LPD è formulata in modo tecnologicamente neutro, quindi non serve una nuova legge per essere già vincolati.
- Trasparenza — art. 19
- Su scopo, funzionamento e fonti dei dati. Se usate fornitori esteri, l'informativa deve indicare Stato di destinazione e garanzie applicate: è la parte che quasi tutti dimenticano.
- Diritto di sapere
- Se si sta parlando con una macchina e se i propri dati, compresi i prompt, saranno usati per addestrare i modelli.
- Decisione automatizzata — art. 21
- Se una decisione è basata esclusivamente su trattamento automatizzato e produce effetti significativi, l'interessato va informato e può chiedere il riesame umano.
- Valutazione d'impatto — art. 22
- Per i trattamenti a rischio elevato. Profilazione predittiva, lead scoring con AI o personalizzazione cross-canale sono tipicamente il momento in cui serve.
- Registro dei trattamenti — art. 12
- Le imprese sotto i 250 collaboratori ne sono esentate, ma l'esenzione decade con profilazione a rischio elevato. Molte attività di marketing data-driven ricadono nella seconda ipotesi.
- Trasferimenti all'estero — art. 16-17
- Gli Stati Uniti sono adeguati dal 15 settembre 2024, ma solo verso destinatari certificati Swiss-U.S. DPF. La violazione espone a multe fino a 250.000 franchi, a carico della persona fisica responsabile, non dell'azienda: è la differenza sostanziale rispetto al GDPR.
Un'ultima nota che vale come argomento commerciale: la Commissione europea ha confermato il 15 gennaio 2024 l'adeguatezza della Svizzera. I dati UE possono continuare a fluire verso di voi senza garanzie aggiuntive, un vantaggio concreto per chi serve clienti italiani o tedeschi.
Il dato che rende tutto questo urgente
Messo accanto all'altro dato — oltre l'80% della popolazione svizzera ha più fiducia in un servizio digitale se è Made in Switzerland — il quadro dice una cosa sola: in Svizzera la conformità non è un costo di compliance, è un asset di marca. E in questo momento è un asset che due PMI su tre non stanno raccogliendo.
- Mappate dove usate l'AI
- Contenuti, chatbot, lead scoring, customer service, analisi.
- Stabilite il vostro ruolo
- Per ciascun uso: deployer o fornitore, e se l'output arriva nell'UE.
- Verificate i contratti dei tool
- Se i prompt vengono usati per il training; attivate e documentate le opzioni no-training dei piani business.
- Aggiornate l'informativa privacy
- Finalità AI, destinatari, Stato di destinazione, garanzia applicata.
- Istituite un registro di approvazione editoriale
- Chi ha rivisto, quando, cosa è stato modificato. È la prova che rende difendibile l'esenzione da revisione umana sui testi.
- Fissate una regola interna di etichettatura
- Prima che ve la imponga un cliente o un'autorità.
- L'AI Act si applica alle aziende svizzere?
- Può applicarsi anche senza stabilimento nell'UE, quando l'output del sistema è utilizzato nell'Unione. Il criterio pratico è il targeting del mercato UE, non la semplice raggiungibilità del sito.
- Devo etichettare le immagini generate con l'AI?
- Se sono realistiche e diffuse nell'UE, molto probabilmente sì: l'art. 50 par. 4 impone di dichiarare i deepfake, e l'esenzione artistica non copre in modo pacifico il contenuto commerciale. Valutate il vostro caso con un legale.
- La Svizzera ha una legge sull'intelligenza artificiale?
- Non ancora. Il Consiglio federale ha scelto un approccio settoriale e ha incaricato l'Ufficio federale di giustizia di predisporre un progetto in consultazione entro fine 2026.
- Se non c'è una legge sull'AI, sono libero?
- No. LPD, LCSl, diritto della personalità e diritto d'autore si applicano già. L'IFPDT ha dichiarato esplicitamente che la LPD è direttamente applicabile all'IA.
- Posso usare ChatGPT con i dati dei miei clienti?
- Dipende dal piano e dal contratto: verificate se i prompt alimentano il training, attivate le opzioni che lo escludono, controllate che il fornitore sia certificato Swiss-U.S. DPF o coperto da clausole contrattuali tipo, e aggiornate l'informativa.
Fonti: Regolamento (UE) 2024/1689 e Regolamento (UE) 2026/1744, GUUE 24 luglio 2026 · Commissione europea, Orientamenti sull'art. 50, 20 luglio 2026 · Codice di condotta sulla trasparenza, 10 giugno 2026 · Consiglio federale, 12 febbraio e 27 marzo 2025 · Ufficio federale di giustizia · IFPDT, 8 maggio 2025 e indagine X/Grok · LPD RS 235.1 e OPDa RS 235.11 · Swiss-U.S. Data Privacy Framework, 15 settembre 2024 · Commissione europea, decisione di adeguatezza sulla Svizzera, 15 gennaio 2024 · AXA, Studio PMI, 5 novembre 2025 · Fondazione Risiko-Dialog, Barometro Digitale 2026.
