IA al lavoro: quali dati non inserire negli strumenti di IA, le indicazioni di UFCS e IFPDT

Scrivere un'e-mail, tradurre un testo, riassumere una tabella: per molte persone in Svizzera gli strumenti di intelligenza artificiale fanno ormai parte del lavoro quotidiano, anche nelle PMI ticinesi. Il 16 ottobre 2026 l'Ufficio federale della cibersicurezza (UFCS), in collaborazione con l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), ha pubblicato una pagina di domande e risposte sull'IA nel lavoro quotidiano, con raccomandazioni concrete.

Il messaggio principale non riguarda la tecnologia, ma le abitudini: cosa si incolla in un prompt e che fine fanno quei dati.

Che cos'è l'oversharing

L'UFCS chiama «oversharing» la divulgazione incauta di informazioni, spesso in buona fede e per guadagnare tempo, senza rendersi conto delle conseguenze per la protezione dei dati. Basta copiare nel prompt il testo completo di un'e-mail perché i dati personali che contiene finiscano nello strumento di IA.

In ambito professionale non si tratta solo dei propri dati. Spesso sono coinvolti dati di clienti, pazienti o collaboratori e segreti aziendali che non dovrebbero mai uscire dall'azienda. Dati sulla salute, dossier del personale o righe di codice con gli accessi a una banca dati contenente dati personali rientrano di regola tra i dati personali degni di particolare protezione ai sensi della legge sulla protezione dei dati (LPD), per i quali valgono requisiti più severi.

Il rischio meno visibile: l'addestramento

Secondo l'UFCS il rischio più grande, e meno percepito, è che molti strumenti di IA possono usare i dati inseriti per addestrare i modelli futuri, salvo esclusione prevista dal contratto. Una volta inserite, le informazioni non si possono più ritirare e, nel caso peggiore, confluiscono nelle risposte date ad altri utenti.

C'è anche un rischio nella direzione opposta. I testi, le foto, gli audio e i video pubblicati sul sito e sui social di un'azienda possono essere raccolti e sfruttati dai truffatori, ad esempio per e-mail molto personalizzate, voci imitate e deepfake usati nella cosiddetta truffa del CEO.

La legge si applica già

Già nel 2023 l'IFPDT ha ricordato che la LPD in vigore è direttamente applicabile all'IA: è formulata in modo tecnologicamente neutro e vale sia per l'addestramento dei modelli sia per l'immissione di un prompt. Per un'azienda il rischio concreto è violare i principi dell'articolo 6 LPD, cioè finalità, proporzionalità e trasparenza. Le conseguenze possono essere una notifica all'IFPDT, un danno di reputazione e, in caso di violazione intenzionale di determinati obblighi, sanzioni penali.

L'IFPDT sottolinea anche il diritto, previsto dalla LPD, di far verificare da una persona una decisione individuale automatizzata, ad esempio nella preselezione di candidature. Sul fronte legislativo, il Consiglio federale ha incaricato il Dipartimento federale di giustizia e polizia di preparare un progetto per regolamentare l'IA e recepire la Convenzione del Consiglio d'Europa sull'intelligenza artificiale; la consultazione è attesa per gennaio 2027, con un approccio settoriale e basato sui rischi. Altri approfondimenti sono sulla pagina dell'IFPDT IA e protezione dei dati.

Le quattro raccomandazioni dell'UFCS

• Valutare con occhio critico i contenuti generati dall'IA.
• Prima di ogni inserimento, verificare se ci sono dati personali o sensibili, come dati anagrafici, dati dei clienti o segreti commerciali, e in caso affermativo anonimizzarli.
• Se possibile, usare la versione Business o Enterprise degli strumenti messi a disposizione dall'azienda, invece di account privati.
• Sapere quando i dati vengono usati per l'addestramento e quando no, e attivare le opzioni di esclusione (opt-out) dove esistono.

Cosa fissare in una PMI

Per l'UFCS le aziende devono stabilire linee guida interne chiare e formare il personale. Tradotto in pratica per una PMI:

• Un elenco degli strumenti ammessi, con gli account aziendali da usare, e il divieto di usare account privati per dati di lavoro.
• Un elenco dei dati che non vanno mai inseriti: dati sulla salute, dossier del personale, dati di clienti identificabili, contratti riservati, password, chiavi API e accessi.
• Contratti verificati: preferire soluzioni enterprise in cui l'esclusione dei dati dall'addestramento è garantita per contratto, e controllare dove vengono trattati i dati.
• Misure tecniche dove servono, come gli strumenti di prevenzione della perdita di dati (data loss prevention) indicati dall'UFCS.
• Una verifica umana dei risultati prima di usarli, soprattutto in testi rivolti ai clienti e nelle decisioni sulle persone.
• Attenzione a cosa si pubblica su sito e social: voci, volti e organigrammi facilitano le frodi mirate.

Le stesse regole si inseriscono nel quadro più ampio della sicurezza organizzativa, il punto debole emerso dallo studio «PMI Cybersicurezza 2026», e vanno insieme ad accessi protetti per gli account aziendali degli strumenti di IA. Sul lato delle competenze, la domanda di profili IA nelle PMI svizzere è in forte crescita, come mostrano i quasi 5000 annunci IA in Svizzera; sulle tendenze tecniche si veda anche l'IA nei prossimi due anni.

In Ticino: un incontro sulla governance dell'IA

Per chi vuole approfondire sul territorio, la Fondazione AGIRE e SUPSI-DTI Formazione continua propongono un ciclo di tre serate sull'uso consapevole dell'IA in azienda, rivolto alle PMI ticinesi. L'ultimo incontro, il 17 novembre 2026, è dedicato a dati, responsabilità, regole e governance dell'IA. Secondo gli organizzatori l'iscrizione è gratuita previa registrazione, con al massimo 30 partecipanti per serata.

Come può aiutare ElaraTeq Sagl

ElaraTeq Sagl aiuta le PMI a scegliere gli strumenti, a scrivere regole interne semplici sull'uso dell'IA e a integrare l'IA in siti, CRM ed ERP senza esporre dati che devono restare in azienda, con hosting in Svizzera dove serve. Maggiori dettagli sulla consulenza o tramite la pagina contatti.

Fonti

• UFCS, «IA nel lavoro quotidiano: Cogliere le opportunità, proteggere i dati», 16 ottobre 2026: bacs.admin.ch
• IFPDT, «L'attuale legge sulla protezione dei dati è direttamente applicabile all'IA», 9 novembre 2023: edoeb.admin.ch
• IFPDT, «IA e protezione dei dati»: edoeb.admin.ch
• Fondazione AGIRE, «Tre serate sull'utilizzo consapevole dell'AI in azienda, in collaborazione con SUPSI DTI», 18 settembre 2026: agire.ch