La Svizzera non dispone, ad oggi, di una legge generale sull’intelligenza artificiale paragonabile all’AI Act dell’Unione europea, ma sarebbe tuttavia sbagliato dedurne che l’utilizzo dell’IA avvenga in un vuoto normativo.
Il modello svizzero che sta progressivamente emergendo è, piuttosto, quello di una regolazione per strati, costruita attraverso norme già esistenti, interventi delle autorità settoriali, strumenti di autoregolamentazione e, in prospettiva, gli adeguamenti necessari per attuare la Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale.
Il primo livello è costituito dal diritto generale già vigente, a partire dalla Legge federale sulla protezione dei dati (LPD); il secondo è rappresentato dalle regole e dalle aspettative sviluppate nei diversi settori regolati.
La FINMA per il settore bancario e assicurativo, ad esempio, ha già definito specifiche aspettative di vigilanza in materia di governance e gestione dei rischi derivanti dall’IA; Swissmedic ha individuato condizioni quadro per l’impiego dell’intelligenza artificiale nello sviluppo dei medicinali e nei processi regolatori, richiamando anche gli standard elaborati a livello internazionale.
A questi strumenti si aggiungono forme di autoregolamentazione e standard professionali, come i principi sull’IA elaborati dall’Associazione Svizzera d’Assicurazioni e le raccomandazioni della FMH sull’utilizzo dei modelli linguistici generativi nel settore medico.
La futura attuazione della Convenzione del Consiglio d’Europa sull’IA non partirà, quindi, da zero ma, si innesterà su un ecosistema normativo e regolatorio che, soprattutto in alcuni settori, presenta già un livello significativo di maturità.
La differenza rispetto all’impostazione europea è soprattutto metodologica; infatti, l’Unione europea ha scelto di adottare una disciplina orizzontale, direttamente applicabile nei diversi settori e costruita principalmente sulla classificazione dei sistemi di IA in funzione del rischio.
La Svizzera ha invece scelto di partire dal diritto esistente e di intervenire con nuove norme laddove emergano lacune concrete, privilegiando, per quanto possibile, soluzioni settoriali e tecnologicamente neutrali e il Consiglio federale ha formalizzato questa impostazione il 12 febbraio 2025.
La Convenzione del Consiglio d’Europa sull’IA come riferimento per la futura evoluzione normativa
Un passaggio decisivo per l’evoluzione del quadro svizzero è rappresentato dalla Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale e i diritti umani, la democrazia e lo Stato di diritto, primo trattato internazionale giuridicamente vincolante dedicato all’IA. La Convenzione è costruita su un approccio tecnologicamente neutrale e mira a garantire che le attività svolte lungo il ciclo di vita dei sistemi di IA siano compatibili con i diritti fondamentali, la democrazia e lo Stato di diritto, senza impedire il progresso tecnologico e l’innovazione.
La Svizzera ha firmato la Convenzione il 27 marzo 2025 e, al 18 agosto 2026, il processo interno di ratifica non risulta ancora concluso.
Il Consiglio federale ha incaricato il DFGP – Dipartimento federale di giustizia e polizia, insieme agli altri dipartimenti competenti, di predisporre entro la fine del 2026 un progetto da sottoporre a consultazione. Il progetto dovrà individuare gli adeguamenti legislativi necessari soprattutto nei settori della trasparenza, protezione dei dati, non discriminazione e supervisione. Parallelamente dovrà essere sviluppato un piano per misure non legislative, come soluzioni settoriali e dichiarazioni volontarie di impegno.
È quindi più corretto parlare non di una futura «legge svizzera sull’IA» modellata sull’AI Act, ma di un percorso legislativo volto all’attuazione della Convenzione del Consiglio d’Europa, accompagnato da adeguamenti del diritto esistente, interventi settoriali e strumenti di soft law.
Un sistema già regolato per settori
Il quadro svizzero può essere compreso osservando alcuni esempi concreti.
Particolarmente significativo è il caso della FINMA, Autorità federale indipendente competente per la vigilanza sui mercati finanziari.
Nella Guidance 08/2024 l’Autorità osserva espressamente che, anche in assenza di una normativa svizzera specifica sull’IA, i requisiti tecnologicamente neutrali già esistenti in materia di governance e gestione dei rischi finanziari coprono anche i rischi derivanti dall’impiego dell’intelligenza artificiale.
La FINMA verifica quindi, nell’ambito della vigilanza, l’esistenza di un inventario centralizzato delle applicazioni di IA, la loro classificazione in funzione del rischio, l’attribuzione delle responsabilità, i requisiti di testing, la documentazione, la formazione e i controlli sui fornitori esterni.
L’Autorità richiama inoltre l’attenzione sulla qualità dei dati, sulla possibilità che i dati storici riproducano bias nelle previsioni future, sulla robustezza e stabilità dei modelli e sulla necessità di test e monitoraggio continuo.
Anche Swissmedic, autorità svizzera competente per l’autorizzazione e la vigilanza sui prodotti terapeutici, segue una logica analoga; l’Autorità richiama i problemi legati a qualità dei dati, trasparenza dei modelli, controllo della qualità e bias e, nella valutazione degli elementi prodotti con l’impiego dell’IA, tiene conto degli orientamenti elaborati da organizzazioni e autorità internazionali quali WHO, ICH, IMDRF, EMA e FDA.
Il ruolo centrale della Legge sulla protezione dei dati
Tra le normative orizzontali già applicabili, un ruolo particolarmente importante è svolto dalla LPD, in vigore dal 1° settembre 2023.
L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha chiarito espressamente che la LPD è formulata in maniera tecnologicamente neutra e si applica quindi direttamente anche ai trattamenti di dati personali effettuati mediante sistemi di intelligenza artificiale.
Questo principio ha conseguenze operative rilevanti; infatti secondo l’IFPDT, produttori, fornitori e utilizzatori di sistemi di IA devono rendere trasparenti lo scopo del trattamento, il funzionamento dell’applicazione e le fonti dei dati utilizzati.
Quando un modello linguistico interagisce direttamente con una persona, l’utente deve inoltre poter sapere che sta comunicando con una macchina e deve essere informato quando i dati inseriti vengono utilizzati per migliorare sistemi autoapprendenti o per altre finalità.
L’IFPDT affronta anche il tema dei contenuti sintetici, affermando che l’utilizzo di programmi che consentono di falsificare volti, immagini o messaggi vocali riferibili a persone identificabili deve essere chiaramente indicato.
La norma, a differenza dell’AI Act, non impone una specifica tecnologia di marcatura: strumenti quali watermark, metadati o altre tecniche di identificazione possono rappresentare possibili soluzioni operative, ma ciò che rileva dal punto di vista giuridico è la trasparenza verso l’interessato.
Nei trattamenti suscettibili di comportare un rischio elevato per la personalità o i diritti fondamentali degli interessati entra inoltre in gioco la valutazione d’impatto sulla protezione dei dati (VIPD) prevista dalla LPD; l’IFPDT sottolinea che anche i trattamenti ad alto rischio supportati dall’IA possono essere leciti, purché siano accompagnati da adeguate misure di protezione e dalla preventiva valutazione degli impatti richiesta dalla legge.
Un ulteriore presidio riguarda le decisioni individuali automatizzate; in questo caso la LPD riconosce all’interessato specifiche garanzie quando una decisione che produce effetti giuridici o conseguenze significative viene presa esclusivamente attraverso un trattamento automatizzato, prevedendo, nei casi stabiliti dalla legge, il diritto di esprimere il proprio punto di vista e di chiedere il riesame della decisione da parte di una persona fisica.
Un esempio: il credit scoring IA in una banca svizzera
Immaginiamo che una banca svizzera introduca un sistema di IA destinato a elaborare un credit score del cliente e a supportare, o addirittura assumere automaticamente, una decisione sulla concessione di un finanziamento.
La banca non potrebbe limitarsi ad affermare: «L’AI Act non si applica in Svizzera, quindi attendiamo la futura normativa».
Le regole di compliance sono già oggi presenti. La LPD interviene sul trattamento dei dati personali, sulla trasparenza, sul profiling, sulle eventuali decisioni automatizzate e, quando il rischio è elevato, sulla necessità di una VIPD. Parallelamente, la FINMA Guidance 08/2024 impone di affrontare il problema sotto il profilo della governance, del rischio di modello, della qualità dei dati, dei bias, del testing, della spiegabilità e del controllo dei fornitori.
L’esempio mostra bene la logica del sistema svizzero: la regolazione dell’IA può derivare dall’interazione di più normative e autorità, senza essere necessariamente concentrata in un unico testo legislativo dedicato all’intelligenza artificiale.
Geneva AI Summit 2027: innovazione e fiducia
Il posizionamento politico della Svizzera emerge anche dalla preparazione del Geneva AI Summit 2027, che si svolgerà a Ginevra il 21 e 22 giugno 2027.
Il 12 agosto 2026 il Consiglio federale ne ha definito l’impostazione strategica e l’organizzazione, nominando Fabiola Gianotti, già Direttrice generale del CERN, quale delegata del Consiglio federale per il Summit.
Il claim scelto, «Bridging Innovation and Trust», sintetizza efficacemente l’approccio svizzero; le due direttrici individuate dal Consiglio federale sono, da un lato, l’utilizzo dell’IA come motore di innovazione, prosperità e progresso sociale e, dall’altro, la creazione delle condizioni necessarie per uno sviluppo e un utilizzo affidabili e responsabili dell’intelligenza artificiale.
Il Summit, naturalmente, non introduce nuovi obblighi giuridici. Esso rappresenta però un indicatore politico significativo: la Svizzera intende posizionarsi come luogo nel quale innovazione tecnologica e fiducia non vengono considerate obiettivi contrapposti, ma elementi da costruire congiuntamente.
Imprese svizzere e AI Act europeo: quando occorre guardare oltre confine
Per le imprese svizzere è utile distinguere due situazioni.
Impresa che opera esclusivamente in Svizzera
Il quadro di riferimento è costituito innanzitutto dalla LPD e dalle altre normative svizzere applicabili: disciplina settoriale, diritto del lavoro, regole antidiscriminatorie, tutela dei consumatori e altre disposizioni pertinenti al caso concreto. A queste si aggiungeranno, in prospettiva, gli adeguamenti necessari per l’attuazione della Convenzione del Consiglio d’Europa.
Non è pertanto necessario applicare volontariamente tutte le disposizioni dell’AI Act europeo come se fossero diritto svizzero. Occorre invece individuare con precisione quali obblighi derivano già dal diritto nazionale e dalle regole del settore nel quale l’organizzazione opera.
Impresa svizzera che opera anche nell’Unione europea
La situazione cambia quando esiste un collegamento rilevante con il mercato europeo.
In questo caso occorre effettuare uno scope assessment dell’AI Act, perché il Regolamento europeo prevede espressamente anche ipotesi di applicazione a soggetti stabiliti in Paesi terzi.
Questo caso emerge, ad esempio, quando un provider immette sul mercato o mette in servizio un sistema di IA nell’Unione oppure, in determinate circostanze, quando provider o deployer stabiliti in un Paese terzo utilizzano sistemi il cui output è utilizzato nell’UE.
Essere una società svizzera non significa quindi essere automaticamente esclusi dall’AI Act.
È un errore concettualmente simile a quello già conosciuto nell’applicazione territoriale del GDPR: la sede dell’impresa è soltanto uno degli elementi da esaminare; occorre verificare concretamente l’attività svolta, il mercato interessato, il ruolo assunto rispetto al sistema di IA e il luogo nel quale il sistema o il suo output vengono utilizzati.
Come costruire oggi una governance dell’IA per un’impresa svizzera
Da un punto di vista operativo, sarebbe poco efficiente costruire una «AI compliance svizzera» completamente separata da quella europea; per le organizzazioni che operano in contesti internazionali è preferibile adottare un AI Governance Framework modulare, capace di adattarsi ai diversi ordinamenti.
Un primo livello può essere definito Base Svizzera e comprende LPD, trasparenza, privacy by design, decisioni automatizzate, sicurezza, VIPD quando necessaria e normativa settoriale.
Un secondo livello può essere rappresentato dall’Overlay UE: quando esiste un collegamento rilevante con l’Unione europea, al framework vengono aggiunti la classificazione e gli obblighi derivanti dall’AI Act, il GDPR e le eventuali discipline europee di settore.
Il terzo livello può essere definito Future Proofing e incorpora già oggi i principi destinati ad assumere crescente importanza nell’attuazione della Convenzione del Consiglio d’Europa: tutela dei diritti fondamentali, trasparenza, accountability, non discriminazione, supervisione e valutazione dei rischi e degli impatti. La Convenzione è infatti deliberatamente costruita in termini tecnologicamente neutrali proprio per poter accompagnare l’evoluzione futura dei sistemi di IA.
Conclusioni
Il caso svizzero dimostra che regolamentare l’intelligenza artificiale non significa necessariamente adottare un’unica legge generale dedicata all’IA.
La Svizzera sta seguendo un percorso differente da quello dell’Unione europea: diritto tecnologicamente neutrale, forte ruolo delle autorità settoriali, autoregolamentazione e interventi legislativi mirati, ai quali si aggiungerà l’attuazione della Convenzione del Consiglio d’Europa.
Per le imprese, la conseguenza pratica è che non è corretto né applicare automaticamente l’AI Act europeo a tutte le attività svolte in Svizzera, né attendere passivamente una futura “AI Law” svizzera.
L’AI compliance è quindi già oggi una realtà; occorre partire dalla LPD e dalla normativa settoriale applicabile, verificare l’eventuale portata extraterritoriale dell’AI Act e costruire sistemi di governance in grado di adattarsi progressivamente all’evoluzione del quadro normativo.
La vera peculiarità del modello svizzero potrebbe essere sintetizzata così: non una regolazione unica dell’intelligenza artificiale, ma una governance dell’IA costruita progressivamente attraverso diritto vigente, vigilanza settoriale, responsabilità organizzativa e fiducia.
