L'intelligenza artificiale generativa non è un prodotto unico e sempre uguale. Esiste una differenza tecnica e legale fondamentale tra una versione consumer di un modello AI, ossia quella che usi personalmente e privatamente sul browser, con un account individuale per consumatori, e magari anche gratuitamente, e una versione progettata per l'uso professionale all'interno di un'azienda.

Questa distinzione non è una questione di opinione o di preferenza, ma è una questione di responsabilità legale, di protezione dei dati e di conformità alle normative sulla privacy vigenti sia in Svizzera che in Europa.

Capire dove si trova questo confine è il punto di partenza di qualsiasi strategia di adozione dell'AI sensata per una PMI ticinese o italiana.

Il problema reale: stai usando lo strumento sbagliato nel posto sbagliato

La maggior parte delle aziende ticinesi, dalle fiduciarie agli studi di ingegneria, dalle agenzie creative alle PMI industriali, hanno già iniziato ad adottare l'intelligenza artificiale.

Quasi sempre però lo fanno attraverso strumenti nati per i soli consumatori come per esempio: ChatGPT nella versione gratuita o a pagamento come la conoscono quasi tutti, Claude e Gemini con account gratuiti o a pagamento.

Questi sono tutti strumenti non adatti e spesso attivati dal singolo dipendente senza alcuna policy aziendale interna che sia adeguata.

Il problema non è l'entusiasmo, che è comprensibile e persino sano. Il problema è la struttura giuridica sottostante a questi strumenti.

Le versioni consumer non sono progettate per trattare dati aziendali: nomi di clienti, dati contabili, contratti, informazioni fiscali, corrispondenza riservata.

I termini d'uso di queste piattaforme potrebbero anche escluderlo esplicitamente. Se li usi per elaborare informazioni aziendali, stai violando le condizioni contrattuali e, in molti casi, anche la nLPD svizzera e il GDPR europeo.

L'errore più comune: pensare che sia un problema solo dei grandi

C'è una convinzione diffusa nelle PMI: "Siamo piccoli, nessuno ci controllerà mai."

È esattamente il tipo di ragionamento che non funziona più.

La nLPD, in vigore dal settembre 2023, non distingue tra grandi aziende e piccole realtà.

Distingue tra chi tratta dati personali in modo documentato e conforme e chi non lo fa, rischiando multi importanti e anche esistenziali.

Il vero rischio non è nemmeno un'ispezione. È la zona d'ombra operativa che si crea quando ogni dipendente usa ciò che vuole, come vuole, senza che l'azienda sappia quali dati escono dalla struttura e dove vanno a finire.

Non c'è policy scritta, non c'è base giuridica documentata, non c'è nessun accordo firmato con i fornitori di AI, non tutti adottano impostazioni che non permettono di addestrare i modelli AI sui prompt che inseriamo.

Questo non è un dettaglio tecnico, è un'esposizione concreta a rischi legali e reputazionali che nessuna PMI può permettersi di ignorare se vuole continuare a esistere anche in futuro.

La soluzione corretta: costruire le basi prima di adottare l'AI

Adottare l'intelligenza artificiale in modo conforme non significa rinunciare ai suoi benefici.

Significa costruire prima le fondamenta giuste. Esistono tre livelli di intervento, ognuno con caratteristiche diverse adatte a realtà di dimensioni diverse.

Il primo livello potrebbe essere quello di Microsoft Copilot 365 (licenza business).

Per le PMI ticinesi che già utilizzano l'ecosistema Microsoft, e sono molte, questa è la soluzione più accessibile e completa.

Microsoft Copilot 365 è integrato direttamente nelle applicazioni che già usi: Word, Excel, Outlook, Teams.

Il dato non esce dall'ambiente Microsoft del tuo account aziendale, il che significa che il trattamento avviene in un perimetro contrattualmente definito.

Microsoft fornisce un DPA (Data Processing Agreement) conforme al GDPR e compatibile con la nLPD, oltre a essere quasi uno standard a livello business, e inoltre il tenant è acquistabile e configurabile in modo da rispettare i requisiti di residenza dei dati in Italia o in Svizzera.

È una soluzione pensata esattamente per la dimensione della PMI che vuole adottare l'AI senza costruire un'infrastruttura da zero e perdersi in questioni tecniche che non governa.

Il secondo livello è l'AI locale, o offline, tramite strumenti come Ollama, GPT4All o soluzioni equivalenti.

Questa opzione permette di eseguire modelli linguistici (LLM) direttamente sul computer locale, senza che alcun dato venga inviato a server esterni.

Per i casi d'uso più sensibili, elaborazione di dati contabili, gestione di documenti riservati, supporto a processi amministrativi interni, l'AI offline elimina alla radice il problema del trasferimento di dati verso piattaforme terze.

Il limite è la potenza computazionale disponibile sul computer e la qualità dei modelli eseguibili localmente, che rimangono inferiori rispetto alle versioni cloud più avanzate. Ma per molti casi d'uso pratici, è una soluzione robusta e immediatamente conforme.

Il terzo livello è l'accesso tramite API alle AI cloud.

Le API di Claude, ChatGPT e altri strumenti AI permettono un utilizzo tecnicamente conforme, ma non sono uno strumento chiavi in mano.

Per essere usate correttamente richiedono la definizione precisa del caso d'uso, la mappatura dei flussi di dati, una valutazione delle implicazioni sulla privacy e l'integrazione di un DPA formale con il fornitore.

In più le API sono progettate per chi costruisce prodotti e servizi digitali. Per essere usate da un utente finale non tecnico devono appoggiarsi a strumenti terzi installabili localmente, come GPT4All, LM Studio, ecc, che fungono da interfaccia.

Questo approccio tramite strumenti terzi è valido e potente, ma comporta una perdita di alcune funzionalità presenti nelle interfacce cloud ufficiali, come certi plugin, la navigazione web integrata o le funzioni multimodali più avanzate. Non è quindi sempre la strada giusta per chi cerca semplicemente di lavorare meglio senza un team tecnico interno.

Le API invece sono spesso ottime per essere integrate direttamente all'interno di applicazioni o sistemi a uso aziendale interno compiendo specifiche attività documentate, come quella che mostro più avanti in questo articolo.

La procedura in cinque passi per una PMI ticinese che vuole adottare l'AI in modo corretto

Il percorso non è complesso se affrontato con metodo.

Questi sono i passi operativi da seguire:

• Primo, definire i casi d'uso interni: per cosa si vuole usare l'AI, in quale contesto, con quali tipologie di dati.
• Secondo, verificare quali dati personali o sensibili vengono coinvolti in quei flussi: nomi di clienti, informazioni contabili, dati di dipendenti o altro. Ricordati di documentare bene tutte le valutazioni e scelte fatte.
• Terzo, scegliere lo strumento adatto al caso d'uso: Copilot 365 per l'integrazione con l'ecosistema Office, AI offline per i flussi più sensibili, API con interfaccia locale per chi ha competenze tecniche interne.
• Quarto, assicurarsi di avere un DPA formale con il fornitore dello strumento cloud scelto: è un documento che definisce chi è responsabile del trattamento dei dati e con quali garanzie.
• Quinto, scrivere una policy aziendale interna: chi può usare cosa, in quale contesto, con quali dati. Non deve essere un documento complesso, bastano due pagine chiare per mettere l'azienda in una posizione difendibile, e nel contempo istruire adeguatamente i dipendenti sulle regole da seguire. Ricordati infine anche di aggiornare la privacy policy aziendale pubblica.

Un esempio concreto di trasformazione digitale

Pensa a una fiduciaria di cinque persone a Lugano.

Ogni giorno elaborano dati fiscali, bilanci aziendali, informazioni su persone fisiche e giuridiche.

Uno dei collaboratori inizia a usare ChatGPT gratuito per redigere lettere ai clienti, riassumere documenti, preparare bozze di dichiarazioni.

Lo fa in buona fede, per lavorare meglio. Ma incolla nomi, numeri di partita IVA o IBAN, dettagli contabili direttamente nella chat.

In questa situazione l'azienda sta trasferendo dati personali a una piattaforma consumer americana senza base giuridica documentata, senza un DPA integrato, senza che il titolare del trattamento lo sappia e spesso addestrando l'AI sullo scambio di risposte delle chat.

Se adottasse invece Microsoft Copilot 365, integrato direttamente in Outlook e Word, quegli stessi flussi di lavoro diventerebbero conformi alla nLPD, con un DPA già in essere e i dati che rimangono nell'ambiente Microsoft in Italia o in Svizzera. Stesso risultato operativo, struttura legale completamente diversa.

Questo è l'esempio base dal quale partire per comprendere bene tutta la base.

Ecco invece come ho sviluppato su Banana Contabilità+ un sistema che permette di trasformare digitalmente il mio lavoro quotidiano:

• un sistema legge le fatture e ricevute della mia contabilità aziendale tramite strumenti che non fanno uso di AI.
• minimizza i dati presenti sulle fatture anonimizzando indirizzi postali, nomi e cognomi di persone citate sulle fatture, IBAN e indirizzi e-mail.
• passa a una AI offline o cloud i testi delle fatture minimizzate.
• genera una descrizione contabile per ogni fattura.
• fa il match a livello dati e semantico della fattura con la registrazione contabile presente su Banana e che ho registrato dopo aver importato l'estratto conto elettronico e avere registrato automaticamente tramite l'uso delle regole di Banana.
• allega la fattura alla registrazione contabile.
• e aggiunge la descrizione alla mia contabilità su Banana.

Se scelgo la AI offline il tempo richiesto è più alto, non ho bisogno di minimizzare i dati, ma nessun dato esce dal mio computer o dalla mia azienda.

Se scelgo una AI Cloud adeguata scelgo:

• una AI adeguata tramite l'uso di API.
• con un DPA formale valido.
• una privacy policy pubblicata sul sito e sempre aggiornata.
• di avere definito uno scopo specifico d'utilizzo e seguito una documentazione e valutazione di adozione.
• di avere minimizzato i dati extra che non mi servono a quello scopo specifico.
• di avere deciso una base giuridica adeguata e rilevante per quello che desidero ottenere.

Le versioni consumer degli strumenti AI non sono adatte all'uso aziendale: spesso violano i termini d'uso e la normativa sulla privacy.

Le soluzioni conformi per le PMI ticinesi e italiane sono tre: Microsoft Copilot 365 (integrato in Office, DPA incluso), AI offline tramite GPT4All o equivalenti (nessun dato esce dal dispositivo) e API con interfaccia locale (potente ma tecnico, e secondo la scelta potrebbe avere funzionalità cloud non disponibili). Prima di adottare qualsiasi strumento AI in azienda servono una policy aziendale interna, una base giuridica documentata e un DPA integrato o firmato con il fornitore.

Se vuoi capire quale soluzione è più adatta alla tua realtà e come costruire un'adozione AI conforme alla nLPD nel contesto svizzero, o al GDPR, scrivimi direttamente. Ti aiuto a tradurre tutto questo in un percorso concreto e su misura per la tua azienda.

Resta agile, continua a eccellere, guida il cambiamento.