La gestione dei dati in Svizzera non è più una semplice questione tecnica di storage e backup, bensì una priorità strategica che interseca diritto, geopolitica e competitività economica. Con l'entrata in vigore della nuova legge sulla protezione dei dati (nLPD), le normative settoriali sempre più stringenti come quelle della FINMA per le istituzioni finanziarie e le voci sulla valutazione di una possibile adozione dell’AI Act anche in territorio elvetico, le aziende svizzere si trovano di fronte a una domanda fondamentale: dove risiedono i dati, chi li controlla e qualcuno li sta usando anche per allenare modelli di AI? 

Residenza VS sovranità: comprendere la differenza  

Il primo passo per comprendere la sfida della governance dei dati è distinguere tra due concetti spesso utilizzati come sinonimi ma profondamente diversi: data residency e data sovereignty. 

La residenza dei dati riguarda la loro collocazione fisica. Se i server che ospitano le informazioni aziendali si trovano in un data center a Zurigo, quei dati "risiedono" in Svizzera. È una questione geografica, tangibile, verificabile attraverso certificazioni infrastrutturali. 

Per anni, molte organizzazioni hanno considerato la residenza come sufficiente: se i dati sono fisicamente in Svizzera, sono protetti dalla legislazione elvetica. Questa convinzione, però, si scontra con una realtà giuridica spesso più complessa. 

La sovranità dei dati riguarda invece la giurisdizione legale su di essi. A quali leggi sono soggetti? Chi ha il diritto legale di accedervi? E qui emerge un problema fondamentale: la residenza non garantisce la sovranità. 

Ad esempio, un'azienda svizzera può affidare i propri dati a un provider Cloud globale con data center in Svizzera, rispettando quindi la residenza fisica. Ma se quel provider è una società statunitense, i dati rimarranno soggetti alla legge federale USA, che consente alle autorità americane di richiedere l'accesso a dati controllati da aziende statunitensi, indipendentemente da dove questi dati risiedano fisicamente. 

In altre parole: un data center a Zurigo gestito da un'azienda americana non offre protezione giuridica contro richieste provenienti da Washington. La sovranità dei dati può essere compromessa dalla nazionalità del fornitore di servizi, non dalla geografia dei server. 

Le aziende non possono più limitarsi a dichiarare che "i dati sono in Svizzera". Devono dimostrare che i dati sono sotto esclusiva giurisdizione elvetica, immuni da richieste extraterritoriali di governi stranieri. 

I rischi delle Big Tech d’oltreoceano 

L'espansione in Svizzera dei colossi tecnologici dell'analisi dati e dell'intelligenza artificiale rappresenta un caso molto attuale dei potenziali rischi connessi alla dipendenza tecnologica da fornitori stranieri.  

Nonostante questi player affermino di operare come "semplici subappaltatori” e di non addestrare i propri modelli AI sui dati dei clienti e mantenere gli ambienti isolati, permangono diversi rischi, come quello di ingerenza extraterritoriale e una generale incertezza giuridica, in caso di conflitto tra obblighi contrattuali verso clienti svizzeri e obblighi legali verso altri governi stranieri. Questo si potrebbe tradurre in conseguenza negative a livello reputazionale, tra potenziale violazione di normative e anche una certa ambiguità “etica” per le imprese nazionali. 

La risposta svizzera: verso un'AI sovrana 

In risposta a queste criticità, sta emergendo un modello alternativo di Private AI svizzera, di cui noi come Artificialy siamo parte attiva, con una proposta di valore che si fonda su una garanzia che nessun player globale può offrire: la certezza giuridica della sovranità dei dati. 

Un bellissimo esempio nazionale di questo approccio è il progetto Apertus, il primo modello di intelligenza artificiale aperto, trasparente e multilingue della Svizzera, a cura di EPFL, ETH di Zurigo e CSCS. 

Anche Artificialy lavora con modelli open source, per consentire alle aziende di scegliere modelli AI privati e locali, invece di dipendere da GPT o Claude, di avere un grado di customizzazione totale delle soluzioni e un approccio privacy-by-design, mantenendo la proprietà intellettuale sui modelli addestrati con dati aziendali. 

La soluzione più radicale alla questione della sovranità è l'installazione on-premises. La nostra Private AI Suite, ad esempio, permette di installare modelli di intelligenza artificiale direttamente sui server fisici del cliente, all'interno del perimetro di sicurezza aziendale. Un altro ottimo esempio è il passo concreto verso la sovranità digitale e la protezione dei dati sensibili dei cittadini fatto di recente dal Canton Ticino. Il Centro sistemi informativi (CSI) ha infatti implementato un nuovo sistema di traduzione automatica basato su Apertus, il modello linguistico svizzero open source sviluppato nell’ambito della «Swiss AI Initiative» da ETH Zürich, EPFL e dal Centro Nazionale di Supercalcolo Svizzero (CSCS). Si tratta, di fatto, del primo utilizzo operativo di Apertus da parte di un ente pubblico svizzero. La soluzione, che abbiamo sviluppato, è ospitata sull'infrastruttura del CSI, e garantisce il pieno controllo su tutti i dati. 

Questo approccio offre vantaggi inequivocabili, tra cui controllo fisico totale, poiché i dati non lasciano mai l'infrastruttura del cliente, e conformità garantita, ideale per amministrazioni pubbliche e settori altamente regolamentati, come sanità e finanza 

L'on-prem elimina il rischio alla radice: se i dati non attraversano mai confini fisici o giuridici, non possono esistere zone grigie a livello normativo, e non possono essere utilizzati per re-traininig. 

Non tutte le organizzazioni, però, possono o vogliono gestire infrastrutture locali. Per questi casi, la soluzione è il cosiddetto Swiss Hosting certificato, ossia data center 100% svizzeri, gestiti da proprietari svizzeri, a garanzia che l'intera catena, dall'hardware alla governance aziendale, rimanga sotto giurisdizione elvetica. 

Artificialy si appoggia a partner specializzati che offrono questo modello garantito, che combina la flessibilità del Cloud con la certezza giuridica della sovranità nazionale.