nLPD suiza e IA generativa: soberanía, transferencias y secretos

En Suiza, la discreción forma parte de la identidad económica del país. Bancos privados en Ginebra, sedes de grupos farmacéuticos en Basilea, gestores de patrimonio en Zúrich y Lugano: la confianza de los clientes descansa en la certeza de que su información se queda donde debe. La IA generativa sacude esa certeza.

Cuando un analista pega un extracto de cliente en ChatGPT o una investigadora resume un protocolo con un asistente en línea, los datos suelen salir de Suiza. La cuestión ya no es solo técnica. Afecta a la soberanía de los datos, al derecho suizo y a los secretos profesionales que protegen sectores enteros.

La nLPD ya se aplica a la IA

La nueva Ley Federal de Protección de Datos (nLPD) entró en vigor el 1 de septiembre de 2023. Se redactó con neutralidad tecnológica. El Comisionado Federal de Protección de Datos e Información (FDPIC) lo recordó en noviembre de 2023 y de nuevo en una actualización publicada en mayo de 2025: la ley se aplica directamente a los tratamientos de datos asistidos por IA.

En la práctica, el FDPIC espera de fabricantes, proveedores y usuarios de sistemas de IA:

• transparencia sobre la finalidad, el funcionamiento y las fuentes de datos del tratamiento;

• que las personas sepan cuándo hablan con una máquina y si lo que escriben sirve para entrenar el sistema;

• respeto del derecho a oponerse a un tratamiento automatizado y a pedir que una persona revise una decisión individual automatizada;

• una evaluación de impacto relativa a la protección de datos cuando el riesgo es alto.

El FDPIC cita además usos contrarios a la ley, como el reconocimiento facial generalizado en tiempo real o la puntuación social.

Transferencias al extranjero: el verdadero tema de soberanía

La mayoría de los asistentes de IA para el gran público tratan los datos fuera de Suiza. Y la nLPD regula de forma estricta la comunicación de datos personales al extranjero. El principio: se permite la transferencia a un país que figure en la lista del Consejo Federal, en el anexo 1 de la Ordenanza de protección de datos. Si no, hacen falta garantías, como las cláusulas contractuales tipo reconocidas por el FDPIC, o una excepción prevista por la ley.

Desde el 15 de septiembre de 2024, Estados Unidos figura en esa lista, pero solo para las empresas certificadas en el marco del Swiss-US Data Privacy Framework. Una herramienta de IA cuyo proveedor no está certificado, o de la que no se sabe dónde aloja los datos, plantea por tanto un problema. La ley exige además informar a las personas cuando sus datos salen al extranjero. Lo analizamos en nuestro artículo sobre la IA soberana para los CISO europeos.

Secreto bancario y secreto profesional

Para algunos sectores, la nLPD es solo la primera capa. El secreto bancario está protegido por el artículo 47 de la Ley de Bancos, y su violación es un delito. El secreto profesional del artículo 321 del Código Penal suizo cubre, entre otros, a médicos, farmacéuticos y abogados. El Código Penal protege también el secreto de fabricación y el secreto comercial.

Estas obligaciones no desaparecen porque una herramienta sea práctica. Enviar el nombre de un cliente bancario, un historial médico o una formulación aún confidencial a un servicio de IA externo puede exponer a la empresa y, a veces, a la persona que lo hizo.

Banca y farma: lo que miran los supervisores

La FINMA publicó en diciembre de 2024 su comunicación de supervisión 08/2024 sobre la gobernanza de la IA. Espera que las entidades mantengan un inventario de aplicaciones de IA y gestionen los riesgos de datos y de terceros, y recuerda que la responsabilidad de las decisiones sigue siendo de la entidad, no de la herramienta ni del proveedor.

En el sector farmacéutico, los retos son algo distintos pero igual de sensibles: datos de ensayos clínicos, expedientes de autorización, datos de salud de pacientes, investigación no publicada. Una fuga puede afectar a la vez a la protección de datos, al secreto profesional y al valor de la propiedad intelectual.

¿Qué sanciones hay?

La nLPD prevé multas penales de hasta 250.000 francos suizos. Una particularidad suiza: en principio se dirigen a las personas físicas responsables, no a la empresa. Una violación de la seguridad de los datos que probablemente suponga un riesgo alto debe comunicarse al FDPIC lo antes posible. Los directivos tienen, por tanto, un interés muy personal en que se apliquen las normas sobre IA.

Mantener el control sin prohibir la IA

Prohibir ChatGPT no resuelve nada: los equipos usan el móvil o cuentas personales y el problema se vuelve invisible. Un enfoque más sólido combina cuatro elementos:

1. Un inventario de las herramientas de IA que se usan de verdad y de los países donde tratan los datos.

2. Una política clara que distinga datos públicos, internos, personales y protegidos por un secreto.

3. Un control en origen que detecte los datos sensibles antes de que salgan del puesto de trabajo.

4. Un registro que se pueda mostrar al FDPIC, a la FINMA o a un auditor.

Una solución de DLP para IA cubre los dos últimos puntos. Anonimiza nombres, números de cuenta o identificadores antes del envío gracias a la anonimización que preserva el formato, avisa o bloquea y registra cada incidente. Para un despliegue gradual, nuestro manual de despliegue en 90 días propone un método concreto.

Lo esencial

En Suiza, la IA generativa es ante todo una cuestión de soberanía. La nLPD se aplica plenamente a la IA, las transferencias al extranjero están reguladas y los secretos bancario y profesional añaden una capa penal. Las empresas que controlan lo que sale de sus puestos de trabajo pueden aprovechar la IA sin renunciar a la discreción en la que se basa su reputación.

¿Quiere ver cómo ZeusLock mantiene sus datos sensibles en Suiza mientras sus equipos usan la IA? Solicite una demo.