IA en la pyme: lo que exige la ley suiza de protección de datos

En resumen

La nueva Ley Federal suiza de Protección de Datos (nLPD) está en vigor desde el 1 de septiembre de 2023. Está formulada de forma tecnológicamente neutra y, por tanto, también se aplica a la IA. El Comisionado Federal de Protección de Datos y Transparencia (FDPIC) ha dejado claro que la ley vigente es directamente aplicable a los tratamientos de datos con IA. Así que no hace falta una nueva ley de IA para que existan obligaciones.

Para una pyme, esto no significa renunciar a la IA, sino aclarar algunas cosas antes de usarla.

Pregunta 1: ¿qué datos introduzco?

Lo más sencillo es que no llegue ningún dato personal a una herramienta de IA. Escribir un texto publicitario o una plantilla general no plantea problemas. Distinto es si pega correos de clientes, presupuestos con nombres o expedientes de personal.

Son especialmente delicados los llamados datos personales sensibles, como los datos de salud o la información sobre creencias religiosas. No deben introducirse en una herramienta de IA de libre acceso.

Pregunta 2: ¿dónde se tratan los datos?

Muchos proveedores de IA tratan los datos en EE. UU. o en otros países. La nLPD permite comunicarlos al extranjero si allí existe una protección de datos adecuada. El Consejo Federal establece en una lista qué países la ofrecen. En el caso de EE. UU., solo se aplica a las empresas certificadas conforme al Swiss-U.S. Data Privacy Framework.

Con otros proveedores se necesitan garantías adicionales, normalmente cláusulas contractuales tipo. Compruebe, por tanto, dónde tiene su sede el proveedor y qué contratos ofrece.

Pregunta 3: ¿puede el proveedor entrenar sus modelos con mis datos?

En las versiones gratuitas, muchos proveedores se reservan el derecho a usar lo que se introduce para mejorar sus modelos. Las versiones Business y Enterprise suelen excluirlo por contrato y ofrecen un contrato de encargo de tratamiento.

Un contrato así es importante: cuando un proveedor externo trata datos personales por encargo suyo, su empresa sigue siendo responsable y debe asegurarse de que solo los trate como usted mismo podría hacerlo.

Pregunta 4: ¿lo saben las personas afectadas?

La nLPD exige transparencia. Quien recoge datos personales debe informar a las personas afectadas, en la práctica normalmente mediante la política de privacidad. Si empieza a usar herramientas de IA con datos de clientes, debe indicarlo ahí, incluidos los países a los que se envían los datos.

Si una IA toma por sí sola decisiones con consecuencias importantes para una persona, como un rechazo automático, se debe informar a las personas afectadas y estas deben poder exponer su punto de vista si lo desean.

Lista de comprobación para su pyme

• Registre qué herramientas de IA se usan ya en su empresa, también a título privado.
• Para el trabajo, utilice versiones empresariales con cuentas de la empresa, no cuentas privadas gratuitas.
• Compruebe la ubicación de los servidores, el contrato de encargo de tratamiento y la renuncia al entrenamiento.
• Establezca en una breve directriz de IA qué datos pueden ir a qué herramientas.
• Complete su política de privacidad.
• Haga que una persona revise siempre los resultados importantes.

¿Y si se ignora?

La nLPD prevé multas de hasta 250 000 CHF, por ejemplo por incumplir de forma intencionada el deber de información. Una particularidad suiza: se multa en primer lugar a las personas responsables, no a la empresa. Igual de grave es la pérdida de confianza cuando los datos de clientes acaban donde no deben.

Este artículo ofrece una visión general y no sustituye el asesoramiento jurídico. Para obtener información vinculante sobre su caso, consulte a un especialista en derecho de protección de datos.