中小企业使用 AI：瑞士数据保护法有哪些要求

简而言之

修订后的瑞士《联邦数据保护法》（revFADP）自 2023 年 9 月 1 日起生效。它在技术上保持中立，因此同样适用于 AI。瑞士联邦数据保护和信息专员（FDPIC）已明确指出，现行法律可直接适用于借助 AI 进行的数据处理。因此，无需等待新的 AI 法律，相关义务就已经存在。

对中小企业而言，这并不意味着要放弃 AI，而是要在使用之前先弄清几件事。

问题 1：我输入的是哪些数据？

最简单的情况是根本不让个人数据进入 AI 工具。撰写广告文案或通用模板没有问题。但如果您粘贴的是客户邮件、带有姓名的报价或员工档案，情况就不同了。

所谓需要特别保护的个人数据尤其敏感，例如健康数据或有关宗教信仰的信息。这些数据不应输入任何公开可用的 AI 工具。

问题 2：数据在哪里处理？

许多 AI 服务商在美国或其他国家处理数据。如果当地的数据保护水平足够，revFADP 允许将数据传输到国外。哪些国家符合条件，由瑞士联邦委员会以清单形式确定。对于美国，这只适用于通过 Swiss-U.S. Data Privacy Framework 认证的公司。

对于其他服务商，则需要额外的保障措施，通常是标准合同条款。因此，请核实您的服务商位于何处以及提供哪些合同。

问题 3：服务商可以用我的数据训练模型吗？

在免费版本中，许多服务商保留使用用户输入来改进其模型的权利。企业版通常会在合同中排除这一点，并提供数据处理协议。

这样的协议非常重要：如果外部服务商受您委托处理个人数据，贵公司仍须承担责任，并必须确保服务商处理数据的方式不超出您自己被允许的范围。

问题 4：当事人知情吗？

revFADP 要求透明。收集个人数据的一方必须告知当事人，实际中通常通过隐私政策告知。如果您开始在客户数据上使用 AI 工具，就应将此写入隐私政策，包括数据将被传输到哪些国家。

如果 AI 自主做出对个人有重大影响的决定（例如自动拒绝），必须告知当事人，并让其有机会根据要求陈述自己的意见。

中小企业核查清单

• 统计贵公司已经在使用哪些 AI 工具，包括私人使用的工具。
• 工作中使用企业账户的企业版，而不是私人免费账户。
• 核实服务器所在地、数据处理协议以及是否放弃用数据训练模型。
• 在一份简短的 AI 使用准则中规定哪些数据可以用于哪些工具。
• 补充完善您的隐私政策。
• 重要结果始终交由人工审核。

如果置之不理会怎样？

revFADP 规定的罚款最高可达 25 万瑞士法郎，例如故意违反告知义务时。瑞士的一个特点是：受罚的首先是负有责任的个人，而不是公司。而当客户数据流向不该去的地方时，所造成的信任损失至少同样严重。

本文仅提供一般性概述，不能替代法律咨询。如需针对您具体情况的权威意见，请咨询数据保护法方面的专业人士。