Índice +
Un empleado pega el correo de un cliente en ChatGPT para preparar la respuesta. Otro le sube una hoja de pedidos para sacar un resumen. Es práctico y rápido, y en muchas empresas nadie lo ha decidido de verdad. Luego llega la pregunta: ¿lo permite la nueva Ley suiza de protección de datos, la nLPD?
La respuesta corta: sí, la IA está permitida, pero las reglas que se aplican a sus datos no desaparecen porque los trate una herramienta de IA. Esto es lo que conviene saber, sin jerga.
No hay ley especial: se aplica la nLPD
Suiza no tiene, por ahora, una ley propia de la inteligencia artificial. El Encargado federal de protección de datos (PFPDT) lo ha recordado: la nLPD, en vigor desde el 1 de septiembre de 2023, se aplica directamente a los tratamientos hechos con IA. En cuanto una herramienta recibe un nombre, una dirección, un correo o un expediente de cliente, son datos personales, y la ley se aplica como a cualquier otro software.
Los cinco puntos que hay que comprobar
- Adónde van los datos. Muchas herramientas de IA tratan los datos fuera de Suiza. Es posible hacia los países que la Confederación reconoce con una protección adecuada, o con garantías contractuales. Aun así hay que saber dónde está el servidor, y no siempre está escrito con claridad.
- Qué hace el proveedor con ellos. Algunas ofertas gratuitas o de consumo pueden usar lo que usted escribe para mejorar sus modelos. Las ofertas profesionales suelen excluirlo por contrato. El proveedor es entonces un encargado del tratamiento: hace falta un contrato que diga qué puede hacer, y nada más.
- Qué saben sus clientes. La nLPD obliga a informar a las personas cuyos datos trata. Si la IA interviene en el tratamiento, su política de privacidad debe decirlo, y si un chatbot atiende a sus clientes, deben saber que hablan con una máquina.
- Quién decide. Una decisión tomada solo por la máquina y con efectos importantes para una persona (rechazar una candidatura, un crédito, un expediente) debe comunicarse, y la persona puede pedir que la revise un humano. Lo más sencillo: mantener una validación humana en lo que importa.
- Qué es sensible. Salud, datos financieros detallados, expedientes del personal: con estos datos, un tratamiento de alto riesgo puede exigir una evaluación de impacto por escrito antes de empezar. En caso de duda, estos datos no van a una herramienta de consumo.
Lo que una empresa puede hacer esta misma semana
- Hacer la lista de las herramientas de IA que ya se usan, incluidas las que los empleados han adoptado por su cuenta. No se protege lo que no se conoce.
- Escribir una norma de uso de una página: qué herramientas, para qué y qué datos no deben entrar nunca.
- Pasar a cuentas profesionales en las herramientas que se quedan, con el entrenamiento desactivado y un contrato de encargo del tratamiento.
- Actualizar la política de privacidad de su web si la IA trata datos de sus clientes.
- Quitar los nombres cuando no sirven. Para resumir un intercambio o reformular un texto, la IA muchas veces no necesita saber de quién se trata.
Las sanciones de la nLPD se dirigen a las personas responsables, no solo a la empresa: las multas pueden llegar a 250.000 francos por el incumplimiento intencionado de ciertos deberes, como el de informar. Razón de más para que la norma esté escrita y no se dé por supuesta.
Una IA construida para sus datos
Cuando la IA toca datos de clientes todos los días (leer facturas, clasificar solicitudes, preparar respuestas), la solución más segura suele ser no pasar por una herramienta de consumo. Una automatización a medida puede alojarse en Suiza, usar un modelo elegido según dónde trata los datos, transmitir solo lo necesario y dejar constancia de cada tratamiento.
Así construimos nuestras automatizaciones y agentes de IA: cada flujo de datos se describe por escrito, para su registro y para responder a sus clientes. Un ejemplo concreto: la automatización de facturas de proveedores. Para saber por dónde empezar sin arriesgar nada, el diagnóstico de procesos identifica qué vale la pena automatizar, y cómo hacerlo bien.
Este artículo da orientaciones generales y no sustituye un asesoramiento jurídico para su caso.