El 28 de octubre de 2026, el Consejo Federal suizo hizo balance de la regulación de la inteligencia artificial: las normas vinculantes están en preparación y la consulta debe abrirse en la primavera de 2027. ¿Hay que esperar a esa ley para usar la IA en su empresa? No. Cuando hay datos personales de por medio, la ley suiza de protección de datos (LPD), vigente desde el 1 de septiembre de 2023, ya se aplica a la IA, y basta para saber lo que una pyme debe hacer hoy.
Lo esencial
- Suiza todavía no tiene una ley propia sobre la IA. El 12 de febrero de 2025, el Consejo Federal decidió ratificar el convenio del Consejo de Europa sobre la IA; la consulta sobre las normas vinculantes está prevista para la primavera de 2027.
- Mientras tanto, el Comisionado Federal de Protección de Datos (PFPDT) lo recuerda: la LPD es «directamente aplicable» a los tratamientos de datos realizados con IA.
- En la práctica, cuentan cinco obligaciones: el registro de actividades de tratamiento, la evaluación de impacto cuando el riesgo es alto, la información a las personas, el contrato con el proveedor y el lugar adonde van los datos.
- La elección técnica forma parte del cumplimiento: un modelo que funciona en un servidor que usted controla, en Suiza, no envía sus datos ni a un proveedor de IA ni al extranjero.
- Este artículo no es asesoramiento jurídico: para datos sensibles o cubiertos por un secreto profesional, haga validar su elección por un abogado.
Qué está pasando: la ley suiza de protección de datos y la IA, y una ley en preparación
Las nuevas normas: no antes de la consulta de 2027
El 12 de febrero de 2025, el Consejo Federal decidió ratificar el convenio del Consejo de Europa sobre inteligencia artificial. Encargó al Departamento Federal de Justicia y Policía un proyecto para someterlo a consulta, señalando que Suiza no dispone por ahora de una legislación propia en la materia. La Oficina Federal de Justicia trabaja en ello: el proyecto debe abordar la transparencia, la protección de datos, la no discriminación y la supervisión.
El 28 de octubre de 2026, el Consejo Federal tomó conocimiento de los avances. Se perfilan dos vías. Por un lado, medidas vinculantes elaboradas por la Oficina Federal de Justicia, que incluyen también la evaluación de riesgos; según el comunicado, la apertura de la consulta está prevista para la primavera de 2027. Por otro, medidas no vinculantes coordinadas por la Oficina Federal de Comunicaciones: directrices, normas sectoriales y compromisos voluntarios, con una guía para ayudar a cada sector a redactar sus propios códigos.
El contenido exacto de las futuras normas no se ha publicado. Todo lo que se escribe hoy sobre sus detalles es una suposición, y no voy a sumar otra.
La regla actual: la LPD ya se aplica
El PFPDT es claro. La LPD es neutra desde el punto de vista tecnológico; por eso es directamente aplicable cuando se usa la IA para tratar datos. De ahí saca exigencias precisas: quienes fabrican, suministran o utilizan una IA deben indicar con transparencia su finalidad, su funcionamiento y sus fuentes de datos; las personas tienen derecho a saber si se comunican con una máquina; y para los tratamientos de alto riesgo, la ley exige una evaluación de impacto. Lo repitió el 28 de enero de 2026, en el Día de la Protección de Datos: la IA generativa no está sujeta a la LPD como tal, pero lo está en cuanto trata datos personales.
Qué cambia para usted
Para una pyme, la IA no trae un régimen aparte: incorpora una herramienta nueva a obligaciones que ya existen. Estas son las que más cuentan, artículo por artículo.
- El registro de actividades de tratamiento (art. 12 LPD). Describe, para cada tratamiento, la finalidad, las categorías de datos y de personas, los destinatarios y, si hay comunicación al extranjero, el país y las garantías. Las empresas de menos de 250 empleados están exentas, salvo que traten datos sensibles a gran escala o hagan perfiles de alto riesgo (art. 24 OPDo). Aunque esté exento, llevarlo para sus usos de la IA sigue siendo la forma más sencilla de saber adónde van sus datos.
- La evaluación de impacto (art. 22 LPD). Obligatoria antes de un tratamiento que pueda suponer un riesgo alto, «en particular cuando se recurre a nuevas tecnologías». Describe el tratamiento, evalúa los riesgos y enumera las medidas previstas. Un asistente que filtra candidaturas o analiza historiales médicos es un candidato evidente.
- El deber de informar (art. 19 y 21 LPD). Sus clientes y empleados deben saber para qué sirven sus datos y a quién se transmiten, incluido en qué país. Si una decisión que les afecta de forma significativa la toma únicamente un sistema automatizado, debe decírselo, y pueden pedir que la revise una persona.
- El proveedor y el lugar del tratamiento (art. 9 y 16 LPD). Un servicio de IA en línea suele ser un encargado del tratamiento: hace falta un contrato, y sus servidores en el extranjero exigen un país reconocido como adecuado o garantías apropiadas. Traté este punto, y el secreto profesional, en el artículo sobre el shadow AI.
- La protección desde el diseño (art. 7 LPD). El tratamiento debe limitarse, por defecto, a lo necesario. Enviar un expediente completo a una IA para extraer una fecha no lo es.
Las sanciones se dirigen a las personas, no solo a la empresa: multas de hasta 250 000 francos, previa denuncia, para quien omita intencionadamente informar, comunique datos al extranjero sin garantías o confíe un tratamiento a un encargado fuera de las condiciones legales (art. 60 y 61 LPD).
Lo que he aprendido
En mis propias instalaciones, hay una pregunta que lo decide todo: qué dato va adónde. Y la respuesta no es la misma para todo.
En mi infraestructura domótica, el reconocimiento y la síntesis de voz funcionan en local, sin conexión; el asistente busca en documentos guardados en mi casa, y solo el razonamiento complejo sale hacia una API externa. Para mi trabajo diario, mis agentes de IA funcionan con Claude Code, un servicio de Anthropic: una parte de mis datos sale, por tanto, hacia un proveedor, mientras que los servidores que los alojan, mi ERP y la memoria de mis agentes están en Suiza. Describí esta instalación en claudeVPS.
Es una elección que hago para mis propios datos, conociendo las condiciones del proveedor. Para expedientes de clientes cubiertos por el secreto profesional, o datos de salud, haría la otra: un modelo que funciona en un servidor que usted controla, y nada sale. Es la regla que aplico cuando instalo una IA para un cliente: modelos locales cuando la confidencialidad lo exige, API externas cuando es aceptable, y una lista escrita de lo que va adónde. Esa lista ya es la mitad del registro.
Qué hacer en concreto
1. Hacer el inventario de sus usos de la IA
Qué herramientas, para qué tareas, con qué datos: clientes, empleados, candidatos, pacientes. Incluya las funciones de IA añadidas discretamente a los programas que ya usa, como el correo, el CRM o el procesador de textos.
2. Anotar, para cada uso, adónde van los datos
El proveedor, su contrato, el país del tratamiento y si sus datos sirven para entrenar sus modelos. Si está exento del registro, basta con una página por herramienta; si no, complete el registro existente.
3. Identificar los usos de alto riesgo
Datos sensibles (salud, opiniones, datos biométricos, procedimientos penales), decisiones sobre personas, elaboración de perfiles. Para estos casos, redacte una evaluación de impacto antes de empezar, no después.
4. Elegir el lugar del tratamiento según la sensibilidad
Una API con contrato para lo que puede salir; un modelo local, en su servidor, para lo que no debe salir. Ambos conviven muy bien, siempre que la regla esté escrita de antemano.
5. Actualizar su declaración de protección de datos
Mencione el uso de la IA, los destinatarios y los países. Si un chatbot responde a sus clientes, dígales que hablan con una máquina.
6. Reservar una cita en la primavera de 2027
Cuando se abra la consulta, compare su inventario con el proyecto publicado. Si ha hecho los cinco pasos anteriores, tendrá sobre todo ajustes que hacer.
Preguntas frecuentes
¿Una pequeña empresa debe llevar un registro?
Con menos de 250 empleados, en principio no, salvo datos sensibles a gran escala o perfiles de alto riesgo (art. 24 OPDo). En cambio, el deber de informar, el contrato con el encargado y las reglas sobre el extranjero se aplican a empresas de cualquier tamaño.
¿Está prohibido usar ChatGPT o Claude en Suiza?
No. Está permitido si cumple la LPD: un contrato adecuado, garantías para el extranjero, información a las personas afectadas y ningún secreto profesional que lo impida. Para un caso sensible, consulte a un abogado.
¿Se me aplica el reglamento europeo de IA?
Depende de sus actividades en la Unión Europea, y es una pregunta para un abogado. Este artículo trata del derecho suizo.
Para ir más lejos
Instalo una IA que se queda en su empresa cuando la confidencialidad lo exige, y documento lo que sale cuando es aceptable. Las guías de mi servidor de IA personal detallan la pila técnica. Para hablar de su caso: una llamada de 20 minutos.
Fuentes
- Le Conseil fédéral prend connaissance de l'avancement de la réglementation en matière d'IA, Consejo Federal suizo, comunicado del 28 de octubre de 2026 (en francés).
- Intelligence artificielle (Inteligencia artificial), Oficina Federal de Justicia, página actualizada (decisión del 12 de febrero de 2025), consultada el 10 de noviembre de 2026.
- IA et protection des données (IA y protección de datos), PFPDT, 24 de septiembre de 2025.
- Journée de la protection des données 2026 (Día de la Protección de Datos 2026), PFPDT, 28 de enero de 2026.
- Ley federal de protección de datos (LPD), RS 235.1, art. 7, 9, 12, 16, 19, 21, 22, 60 y 61, Confederación Suiza, vigente desde el 1 de septiembre de 2023 (en francés).
- Ordenanza de protección de datos (OPDo), RS 235.11, art. 24, Confederación Suiza, vigente desde el 1 de septiembre de 2023 (en francés).
Foto de portada: Vitaly Gariev / Unsplash, licencia Unsplash.
Etiquetas: LPD suiza, inteligencia artificial, protección de datos, Suiza, PFPDT, IA local