nLPD: la ley suiza ya se aplica a su IA

Muchas directivas suizas nos dicen: «no estamos en la UE, el RGPD es para otros». Falso en dos puntos.

Uno — en cuanto usted se dirige a clientes en la Unión, el RGPD puede aplicarse además.
Dos — para todo lo demás, la ley federal de protección de datos (LPD revisada, nLPD), en vigor desde el 1 de septiembre de 2023, ya está ahí. Y es tecnológicamente neutra.

El Preposito federal (PFPDT) lo ha repetido: esta ley se aplica directamente a tratamientos que pasan por IA. No hace falta esperar una «ley IA suiza». El Consejo Federal firmó la convención del Consejo de Europa; la consulta de textos de acompañamiento no es para mañana por la mañana. Mientras tanto, manda la LPD.

(El 28 de enero de 2026, Día de la protección de datos, el PFPDT volvió sobre los usos de IA generativa — el tema ya no es teórico.)

No es un «pequeño RGPD»

Los dos textos se parecen (finalidad, proporcionalidad, seguridad, derechos de acceso). Las diferencias que cuentan para una pyme de 12 personas:

	nLPD (Suiza)	RGPD (UE)
Autoridad	PFPDT	CNIL (Francia) y homólogos
Fuga a notificar	Riesgo elevado, «en los mejores plazos» (art. 24) — no un cronómetro automático de 72 h	72 h en principio (art. 33), salvo excepción
Sanciones	Multas penales sobre todo a personas (directivos), hasta 250 000 CHF, por denuncia, en caso de violación intencional de ciertos deberes (art. 60)	Multas administrativas contra el organismo (techos % facturación)
Registro de tratamientos	Obligatorio, con excepción posible si menos de 250 empleados y riesgo negligible (art. 12 + ordenanza)	Lógica parecida, excepción 250 también — documentar

Traducción office manager: en Suiza, «ya veremos si el PFPDT escribe» no es el plan. En ciertos incumplimientos (información, derecho de acceso, colaboración en una investigación), puede apuntarse al directivo. No por un error tipográfico. Por negativa voluntaria a informar o colaborar.

Y el registro: menos de 250 personas no exime si trata datos sensibles a gran escala o perfilado de alto riesgo. Un asistente IA conectado a todo el correo no es «negligible» por arte de magia. En caso de duda, mantenga el registro. Cabe en una hoja de cálculo.

La IA del día a día, vista por el PFPDT

En ejemplos prácticos, el Preposito insiste en el art. 6 LPD: licitud, buena fe, proporcionalidad, finalidad.

La trampa clásica: usted recogió correos para responder a clientes. Pegarlos en un chatbot estadounidense para «mejorar el modelo del proveedor» suele ser un cambio de finalidad. Hay que justificarlo — consentimiento o motivo previsto en la ley. «Es práctico» no lo es.

Misma idea que RGPD / CNIL: la herramienta de consumo no es una caja fuerte. Los transferencias a EE. UU. siguen siendo un tema (marco Swiss–US, cláusulas, subcontratistas). Un datacenter «en algún sitio de Europa» no borra una matriz americana.

Lo que le pedimos esta semana

No un proyecto «conformidad 2028».

• Una frase escrita: ningún dato de cliente / colaborador en ChatGPT, Copilot de consumo, Gemini, Claude — hasta que haya encuadrado al subcontratista.
• Saber dónde corre la herramienta que conservará (Suiza, UE, EE. UU.) y quién puede ser obligado a entregarla.
• Poder borrar un índice si alguien ejerce sus derechos.

AroBox está pensado para eso: datos e índice en su empresa; inferencia en infra privada Arobass en Suiza. Prueba 15 días, a presupuesto. DPA y contrato aparte.

Esto no es asesoramiento jurídico. Para un caso concreto: su asesor, o el PFPDT.

Solicitar una prueba — instalamos en su empresa, y la nLPD deja de ser una diapositiva «para más tarde».