Los riesgos de la IA en la empresa, en Suiza

Los riesgos relacionados con la IA en las empresas no son monolíticos. Se distribuyen en cuatro familias distintas, cada una con sus causas, sus consecuencias y sus palancas de control. Comprender este mapa es el primer paso antes de cualquier despliegue.

Suiza aún no dispone de una ley específica sobre IA. El enfoque adoptado es el de la neutralidad tecnológica: las leyes existentes se aplican. Esto significa que tres marcos legales regulan directamente el uso de la IA en las empresas.

La nueva Ley Federal de Protección de Datos (nLPD, en vigor desde septiembre de 2023) es directamente aplicable a los tratamientos realizados por IA. Impone transparencia sobre la finalidad y las fuentes de los datos, análisis de impacto en caso de riesgos elevados, y el derecho a la revisión humana de decisiones automatizadas (art. 21 nLPD). Las sanciones pueden alcanzar los 250'000 CHF y comprometen la responsabilidad personal de los directivos.

El Código de Obligaciones (art. 41 CO) obliga a la empresa usuaria a reparar cualquier daño causado por un sistema de IA que explote. La empresa es responsable, no el sistema. La Ley Federal sobre la Responsabilidad por Productos Defectuosos (LRFP) también puede aplicarse si la IA se califica como componente defectuoso.

El AI Act europeo, adoptado en marzo de 2024 y de aplicación progresiva hasta 2026, afecta directamente a las empresas suizas que operan en el mercado europeo o cuyos sistemas de IA se despliegan en la UE. Clasifica las IA en cuatro niveles de riesgo (inaceptable, elevado, limitado, mínimo) e impone obligaciones de documentación, auditoría y marcado CE para los sistemas de riesgo elevado.

La IA generativa produce resultados estadísticamente probables, no necesariamente exactos. El fenómeno de alucinación, en el que el modelo genera información falsa presentada con confianza, está documentado en todos los grandes modelos actuales. En un contexto profesional, esto puede traducirse en contratos mal redactados, análisis financieros erróneos, respuestas incorrectas a clientes o decisiones médicas deficientes.

La dependencia operacional es un riesgo frecuentemente subestimado. Cuando un proceso crítico depende por completo de un sistema de IA de un proveedor externo, una interrupción, una modificación de las condiciones de uso o un aumento de tarifas puede desorganizar la actividad. Sin plan de continuidad, la vulnerabilidad es estructural.

Un modelo entrenado con datos históricos hereda los sesgos de esos datos. En contextos de contratación, concesión de crédito, tarificación de seguros o evaluación del rendimiento, un algoritmo sesgado puede conducir a decisiones discriminatorias en el sentido del derecho suizo y europeo, incluso sin intención de causar daño.

La ausencia de control humano sobre estas decisiones agrava el riesgo: la discriminación no es visible en el proceso, solo aparece en los resultados. En Suiza, la nLPD exige que las decisiones automatizadas con efectos jurídicos significativos sobre una persona estén sujetas a un derecho de revisión humana.

La mayoría de las herramientas de IA de uso general (ChatGPT, Copilot, Gemini) procesan los datos en servidores ubicados en Estados Unidos. Cuando un colaborador introduce información confidencial, datos de clientes, secretos comerciales o datos personales en estas herramientas, esos datos salen del perímetro de la empresa y potencialmente de la jurisdicción suiza y europea.

La capacidad de cómputo mundial sigue estando muy concentrada en Estados Unidos, dejando a Europa en una dependencia estructural de los hiperescaladores americanos. Esta realidad crea un riesgo de soberanía que las empresas suizas, en particular en sectores regulados (finanzas, salud, seguros, administración), ya no pueden ignorar.

El alojamiento de los datos es un criterio de seguridad, no solo de comodidad. Existen alternativas, en particular modelos open source alojados en infraestructura europea, que permiten tratar datos sensibles sin transferirlos fuera de la UE.

Muchas empresas suizas han adoptado la IA, pero la estrategia suele quedarse rezagada. La adopción sin gobernanza es en sí misma un riesgo: los usos se multiplican de manera no coordinada, las responsabilidades permanecen difusas y ningún marco define qué datos pueden compartirse con qué herramientas.

El lock-in de proveedor es una forma de dependencia estratégica. Cuando los procesos de una empresa dependen de una herramienta de IA propietaria, migrar a una alternativa se vuelve costoso, arriesgado y técnicamente complejo. A largo plazo, el proveedor adquiere un poder de mercado que erosiona la capacidad de negociación de la empresa.

La falta de competencias internas es uno de los principales obstáculos para una adopción estructurada. Las pymes generalmente no pueden constituir por sí solas un equipo de gobernanza de IA. El acompañamiento externo, ya sea de consultoría, formación o proveedor técnico, es por tanto un factor de reducción del riesgo, no un lujo.

Suiza opta por un enfoque de neutralidad tecnológica: no existe una ley única sobre IA, sino la aplicación de las leyes sectoriales existentes. En la práctica, en 2025-2026, los siguientes textos se aplican directamente a los usos de IA en las empresas:

El PFPDT (autoridad federal de protección de datos) ha confirmado que la nLPD es directamente aplicable a los tratamientos por IA, sin ambigüedad. La autoridad supervisa especialmente los casos de reconocimiento facial, vigilancia conductual y tratamiento de datos sensibles por sistemas automatizados.

Para las empresas expuestas a la UE, el AI Act se añade como capa regulatoria adicional. Las primeras prohibiciones (nivel de riesgo inaceptable) entraron en vigor en febrero de 2025. Las obligaciones para sistemas de riesgo elevado se aplican progresivamente hasta agosto de 2026.

La gestión de los riesgos de IA no exige detenerlo todo ni rehacerlo todo. Requiere un enfoque estructurado, proporcional al tamaño y al sector de la organización. Estos son los pasos prioritarios identificados por los profesionales suizos del ámbito.

Para las empresas suizas que desean desplegar herramientas de IA empresarial, portales de clientes, software interno o agentes de IA sin transferir sus datos a hiperescaladores estadounidenses, Kleap propone un enfoque basado en tres principios.

Primer principio: infraestructura europea. Los despliegues se apoyan en Hetzner (Alemania, certificado ISO 27001) y modelos open source cuyos datos no salen de la UE y no se reutilizan para entrenar modelos de terceros.

Segundo principio: acompañamiento. Kleap no vende una herramienta, sino que propone un resultado entregado por un equipo. Hay tres vías disponibles: construcción llave en mano mediante la agencia asociada Lionscreative, conexión con un proveedor especializado, o despliegue de Kleap Empresa en modo guiado.

Tercer principio: trazabilidad. Las acciones de los sistemas de IA desplegados son auditables. Los directivos pueden documentar las decisiones para responder a los requisitos de la nLPD y preparar la conformidad con el AI Act.