2023年9月1日より、スイスで新しい連邦データ保護法（nLPD）が施行されています。この法律は人工知能を名指しで言及していませんが、それは意図的なものです。法律は技術中立の原則に基づいて策定されています。その直接的な結果として、自然人の個人データを処理するあらゆるAIシステムはnLPDの適用対象となります。本ガイドでは、内部チャットボット、自動化された採用ツール、レコメンデーションエンジン、顧客分析ソリューションなど、AIツールを導入している、または導入を検討しているスイス企業にとって、これが具体的に何を意味するかを説明します。
本質を、シンプルに説明します。
御社のデータがどこに保存・処理されるかが重要です。当社は欧州ホスティングとオープンソースモデルで構築します。
必要なデータのみを処理する：リスクを減らすシンプルな原則です。
ログ化・監査可能な処理で、AIが御社のデータをどう扱うかを把握。
御社のデータを管理されていない第三者クラウドにさらさない事業者を選びます。
連邦データ保護・情報公開委員（PFPDT）は2023年11月に見解を確認しています。現行のデータ保護法はAIに直接適用されるというものです。スイスには欧州連合のAI法のような人工知能専用の法律はありません。スイスの立法者は意識的に技術中立のアプローチを選択しており、既存の規則（nLPD、債務法、FADP）はAIを含むあらゆる技術に適用されます。つまり、AIを活用したCRMプロバイダー、予測分析ツール、内部会話型アシスタントはいずれも、識別可能な人物に関するデータを処理する時点でnLPDの適用範囲に入ります。
導入するAIシステムの性質に関わらず、nLPDの5つの原則が処理責任者である企業に課せられます。
nLPDは、自動化された処理のみに基づいてなされ、当事者に法的または類似の重大な影響を与える決定に対して、当事者に異議申し立て権を付与しています。具体的には、AIツールが自動的に応募者を拒否したり、保険料を設定したり、人間の介入なしに信用を拒否したりする場合、当事者は決定の再審査を自然人に求めることができます。PFPDTはこれを高度なデジタル自己決定権という観点から表現しており、企業は当事者が自動化された決定を理解し、必要に応じて異議を申し立てられる手段を提供しなければなりません。この異議申し立て権は任意ではなく、システムの導入前に運用可能な状態になければなりません。
nLPDは、当事者の基本的権利と自由に高いリスクをもたらす可能性のある処理を行う前に、データ保護影響評価（DPIA）の実施を義務付けています。AIシステムにとっては、高リスクの閾値はすぐに達します。DPIAが必要となるのは特に、大規模な機微データ（健康、政治的意見、生体データ）の処理、人物の広範なプロファイリング、重大な法的または経済的影響を持つ自動化された意思決定、または公共空間の体系的な監視が行われる場合です。DPIAは導入前に実施し、文書化し、システムが変化した場合は更新する必要があります。残存リスクが高くなった場合はPFPDTに相談できます。
nLPDは禁止されるAI使用の網羅的なリストを定めていませんが、PFPDTの見解と同様に、いくつかの慣行は明らかに保護された基本的権利と相容れません。
企業において最も頻繁なケースの一つとして、内部データ（メール、人事ファイル、顧客履歴、契約書）を使ってAIモデルを学習または微調整することがあります。nLPDはいくつかのセーフガードを設けています。まず目的について：顧客契約管理のために収集されたデータは、別の法的根拠なしにAIモデルの学習に再利用することはできません。次に所在地について：モデルがスイス外またはEEA外のプロバイダーでホスティングされている場合、国際的なデータ移転が発生し、nLPDの適切な保障措置が適用されます。最後にモデルの不透明性について：一度学習されると、個人データが抽出または推定される可能性がないことを保証することは困難です。欧州のインフラまたは自社サーバー上に展開されたモデルを使用する主権的なアーキテクチャが、この問題に対する最も堅固な対応策です。
しばしば過小評価されている点として、RGPDが企業を制裁対象とするのとは異なり、nLPDはまず第一に自然人を制裁対象とします。経営者、IT責任者、一部の従業員が訴追され、個人的な罰金を科せられる可能性があります。最大額は違反1件につき250'000 CHFです。最もリスクが高い違反は、情報提供義務の不履行、権限のある当局へのデータ侵害通知の欠如、または自動化された個人決定に関する義務の違反です。制裁は自動的ではなく、訴追には告訴が必要です。しかし、公開手続きの場合の評判リスクは、罰金そのものよりも大きい場合があります。
多くのスイス企業はEU居住者のデータも処理しているため、nLPDと並行してRGPDの適用も受けます。両フレームワークは基本的に類似していますが、いくつかの重要な点で異なります。以下はAIプロジェクトにとって最も重要な違いです。
AIに関するスイスの法的枠組みは変化しています。AIシステムを展開する企業が予期すべきいくつかの発展があります。
これはAIツールを展開している、または展開を検討している企業のための運用上の出発点です。このリストは法的アドバイスではありません。具体的な状況については専門の弁護士に相談してください。
ほとんどのスイス企業は両方の枠組みを扱う必要があります。以下はAIプロジェクトを構築するために知っておくべき最も重要な違いです。
| 基準 | nLPD（スイス） | RGPD（EU） |
|---|---|---|
| 施行日 | 2023年9月1日 | 2018年5月25日 |
| 制裁 | 最大250'000 CHF、個人への罰金 | 世界売上高の最大4%、企業への罰金 |
| DPO（データ保護責任者） | 推奨、中小企業には義務的でない | 特定のケースで義務的 |
| 侵害通知の期限 | 不当な遅滞なく（より柔軟） | 最大72時間 |
| 法的根拠としての同意 | 複数の根拠のうちの一つ（より柔軟） | 中心的だが制限されている |
| DPIA義務 | 高リスク処理の場合、義務的 | 高リスク処理の場合、義務的 |
| 域外適用 | スイスの人々のデータを処理する場合に適用 | EU居住者が関係する場合に適用 |
| AI専用法 | なし（技術中立） | AI法が2026年まで段階的に施行 |
当社の役割
当社は法律業務は行いませんが、御社のデータの所在と機密性を尊重する形でAIを構築します。
欧州（Hetzner）のインフラ、米国クラウドは使いません。
当社インフラ上のオープンソースモデル。御社のデータがモデル学習に使われることはありません。
ログ化・監査可能な処理。
はい。これらのツールが識別可能な自然人の個人データ（名前、メール、従業員や顧客の情報）を処理する限り、nLPDが適用されます。これらのツールを使用する企業が処理の責任者となります。目的が文書化されていること、当事者が通知されていること、データがプロバイダーが想定していない目的に再利用されないことを確保しなければなりません。特にデータの所在地とモデル学習のための再利用に関して、プロバイダーの契約条件の確認が不可欠です。
nLPDはRGPDと同じ条件でDPOを義務的とはしていません。しかし、大規模に個人データや機微データを処理するAIシステムを展開している場合は、データ保護責任者を任命または委任することが強く推奨されます。この責任者は内部または外部（法律顧問、専門コンサルタント）のいずれかとなります。その役割は、コンプライアンスの監督、DPIAの実施、当事者からの要求の管理、必要に応じてPFPDTとの連絡です。
データ保護影響評価（DPIA）は、データ処理が当事者の権利と自由に与えるリスクについての文書化された評価です。nLPDの下では、処理が高いリスクをもたらす可能性がある場合に義務的です。大規模な機微データの処理、広範なプロファイリング、重大な影響を持つ自動化された意思決定、体系的な監視が該当します。企業における大半の野心的なAIプロジェクト（AI人事、顧客スコアリング、行動分析）にはDPIAが必要です。導入前に実施する必要があります。
条件付きで可能です。まず、この新しい処理のための有効な法的根拠が必要です（データの当初の収集が異なる目的だった場合、それだけでは不十分です）。当事者はこの使用について通知される必要があります。データが機微な場合は、明示的な同意またはその他の強力な法的根拠が必要です。モデルの所在地が決定的です。スイス外またはEEA外のサーバーでホスティングされているモデルは国際的なデータ移転を意味し、追加の保障措置が必要です。処理記録にこれらの決定を文書化することが不可欠です。
nLPDは網羅的なリストを定めていませんが、PFPDTは特定の用途が保護する基本的権利と相容れないと明確にしています。公共空間での大規模なリアルタイム顔認識、個人の行動を体系的に評価するソーシャルスコアリングシステム、確固たる法的根拠なしに生体データや機微データを収集または処理することです。EUのAI法は、これらの慣行の一部を明示的に禁止しており、EU居住者のデータを処理するスイス企業に間接的に適用される可能性があります。
nLPDは自然人を制裁対象とし、企業を直接対象としません。罰金は違反1件につき250'000 CHFに達する可能性があります。経営者、IT責任者、関与した従業員が個人的に対象となります。最も制裁されやすい違反は、当事者への通知の欠如、データ侵害の通知の欠如、または自動化された個人決定に関する規則の違反です。手続きを開始するには告訴が必要です。評判リスクは多くの場合、罰金そのものよりも懸念されます。
それはあなたの活動によります。EUの居住者（顧客、パートナー、見込み客）のデータを処理する場合、RGPDはこれらの処理に適用されます。企業がスイスにあるかどうかに関係なく。nLPDはスイスの人々のすべてのデータ処理に適用されます。実際には、多くのスイス企業が両方の枠組みを遵守する必要があります。良いニュースとして、両者は大部分で整合しており、よく構築されたコンプライアンスポリシーは制裁、DPO、通知期限のいくつかの違いを考慮した上で両方をカバーできます。
EU AI法はEUのメンバーでないスイスには直接適用されません。しかし、AIシステムを欧州市場に提供する場合、またはシステムがEUの人々に影響を与える場合は、AI法の規則が適用される可能性があります。また、スイスは欧州評議会のAIに関する条約（2025年3月）に署名しており、批准により追加の義務が生じます。特に高リスクAIシステムに関してです。
3つの主要基準があります。データの所在地（国際的な規制されていない移転を避けるためスイスまたはEU/EEAのサーバーを優先）、データの再利用ポリシー（プロバイダーはモデル学習にあなたのデータを使用しますか？もしそうなら、どのような法的根拠で？）、そして契約上の透明性（プロバイダーは下請業者記録、DPA、文書化されたセキュリティ保証を提供できますか？）。自社インフラまたは欧州インフラ上に展開されたオープンソースモデルは、一般的にこれら3つの基準に対して最良の対応を提供します。
はい。nLPDは処理責任者、つまりモデルの性質（オープンソースか専有か、内部ホスティングかサードパーティか）に関わらず企業に適用されます。内部展開されたオープンソースモデルが個人データを処理する場合、nLPDのすべての義務が適用されます。情報提供、最小化、セキュリティ、高リスクの場合はDPIAなど。内部展開されたオープンソースの利点は、データを完全に管理し、第三者への意図しない移転のリスクを排除できる点にあります。
御社のケースについてお話ししましょう。データの所在を尊重して構築します。