スイスにおける企業のAIリスク

企業におけるAIリスクは一枚岩ではありません。それぞれ異なる原因、影響、管理手段を持つ4つのカテゴリーに分かれています。この全体像を把握することが、あらゆる導入前の第一歩です。

スイスにはAI専用の法律はまだありません。採用されているのは技術中立性のアプローチで、既存の法律がそのまま適用されます。つまり、企業によるAI利用を直接規制する三つの法的枠組みが存在します。

2023年9月に施行された新連邦データ保護法（nLPD）は、AIによる処理に直接適用されます。目的とデータソースの透明性、高リスクの場合の影響評価の実施、自動意思決定に対する人間によるレビューの権利（nLPD第21条）が義務付けられています。制裁は最大250'000 CHFに達し、経営者の個人的責任も問われます。

債務法（art. 41 CO）は、企業が運用するAIシステムが引き起こした損害について、利用企業が賠償責任を負うことを定めています。責任を負うのはシステムではなく企業です。AIが欠陥製品として認定された場合は、連邦製造物責任法（LRFP）も適用される可能性があります。

欧州AI法は2024年3月に採択され、2026年まで段階的に施行されますが、EU市場で事業を行うスイス企業や、EUにAIシステムを展開している企業にも直接関係します。AIを4つのリスクレベル（受け入れ不可、高、限定的、最小）に分類し、高リスクシステムには文書化、監査、CEマーキングの義務が課されます。

生成AIは統計的に確率の高い結果を生成しますが、必ずしも正確とは限りません。ハルシネーションとは、モデルが誤った情報を自信を持って提示する現象で、現在の主要モデルすべてで確認されています。業務文脈では、不適切な契約書の作成、誤った財務分析、不正確な顧客対応、医療上の誤判断などにつながる可能性があります。

業務依存リスクは見過ごされがちです。重要なプロセスが外部プロバイダーのAIシステムに完全に依存している場合、障害・利用規約の変更・料金値上げが業務を混乱させる可能性があります。継続計画なしでは、その脆弱性は構造的なものとなります。

過去のデータで学習されたモデルはそのデータのバイアスを引き継ぎます。採用・融資・保険料設定・業績評価の場面では、バイアスのかかったアルゴリズムが、害意のない場合でも、スイスおよび欧州法上の差別的な決定につながることがあります。

こうした決定に対する人間の管理が欠如していると、リスクはさらに高まります。差別はプロセスの中では見えず、結果においてのみ現れます。スイスのnLPDは、個人に対して重大な法的効力を持つ自動意思決定については、人間によるレビューを求める権利があることを義務付けています。

一般的なAIツール（ChatGPT、Copilot、Gemini）の大半は、米国のサーバーでデータを処理します。従業員がこれらのツールに機密情報、顧客データ、企業秘密、個人情報を入力すると、そのデータは企業の管理外に出て、スイスおよび欧州の法域を離れる可能性があります。

世界の演算能力は依然として米国に大きく集中しており、欧州は米国ハイパースケーラーへの構造的依存状態に置かれています。この現実は、特に規制産業（金融、医療、保険、行政）のスイス企業が無視できないデータ主権リスクを生み出しています。

データのホスティングは利便性だけでなく、セキュリティの基準でもあります。欧州インフラ上でホスティングされたオープンソースモデルなど、センシティブなデータをEU外に転送せずに処理できる代替手段が存在します。

多くのスイス企業はAIを導入していますが、戦略が後れを取っていることが多いです。ガバナンスなしの導入それ自体がリスクです。利用が無秩序に増え、責任が曖昧になり、どのデータをどのツールと共有できるかを定めるフレームワークが存在しません。

ベンダーロックインは戦略的依存の一形態です。企業のプロセスが特定のプロプライエタリAIツールに依存している場合、代替への移行はコスト・リスク・技術的複雑さを伴います。長期的に、プロバイダーは交渉力を侵食する市場支配力を持つようになります。

社内スキルの不足は、構造化された導入への主要な障壁のひとつです。中小企業は通常、単独でAIガバナンスチームを構成することができません。コンサルティング・研修・技術プロバイダーなど外部支援は、リスク軽減の要素であり、贅沢品ではありません。

スイスは技術中立性のアプローチを採用しています。AI専用の法律はなく、既存のセクター別法律が適用されます。具体的には、2025〜2026年において、以下の法律が企業のAI利用に直接適用されます。

連邦データ保護監察官（PFPDT）はnLPDがAI処理に直接適用されることを確認しており、曖昧さはありません。当局は特に顔認識、行動監視、自動化システムによるセンシティブデータ処理のケースを監視しています。

EU市場にさらされている企業にはAI法が規制の一層として加わります。最初の禁止事項（受け入れ不可なリスクレベル）は2025年2月に発効しました。高リスクシステムへの義務は2026年8月まで段階的に適用されます。

AIリスク管理はすべてを停止したり一からやり直したりすることを求めるものではありません。組織の規模とセクターに比例した、構造化されたアプローチが求められます。スイスの実務家が特定した優先事項を以下に示します。

データを米国ハイパースケーラーに転送することなく、業務AIツール、顧客ポータル、社内ソフトウェア、AIエージェントを導入したいスイス企業に対して、Kleapは3つの原則に基づいたアプローチを提供します。

第一原則：欧州インフラ。導入はHetzner（ドイツ、ISO 27001認証）とオープンソースモデルを基盤とし、データはEU外に出ず、サードパーティモデルの学習に再利用されません。

第二原則：伴走支援。Kleapはツールを販売するのではなく、チームが提供する成果物を提案します。3つの方法があります。パートナーエージェンシーLionscreativeによるターンキー構築、専門プロバイダーとのマッチング、またはガイド付きモードでのKleap Enterpriseの展開です。

第三原則：トレーサビリティ。展開されたAIシステムの行動は監査可能です。経営者はnLPDの要件に応えるための意思決定を文書化し、AI法適合の準備を整えることができます。