数据保护、外包与云计算

经修订的《联邦数据保护法》

经修订的《联邦数据保护法》（FADP）于2023年9月1日生效。该法具有技术中立性，因此直接适用于借助人工智能处理个人数据的活动。联邦数据保护和信息专员（FDPIC）于2023年11月确认了这一点，并在2025年5月发布的更新声明中再次予以确认。人工智能系统的制造商、提供者和部署者必须使其数据处理的目的、运作方式和数据来源透明化。数据主体有权反对自动化处理，并有权依据FADP第21条要求由自然人复核自动化个人决定。他们还必须被告知自己是否在与机器互动，以及其数据是否被用于训练自学习系统。如人工智能应用涉及高风险，则须依据FADP第22条进行数据保护影响评估。FDPIC还指出，旨在破坏隐私的应用，例如全面的实时人脸识别或社会评分，在瑞士法律下是被禁止的。¹

此后，FDPIC已在个案中适用这些原则。在2026年数据保护日，FDPIC报告称，其审查了将平台X上的帖子用于训练人工智能系统Grok的做法，结果是用户可以反对此类使用。它还结束了对一家瑞士零售商收银台智能视频监控的调查。该专员将立场概括为：生成式人工智能本身并不受数据保护法规管，但一旦处理个人数据，即受其规管。²

FADP的制裁制度与欧洲《通用数据保护条例》（GDPR）不同。它规定，对故意违反某些义务的自然人可处以最高25万瑞士法郎的刑事罚金，这些义务包括告知和查阅义务、委托处理者时的注意义务以及跨境披露规则。罚金不针对公司。若干违法行为仅依告诉处理，告诉须在三个月内提出。³对于在苏黎世各机构中决定引入人工智能工具的合规官和管理人员而言，这种责任的个人性质促使他们审慎地记录其决定。

FINMA第2018/3号通函下的外包

当银行或保险公司使用外部人工智能模型或在云平台上运行人工智能工作负载时，瑞士金融市场监管局（FINMA）的外包规则可能适用。FINMA第2018/3号通函《外包——银行和保险公司》于2017年12月发布，自2018年4月1日起生效。它取代了1999年的规则，旨在以原则为本并保持技术中立。该通函要求机构适当考虑向境外外包的较高风险。它还要求机构确保能够在瑞士进行重组或处置，这在实践中意味着必要数据必须始终能够从瑞士访问。⁴

当服务提供者独立且持续地履行机构的一项重要职能时，该通函即适用。数据存储、数据库运营和IT系统运营均可能符合条件，这涵盖了大多数基于云的人工智能服务。合同必须赋予机构、其审计公司和FINMA随时不受限制地查阅和审计所有相关信息的权利。如客户数据被传输至数据保护水平不足的国家，则须采取经认可的合同条款等保障措施。⁵在人工智能背景下，第08/2024号指引所要求的清单与外包清单相互重叠。许多机构已将二者合并，从而使每一个外部模型既作为人工智能系统、又作为潜在的外包安排接受评估。

银行保密与云

最具瑞士特色的制约是银行保密。《银行法》（BankA）第47条规定，银行员工和代理人泄露其因职务而受托的信息即构成刑事犯罪。自《金融机构法》（FinIA）于2020年生效以来，依据该法第69条，类似的职业保密义务也适用于投资组合管理人和基金管理公司等其他金融机构。⁶因此，能够接触未加密客户身份识别数据的云提供商或人工智能提供商会引发刑法问题。瑞士银行家协会（SBA）在其《云指南》中对此作了阐述，该指南第三版于2025年11月发布。指南认为，如机构采取适当的技术、组织和合同措施，其中包括强加密以及提供商负有将外国机关的请求通知银行的合同义务，则在境外存储数据与银行保密相容。第三版考虑了FINMA第2023/1号通函及其新设的关键数据类别、经修订的FADP以及《信息安全法》。⁷

另一项制约源于《瑞士刑法典》第271条（SCC），该条禁止未经授权在瑞士境内为外国国家实施行为。云提供商如在国际协助渠道之外将为瑞士银行存储的数据交给外国机关，可能使其自身承担刑事责任，并视具体情况使银行承担刑事责任。⁸美国2018年的《澄清境外合法使用数据法》（CLOUD Act）允许美国机关调取美国提供商持有的数据，无论其存储于何处，这是此背景下讨论的主要情形。Microsoft、Google和AWS对瑞士数据中心的投资缓解了数据存放地的问题，但并未消除这一问题，因为其母公司仍受美国法律管辖。对于处理客户数据的人工智能应用而言，这一法律风险是苏黎世机构对Apertus等可在本地或通过瑞士提供商运行的开放模型表现出兴趣的原因之一。

注释

1. FDPIC, “Update – Current data protection legislation is directly applicable to AI”，2025年5月8日，https://www.edoeb.admin.ch/en/update-current-legislation-directly-applicable-ai。 ↩
2. FDPIC, “Data Protection Day 2026: Uses of generative AI and data protection issues”，2026年1月28日，https://www.edoeb.admin.ch/en/data-protection-day-2026。 ↩
3. Pestalozzi, “The revised Federal Data Protection Act – sanctions increase as of 1 September 2023”，https://pestalozzilaw.com/en/insights/news/legal-insights/the-revised-federal-data-protection-act-sanctions-increase-as-of-1-september-2023/（2026年9月访问）。 ↩
4. FINMA, “FINMA veröffentlicht Outsourcing-Rundschreiben”，2017年12月5日，https://www.finma.ch/de/news/2017/12/20171205-mm-rs-outsourcing/。 ↩
5. Baker McKenzie, “Cloud Compliance Center – Switzerland”，https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland（2026年9月访问）。 ↩
6. 《联邦银行和储蓄银行法》（《银行法》，SR 952.0）第47条，双语版，https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html；《联邦金融机构法》（FinIA，SR 954.1）第69条（“Verletzung des Berufsgeheimnisses”），https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html。下一条脚注所讨论的SBA《云指南》也援引了这两项条款。 ↩
7. Lenz & Staehelin, “Third edition of the SBA Cloud Guidelines”，2025年11月，https://www.lenzstaehelin.com/news-and-insights/browse-thought-leadership-insights/insights-detail/third-edition-of-the-sba-cloud-guidelines/。 ↩
8. Baker McKenzie, “Cloud Compliance Center – Switzerland”，关于银行保密和《瑞士刑法典》第271条（SCC）的部分，https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland（2026年9月访问）。 ↩

仅供一般参考。本文不构成法律或税务意见，不能替代针对个案的咨询，亦不建立律师与客户之间的委托关系。本文反映截至 十月 2026 的法律状况。