數據保護、外包與雲計算
經修訂的《聯邦數據保護法》
經修訂的《聯邦數據保護法》（FADP）於2023年9月1日生效。該法具有技術中立性，因此直接適用於藉助人工智能處理個人數據的活動。聯邦數據保護和資訊專員（FDPIC）於2023年11月確認了這一點，並在2025年5月發佈的更新聲明中再次予以確認。人工智能系統的製造商、提供者和部署者必須使其數據處理的目的、運作方式和數據來源透明化。數據主體有權反對自動化處理，並有權依據FADP第21條要求由自然人複核自動化個人決定。他們還必須被告知自己是否在與機器互動，以及其數據是否被用於訓練自學習系統。如人工智能應用涉及高風險，則須依據FADP第22條進行數據保護影響評估。FDPIC還指出，旨在破壞隱私的應用，例如全面的實時人臉識別或社會評分，在瑞士法律下是被禁止的。1
此後，FDPIC已在個案中適用這些原則。在2026年數據保護日，FDPIC報告稱，其審查了將平台X上的帖子用於訓練人工智能系統Grok的做法，結果是用戶可以反對此類使用。它還結束了對一家瑞士零售商收銀台智能影片監控的調查。該專員將立場概括為：生成式人工智能本身並不受數據保護法規管，但一旦處理個人數據，即受其規管。2
FADP的制裁制度與歐洲《通用數據保護條例》（GDPR）不同。它規定，對故意違反某些義務的自然人可處以最高25萬瑞士法郎的刑事罰金，這些義務包括告知和查閱義務、委託處理者時的注意義務以及跨境披露規則。罰金不針對公司。若干違法行為僅依告訴處理，告訴須在三個月內提出。3對於在蘇黎世各機構中決定引入人工智能工具的合規官和管理人員而言，這種責任的個人性質促使他們審慎地記錄其決定。
FINMA第2018/3號通函下的外包
當銀行或保險公司使用外部人工智能模型或在雲平台上運行人工智能工作負載時，瑞士金融市場監管局（FINMA）的外包規則可能適用。FINMA第2018/3號通函《外包——銀行和保險公司》於2017年12月發佈，自2018年4月1日起生效。它取代了1999年的規則，旨在以原則為本並保持技術中立。該通函要求機構適當考慮向境外外包的較高風險。它還要求機構確保能夠在瑞士進行重組或處置，這在實踐中意味著必要數據必須始終能夠從瑞士訪問。4
當服務提供者獨立且持續地履行機構的一項重要職能時，該通函即適用。數據存儲、數據庫運營和IT系統運營均可能符合條件，這涵蓋了大多數基於雲的人工智能服務。合同必須賦予機構、其審計公司和FINMA隨時不受限制地查閱和審計所有相關資訊的權利。如客戶數據被傳輸至數據保護水平不足的國家，則須採取經認可的合同條款等保障措施。5在人工智能背景下，第08/2024號指引所要求的清單與外包清單相互重疊。許多機構已將二者合併，從而使每一個外部模型既作為人工智能系統、又作為潛在的外包安排接受評估。
銀行保密與雲
最具瑞士特色的制約是銀行保密。《銀行法》（BankA）第47條規定，銀行員工和代理人洩露其因職務而受託的資訊即構成刑事犯罪。自《金融機構法》（FinIA）於2020年生效以來，依據該法第69條，類似的職業保密義務也適用於投資組合管理人和基金管理公司等其他金融機構。6因此，能夠接觸未加密客戶身份識別數據的雲提供商或人工智能提供商會引發刑法問題。瑞士銀行家協會（SBA）在其《雲指南》中對此作了闡述，該指南第三版於2025年11月發佈。指南認為，如機構採取適當的技術、組織和合同措施，其中包括強加密以及提供商負有將外國機關的請求通知銀行的合同義務，則在境外存儲數據與銀行保密相容。第三版考慮了FINMA第2023/1號通函及其新設的關鍵數據類別、經修訂的FADP以及《資訊安全法》。7
另一項制約源於《瑞士刑法典》第271條（SCC），該條禁止未經授權在瑞士境內為外國國家實施行為。雲提供商如在國際協助渠道之外將為瑞士銀行存儲的數據交給外國機關，可能使其自身承擔刑事責任，並視具體情況使銀行承擔刑事責任。8美國2018年的《澄清境外合法使用數據法》（CLOUD Act）允許美國機關調取美國提供商持有的數據，無論其存儲於何處，這是此背景下討論的主要情形。Microsoft、Google和AWS對瑞士數據中心的投資緩解了數據存放地的問題，但並未消除這一問題，因為其母公司仍受美國法律管轄。對於處理客戶數據的人工智能應用而言，這一法律風險是蘇黎世機構對Apertus等可在本地或通過瑞士提供商運行的開放模型表現出興趣的原因之一。
註釋
- FDPIC, “Update – Current data protection legislation is directly applicable to AI”，2025年5月8日，https://www.edoeb.admin.ch/en/update-current-legislation-directly-applicable-ai。 ↩
- FDPIC, “Data Protection Day 2026: Uses of generative AI and data protection issues”，2026年1月28日，https://www.edoeb.admin.ch/en/data-protection-day-2026。 ↩
- Pestalozzi, “The revised Federal Data Protection Act – sanctions increase as of 1 September 2023”，https://pestalozzilaw.com/en/insights/news/legal-insights/the-revised-federal-data-protection-act-sanctions-increase-as-of-1-september-2023/（2026年9月訪問）。 ↩
- FINMA, “FINMA veröffentlicht Outsourcing-Rundschreiben”，2017年12月5日，https://www.finma.ch/de/news/2017/12/20171205-mm-rs-outsourcing/。 ↩
- Baker McKenzie, “Cloud Compliance Center – Switzerland”，https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland（2026年9月訪問）。 ↩
- 《聯邦銀行和儲蓄銀行法》（《銀行法》，SR 952.0）第47條，雙語版，https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html；《聯邦金融機構法》（FinIA，SR 954.1）第69條（“Verletzung des Berufsgeheimnisses”），https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html。下一條腳註所討論的SBA《雲指南》也援引了這兩項條款。 ↩
- Lenz & Staehelin, “Third edition of the SBA Cloud Guidelines”，2025年11月，https://www.lenzstaehelin.com/news-and-insights/browse-thought-leadership-insights/insights-detail/third-edition-of-the-sba-cloud-guidelines/。 ↩
- Baker McKenzie, “Cloud Compliance Center – Switzerland”，關於銀行保密和《瑞士刑法典》第271條（SCC）的部分，https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland（2026年9月訪問）。 ↩
僅供一般參考。本文不構成法律或稅務意見，不能替代針對個案的諮詢，亦不建立律師與客戶之間的委託關係。本文反映截至 十月 2026 的法律狀況。