Защита данных, профессиональная тайна и облако
Искусственный интеллект зависит от данных. Значительная часть данных, которыми располагают финансовые учреждения Базеля, охраняется законом. Пересмотренный Федеральный закон о защите данных (FADP), действующий с 1 сентября 2023 года, применяется к обработке персональных данных частными лицами и федеральными органами. Он технологически нейтрален и потому охватывает системы ИИ, не называя их. Федеральный уполномоченный по защите данных и информации подтвердил это в заявлении от ноября 2023 года, напомнив поставщикам и пользователям, что действующий закон непосредственно применяется к обработке с использованием ИИ.1 На практике наиболее важны три положения. Статья 21 обязывает контролёра информировать субъекта данных о решении, основанном исключительно на автоматизированной обработке, которое влечёт для него правовые последствия или существенно его затрагивает, и позволяет субъекту данных потребовать пересмотра решения физическим лицом. Статья 22 требует оценки воздействия на защиту данных, если обработка может повлечь высокий риск для личности или основных прав субъекта данных. Статья 16 регулирует передачу данных за рубеж, которая становится актуальной всякий раз, когда модель работает на серверах за пределами Швейцарии.2
Банковская тайна добавляет уголовно-правовое измерение. Статья 47 Закона о банках (BankA) наказывает любого, кто раскрывает тайну, доверенную ему в качестве органа, работника, уполномоченного или ликвидатора банка. В части E, глава IV показано, что это положение пережило отмену банковской тайны в отношении иностранных налоговых органов и по-прежнему защищает клиентские данные от несанкционированного раскрытия частным третьим лицам.3 Поэтому банк, направляющий клиентские данные внешнему поставщику ИИ, должен обеспечить, чтобы поставщик был связан обязательством о конфиденциальности, чтобы доступ его персонала был ограничен и контролировался и чтобы данные не могли использоваться для обучения моделей, доступных другим. Циркуляр FINMA об аутсорсинге добавляет требования к выбору, инструктированию и контролю поставщика услуг, а также к способности банка извлекать свои данные и допускать проверки.4
Юристы, доверительные управляющие и другие специалисты, консультирующие клиентов в Базеле, несут аналогичные обязанности. Статья 321 Уголовного кодекса Швейцарии охраняет тайны клиентов, доверенные адвокатам, врачам и представителям некоторых других профессий, а статья 13 Федерального закона о свободе передвижения адвокатов устанавливает профессиональную тайну. В части J, глава IV эти положения обсуждались в связи с машинным переводом. Тот же анализ применим к любому инструменту ИИ, в который вводится клиентская информация.5 Практические решения в разных профессиях схожи: инструменты, размещённые в Швейцарии или в контролируемой среде, договорное исключение обучения на клиентских данных, анонимизация там, где это возможно, и информированное согласие клиента там, где этого требует риск.
Вопрос о том, где работают модели, приобрёл политическое измерение. Крупные поставщики моделей ИИ и облачной инфраструктуры базируются в США, чей CLOUD Act 2018 года позволяет американским властям требовать от поставщиков, находящихся под их юрисдикцией, раскрытия данных, хранящихся за рубежом. Швейцарские банки ответили договорными и техническими гарантиями, такими как шифрование с ключами, хранящимися в Швейцарии, а ряд поставщиков построил центры обработки данных в стране.6 Эти меры снижают риск, но не устраняют его, чем и объясняется интерес к швейцарским моделям и швейцарской инфраструктуре, который рассматривается в третьем сценарии ниже.
Примечания
- Федеральный закон о защите данных (FADP, SR 235.1), действующий с 1 сентября 2023 года; Федеральный уполномоченный по защите данных и информации (FDPIC), заявление о применимости FADP к ИИ, 9 ноября 2023 года. Подлежит проверке. ↩
- Ст. 16, 21 и 22 FADP. Подлежит проверке. ↩
- Ст. 47 Закона о банках (BankA, SR 952.0); см. часть E, глава IV. Подлежит проверке. ↩
- Циркуляр FINMA 2018/3 Outsourcing, пункты (Randziffern) о выборе, инструктировании и контроле поставщика услуг, безопасности данных и правах на проведение проверок. Подлежит проверке. ↩
- Ст. 321 Уголовного кодекса Швейцарии (StGB, SR 311.0); ст. 13 Федерального закона о свободе передвижения адвокатов (BGFA, SR 935.61); см. часть J, глава IV, раздел о машинном переводе, ИИ и профессиональной тайне. Подлежит проверке. ↩
- United States Clarifying Lawful Overseas Use of Data Act (CLOUD Act), принят 23 марта 2018 года; об использовании облачных сервисов швейцарскими банками см. Швейцарская ассоциация банкиров, Cloud Guidelines (первое издание 2019 года, впоследствии пересмотренные издания). Статус подлежит проверке. ↩
Только для общего ознакомления. Настоящая статья не является юридической или налоговой консультацией, не заменяет консультацию по конкретному делу и не создаёт отношений между адвокатом и клиентом. Она отражает правовое положение по состоянию на октябрь 2026 г.