简体 繁體 日本語 한국어 Bahasa Indonesia Русский Українська English Deutsch Français Español Português Tiếng Việt Türkçe العربية עברית

データ保護、外部委託とクラウド・コンピューティング

改正連邦データ保護法

改正連邦データ保護法（FADP）は、2023年9月1日に施行された。同法は技術中立的であり、したがってAIを用いた個人データの処理にも直接適用される。連邦データ保護・情報コミッショナー（FDPIC）は、2023年11月に、そして2025年5月の更新された声明において再び、このことを確認した。AIシステムの製造者、提供者および導入者は、その処理の目的、機能およびデータ源を透明にしなければならない。データ主体は、自動化された処理に異議を述べる権利、およびFADP第21条に基づき、自動化された個別決定を自然人が審査するよう求める権利を有する。データ主体はまた、自らが機械とやり取りしているかどうか、および自らのデータが自己学習型システムの訓練に用いられるかどうかを告知されなければならない。AIアプリケーションが高いリスクを伴う場合には、FADP第22条に基づくデータ保護影響評価が必要となる。FDPICは、包括的なリアルタイム顔認識やソーシャル・スコアリングのように、プライバシーを損なうよう設計されたアプリケーションはスイス法上禁止されると付け加えた。1

FDPICはその後、個別の事案においてこれらの原則を適用してきた。2026年のデータ保護デーにおいて、FDPICは、AIシステムGrokの訓練のためにプラットフォームX上の投稿を利用することについて審査し、その結果、利用者がそのような利用に異議を述べることができるようになったと報告した。FDPICはまた、スイスの小売業者のレジにおけるインテリジェント・ビデオ監視に関する調査を終結させた。コミッショナーは、生成AIはそれ自体としてはデータ保護法の対象ではないが、個人データを処理した時点でその対象となると述べて、その立場を要約した。2

FADPの制裁制度は、欧州の一般データ保護規則（GDPR）の制度とは異なる。同法は、情報提供およびアクセスに関する義務、処理者の起用における注意義務、ならびに国境を越える開示に関する規則を含む一定の義務に故意に違反した自然人に対して、最高25万スイスフランの刑事罰金を定めている。企業には罰金は科されない。いくつかの犯罪は告訴がある場合にのみ訴追され、告訴は3か月以内に行われなければならない。3 AIツールの導入を決定するチューリッヒの機関のコンプライアンス担当者および管理職にとって、この責任が個人的な性質を持つことは、自らの決定を慎重に文書化する動機となる。

FINMA通達2018/3に基づくアウトソーシング

銀行または保険会社が外部のAIモデルを利用し、またはクラウド・プラットフォーム上でAIのワークロードを実行する場合には、アウトソーシングに関するスイス金融市場監督機構（FINMA）の規則が適用されうる。FINMA通達2018/3「アウトソーシング――銀行および保険会社」は、2017年12月に公表され、2018年4月1日に施行された。同通達は1999年に遡る規則に代わるものであり、原則に基づき技術中立的であるよう設計された。同通達は、機関に対し、国外へのアウトソーシングのより高いリスクを適切に考慮することを求めている。また、機関がスイス国内で再建または破綻処理されうることを確保するよう求めており、これは実務上、重要なデータが常にスイスからアクセス可能でなければならないことを意味する。4

同通達は、サービス提供者が機関の重要な機能を独立して継続的に遂行する場合に適用される。データの保存、データベースの運用およびITシステムの運用はいずれもこれに該当しうるため、クラウド・ベースのAIサービスの大半がこれに含まれる。契約は、機関、その監査法人およびFINMAに対し、いつでもすべての関連情報を閲覧し監査する無制限の権利を付与しなければならない。顧客データが適切なデータ保護のない国に移転される場合には、承認された契約条項のような保護措置が必要となる。5 AIの文脈では、ガイダンス08/2024が求める一覧とアウトソーシングの一覧とが重なり合う。多くの機関はこれらを統合しており、各外部モデルはAIシステムとしても、潜在的なアウトソーシング契約としても評価されている。

銀行秘密とクラウド

最もスイスに特有の制約は銀行秘密である。銀行法（BankA）第47条は、銀行の従業員および代理人が職務上託された情報を開示することを犯罪としている。2020年に金融機関法（FinIA）が施行されて以降、同法第69条に基づき、ポートフォリオ・マネージャーやファンド運用会社のような他の金融機関にも同等の職業上の守秘義務が適用されている。6 したがって、暗号化されていない顧客識別データにアクセスできるクラウド事業者またはAI事業者は、刑法上の問題を提起する。スイス銀行協会は、2025年11月に第3版が公表されたクラウド・ガイドラインにおいてこの問題を取り上げている。同ガイドラインは、機関が強力な暗号化や外国当局からの要請を銀行に通知する事業者の契約上の義務を含む適切な技術的、組織的および契約上の措置を講じる場合には、国外でのデータの保存は銀行秘密と両立しうるものとして扱っている。第3版は、重要データという新たなカテゴリーを設けたFINMA通達2023/1、改正FADPおよび情報セキュリティ法を考慮している。7

さらなる制約は、スイス刑法（SCC）第271条から生じる。同条は、許可なくスイス領域内で外国のために行為を行うことを禁止している。スイスの銀行のために保存されたデータを国際共助の経路外で外国当局に引き渡すクラウド事業者は、自らを、そして状況によっては銀行をも刑事責任にさらすおそれがある。8 この文脈で議論される主なシナリオは、2018年の米国CLOUD法である。同法は、米国当局が、保存場所にかかわらず米国の事業者が保有するデータを要求することを認めている。Microsoft、GoogleおよびAWSによるスイスのデータセンターへの投資は、データの所在地の問題を軽減するが、親会社が引き続き米国法に服するため、問題を解消するものではない。顧客データを処理するAIアプリケーションについて、この法的リスクは、チューリッヒの機関が、オンプレミスまたはスイスの事業者の下で運用できるApertusのようなオープンモデルに関心を示す理由の一つである。

注

  1. FDPIC, “Update – Current data protection legislation is directly applicable to AI”, 2025年5月8日, https://www.edoeb.admin.ch/en/update-current-legislation-directly-applicable-ai. ↩
  2. FDPIC, “Data Protection Day 2026: Uses of generative AI and data protection issues”, 2026年1月28日, https://www.edoeb.admin.ch/en/data-protection-day-2026. ↩
  3. Pestalozzi, “The revised Federal Data Protection Act – sanctions increase as of 1 September 2023”, https://pestalozzilaw.com/en/insights/news/legal-insights/the-revised-federal-data-protection-act-sanctions-increase-as-of-1-september-2023/（2026年9月閲覧）. ↩
  4. FINMA, “FINMA veröffentlicht Outsourcing-Rundschreiben”, 2017年12月5日, https://www.finma.ch/de/news/2017/12/20171205-mm-rs-outsourcing/. ↩
  5. Baker McKenzie, “Cloud Compliance Center – Switzerland”, https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland（2026年9月閲覧）. ↩
  6. 銀行および貯蓄銀行に関する連邦法（銀行法、SR 952.0）第47条、二言語版、https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html。金融機関に関する連邦法（FinIA、SR 954.1）第69条（“Verletzung des Berufsgeheimnisses”）、https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html。両規定は、次の注で論じるスイス銀行協会（SBA）のクラウド・ガイドラインでも引用されている。 ↩
  7. Lenz & Staehelin, “Third edition of the SBA Cloud Guidelines”, 2025年11月, https://www.lenzstaehelin.com/news-and-insights/browse-thought-leadership-insights/insights-detail/third-edition-of-the-sba-cloud-guidelines/. ↩
  8. Baker McKenzie, “Cloud Compliance Center – Switzerland”, 銀行秘密およびSCC第271条に関する項, https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland（2026年9月閲覧）. ↩

本記事は一般的な情報提供のみを目的としています。法律上または税務上の助言を構成するものではなく、個別案件に関する助言に代わるものでもなく、弁護士と依頼者との間に委任関係を生じさせるものでもありません。本記事は2026年10月時点の法的状況を反映しています。

スイスでの会社設立や事業拡大をご検討ですか？

Helvetica Register は情報ポータルです。世界各地、とりわけ中華圏、中央アジアおよびコーカサス、その他のアジア、中東、アフリカおよびラテンアメリカの企業と起業家がスイスでビジネスを行ううえで知っておくべき事項――会社法、商取引契約、許認可、銀行、税務および居住――を解説しています。

スイスにおける法律相談は Ressos Legal が承ります。Ressos Legal は Dr Alexander Ressos が率いるチューリッヒの法律事務所で、スイス法の全分野について助言を行っています。詳しくは www.ressos.ch をご覧ください。

スイスでのプロジェクト Dr Alexander Ressos に相談する 会社設立、株主間契約および商取引契約、企業買収、許認可、銀行口座、税務、滞在許可：私はスイス法について助言を行い、ご本国の弁護士のほか、必要に応じて他の法域の現地弁護士とも連携いたします。