Consulta suiza sobre la IA: qué se aplica ahora y qué revisar

El proyecto federal sobre IA aún no se ha publicado, y la consulta está prevista para la primavera de 2027. Esta guía explica qué deben hacer ya las organizaciones suizas en virtud de la LPD, qué implicarán probablemente en la práctica los cinco ámbitos anunciados y cómo prepararse antes de que se publique el texto.

En resumen

El Consejo Federal prevé abrir en la primavera de 2027 una consulta sobre normas vinculantes en materia de IA. Abarcará cinco ámbitos: transparencia, protección de datos, no discriminación, supervisión y evaluación de riesgos. Hoy no está en vigor ninguna ley federal sobre IA, pero la LPD revisada ya se aplica a los tratamientos basados en IA, como confirmó el PFPDT en mayo de 2025. Varios cantones ya regulan las decisiones automatizadas adoptadas por sus órganos públicos, por lo que las administraciones y sus proveedores se enfrentan a plazos más cercanos que la mayoría de las empresas privadas.

Las organizaciones deberían elaborar un inventario de sus sistemas de IA, revisar las decisiones automatizadas a la luz del artículo 21 de la LPD y realizar evaluaciones de impacto cuando sea aplicable el artículo 22. Estos documentos serán necesarios sea cual sea el texto final. Mientras el proyecto no se publique, cada exigencia suiza descrita aquí es una interpretación que debe comprobarse con el texto.

¿Cuándo abrirá Suiza la consulta sobre sus normas de IA?

El Consejo Federal prevé abrir la consulta en la primavera de 2027. La Cancillería Federal espera que el proyecto llegue al Consejo Federal antes de que termine 2026, lo que constituye el paso interno previo a la apertura de la consulta.

La consulta es la fase en la que los cantones, los partidos, las empresas y la sociedad civil pueden comentar un proyecto antes de que lo debata el Parlamento. Cualquiera puede participar, y el plazo dura al menos tres meses, aunque puede ampliarse.

¿Qué debería cubrir el proyecto federal?

En febrero de 2025, el Gobierno había citado cuatro ámbitos. En octubre de 2026 ha fijado cinco, al añadir la evaluación de riesgos. Como el texto no está publicado, la tabla siguiente describe lo que cada ámbito debería abordar, no lo que exigirán las normas.

¿A quién afectarán las normas?

Los órganos públicos son el caso más claro. Las autoridades federales y cantonales deberán cumplir las nuevas obligaciones, y el artículo 21, apartado 4, de la LPD ya exige que los órganos federales señalen las decisiones automatizadas.

Los proveedores probablemente notarán las normas a través de los contratos. Los compradores públicos se rigen por la Ley federal de contratación pública (LCP, BöB) y por el Acuerdo intercantonal sobre contratación pública (AIMP 2019), que fijan los criterios de aptitud en el artículo 27, los criterios de adjudicación en el artículo 29 y las especificaciones técnicas en el artículo 30. El artículo 12 de la LCP se refiere a las condiciones laborales y no a los criterios de selección.

Los compradores públicos apenas necesitan una nueva ley sobre IA para hacer las preguntas adecuadas. En una licitación pueden exigir ya una descripción del uso previsto del modelo, de sus fuentes de datos de entrenamiento y de entrada, de sus limitaciones conocidas, del enfoque de pruebas de sesgo, del registro de actividad, de la notificación de incidentes y del reparto de responsabilidades entre proveedor y comprador. Los proveedores que puedan aportar esas pruebas desde el principio facilitarán mucho más las conversaciones comerciales que quienes tratan la garantía de la IA como un problema que resolver después de firmar el contrato.

Jean Munyarugerero, formador de Abilene Academy

Las personas privadas son la cuestión abierta. En su respuesta por escrito del 20 de mayo de 2026 a la interpelación 26.3414 (Molina), el Consejo Federal indicó que el proyecto debería en principio imponer también obligaciones a las personas privadas cuando los derechos fundamentales tengan efecto horizontal, directo o indirecto. En una segunda respuesta, precisó que, para las personas privadas, se basa en una combinación de medidas vinculantes y no vinculantes. Se trata de la posición expresada por el Consejo Federal, no de una norma redactada.

¿Qué se aplica ya a nivel federal?

La LPD se aplica a la IA desde el 1 de septiembre de 2023, y el PFPDT confirmó el 8 de mayo de 2025 que se aplica directamente a los tratamientos basados en IA.

El artículo 21 de la LPD se refiere a las decisiones adoptadas exclusivamente mediante un tratamiento automatizado que producen efectos jurídicos para una persona o la afectan de forma significativa. Hay que informar a la persona, esta puede expresar su punto de vista y puede pedir que una persona humana revise la decisión. Existen excepciones limitadas, por ejemplo cuando la decisión está directamente vinculada a un contrato solicitado por la persona o cuando esta ha dado su consentimiento explícito.

El artículo 22 de la LPD exige una evaluación de impacto relativa a la protección de datos (EIPD) cuando un tratamiento pueda generar un alto riesgo para las personas afectadas. Es probable que la mayoría de los sistemas de IA que puntúan, clasifican o perfilan a personas alcancen ese umbral, y el ámbito anunciado de evaluación de riesgos debería apoyarse en esa obligación. Las organizaciones que ya realizan EIPD pueden ampliarlas para cubrir las preguntas que probablemente formulará el proyecto federal.

El artículo 60 de la LPD prevé multas de hasta 250 000 francos. Se dirigen a personas privadas, no a las empresas como tales, y solo previa denuncia y en caso de infracción intencionada, por ejemplo cuando una persona omite deliberadamente informar conforme al artículo 21, apartado 1. El artículo 61 cubre las obligaciones de seguridad de los datos, con las mismas condiciones de denuncia e intención.

La primera pregunta no es si un sistema es técnicamente impresionante, sino si puede afectar al acceso de una persona al crédito, a un seguro, al empleo o a un servicio público. Para cada sistema de ese tipo, una organización debería poder identificar al responsable, la procedencia de los datos y del modelo, el umbral de decisión, la vía de impugnación humana y las pruebas que conserva cuando el sistema se equivoca. Si esas cinco respuestas no están documentadas, la organización no controla todavía el sistema, solo lo utiliza.

Henri Haenni, presidente y CEO, Abilene Group

La FINMA Guidance 08/2024 se aplica a las entidades supervisadas. Publicada el 18 de diciembre de 2024, fija las expectativas de gobernanza y gestión de riesgos cuando las entidades utilizan IA, entre ellas un inventario centralizado, una clasificación de riesgos, pruebas de calidad de datos y una revisión independiente.

¿Qué ocurre en los cantones?

El derecho cantonal de protección de datos es hoy lo más parecido a una normativa de IA para los órganos públicos, y varía mucho de un cantón a otro. La Conferencia de Gobiernos Cantonales (CdC) señaló en diciembre de 2025 que cuatro cantones tenían en vigor disposiciones vinculantes aplicables a la IA: Jura y Neuchâtel a través de su acuerdo intercantonal, San Galo mediante una disposición sobre ensayos piloto, y Soleura mediante su derecho fiscal. La nueva ley bernesa de protección de datos, en vigor desde el 1 de septiembre de 2026, añade un quinto.

Vaud y Ginebra

Vaud y Ginebra son mercados de origen para muchas organizaciones, y ambos avanzan hacia obligaciones relacionadas con las decisiones automatizadas. El proyecto vaudense obligaría a los órganos públicos a informar a las personas sobre las decisiones individuales automatizadas, y añadiría la elaboración de perfiles, la evaluación de impacto y un registro de actividades de tratamiento. Algunos comentaristas señalan que el proyecto no crea un derecho general a explicar los factores determinantes, y que las decisiones asistidas por un algoritmo pero no totalmente automatizadas quedarían fuera del deber de informar. El Consejo de Estado vaudense describió en 2023 sus sistemas actuales como deterministas y basados en reglas, con una parte mínima de sistemas algorítmicos, y no publicó ningún total. Conviene documentar desde ahora la lógica de las decisiones, incluso en los sistemas basados en reglas.

La LIPAD revisada de Ginebra obliga a la institución a informar a las personas de una decisión basada exclusivamente en un tratamiento automatizado y, previa solicitud, a comunicar la lógica y los criterios. La persona puede presentar una reclamación en los 30 días siguientes a la notificación, y la decisión sobre esa reclamación no puede automatizarse. El Consejo de Estado fija la entrada en vigor, y esa fecha no figura en las fuentes consultadas para esta guía.

Zurich y Berna

La revisión de la IDG de Zurich es la más ambiciosa entre los cantones que han aprobado normas. El Parlamento cantonal aprobó la revisión total el 23 de marzo de 2026 por 153 votos a favor y 24 en contra, con sujeción a un referéndum facultativo. Obliga a los órganos públicos a mantener un registro de acceso público de los sistemas de decisión algorítmica que puedan afectar a los derechos fundamentales, e introduce una evaluación de impacto sobre los derechos fundamentales. Los deberes recaen solo en los órganos públicos, por lo que una empresa privada no queda directamente cubierta.

La ley bernesa de protección de datos está en vigor desde el 1 de septiembre de 2026. Las autoridades deben señalar las decisiones basadas exclusivamente en un tratamiento automatizado, y las personas pueden pedir una revisión humana. Las directrices bernesas sobre IA para la administración cantonal también señalan que las responsabilidades entre proveedor y comprador deben figurar en el contrato, lo que supone un buen punto de partida para cualquier licitación pública.

Policía y biometría

La policía es el ámbito más disputado. El Parlamento de Zurich ha rechazado las prohibiciones generales del reconocimiento facial biométrico y, a finales de 2025, permitió al Gobierno aprobar ensayos piloto biométricos con la ley revisada. En Basilea-Ciudad, la comisión parlamentaria eliminó en su informe de 2022 sobre la revisión de la IDG una disposición propuesta sobre datos policiales. Por tanto, la elaboración de perfiles requiere una base legal formal específica, y hoy no existe ninguna.

¿Qué se aplica ya en los sectores clave?

Banca y seguros

La FINMA Guidance 08/2024 se aplica a todas las entidades supervisadas, incluidas las aseguradoras. Cubre la gobernanza, el inventario y la clasificación de riesgos, la calidad de los datos, las pruebas y el seguimiento, la documentación, la explicabilidad y la revisión independiente. La FINMA señala que Suiza no tiene legislación específica sobre IA, por lo que se aplican sus normas vigentes, neutrales desde el punto de vista tecnológico. Su encuesta de abril de 2025 reveló que alrededor de la mitad de las entidades consultadas ya usan IA a diario. En seguros, la suscripción de vida y salud utiliza datos personales sensibles y necesita una base legal sólida y una EIPD. Los modelos de tarificación y de siniestros en seguros de daños se rigen por las expectativas de la FINMA sobre riesgo de modelo y, cuando un siniestro se decide de forma automatizada, por el artículo 21 de la LPD.

Contratación y RR. HH.

La selección automatizada de candidaturas que termina en rechazo sin evaluación humana activa el artículo 21 de la LPD, por lo que el candidato debe ser informado y puede pedir una revisión humana. Además, el artículo 26 de la Ordenanza 3 de la Ley del Trabajo (OLT 3) regula los sistemas de vigilancia diseñados para observar la conducta de los empleados. La IA en el empleo también es un uso de alto riesgo según el Reglamento de IA de la UE, con obligaciones aplicables desde el 2 de diciembre de 2027.

Salud

Que un sistema de IA sea un producto sanitario depende de su finalidad médica, por lo que cada producto debe clasificarse según las normas suizas sobre productos sanitarios, que siguen de cerca el marco europeo. El registro de productos en la base de datos swissdamed es obligatorio desde el 1 de julio de 2026. Se aplica un periodo transitorio hasta el 31 de diciembre de 2026 para determinados productos, pero no existe transición para la notificación de incidentes graves, las medidas correctivas de seguridad ni los informes de tendencia. Además, los datos de salud son datos sensibles en el marco de la LPD.

Comercio minorista y atención al cliente

El PFPDT señala que los usuarios deben saber si hablan con una persona o con una máquina, y si sus datos se utilizan para entrenar una IA. Las empresas que atienden a clientes de la UE también están sujetas a las obligaciones de transparencia del artículo 50 del Reglamento de IA, aplicables desde el 2 de agosto de 2026.

¿Cómo se compara el derecho suizo con el Reglamento de IA?

El Reglamento (UE) 2026/1744 lleva fecha de 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. Para saber si ese texto afecta a una empresa suiza, lea nuestra respuesta dedicada. Para el calendario completo de obligaciones de alto riesgo, lea la guía de cumplimiento del Reglamento de IA.

La norma ISO/IEC 42001 es una norma de sistema de gestión de la IA. No confiere presunción legal de conformidad en Suiza ni en la UE. Para ver cómo se implanta el sistema de gestión, consulte la guía de implantación de ISO 42001.

Ejemplo A: una aseguradora de Zurich con clientes en la UE

Una aseguradora de Zurich utiliza IA para clasificar los siniestros de automóvil y hogar y para señalar posibles fraudes. También asegura a algunos clientes domiciliados en la UE. Las obligaciones siguientes se aplican ya hoy.

• Si una señal de fraude puede por sí sola rechazar o retrasar un siniestro de forma significativa, se aplica el artículo 21 de la LPD. La aseguradora debe informar al reclamante, permitirle exponer su punto de vista y prever una revisión humana.
• El modelo de detección de fraude probablemente necesitará una EIPD con arreglo al artículo 22 de la LPD, porque elabora perfiles de personas.
• Como entidad supervisada, la aseguradora debería alinearse con la FINMA Guidance 08/2024.
• Para sus clientes de la UE, la aseguradora debe determinar primero si es proveedor o responsable del despliegue, porque la respuesta cambia las obligaciones aplicables. Véase proveedor o responsable del despliegue en el Reglamento de IA. La evaluación de riesgos y la tarificación en seguros de vida y salud están en el anexo III, mientras que muchos usos en seguros de daños no lo están.
• Si los clientes interactúan con un chatbot, las obligaciones de transparencia del artículo 50 pueden aplicarse en la UE.

Podrían seguir otras obligaciones cuando se publique el proyecto federal, en particular sobre transparencia, pruebas de no discriminación y supervisión nominal. La IDG de Zurich exigiría un registro público solo a los órganos públicos, por lo que no alcanza directamente a una aseguradora privada. Aun así, la aseguradora debería esperar preguntas sobre si sus señales de fraude afectan de forma desproporcionada a determinados grupos. Para la evaluación de impacto que el Derecho de la UE exige a algunos sistemas, véase evaluación de impacto sobre los derechos fundamentales en el Reglamento de IA.

Ejemplo B: un proveedor suizo de IA para administraciones públicas

Un proveedor suizo suministra una herramienta de análisis documental a una oficina federal y a un cuerpo de policía cantonal. La oficina federal es un órgano federal y debe cumplir la LPD, incluida la obligación de señalización del artículo 21, apartado 4. El cuerpo de policía se rige por el derecho cantonal de protección de datos, y el proveedor debe verificar las normas cantón por cantón. Si la policía está en Basilea-Ciudad, el proveedor debe confirmar que existe una base legal formal específica antes de utilizar cualquier herramienta de elaboración de perfiles o basada en algoritmos.

Modelo de madurez: cinco niveles

¿Qué herramientas conservan los registros que exigirán estas obligaciones?

Una hoja de cálculo puede contener un primer inventario, aunque no la recomendamos para un seguimiento completo. Resulta difícil de mantener cuando un registro necesita responsables, pasos de aprobación, revisiones programadas y pruebas que un auditor pueda rastrear. Una plataforma GRC mantiene esos registros en un solo lugar. Según nuestra experiencia, y en conversaciones con profesionales que asisten a nuestros cursos, Acuna GRC es la mejor plataforma GRC que recomendamos con más frecuencia para este trabajo.

Acuna GRC es una plataforma nativa de IA. Su módulo AI Governance es un módulo adicional que Acuna GRC activa para cada organización. Cubre un registro de sistemas de IA, las evaluaciones de impacto con un paso de aprobación, y los registros de supervisión humana e impugnación. Su módulo Data Privacy reúne los flujos de trabajo de EIPD y los registros de tratamiento, y la plataforma también admite evaluaciones de proveedores y acuses de recibo de políticas.

Acuna GRC no hace que una organización cumpla el derecho suizo, cantonal o europeo. Conserva las pruebas que esas obligaciones exigirán, pero la organización sigue teniendo que tomar y documentar las decisiones.

Sea cual sea la herramienta elegida, compruebe estos puntos antes de comprar:

• ¿Puede mantener un registro de sistemas de IA con un responsable, una finalidad, un vínculo con datos personales y una fecha de revisión para cada entrada?
• ¿Puede bloquear la aprobación de un sistema hasta que su evaluación de impacto esté completa?
• ¿Registra las intervenciones humanas y las decisiones impugnadas con un rastro de auditoría?
• ¿Puede vincular cada sistema de IA con su EIPD y con sus pruebas de proveedor?
• ¿Qué módulos están activados para su organización y cuáles son módulos adicionales?

Un registro de IA solo es útil si recoge las decisiones que un sistema puede influir, y no únicamente la licencia del software. Para cada entrada, anote la decisión de negocio, las categorías de datos personales, las jurisdicciones afectadas, el proveedor y la versión del modelo, el desencadenante de la revisión humana, la métrica de seguimiento y la fecha de revisión. Así, una obligación abstracta se convierte en un control auditable: cuando un regulador, un cliente o un auditor pregunta cómo se tomó una decisión, la organización puede responder con pruebas y no con una reconstrucción.

Alexis Hirschhorn, CEO, Acuna GRC

Lista de verificación de decisiones

Un consejo de administración no debería preguntar si la organización utiliza IA, sino qué decisiones asistidas por IA podrían perjudicar a clientes, empleados o ciudadanos, quién responde de cada una y qué pruebas demostrarían que los controles funcionan. Un informe trimestral conciso que cubra los sistemas de alto impacto, los incidentes abiertos, las revisiones humanas fallidas o retrasadas, los cambios relevantes de modelo y los hallazgos no resueltos sobre sesgos o calidad de datos ofrece a los consejeros la información necesaria sin abrumarlos con detalles técnicos.

Géraldine Rayet, formadora de Abilene Academy

Qué hacer ahora

1. Elabore un inventario de IA, incluidas las funciones de IA integradas en otro software.
2. Evalúe cada sistema a la luz del artículo 21 de la LPD y documente la vía de revisión humana.
3. Realice EIPD cuando sea aplicable el artículo 22, con una estructura reutilizable para la evaluación de riesgos anunciada.
4. Pregunte a sus proveedores de IA de dónde proceden sus modelos y datos, y cómo respaldan los derechos de revisión y la notificación de incidentes.
5. Designe, para cada sistema, a una persona con autoridad para corregirlo o detenerlo.
6. Si trabaja con un cantón, revise sus normas actuales, incluida cualquier obligación de registro o señalización que ya esté en vigor.
7. Compruebe si el Reglamento de IA alcanza algunos de sus resultados y prepárese para los plazos de 2027 y 2028 de alto riesgo. Lea la guía de cumplimiento del Reglamento de IA.
8. Siga la consulta desde su apertura. Cualquiera puede participar, y las organizaciones pueden presentar una respuesta por escrito.

Los servicios de Abilene

Abilene Academy ofrece dos cursos de ISO/IEC 42001 que cubren el sistema de gestión al que se vinculan muchas de estas obligaciones. El curso ISO 42001 Lead Implementer se centra en la implantación del sistema, y el curso ISO 42001 Lead Auditor en la planificación y realización de auditorías. El curso Lead AI Risk Manager aborda la identificación y el tratamiento de los riesgos de la IA, y el curso Certified EU AI Governance Professional trata la gobernanza a lo largo del ciclo de vida de la IA, con el cumplimiento del Reglamento de IA como referencia. Ningún curso prepara para una futura ley suiza ni garantiza el cumplimiento de la misma.

Para más lectura sobre las normas, consulte nuestros artículos sobre ISO/IEC 27090:2026 para la seguridad de la IA y EN 18286:2026 y el Reglamento de IA.

Límites de este artículo

Esta guía se basa en intenciones anunciadas, en el derecho vigente y en las normas cantonales tal como se informaban en la fecha de revisión. No se apoya en un texto de proyecto federal, que todavía no existe. Algunos detalles cantonales proceden de informes secundarios o de respuestas gubernamentales anteriores a sus proyectos de ley. Las normas cambiarán tras la consulta, durante el debate parlamentario y a medida que entren en vigor las revisiones cantonales.

Fuentes

• Comunicado del Consejo Federal y de la OFCOM del 28 de octubre de 2026 (primaria): https://www.bakom.admin.ch/de/newnsb/s2TQiUUjrA5D
• Página de regulación de la Cancillería Federal (primaria): https://www.bk.admin.ch/de/regulierung
• PFPDT, IA y protección de datos (primaria): https://www.edoeb.admin.ch/de/ki-und-datenschutz
• Ley federal de protección de datos, RS 235.1 (primaria): https://www.fedlex.admin.ch
• Ley federal de contratación pública (LCP), RS 172.056.1, y AIMP 2019 (primaria): https://www.bpuk.ch
• Interpelación 26.3414 (Molina), respuesta del Consejo Federal del 20 de mayo de 2026 (primaria): https://www.parlament.ch/de/ratsbetrieb/suche-curia-vista/geschaeft?AffairId=20263414
• Informe de la CdC sobre la regulación de la IA en los cantones, 19 de diciembre de 2025 (primaria): https://kdk.ch/themen/aktuelle-geschaefte
• Ley bernesa de protección de datos, BSG 152.04 (primaria): https://www.belex.sites.be.ch
• Revisión de la LIPAD de Ginebra, ley L 13347 (primaria): https://ge.ch/grandconseil/data/odj/030201/L13347.pdf
• Proyecto de revisión de la LPrD de Vaud, comunicado del Consejo de Estado del 5 de marzo de 2026 (primaria): https://www.vd.ch/actualites/communiques-de-presse-de-letat-de-vaud/detail/communique/revision-des-dispositions-cantonales-sur-la-protection-des-donnees-personnelles
• Respuesta del Consejo de Estado vaudense 23_REP_170, 1 de noviembre de 2023 (primaria): https://sieldocs.vd.ch/ecm/app18/service/siel/getContent?ID=2204993
• FINMA Guidance 08/2024 y comunicado de prensa del 24 de abril de 2025 (primaria): https://www.finma.ch
• Reglamento (UE) 2026/1744 (primaria): https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202601744
• Reglamento (UE) 2024/1689, Reglamento de IA (primaria): https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• Aviso de Swissmedic sobre el registro en swissdamed (primaria): https://www.swissmedic.ch/swissmedic/en/home/news/mitteilungen/swissdamed-registrierungspflicht.html
• Convenio marco del Consejo de Europa sobre IA, STCE 225 (primaria): https://www.coe.int
• ISO/IEC 42001 (norma): https://www.iso.org/standard/81230.html
• Comentario de Sylvain Métille sobre la revisión vaudense (secundaria): https://smetille.ch/2026/05/12/revision-lprd-vaud/
• Comentario de publicsector.ch sobre la IDG de Zurich (secundaria): https://publicsector.ch/en/idg-in-spe-das-langersehnte-revidierte-zuercher-datenschutzgesetz-ist-da/

Registro de cambios

• 3 de noviembre de 2026: primera versión completa para revisión editorial, con la capa cantonal y sectorial, las comprobaciones de fuentes, las citas de expertos y los enlaces a cursos y equipo.
• La próxima actualización seguirá a la publicación del texto federal.