Perlindungan data, rahasia profesi, dan cloud

Kecerdasan buatan bergantung pada data. Sebagian besar data yang dipegang lembaga keuangan Basel dilindungi oleh hukum. Undang-Undang Federal tentang Perlindungan Data (FADP) yang telah direvisi, yang berlaku sejak 1 September 2023, berlaku bagi pemrosesan data pribadi oleh orang perseorangan swasta dan badan federal. Undang-undang ini bersifat netral teknologi dan karenanya mencakup sistem AI tanpa menyebutnya secara eksplisit. Komisioner Federal Perlindungan Data dan Informasi (FDPIC) menegaskan hal ini dalam pernyataan bulan November 2023, di mana ia mengingatkan penyedia dan pengguna bahwa hukum yang berlaku diterapkan secara langsung pada pemrosesan yang didukung AI.¹ Tiga ketentuan paling penting dalam praktik. Pasal 21 mewajibkan pengendali data untuk memberitahukan kepada subjek data tentang keputusan yang semata-mata didasarkan pada pemrosesan otomatis yang menimbulkan akibat hukum atau secara signifikan memengaruhi orang tersebut, sehingga subjek data dapat meminta agar keputusan tersebut ditinjau oleh orang perseorangan. Pasal 22 mewajibkan penilaian dampak perlindungan data apabila pemrosesan kemungkinan besar menimbulkan risiko tinggi bagi kepribadian atau hak-hak dasar subjek data. Pasal 16 mengatur pengungkapan data ke luar negeri, yang menjadi relevan setiap kali suatu model dijalankan pada server di luar Swiss.²

Kerahasiaan bank menambahkan dimensi hukum pidana. Pasal 47 Undang-Undang Perbankan (BankA) memidana siapa pun yang mengungkapkan rahasia yang dipercayakan kepadanya dalam kedudukannya sebagai pejabat, karyawan, kuasa, atau likuidator suatu bank. Bagian E, Bab IV menunjukkan bahwa ketentuan ini tetap bertahan setelah berakhirnya kerahasiaan bank terhadap otoritas pajak asing dan masih melindungi data nasabah dari pengungkapan tanpa hak kepada pihak ketiga swasta.³ Oleh karena itu, bank yang mengirimkan data nasabah kepada penyedia AI eksternal harus memastikan bahwa penyedia tersebut terikat kewajiban kerahasiaan, bahwa akses oleh personelnya dibatasi dan dikendalikan, dan bahwa data tersebut tidak dapat digunakan untuk melatih model yang tersedia bagi pihak lain. Surat edaran Otoritas Pengawas Pasar Keuangan Swiss (FINMA) tentang pengalihdayaan menambahkan persyaratan tentang pemilihan, pemberian instruksi, dan pemantauan penyedia jasa serta tentang kemampuan bank untuk mengambil kembali datanya dan memungkinkan audit.⁴

Para pengacara, wali amanat (trustee), dan profesional lain yang memberikan nasihat kepada nasabah di Basel menghadapi kewajiban yang serupa. Pasal 321 Kitab Undang-Undang Hukum Pidana Swiss (StGB) melindungi rahasia nasabah yang dipercayakan kepada pengacara, dokter, dan profesi tertentu lainnya, sedangkan Pasal 13 Undang-Undang Federal tentang Pergerakan Bebas Advokat (BGFA) menetapkan kewajiban kerahasiaan profesi. Bagian J, Bab IV membahas ketentuan-ketentuan ini sehubungan dengan penerjemahan mesin. Analisis yang sama berlaku bagi setiap perangkat AI yang dimasuki informasi nasabah.⁵ Solusi praktisnya serupa di berbagai profesi: perangkat yang di-hosting di Swiss atau dalam lingkungan yang terkendali, pengecualian secara kontraktual atas pelatihan dengan data nasabah, anonimisasi apabila memungkinkan, dan persetujuan nasabah setelah diberi informasi apabila risikonya menuntut demikian.

Pertanyaan tentang di mana model dijalankan telah memperoleh dimensi politik. Penyedia besar model AI dan infrastruktur awan berkedudukan di Amerika Serikat, yang CLOUD Act-nya tahun 2018 memungkinkan otoritas Amerika untuk mewajibkan penyedia di bawah yurisdiksinya mengungkapkan data yang disimpan di luar negeri. Bank-bank Swiss merespons dengan pengamanan kontraktual dan teknis, seperti enkripsi dengan kunci yang disimpan di Swiss, sementara beberapa penyedia telah membangun pusat data di negara tersebut.⁶ Tindakan-tindakan ini mengurangi risiko tanpa menghilangkannya, yang menjelaskan minat terhadap model Swiss dan infrastruktur Swiss sebagaimana dipertimbangkan dalam skenario ketiga di bawah ini.

Catatan

1. Undang-Undang Federal tentang Perlindungan Data (FADP, SR 235.1), berlaku sejak 1 September 2023; Komisioner Federal Perlindungan Data dan Informasi (FDPIC), pernyataan tentang keberlakuan FADP terhadap AI, 9 November 2023. Perlu diverifikasi. ↩
2. Pasal 16, 21, dan 22 FADP. Perlu diverifikasi. ↩
3. Pasal 47 Undang-Undang Perbankan (BankA, SR 952.0); lihat Bagian E, Bab IV. Perlu diverifikasi. ↩
4. Surat Edaran FINMA 2018/3 Outsourcing, nomor-nomor marginal tentang pemilihan, pemberian instruksi, dan pengendalian penyedia jasa, keamanan data, serta hak audit. Perlu diverifikasi. ↩
5. Pasal 321 Kitab Undang-Undang Hukum Pidana Swiss (StGB, SR 311.0); Pasal 13 Undang-Undang Federal tentang Pergerakan Bebas Advokat (BGFA, SR 935.61); lihat Bagian J, Bab IV, bagian tentang penerjemahan mesin, AI, dan rahasia profesi. Perlu diverifikasi. ↩
6. United States Clarifying Lawful Overseas Use of Data Act (CLOUD Act), diundangkan pada 23 Maret 2018; mengenai penggunaan layanan awan oleh bank-bank Swiss, lihat Asosiasi Bankir Swiss (SBA), Cloud Guidelines (edisi pertama 2019, edisi revisi sesudahnya). Status perlu diverifikasi. ↩

Hanya untuk informasi umum. Artikel ini bukan merupakan nasihat hukum atau pajak, tidak menggantikan nasihat atas kasus individual, dan tidak menimbulkan hubungan antara advokat dan klien. Artikel ini mencerminkan keadaan hukum per Oktober 2026.