Perlindungan data, alih daya, dan komputasi awan

Undang-Undang Federal tentang Perlindungan Data yang telah direvisi

Undang-Undang Federal tentang Perlindungan Data (FADP) yang telah direvisi mulai berlaku pada 1 September 2023. Undang-undang ini netral teknologi dan karena itu berlaku langsung bagi pemrosesan data pribadi yang didukung AI. Komisaris Federal Perlindungan Data dan Informasi (FDPIC) menegaskan hal ini pada November 2023 dan kembali dalam pernyataan terbaru pada Mei 2025. Produsen, penyedia dan pengguna sistem AI wajib membuat tujuan, cara kerja dan sumber data pemrosesan mereka transparan. Subjek data berhak menolak pemrosesan otomatis dan, berdasarkan Pasal 21 FADP, meminta agar keputusan individual otomatis ditinjau oleh orang perseorangan. Mereka juga harus diberi tahu apakah mereka sedang berinteraksi dengan mesin dan apakah data mereka digunakan untuk melatih sistem yang belajar mandiri. Apabila aplikasi AI melibatkan risiko tinggi, diperlukan penilaian dampak perlindungan data berdasarkan Pasal 22 FADP. FDPIC menambahkan bahwa aplikasi yang dirancang untuk merongrong privasi, seperti pengenalan wajah waktu nyata yang menyeluruh atau penilaian sosial (social scoring), dilarang menurut hukum Swiss.¹

Sejak itu, FDPIC telah menerapkan prinsip-prinsip ini dalam kasus-kasus tertentu. Pada Hari Perlindungan Data 2026, FDPIC melaporkan bahwa pihaknya telah memeriksa penggunaan unggahan di platform X untuk melatih sistem AI Grok, dengan hasil bahwa pengguna dapat menolak penggunaan tersebut. FDPIC juga menyelesaikan penyelidikan atas pengawasan video cerdas di kasir sebuah peritel Swiss. Komisaris merangkum posisinya dengan menyatakan bahwa AI generatif sebagai demikian tidak tunduk pada hukum perlindungan data, tetapi menjadi tunduk segera setelah memproses data pribadi.²

Rezim sanksi FADP berbeda dengan Regulasi Umum Perlindungan Data Eropa (GDPR). FADP mengatur denda pidana hingga CHF 250.000 terhadap orang perseorangan yang dengan sengaja melanggar kewajiban tertentu, di antaranya kewajiban pemberian informasi dan akses, kewajiban kehati-hatian dalam menunjuk pemroses dan aturan mengenai pengungkapan lintas batas. Denda tidak dikenakan kepada perusahaan. Beberapa tindak pidana hanya dituntut atas dasar pengaduan, yang harus diajukan dalam waktu tiga bulan.³ Bagi petugas kepatuhan (compliance) dan manajer di lembaga-lembaga Zurich yang memutuskan pengenalan perangkat AI, sifat pribadi tanggung jawab ini menjadi insentif untuk mendokumentasikan keputusan mereka dengan cermat.

Alih daya berdasarkan Surat Edaran FINMA 2018/3

Ketika bank atau perusahaan asuransi menggunakan model AI eksternal atau menjalankan beban kerja AI di platform cloud, aturan Otoritas Pengawas Pasar Keuangan Swiss (FINMA) mengenai alih daya dapat berlaku. Surat Edaran FINMA 2018/3 “Outsourcing – banks and insurers” diterbitkan pada Desember 2017 dan mulai berlaku pada 1 April 2018. Surat edaran ini menggantikan aturan yang berasal dari 1999 dan dirancang berbasis prinsip dan netral teknologi. Surat edaran ini mewajibkan lembaga untuk memperhitungkan secara memadai risiko yang lebih tinggi dari alih daya ke luar negeri. Surat edaran ini juga mewajibkan lembaga untuk memastikan bahwa lembaga tersebut dapat direstrukturisasi atau diresolusi di Swiss, yang dalam praktik berarti bahwa data yang esensial harus senantiasa dapat diakses dari Swiss.⁴

Surat edaran ini berlaku apabila penyedia jasa secara mandiri dan berkelanjutan melaksanakan suatu fungsi yang signifikan dari lembaga tersebut. Penyimpanan data, pengoperasian basis data dan pengoperasian sistem TI semuanya dapat memenuhi kriteria ini, sehingga mencakup sebagian besar layanan AI berbasis cloud. Kontrak harus memberikan kepada lembaga, kantor auditnya dan FINMA hak tanpa batas untuk memeriksa dan mengaudit semua informasi yang relevan setiap saat. Apabila data nasabah dialihkan ke negara yang tidak memiliki perlindungan data yang memadai, diperlukan pengamanan seperti klausul kontraktual yang diakui.⁵ Dalam konteks AI, inventaris yang diwajibkan oleh Pedoman 08/2024 dan inventaris alih daya saling tumpang tindih. Banyak lembaga telah menggabungkan keduanya, sehingga setiap model eksternal dinilai baik sebagai sistem AI maupun sebagai pengaturan alih daya yang potensial.

Kerahasiaan bank dan cloud

Kendala yang paling khas Swiss adalah kerahasiaan bank. Pasal 47 Undang-Undang Perbankan (BankA) menjadikan pengungkapan informasi yang dipercayakan kepada karyawan dan agen bank dalam kapasitas profesional mereka sebagai tindak pidana. Sejak Undang-Undang Lembaga Keuangan (FinIA) mulai berlaku pada 2020, kewajiban kerahasiaan profesi yang sebanding berlaku bagi lembaga keuangan lain seperti manajer portofolio dan perusahaan manajemen dana berdasarkan Pasal 69 undang-undang tersebut.⁶ Karena itu, penyedia cloud atau penyedia AI yang memiliki akses ke data identifikasi nasabah yang tidak terenkripsi menimbulkan persoalan hukum pidana. Asosiasi Bankir Swiss (SBA) telah menangani hal ini dalam Pedoman Cloud-nya, yang edisi ketiganya diterbitkan pada November 2025. Pedoman tersebut memandang penyimpanan data di luar negeri sebagai sesuatu yang sejalan dengan kerahasiaan bank apabila lembaga mengambil langkah-langkah teknis, organisasional dan kontraktual yang tepat, di antaranya enkripsi yang kuat dan kewajiban kontraktual penyedia untuk memberi tahu bank tentang permintaan dari otoritas asing. Edisi ketiga memperhitungkan Surat Edaran FINMA 2023/1 dengan kategori baru data kritis, FADP yang telah direvisi dan Undang-Undang Keamanan Informasi.⁷

Kendala lebih lanjut timbul dari Pasal 271 Kitab Undang-Undang Hukum Pidana Swiss (SCC), yang melarang pelaksanaan tindakan atas nama negara asing di wilayah Swiss tanpa izin. Penyedia cloud yang menyerahkan data yang disimpan untuk bank Swiss kepada otoritas asing di luar saluran bantuan internasional dapat menghadapkan dirinya sendiri dan, tergantung pada keadaannya, bank tersebut pada tanggung jawab pidana.⁸ CLOUD Act Amerika tahun 2018, yang memungkinkan otoritas AS meminta data yang dipegang oleh penyedia Amerika di mana pun data itu disimpan, merupakan skenario utama yang dibahas dalam konteks ini. Investasi Microsoft, Google dan AWS dalam pusat data di Swiss mengurangi masalah lokasi data, meskipun tidak menghilangkannya, karena perusahaan-perusahaan induknya tetap tunduk pada hukum Amerika. Bagi aplikasi AI yang memproses data nasabah, risiko hukum ini merupakan salah satu alasan mengapa lembaga-lembaga Zurich menaruh minat pada model terbuka seperti Apertus yang dapat dijalankan di lokasi sendiri (on premises) atau bersama penyedia Swiss.

Catatan

1. FDPIC, “Update – Current data protection legislation is directly applicable to AI”, 8 Mei 2025, https://www.edoeb.admin.ch/en/update-current-legislation-directly-applicable-ai. ↩
2. FDPIC, “Data Protection Day 2026: Uses of generative AI and data protection issues”, 28 Januari 2026, https://www.edoeb.admin.ch/en/data-protection-day-2026. ↩
3. Pestalozzi, “The revised Federal Data Protection Act – sanctions increase as of 1 September 2023”, https://pestalozzilaw.com/en/insights/news/legal-insights/the-revised-federal-data-protection-act-sanctions-increase-as-of-1-september-2023/ (diakses September 2026). ↩
4. FINMA, “FINMA veröffentlicht Outsourcing-Rundschreiben”, 5 Desember 2017, https://www.finma.ch/de/news/2017/12/20171205-mm-rs-outsourcing/. ↩
5. Baker McKenzie, “Cloud Compliance Center – Switzerland”, https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland (diakses September 2026). ↩
6. Undang-Undang Federal tentang Bank dan Bank Tabungan (Undang-Undang Perbankan, SR 952.0), Pasal 47, edisi dwibahasa, https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html; Undang-Undang Federal tentang Lembaga Keuangan (FinIA, SR 954.1), Pasal 69 (“Verletzung des Berufsgeheimnisses”), https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html. Kedua ketentuan tersebut juga dikutip dalam Pedoman Cloud SBA yang dibahas dalam catatan kaki berikut. ↩
7. Lenz & Staehelin, “Third edition of the SBA Cloud Guidelines”, November 2025, https://www.lenzstaehelin.com/news-and-insights/browse-thought-leadership-insights/insights-detail/third-edition-of-the-sba-cloud-guidelines/. ↩
8. Baker McKenzie, “Cloud Compliance Center – Switzerland”, bagian mengenai kerahasiaan bank dan Pasal 271 SCC, https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland (diakses September 2026). ↩

Hanya untuk informasi umum. Artikel ini bukan merupakan nasihat hukum atau pajak, tidak menggantikan nasihat atas kasus individual, dan tidak menimbulkan hubungan antara advokat dan klien. Artikel ini mencerminkan keadaan hukum per Oktober 2026.