Proteção de dados, sigilo profissional e a nuvem

A inteligência artificial depende de dados. Grande parte dos dados detidos pelas instituições financeiras de Basileia é protegida por lei. A Lei Federal sobre a Proteção de Dados revista, em vigor desde 1º de setembro de 2023, aplica-se ao tratamento de dados pessoais por particulares e por órgãos federais. É tecnologicamente neutra e, por isso, abrange os sistemas de IA sem nomeá-los. O Encarregado Federal da Proteção de Dados e da Transparência confirmou-o em uma declaração de novembro de 2023, na qual lembrou a fornecedores e usuários que o direito vigente se aplica diretamente ao tratamento apoiado por IA.¹ Três disposições são as mais importantes na prática. O artigo 21 obriga o responsável pelo tratamento a informar o titular dos dados sobre uma decisão baseada exclusivamente em tratamento automatizado que produza efeito jurídico ou afete significativamente a pessoa, permitindo ao titular obter a revisão da decisão por uma pessoa física. O artigo 22 exige uma avaliação de impacto sobre a proteção de dados quando o tratamento for suscetível de gerar um risco elevado para a personalidade ou os direitos fundamentais do titular. O artigo 16 rege a comunicação de dados ao exterior, que se torna relevante sempre que um modelo é executado em servidores fora da Suíça.²

O sigilo bancário acrescenta uma dimensão penal. O artigo 47 da Lei Federal sobre Bancos pune quem revelar um segredo que lhe tenha sido confiado na qualidade de órgão, empregado, mandatário ou liquidante de um banco. A Parte E, Capítulo IV, mostrou que essa disposição sobreviveu ao fim do sigilo bancário perante as autoridades fiscais estrangeiras e continua a proteger os dados dos clientes contra a divulgação não autorizada a terceiros privados.³ Um banco que envie dados de clientes a um fornecedor externo de IA deve, portanto, assegurar que o fornecedor esteja vinculado à confidencialidade, que o acesso de seu pessoal seja restrito e controlado e que os dados não possam ser usados para treinar modelos disponíveis a terceiros. A circular de terceirização da Autoridade Suíça de Supervisão do Mercado Financeiro (FINMA) acrescenta requisitos sobre a seleção, a instrução e o monitoramento do prestador de serviços e sobre a capacidade do banco de recuperar seus dados e de permitir auditorias.⁴

Advogados, trustees e outros profissionais que assessoram clientes em Basileia enfrentam obrigações correspondentes. O artigo 321 do Código Penal suíço protege os segredos dos clientes confiados a advogados, médicos e certas outras profissões, ao passo que o artigo 13 da Lei Federal sobre a Livre Circulação dos Advogados impõe o sigilo profissional. A Parte J, Capítulo IV, discutiu essas disposições em conexão com a tradução automática. A mesma análise se aplica a toda ferramenta de IA na qual sejam inseridas informações de clientes.⁵ As soluções práticas são semelhantes entre as profissões: ferramentas hospedadas na Suíça ou em um ambiente controlado, exclusão contratual do treinamento com dados de clientes, anonimização sempre que possível e consentimento informado do cliente quando o risco o exigir.

A questão de onde os modelos são executados adquiriu uma dimensão política. Os grandes fornecedores de modelos de IA e de infraestrutura em nuvem estão sediados nos Estados Unidos, cujo CLOUD Act de 2018 permite às autoridades americanas exigir que fornecedores sob sua jurisdição revelem dados armazenados no exterior. Os bancos suíços responderam com salvaguardas contratuais e técnicas, como a criptografia com chaves mantidas na Suíça, enquanto vários fornecedores construíram centros de dados no país.⁶ Essas medidas reduzem o risco sem eliminá-lo, o que explica o interesse por modelos suíços e por infraestrutura suíça considerado no terceiro cenário a seguir.

Notas

1. Lei Federal sobre a Proteção de Dados (LPD/FADP, SR 235.1), em vigor desde 1º de setembro de 2023; Encarregado Federal da Proteção de Dados e da Transparência (PFPDT/FDPIC), declaração sobre a aplicabilidade da FADP à IA, 9 de novembro de 2023. ↩
2. Arts. 16, 21 e 22 FADP. ↩
3. Art. 47 da Lei Federal sobre Bancos (LB/BankA, SR 952.0); ver a Parte E, Capítulo IV. ↩
4. FINMA Circular 2018/3 Outsourcing, notas marginais sobre a seleção, a instrução e o controle do prestador de serviços, a segurança dos dados e os direitos de auditoria. ↩
5. Art. 321 do Código Penal suíço (CP/StGB, SR 311.0); art. 13 da Lei Federal sobre a Livre Circulação dos Advogados (LLCA/BGFA, SR 935.61); ver a Parte J, Capítulo IV, seção sobre tradução automática, IA e sigilo profissional. ↩
6. United States Clarifying Lawful Overseas Use of Data Act (CLOUD Act), promulgado em 23 de março de 2018; sobre o uso de serviços em nuvem pelos bancos suíços, ver Associação Suíça de Banqueiros, Cloud Guidelines (primeira edição em 2019, edições revistas posteriormente). ↩

Apenas para fins de informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise de um caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro de 2026.