AI onder Zwitsers recht en de GDPR: de verschillen

Het juridisch kader

Zwitserland heeft geen AI-wet. AI-diensten die persoonsgegevens verwerken, vallen onder de herziene federale wet op de gegevensbescherming (in het Engels FADP, in het Duits DSG), die sinds 1 september 2023 geldt. De Zwitserse toezichthouder, de FDPIC (EDÖB), zei het zonder omwegen: de huidige privacywetgeving is rechtstreeks van toepassing op AI, en dat bevestigde hij in mei 2025 nog eens. Bedien je ook mensen in de EU, dan geldt daarnaast de GDPR (AVG), en vaak ook de Europese AI Act.

Een Nederlandse versie van de Zwitserse wet bestaat niet: de officiële talen zijn Duits, Frans en Italiaans.

Toepassingsgebied

• FADP: beschermt alleen persoonsgegevens van natuurlijke personen (artikelen 2 en 5). De wet geldt voor situaties die gevolgen hebben in Zwitserland, ook als ze in het buitenland begonnen zijn (artikel 3).
• GDPR: geldt ook voor bedrijven buiten de EU als ze goederen of diensten aanbieden aan mensen in de EU of hun gedrag daar volgen (artikel 3, lid 2).

Een Zwitserse AI-start-up met klanten in de EU krijgt dus meestal met allebei te maken.

Grondslagen

Hier zit het grootste verschil. De GDPR laat een verwerking alleen toe op een van de grondslagen van artikel 6. De FADP kent zo'n lijst niet voor private bedrijven: de verwerking moet de beginselen respecteren (artikel 6 FADP), en een rechtvaardiging (toestemming, een zwaarder wegend privaat of publiek belang, of de wet) heb je pas nodig als de verwerking de persoonlijkheidsrechten schendt (artikelen 30 en 31). Dat is bijvoorbeeld zo als je afwijkt van de beginselen of gegevens verwerkt tegen iemands uitdrukkelijke wil in.

Transparantie en geautomatiseerde besluiten

Allebei verplichten ze je om mensen te informeren als je hun gegevens verzamelt (artikel 19 FADP, artikelen 13 en 14 GDPR). Voor besluiten die uitsluitend op geautomatiseerde verwerking berusten en rechtsgevolgen of aanzienlijke nadelige gevolgen hebben, moet je onder de FADP de betrokkene informeren en hem op verzoek zijn standpunt laten geven en het besluit door een mens laten herzien (artikel 21). De GDPR gaat verder: een recht om niet aan zo'n besluit onderworpen te worden, met uitzonderingen (artikel 22). De FDPIC voegt eraan toe dat gebruikers het recht hebben te weten of ze met een machine praten.

Effectbeoordelingen en ontwerp

Allebei vragen ze een gegevensbeschermingseffectbeoordeling (DPIA) als een verwerking waarschijnlijk een hoog risico inhoudt, zeker bij nieuwe technologie (artikel 22 FADP, artikel 35 GDPR), en voorafgaand overleg met de toezichthouder als er een hoog risico overblijft (artikel 23 FADP, artikel 36 GDPR). Allebei eisen ze gegevensbescherming door ontwerp en door standaardinstellingen (artikel 7 FADP, artikel 25 GDPR).

Doorgifte, in twee richtingen

De Europese Commissie erkende Zwitserland als adequaat in Beschikking 2000/518/EG en bevestigde dat in januari 2024. In de andere richting staat artikel 16 FADP doorgifte toe naar landen die de Bondsraad adequaat vindt. Bijlage 1 bij de Zwitserse privacyverordening noemt elke EU- en EER-lidstaat en, sinds 15 september 2024, Amerikaanse organisaties die gecertificeerd zijn onder het Swiss-US Privacy Framework. Meer over doorgifte lees je in gegevens doorgeven buiten de EU.

Sancties

Hier verschillen de systemen volledig. GDPR-boetes treffen bedrijven en worden opgelegd door de toezichthouders, tot 20 miljoen euro of 4% van de wereldwijde omzet (artikel 83). FADP-boetes, tot 250.000 Zwitserse frank, treffen de verantwoordelijke personen, alleen bij opzet (artikelen 60 tot 63), voor een deel alleen op klacht. Een bedrijf kan een boete krijgen, tot 50.000 frank, alleen als het opsporen van de verantwoordelijke persoon onevenredig veel werk zou vragen (artikel 64). De FDPIC onderzoekt (artikel 49) en kan bevelen een verwerking aan te passen, op te schorten of te stoppen en gegevens te wissen (artikel 51), maar kan geen boetes opleggen. De kantons vervolgen en beboeten; de FDPIC kan een strafbaar feit aangeven en optreden als benadeelde partij (artikel 65).

De Europese AI Act

De AI Act geldt voor aanbieders die AI-systemen in de EU op de markt brengen, waar ze ook gevestigd zijn, en voor aanbieders en gebruiksverantwoordelijken in derde landen als de output in de EU gebruikt wordt (artikel 2, lid 1). Aanbieders van hoogrisicosystemen buiten de EU moeten een gemachtigde in de Unie aanstellen (artikel 22). Na de Digitale Omnibus voor AI gelden de hoogrisicoregels vanaf 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I); zie de tijdlijn van de AI Act.

Zwitserland kiest zelf een andere weg: op 12 februari 2025 besliste de Bondsraad het AI-verdrag van de Raad van Europa te ratificeren en het Zwitserse recht per sector aan te passen. Een voorontwerp voor consultatie staat gepland voor het voorjaar van 2027.

In de praktijk

Een bedrijf uit Zürich biedt een AI-tool voor het screenen van sollicitanten aan werkgevers in Zwitserland en België. Voor Zwitserse kandidaten past het de FADP toe: het informeert kandidaten, maakt een DPIA omdat het screenen van kandidaten waarschijnlijk een hoog risico inhoudt, en meldt het als een afwijzing volledig geautomatiseerd is, zodat de kandidaat om een menselijke herziening kan vragen. Voor Belgische kandidaten geldt ook de GDPR, dus heeft het een grondslag onder artikel 6 nodig en moet het de grenzen van artikel 22 respecteren. AI die sollicitaties filtert en kandidaten beoordeelt, is hoog risico onder bijlage III, punt 4, a) van de AI Act, dus het bedrijf stelt een gemachtigde in de EU aan en bereidt zich voor op 2 december 2027.

Een retailer uit Genève gebruikt een klantenchatbot op basis van een Amerikaans model. In lijn met het standpunt van de FDPIC vertelt hij klanten dat ze met een machine praten, checkt hij of de Amerikaanse aanbieder gecertificeerd is onder het Swiss-US Privacy Framework, en legt hij de verwerking vast in zijn register.

Veelgestelde vragen

Heeft een Zwitsers bedrijf een GDPR-vertegenwoordiger nodig?

Ja, als artikel 3, lid 2 GDPR op het bedrijf van toepassing is, tenzij een uitzondering van artikel 27, lid 2 geldt. De FADP heeft een spiegelregel voor buitenlandse bedrijven (artikel 14), maar alleen bij grootschalige, regelmatige verwerking met een hoog risico.

Is de FADP strenger of soepeler dan de GDPR?

Dat hangt af van het punt. Ze is soepeler wat grondslagen en boetes voor bedrijven betreft. Maar ze is strenger op een punt dat managers raakt: de boete kan hen persoonlijk treffen.

Moet je een datalek in Zwitserland binnen 72 uur melden?

Er is geen vaste termijn: de FADP zegt "zo snel mogelijk", en alleen als een hoog risico waarschijnlijk is (artikel 24). Onder de GDPR geldt de 72-urenregel (artikel 33).

Geldt de AI Act voor puur Zwitserse activiteiten?

Nee. Ze geldt als je AI in de EU op de markt brengt of als de output in de EU gebruikt wordt.

Hoe dit samenhangt

Beide wetten combineren begint met één DPIA en één verwerkingsregister die de Zwitserse en de Europese regels dekken. Met AI Act-compliance leggen we je systemen naast de AI Act, en een externe DPO houdt beide regimes in het oog. Lees ook AI Act en GDPR.