nLPD y chatbots: la checklist de cumplimiento 2026

Si vuestra empresa opera en Suiza y ejecuta un chatbot — en vuestro sitio, WhatsApp, Messenger — estáis tratando datos personales bajo la Ley Federal revisada de Protección de Datos (nLPD). En vigor desde el 1 de septiembre de 2023, alinea ampliamente Suiza con el RGPD, con algunas especificidades suizas. Este artículo es una checklist práctica — no consejo legal, sino el marco de due diligence que usan los equipos de compras y legales suizos.

Qué cambió con la nLPD

• Definición más amplia de datos personales — incluyendo transcripciones de chat con identificadores, IPs, patrones de comportamiento.
• Privacy by design y by default — configuraciones protectoras por defecto de los proveedores.
• Registro obligatorio de tratamientos — cada actividad, incluyendo conversaciones chatbot, documentada.
• Reglas más estrictas para transferencias transfronterizas — garantías adicionales para países sin nivel "adecuado".
• Sanciones más elevadas — multas hasta CHF 250 000 para personas físicas.

Datos personales en conversaciones chatbot

Una conversación chatbot casi siempre contiene datos personales — incluso sin nombre ni e-mail. Las IPs son datos personales. Las huellas de navegador también. Los mensajes en texto libre que revelan información médica, financiera o legal a menudo caen en la categoría "sensible".

Cada despliegue chatbot necesita: base legal documentada, política de retención con calendario de borrado, un medio para que los usuarios ejerzan sus derechos, y mención del chatbot en la política de privacidad.

Residencia de datos — ¿dónde pueden vivir las conversaciones?

La nLPD no exige almacenamiento en Suiza. Exige que las transferencias a países sin protección "adecuada" (según el Consejo Federal) incluyan garantías adicionales — cláusulas contractuales estándar, medidas complementarias, o reglas corporativas vinculantes.

En la práctica, la mayoría de las empresas suizas eligen alojamiento UE (reconocido como adecuado) o, para los casos más sensibles, Suiza. Pregunten a los proveedores dónde se almacenan los datos en reposo.

Acuerdo de Tratamiento de Datos (DPA)

Si un proveedor trata datos personales por vosotros — y un proveedor de chatbot casi siempre lo hace — necesitáis un DPA. Debe especificar: categorías de datos, finalidades, duración, sub-procesadores, medidas de seguridad, proceso de notificación de violaciones, derechos de los interesados.

Logs de auditoría y ventanas de retención

Para industrias reguladas (banca, seguros, salud, legal, farma — comunes en Suiza), el log de auditoría de cada conversación se vuelve una expectativa estándar. Preguntas a hacer: ¿son los logs exportables, a prueba de manipulación, y cuál es la retención?

Transferencias transfronterizas y proveedores de modelos IA

Los chatbots IA usan típicamente grandes modelos alojados por proveedores globales (OpenAI, Anthropic, Google, Mistral). Pregunta de cumplimiento: ¿se envían los datos de forma identificable, qué controles existen (cifrado, minimización, opt-out del entrenamiento), y la cadena contractual está documentada? Para despliegues sensibles — banca privada, salud, legal — muchas firmas suizas requieren endpoints de modelo alojados en UE.

La checklist práctica

• DPA firmado en archivo.
• Datos de conversación en región UE o Suiza — documentado contractualmente.
• Política de retención por categoría, con borrado automático.
• Política de privacidad actualizada — chatbot, datos recogidos, base legal.
• Derechos de los interesados (acceso, borrado, rectificación) operativos.
• Log de auditoría activado, exportable, conservado según requisitos.
• Uso transfronterizo de modelos IA comprendido y documentado; despliegues sensibles con endpoints UE.
• Postura de seguridad del proveedor revisada — cifrado at-rest y in-transit, SSO admin, RBAC.
• Proceso de respuesta a incidentes y notificación de violaciones acordado.

Para empresas suizas listas para empezar

Ningún software hace que un chatbot cumpla la nLPD por sí solo, e intoCHAT no tiene ninguna certificación de protección de datos ni permite elegir la región de alojamiento. Lo que sí os da es control sobre las partes que importan: decidís con qué contenido aprende el agente, los visitantes solo comparten email o teléfono si quieren, podéis eliminar conversaciones y leads de uno en uno, y las respuestas se generan con un modelo de OpenAI que debéis nombrar en vuestra política de privacidad. Más detalles en nuestra guía sobre chatbots, RGPD y nLPD, o en las páginas chatbot IA para Suiza y agente IA para Suiza.

Este artículo es informativo y no constituye asesoramiento legal. Para una interpretación vinculante de la nLPD, consulten a un abogado suizo de protección de datos.