데이터 보호, 아웃소싱 및 클라우드 컴퓨팅
개정 「연방 데이터보호법」
개정 「연방 데이터보호법」(FADP)은 2023년 9월 1일 시행되었다. 이 법은 기술 중립적이므로 AI를 활용한 개인정보 처리에 직접 적용된다. 연방 데이터보호·정보공개위원(FDPIC)은 2023년 11월에 이를 확인하였고, 2025년 5월의 갱신된 입장 표명에서 다시 확인하였다. AI 시스템의 제조자, 제공자 및 배포자는 처리의 목적, 작동 방식 및 데이터 출처를 투명하게 공개해야 한다. 정보주체는 자동화된 처리에 이의를 제기할 권리가 있으며, 「연방 데이터보호법」 제21조에 따라 자동화된 개별 결정을 자연인이 검토하도록 요구할 권리가 있다. 또한 정보주체는 자신이 기계와 상호작용하고 있는지, 그리고 자신의 데이터가 자기학습 시스템의 학습에 사용되는지를 고지받아야 한다. AI 애플리케이션이 높은 위험을 수반하는 경우에는 「연방 데이터보호법」 제22조에 따른 데이터 보호 영향평가가 요구된다. FDPIC는 포괄적인 실시간 안면인식이나 사회적 점수 부여와 같이 사생활을 침해하도록 설계된 애플리케이션은 스위스 법상 금지된다고 덧붙였다.1
FDPIC는 그 후 개별 사안에 이러한 원칙을 적용해 왔다. 2026년 데이터 보호의 날에 FDPIC는 플랫폼 X의 게시물을 AI 시스템 Grok의 학습에 사용하는 문제를 검토하였으며, 그 결과 이용자가 그러한 사용에 이의를 제기할 수 있게 되었다고 밝혔다. FDPIC는 또한 스위스의 한 소매업체 계산대에서의 지능형 영상 감시에 관한 조사를 종결하였다. 위원은 생성형 AI 그 자체는 데이터 보호법의 적용 대상이 아니지만 개인정보를 처리하는 순간 적용 대상이 된다고 입장을 요약하였다.2
「연방 데이터보호법」의 제재 체계는 EU 「일반 데이터 보호 규칙」(GDPR)의 제재 체계와 다르다. 이 법은 특정 의무를 고의로 위반한 자연인에 대해 최대 25만 스위스 프랑의 형사 벌금을 규정한다. 여기에는 정보 제공 및 열람 의무, 수탁처리자 선임 시의 주의 의무, 그리고 국외 이전에 관한 규정이 포함된다. 벌금은 회사에는 부과되지 않는다. 일부 범죄는 고소가 있어야만 기소되며, 고소는 3개월 이내에 제기해야 한다.3 AI 도구의 도입을 결정하는 취리히 기관의 컴플라이언스 담당자와 경영진에게 이러한 책임의 개인적 성격은 자신의 결정을 신중하게 문서화할 유인이 된다.
FINMA 회람 2018/3에 따른 아웃소싱
은행이나 보험회사가 외부 AI 모델을 사용하거나 클라우드 플랫폼에서 AI 작업을 실행하는 경우, 스위스 금융시장감독청(FINMA)의 아웃소싱 규정이 적용될 수 있다. FINMA 회람 2018/3 “아웃소싱 – 은행 및 보험회사”는 2017년 12월에 발표되어 2018년 4월 1일 시행되었다. 이 회람은 1999년부터 적용되던 규정을 대체하였으며, 원칙 중심적이고 기술 중립적으로 설계되었다. 회람은 기관이 국외 아웃소싱의 높은 위험을 적절히 고려하도록 요구한다. 또한 기관이 스위스에서 구조조정 또는 정리될 수 있도록 보장할 것을 요구하는데, 이는 실무상 핵심 데이터가 언제든지 스위스에서 접근 가능한 상태로 유지되어야 함을 의미한다.4
이 회람은 서비스 제공자가 기관의 중요한 기능을 독립적으로 그리고 지속적으로 수행하는 경우에 적용된다. 데이터 저장, 데이터베이스 운영 및 IT 시스템 운영은 모두 이에 해당할 수 있으며, 이는 대부분의 클라우드 기반 AI 서비스를 포괄한다. 계약은 기관, 기관의 감사법인 및 FINMA에 언제든지 모든 관련 정보를 열람하고 감사할 수 있는 무제한의 권리를 부여해야 한다. 고객 데이터가 적절한 데이터 보호 수준을 갖추지 못한 국가로 이전되는 경우에는 승인된 계약 조항과 같은 안전장치가 필요하다.5 AI와 관련하여, 지침 08/2024가 요구하는 목록과 아웃소싱 목록은 서로 겹친다. 많은 기관은 이 둘을 통합하여, 각 외부 모델을 AI 시스템으로서 그리고 잠재적 아웃소싱 약정으로서 함께 평가하고 있다.
은행 고객 비밀유지와 클라우드
가장 스위스에 특유한 제약은 은행 고객 비밀유지이다. 「은행법」(BankA) 제47조는 은행의 임직원과 대리인이 직무상 위탁받은 정보를 공개하는 행위를 형사 범죄로 규정한다. 2020년 「금융기관법」(FinIA)이 시행된 이후, 포트폴리오 관리인과 펀드 운용회사 등 그 밖의 금융기관에도 같은 법 제69조에 따라 이에 상응하는 직업상 비밀유지 의무가 적용된다.6 따라서 암호화되지 않은 고객 식별 데이터에 접근할 수 있는 클라우드 제공업체나 AI 제공업체는 형법상의 문제를 제기한다. 스위스 은행협회(SBA)는 2025년 11월 제3판이 발표된 「클라우드 가이드라인」에서 이 문제를 다루었다. 이 가이드라인은 기관이 강력한 암호화와 외국 당국의 요청을 은행에 통지할 제공업체의 계약상 의무를 비롯한 적절한 기술적·조직적·계약적 조치를 취하는 경우, 데이터의 국외 저장이 은행 고객 비밀유지와 양립할 수 있다고 본다. 제3판은 핵심 데이터라는 새로운 범주를 둔 FINMA 회람 2023/1, 개정 「연방 데이터보호법」 및 「정보보안법」을 반영하고 있다.7
또 다른 제약은 「스위스 형법」(SCC) 제271조에서 비롯된다. 이 조항은 허가 없이 스위스 영토에서 외국을 위한 행위를 하는 것을 금지한다. 스위스 은행을 위해 저장된 데이터를 국제 공조 경로를 거치지 않고 외국 당국에 넘겨주는 클라우드 제공업체는 스스로 형사 책임을 질 수 있으며, 사정에 따라서는 은행도 형사 책임을 질 수 있다.8 이와 관련하여 주로 논의되는 시나리오는 2018년 미국 「CLOUD Act」이다. 이 법은 미국 당국이 데이터의 저장 위치와 관계없이 미국 제공업체가 보유한 데이터를 요구할 수 있도록 한다. Microsoft, Google 및 AWS가 스위스 데이터센터에 투자함으로써 데이터 소재지의 문제는 줄어들지만 해소되지는 않는다. 모회사가 여전히 미국 법의 적용을 받기 때문이다. 고객 데이터를 처리하는 AI 애플리케이션의 경우, 이러한 법적 위험은 취리히 기관들이 자체 시설이나 스위스 제공업체를 통해 운영할 수 있는 Apertus와 같은 오픈 모델에 관심을 보이는 이유 중 하나이다.
주석
- FDPIC, “Update – Current data protection legislation is directly applicable to AI”, 2025년 5월 8일, https://www.edoeb.admin.ch/en/update-current-legislation-directly-applicable-ai. ↩
- FDPIC, “Data Protection Day 2026: Uses of generative AI and data protection issues”, 2026년 1월 28일, https://www.edoeb.admin.ch/en/data-protection-day-2026. ↩
- Pestalozzi, “The revised Federal Data Protection Act – sanctions increase as of 1 September 2023”, https://pestalozzilaw.com/en/insights/news/legal-insights/the-revised-federal-data-protection-act-sanctions-increase-as-of-1-september-2023/ (2026년 9월 확인). ↩
- FINMA, “FINMA veröffentlicht Outsourcing-Rundschreiben”, 2017년 12월 5일, https://www.finma.ch/de/news/2017/12/20171205-mm-rs-outsourcing/. ↩
- Baker McKenzie, “Cloud Compliance Center – Switzerland”, https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland (2026년 9월 확인). ↩
- 「은행 및 저축은행에 관한 연방법」(「은행법」, SR 952.0) 제47조, 2개 언어판, https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html; 「금융기관에 관한 연방법」(FinIA, SR 954.1) 제69조(“Verletzung des Berufsgeheimnisses”), https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html. 두 조항은 다음 주석에서 다루는 SBA 「클라우드 가이드라인」에서도 인용된다. ↩
- Lenz & Staehelin, “Third edition of the SBA Cloud Guidelines”, 2025년 11월, https://www.lenzstaehelin.com/news-and-insights/browse-thought-leadership-insights/insights-detail/third-edition-of-the-sba-cloud-guidelines/. ↩
- Baker McKenzie, “Cloud Compliance Center – Switzerland”, 은행 고객 비밀유지 및 「스위스 형법」 제271조(SCC)에 관한 부분, https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland (2026년 9월 확인). ↩
일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.