Abrir una agencia de IA en Suiza no exige licencia, permiso ni título profesional, y Suiza todavía no tiene una ley de inteligencia artificial. Lo que encuadra el oficio son los datos. Una agencia de IA o digital trata los datos de los clientes de sus clientes, los envía a modelos alojados a menudo en Estados Unidos, entrega código y contenidos cuya propiedad nunca es automática, y trabaja para empresas europeas cuyos usuarios protege el Reglamento europeo de IA más allá de sus fronteras. La ley suiza de protección de datos ya se aplica a todo ello, y el reglamento europeo también en cuanto sus resultados se utilizan en la Unión. Esta guía repasa esas reglas en el orden en que un fundador las encuentra.
Índice
- Sin licencia ni título protegido
- Suiza no tiene ley de IA, pero la LPD ya se aplica
- Los datos de los clientes de sus clientes
- Modelos en Estados Unidos y transferencias
- Decisiones automatizadas
- El Reglamento europeo de IA alcanza a la agencia suiza
- Código, entregables y contenidos generados
- Contratos y suscripciones
- Sociedad, cantón e IVA
- Errores que salen caros
- FAQ
Sin licencia ni título protegido
Ninguna autoridad suiza, federal o cantonal, concede licencias a las agencias de IA, a las agencias digitales ni a las consultoras de automatización. Se constituye una sociedad, se inscribe en el registro mercantil del cantón donde tiene su sede y se empieza a facturar. Denominaciones como «consultor de IA» o «experto en IA» no están protegidas, y no existe ninguna certificación suiza que las acredite.
La palabra «agencia» designa dos oficios distintos. La agencia de comunicación diseña campañas, identidades visuales y planes de medios; sus preguntas son el IVA de los servicios vendidos al extranjero, la cesión de derechos de sus creativos y la competencia desleal, temas que tratamos en nuestra guía para crear una agencia de comunicación en Suiza. La agencia de IA o digital construye herramientas que funcionan con datos: webs y aplicaciones, conexiones entre programas, agentes conversacionales, tratamiento automático de documentos. Ese desplazamiento lleva su centro de gravedad jurídico hacia la protección de datos, los derechos sobre el código y, desde 2026, el derecho europeo de la IA.
Si su proyecto es vender un único programa con su propia marca, por suscripción, a muchos clientes, usted se acerca más a un editor de software, y los temas cambian (IVA de los servicios electrónicos, patent box, participación de los empleados). Los explicamos en nuestro artículo sobre cómo crear una startup SaaS en Suiza.
Suiza no tiene ley de IA, pero la LPD ya se aplica
Suiza ha descartado una ley transversal sobre la inteligencia artificial. El 12 de febrero de 2025, el Consejo Federal decidió ratificar el Convenio Marco del Consejo de Europa sobre IA, que Suiza firmó el 27 de marzo de 2025, y adaptar el derecho existente sector por sector cuando haga falta. El Departamento Federal de Justicia y Policía debe presentar un anteproyecto a consulta antes de finales de 2026, centrado en transparencia, protección de datos, no discriminación y vigilancia.
Eso no deja ningún vacío. El Encargado Federal de Protección de Datos y Transparencia (PFPDT) recordó en una actualización publicada el 8 de mayo de 2025 que la Ley Federal de Protección de Datos (LPD), redactada de forma neutra respecto de la tecnología, se aplica directamente a los tratamientos de datos basados en IA. De ahí extrae exigencias concretas: hacer transparentes la finalidad, el funcionamiento y el origen de los datos tratados, permitir que la persona sepa si habla o escribe con una máquina, y hacer reconocibles las ultrafalsificaciones.
Los datos de los clientes de sus clientes
Cuando su agencia trata datos personales por cuenta de un cliente, es encargada del tratamiento según el art. 9 LPD, y el cliente sigue siendo el responsable. Fichas de CRM, correos de atención al cliente, candidaturas, historiales de pedidos: todo lo que pasa por sus automatizaciones entra en este marco. La ley admite el encargo si lo prevé un contrato, si la agencia solo realiza los tratamientos que el propio cliente podría realizar y si ninguna obligación legal o contractual de secreto lo impide.
La regla que cambia la forma de trabajar figura en el apartado 3 del mismo artículo: el encargado solo puede subcontratar un tratamiento a un tercero con la autorización previa del responsable. Enviar los datos de un cliente a un modelo de lenguaje explotado por otra empresa es exactamente eso. La autorización debe existir antes de la primera llamada a la API, no después de la puesta en producción. En la práctica, el contrato enumera los proveedores de modelos, de alojamiento y de automatización que usted utiliza, y prevé cómo se informa al cliente de cualquier cambio.
Ese estatuto conlleva además tres obligaciones:
- Seguridad: responsables y encargados garantizan una seguridad de los datos adecuada al riesgo (art. 8 LPD).
- Incidentes: el encargado comunica al responsable, lo antes posible, cualquier violación de la seguridad de los datos (art. 24 ap. 3 LPD).
- Protección desde el diseño y por defecto: el tratamiento se limita, por defecto, a lo que exige su finalidad (art. 7 LPD).
La sanción no recae en la sociedad sino en las personas. La LPD castiga con multa de hasta 250 000 francos, previa denuncia, a la persona privada que, de forma intencionada, encarga un tratamiento sin cumplir las condiciones del art. 9, comunica datos al extranjero vulnerando el art. 16 o incumple los requisitos mínimos de seguridad (art. 61 LPD). En una agencia joven, esa persona suele ser el fundador.
Su agencia de IA en Suiza
Una sociedad sólida antes del primer contrato con un cliente
Elección entre Sàrl y SA, constitución e inscripción en el registro mercantil, sede en Ginebra, Lucerna o Zug, y después contabilidad de las suscripciones recurrentes, IVA de los servicios vendidos en Suiza y en el extranjero y salarios del equipo: My Swiss Company SA crea y administra su agencia mientras sus abogados redactan los contratos de encargo de tratamiento que sus clientes le pedirán.
Plantear su proyecto
Gestoría suiza en Ginebra, Lucerna y Zug, al servicio de clientes en más de 20 países.
Modelos en Estados Unidos y transferencias
La mayoría de los modelos que integra una agencia de IA los explotan empresas estadounidenses en servidores situados fuera de Suiza. Enviarles datos personales es una comunicación al extranjero, libre solo hacia un Estado cuyo nivel de protección el Consejo Federal haya reconocido como adecuado (art. 16 ap. 1 LPD). En los demás casos hacen falta garantías: cláusulas tipo reconocidas por el PFPDT, cláusulas contractuales comunicadas al PFPDT o normas corporativas vinculantes (art. 16 ap. 2 LPD).
Estados Unidos figura en el anexo 1 de la Ordenanza de protección de datos (OPDo), en su versión del 1 de diciembre de 2025, pero con una restricción: el nivel adecuado solo se reconoce para los datos tratados por organizaciones certificadas conforme al marco de protección de datos entre Suiza y Estados Unidos (Swiss-U.S. Data Privacy Framework). Hay que comprobar la certificación proveedor por proveedor, y entidad por entidad.
| Destino de los datos | Base legal | Lo que la agencia debe poder demostrar |
|---|---|---|
| Servidores en Suiza | No hay comunicación al extranjero | Contrato de encargo y autorización del cliente para el alojamiento |
| Unión Europea o EEE | Art. 16 ap. 1 LPD, anexo 1 OPDo | Lo mismo, más la ubicación real de los servidores |
| Estados Unidos, proveedor certificado Swiss-U.S. DPF | Anexo 1 OPDo, limitado a organizaciones certificadas | Prueba de la certificación de la entidad que trata los datos |
| Estados Unidos sin certificación, u otro país no incluido | Art. 16 ap. 2 LPD | Cláusulas tipo u otra garantía, y análisis del riesgo |
Fuente: art. 16 LPD (RS 235.1) y anexo 1 OPDo (RS 235.11, versión del 1.12.2025).
En sentido contrario, Suiza juega a favor de usted. En su informe del 15 de enero de 2024, la Comisión Europea confirmó que Suiza garantiza un nivel de protección adecuado: una empresa española puede confiar datos personales a una agencia en Ginebra, Lucerna o Zug sin garantías adicionales. Le exigirá, eso sí, el contrato de encargo que impone el art. 28 ap. 3 del RGPD, y aplicará su apartado 2: «El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable.» El RGPD puede incluso aplicarse directamente a la agencia cuando el tratamiento está ligado a la oferta de servicios a personas que se encuentran en la Unión o al seguimiento de su comportamiento (art. 3 ap. 2 RGPD).
Decisiones automatizadas
Una automatización que decide por sí sola sobre una persona genera obligaciones propias. Cuando una decisión se basa exclusivamente en un tratamiento automatizado y produce efectos jurídicos para la persona o la afecta de forma considerable, el responsable debe informarla (art. 21 ap. 1 LPD). La persona puede dar su punto de vista y pedir que una persona física revise la decisión (art. 21 ap. 2).
Filtrar candidaturas, puntuar solicitudes de crédito o rechazar reclamaciones sin intervención humana entra en esta categoría. Si el tratamiento puede suponer un riesgo elevado, en particular por el uso de nuevas tecnologías, el responsable debe realizar antes una evaluación de impacto (art. 22 LPD). Esa evaluación corresponde al cliente, pero quien conoce el comportamiento del modelo es la agencia, así que en la práctica se redacta entre ambos. Y si alguien ejerce su derecho de acceso, la respuesta debe indicar la existencia de la decisión automatizada y la lógica en que se basa (art. 25 ap. 2 letra f LPD).
El Reglamento europeo de IA alcanza a la agencia suiza
El Reglamento (UE) 2024/1689 se aplica a «los proveedores y responsables del despliegue de sistemas de IA que estén establecidos o ubicados en un tercer país, cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión» (art. 2 ap. 1 letra c). Para una agencia suiza, basta con que un entregable sirva a un cliente o a usuarios en España, Francia o Alemania.
Un caso que ya vemos llegar: dos socios colombianos fundan en Lucerna una agencia que automatiza la atención al cliente de una cadena hotelera española con un asistente que responde a los huéspedes por chat, apoyado en un modelo alojado en Estados Unidos. Los huéspedes deben saber que interactúan con un sistema de IA, salvo que resulte evidente (art. 50 ap. 1 del Reglamento). La cadena exigirá un contrato de encargo del art. 28 RGPD y autorizará por escrito al proveedor del modelo. La agencia de Lucerna, por su parte, necesita la autorización previa de su cliente según la LPD y la certificación Swiss-U.S. DPF del proveedor, o cláusulas tipo. Ninguna autoridad suiza ha concedido nada, y sin embargo cuatro regímenes gobiernan el proyecto.
¿Quién es el «proveedor»? El reglamento lo define como quien «desarrolle un sistema de IA […] o para el que se desarrolle un sistema de IA […] y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca» (art. 3, punto 3). Si la cadena hotelera pone el asistente en servicio con su marca, en principio la proveedora es ella y la agencia es la desarrolladora; si la agencia vende el mismo asistente con su marca a veinte hoteles, la proveedora es la agencia.
El calendario cambió en verano de 2026, pero no para la transparencia. El Reglamento (UE) 2026/1744, de 8 de julio de 2026, llamado ómnibus digital sobre la IA y publicado en el Diario Oficial el 24 de julio de 2026, aplazó las obligaciones de los sistemas de alto riesgo del anexo III al 2 de diciembre de 2027 y las del anexo I al 2 de agosto de 2028. El artículo 50 se aplica desde el 2 de agosto de 2026; solo los proveedores de sistemas generativos ya comercializados antes de esa fecha tienen hasta el 2 de diciembre de 2026 para el marcado legible por máquina. El ómnibus también suavizó la alfabetización en IA del art. 4: proveedores y responsables del despliegue «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal», sin tener que garantizar un nivel concreto por persona.
Consejo de My Swiss Company
Antes de elegir sus herramientas, mire dónde están sus clientes. Una agencia suiza que solo trabaja para empresas suizas responde ante la LPD; el primer contrato con un cliente en Madrid o en Barcelona añade el RGPD y el Reglamento de IA. Prepare una sola vez, al constituir la sociedad, su modelo de contrato de encargo, su lista de subencargados y la frase que informa al usuario de que habla con una IA.
Código, entregables y contenidos generados
El derecho de autor suizo protege las creaciones intelectuales literarias o artísticas con carácter individual, cualquiera que sea su valor o su destino (art. 2 ap. 1 de la Ley de derecho de autor, LDA), e incluye expresamente los programas informáticos (art. 2 ap. 3). En una agencia se dan tres situaciones con respuestas distintas.
El código de los empleados
El empleador es el único autorizado a ejercer los derechos exclusivos de uso sobre el programa creado por el trabajador en el ejercicio de su actividad (art. 17 LDA). Para sus desarrolladores asalariados, la agencia puede ceder o licenciar el código a sus clientes.
El código de los autónomos
El art. 17 solo contempla al trabajador asalariado. El programador autónomo, en Suiza o en el extranjero, conserva los derechos sobre lo que escribe mientras no los ceda, y la cesión de un derecho no incluye los demás salvo pacto en contrario (art. 16 ap. 2 LDA). La agencia que promete a su cliente la propiedad de un código que nunca adquirió de sus autónomos promete algo que no tiene.
Los contenidos generados por IA
El Instituto Federal de la Propiedad Intelectual (IPI) lo explica sin rodeos: en Suiza, el derecho de autor solo protege obras creadas por un ser humano. Si la persona usa la herramienta como instrumento y aporta el esfuerzo creativo, el resultado puede estar protegido; si el acto creativo lo realiza la máquina, no. Lo que no está protegido no se puede ceder: la cláusula «la agencia cede todos sus derechos» no da al cliente ninguna exclusividad sobre una imagen o un texto generados sin aportación creativa humana. El contrato debe precisar qué se generó, con qué herramienta y bajo qué condiciones de licencia, qué retocó una persona y quién garantiza que no se vulneran derechos de terceros.
Contratos y suscripciones
Una agencia de IA o digital firma en la práctica dos tipos de contrato, y el Código de las Obligaciones (CO) no los trata igual. La web, la aplicación o la automatización entregada en una fecha pactada es, por lo general, un contrato de obra: el contratista se obliga a ejecutar una obra a cambio de un precio (art. 363 CO). El cliente revisa la obra al recibirla y señala los defectos; si es inutilizable puede rechazarla, y ante defectos menores puede pedir una rebaja del precio o la reparación (art. 367 y 368 CO).
El acompañamiento mensual (mantenimiento, optimización, asesoramiento) se parece más al mandato, contrato por el que el mandatario se obliga a prestar los servicios prometidos (art. 394 CO). Y el mandato puede revocarse en cualquier momento por cualquiera de las partes (art. 404 ap. 1 CO); solo la revocación en un momento inoportuno da derecho a indemnización (ap. 2). Si su suscripción de doce meses se califica de mandato, el cliente puede ponerle fin el mes siguiente, diga lo que diga el contrato. La solución no es una cláusula más dura, sino una estructura más clara: una obra entregada, recibida y pagada como tal, y después un acompañamiento cuyo valor se vea cada mes. Haga revisar la calificación por un abogado suizo antes de la primera firma.
Sociedad, cantón e IVA
La mayoría de las agencias de IA empiezan como Sàrl (sociedad de responsabilidad limitada), con un capital de 20 000 francos totalmente desembolsado. La SA, con 100 000 francos de capital y al menos 50 000 desembolsados, tiene sentido cuando entran inversores o grandes clientes esperan una contraparte más sólida. La responsabilidad limitada no protege al fundador de las multas de la LPD, que recaen en las personas. Las etapas de constitución se explican en nuestra guía sobre los pasos para establecer un negocio en Suiza, y nuestro servicio de constitución de sociedades se encarga de ellas.
El cantón sigue a sus clientes y a su equipo: Ginebra para la clientela internacional y francófona, Zug y Lucerna para Suiza central y germanófona. En materia de IVA, los servicios prestados a clientes establecidos en el extranjero quedan en principio fuera del IVA suizo. Las compras merecen atención: una vez inscrita la agencia en el IVA, los servicios que compra a proveedores extranjeros no inscritos en Suiza tributan por el impuesto sobre las adquisiciones; antes de la inscripción, los servicios informáticos y de telecomunicaciones quedan excluidos (es el proveedor extranjero quien debe inscribirse), mientras que los demás servicios extranjeros tributan por encima de 10 000 francos al año (art. 45 de la ley del IVA).
Errores que salen caros
- Conectar un modelo antes de que el cliente lo autorice: la subcontratación en cadena sin autorización previa es justo lo que prohíbe el art. 9 ap. 3 LPD.
- Suponer que un proveedor estadounidense está «cubierto»: solo la certificación Swiss-U.S. DPF de la entidad que trata los datos hace adecuada la transferencia.
- Ceder lo que no se tiene: código de autónomos sin cesión escrita, contenidos generados sin aportación humana.
- Confundir la sede con el mercado: el Reglamento de IA pregunta dónde se usan los resultados, no dónde está inscrita la sociedad.
- Contar una suscripción larga como ingreso asegurado: si es un mandato, se revoca en cualquier momento.
- Anunciar una «certificación IA» o un «cumplimiento garantizado del Reglamento de IA»: no existe tal certificación suiza.
FAQ: crear una agencia de IA en Suiza
¿Hace falta una licencia para abrir una agencia de IA en Suiza?
No. No se exige ninguna licencia federal ni cantonal para explotar una agencia de IA o digital en Suiza, y títulos como consultor de IA no están protegidos. La sociedad se inscribe en el registro mercantil como cualquier Sàrl o SA. Las obligaciones del oficio proceden de la ley de protección de datos, del derecho de autor, del Código de las Obligaciones y, para los clientes europeos, del RGPD y del Reglamento (UE) 2024/1689.
¿Tiene Suiza una ley de inteligencia artificial?
Todavía no. El 12 de febrero de 2025, el Consejo Federal decidió ratificar el Convenio Marco del Consejo de Europa sobre IA y adaptar el derecho por sectores; se espera un anteproyecto en consulta antes de finales de 2026. Mientras tanto, el PFPDT considera que la LPD se aplica directamente a los tratamientos de datos basados en IA.
¿Se aplica el Reglamento europeo de IA a una agencia suiza?
Sí, cuando la agencia introduce un sistema de IA en el mercado de la Unión o cuando los resultados de un sistema que proporciona o utiliza se usan en la Unión (art. 2 ap. 1 letras a y c del Reglamento 2024/1689). Las obligaciones de transparencia del art. 50 se aplican desde el 2 de agosto de 2026; el ómnibus de 8 de julio de 2026 aplazó las de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028, no la transparencia.
¿Puede una agencia suiza enviar datos de clientes a un modelo de IA estadounidense?
Sí, si se cumplen dos condiciones. El cliente debe haber autorizado antes a ese subencargado (art. 9 ap. 3 LPD) y la transferencia debe estar cubierta: o el proveedor está certificado en el Swiss-U.S. Data Privacy Framework, único caso en que el anexo 1 de la OPDo reconoce a Estados Unidos como adecuado, o existen cláusulas tipo u otra garantía del art. 16 ap. 2 LPD.
¿De quién es un texto o una imagen generados por IA?
De nadie, en términos de derecho de autor, si no hay aportación creativa humana: según el IPI, el derecho de autor suizo solo protege obras creadas por un ser humano. El resultado puede estar protegido cuando una persona usa la herramienta como instrumento y aporta el esfuerzo creativo. Por eso el contrato debe describir qué se generó, qué se retocó y quién asume el riesgo frente a terceros.
¿Puede un cliente cancelar una suscripción mensual en cualquier momento?
Si la suscripción se califica de mandato, sí: según el art. 404 ap. 1 del Código de las Obligaciones, el mandato puede revocarse en cualquier momento, y solo la revocación en un momento inoportuno da lugar a indemnización. Una duración mínima de doce meses escrita en el contrato no cambia esta regla. Separar la obra entregada (contrato de obra, art. 363 CO) del acompañamiento mensual hace los ingresos más previsibles.
Fuentes
- Ley Federal de Protección de Datos (LPD), RS 235.1
- Ordenanza de protección de datos (OPDo), RS 235.11, anexo 1
- PFPDT, la LPD se aplica directamente a la IA, actualización del 8 de mayo de 2025
- PFPDT, decisión de adecuación de la UE sobre Suiza, 15 de enero de 2024
- OFCOM, regulación de la IA: decisión del Consejo Federal del 12 de febrero de 2025
- Ley de derecho de autor (LDA), RS 231.1
- IPI, herramientas de IA y derecho de autor, 17 de febrero de 2023
- Código de las Obligaciones (CO), RS 220
- Reglamento (UE) 2024/1689 de inteligencia artificial
- Reglamento (UE) 2026/1744 (ómnibus digital sobre la IA), DO de 24 de julio de 2026
- Reglamento (UE) 2016/679 (RGPD), art. 3 y 28
Conclusión
Crear una agencia de IA en Suiza es sencillo en lo administrativo y exigente en lo jurídico. Nadie le pedirá un permiso, pero sus clientes le pedirán, cada vez antes, un contrato de encargo, la lista de sus proveedores de modelos, la prueba de sus garantías de transferencia, una respuesta clara sobre la propiedad del código y de los contenidos, y su lectura del Reglamento de IA para sus usuarios europeos. La agencia que sabe responder vende mejor que la que promete un cumplimiento que no ha comprobado. My Swiss Company, gestoría suiza presente en Ginebra, Lucerna y Zug, constituye y administra agencias para fundadores de más de 20 países, cuidando de que la estructura refleje la realidad de sus contratos.
