Ägypten hat bislang kein eigenes Gesetz zur künstlichen Intelligenz. Unternehmen, die KI einsetzen, und Anwälte, die sie nutzen, unterliegen deshalb dem bestehenden Recht, das auf neue Sachverhalte angewandt wird. Das wichtigste Instrument ist das Gesetz Nr. 151 von 2020 zum Schutz personenbezogener Daten. Seine Ausführungsverordnung wurde mit dem Beschluss Nr. 816 von 2025 des Ministeriums für Kommunikation und Informationstechnologie erlassen und gilt nach Sekundärquellen seit dem 2. November 2025. Daneben stehen das Gesetz Nr. 82 von 2002 zum Schutz des geistigen Eigentums, das Anwaltsgesetz Nr. 17 von 1983 und das allgemeine Vertragsrecht. Bei Hind Bin Al Sheikh & Partners klären wir zu Beginn jedes KI-Mandats, welche dieser Regelwerke das System tatsächlich berühren.
Kein KI-Gesetz: Es entscheidet das geltende Recht
Unser erster Rat an Mandanten lautet, nicht auf ein KI-Gesetz zu warten. Der Nationale Rat für Künstliche Intelligenz hat die zweite Ausgabe der Nationalen KI-Strategie 2025-2030 vorgestellt, und eine frühere ägyptische Charta für verantwortungsvolle KI enthält allgemeine Leitlinien. Beides sind politische Dokumente und Soft Law. Sie begründen weder eine Sanktion noch einen Klageanspruch, und wir stellen sie Mandanten nicht als verbindliche Regeln dar.
Verbindlich sind das Datenschutzgesetz, das Gesetz zum geistigen Eigentum, das Anwaltsgesetz und der Vertrag, den die Parteien unterzeichnen. Bei der Prüfung eines KI-Einsatzes stellen wir deshalb vier einfache Fragen: Verarbeitet das System personenbezogene Daten, wem gehört das Ergebnis, wer haftet bei Fehlern, und steht ein regulierter Beruf dahinter. Die Antworten bestimmen die rechtliche Arbeit und zeigen, ob der Mandant eine Datenlizenz, eine Vertragsüberarbeitung oder nur eine kurze interne Richtlinie braucht.
Wann ein KI-System unter das Gesetz Nr. 151 von 2020 fällt
Artikel 1 des Gesetzes Nr. 151 von 2020 bestimmt den Anwendungsbereich als ganz oder teilweise elektronische Verarbeitung personenbezogener Daten natürlicher Personen. Ein Werkzeug, das Kunden-E-Mails liest, Bewerber bewertet, Gespräche transkribiert oder Nutzerprofile bildet, verarbeitet personenbezogene Daten elektronisch. Das Gesetz gilt dann unabhängig von der Bezeichnung, die der Anbieter seinem Produkt gibt. Daten von Unternehmen fallen nicht unter die Definition, doch Beschäftigte, Kunden und Unterzeichner sind natürliche Personen.
Wir prüfen auch, wer erfasst ist. Das Gesetz gilt für den Verantwortlichen und den Auftragsverarbeiter. Die Ausführungsverordnung verpflichtet einen Auftragsverarbeiter im Ausland ohne Niederlassung in Ägypten, einen vom Zentrum für den Schutz personenbezogener Daten (dem Zentrum) anerkannten Vertreter im Land zu benennen (Beschluss Nr. 816 von 2025, Artikel 4). Ein ausländischer KI-Anbieter, der ägyptische Daten hostet oder zum Training nutzt, entgeht dem Regime nicht allein dadurch, dass seine Server im Ausland stehen.
Einwilligung, Zweck und Rechtmäßigkeit bei KI-Verarbeitung
Artikel 2 des Gesetzes Nr. 151 von 2020 verlangt die ausdrückliche Einwilligung der betroffenen Person. Artikel 3 verlangt, dass Daten für legitime, bestimmte und erklärte Zwecke erhoben werden, richtig sind und nicht länger als nötig aufbewahrt werden. Artikel 6 regelt die rechtmäßigen Verarbeitungsgründe. Eine Einwilligungsformel wie „Daten dürfen zur Verbesserung unserer Dienste verwendet werden“ ist eine schwache Grundlage für das Training eines Modells, weil der Zweck weder bestimmt noch so erklärt ist, dass die betroffene Person ihn prüfen kann.
Unser fester Rat lautet, den KI-Zweck getrennt vom Dienstzweck in Hinweis und Einwilligung zu schreiben und den Nachweis der Einwilligung in vorlegbarer Form zu führen. Nach Artikel 11 hat der digitale Beweis dieselbe Beweiskraft wie der schriftliche. Ein sauber geführtes elektronisches Einwilligungsprotokoll hilft im Streit, ein fehlendes ist ein Problem. Wir empfehlen, Einwilligungstext, Datum und die dem Nutzer gezeigte Fassung in einem Eintrag zusammenzuhalten.
Verantwortlicher und Auftragsverarbeiter: Wer für den Anbieter einsteht
Artikel 4 des Gesetzes regelt die Pflichten des Verantwortlichen, Artikel 5 die des Auftragsverarbeiters. Der Auftragsverarbeiter handelt nur auf schriftliche Weisung des Verantwortlichen, löscht die Daten nach Vertragsende und darf sie nicht für eigene Zwecke nutzen. Das Unternehmen, das ein KI-Werkzeug kauft, ist in der Regel Verantwortlicher, der Anbieter in der Regel Auftragsverarbeiter, und der Vertrag muss das so sagen.
Praktisch wichtig ist, dass die Verantwortung nicht mit der Lizenz übergeht. Wer weder schriftliche Weisungen an den KI-Anbieter noch eine Löschpflicht noch eine Grenze für die Zweitnutzung nachweisen kann, ist nach den Artikeln 4 und 5 angreifbar, und die folgenden Strafvorschriften richten sich ebenso an den Verantwortlichen wie an den Anbieter. Bei der Prüfung eines Anbietervertrags lesen wir diese drei Klauseln vor dem Preis und fragen, ob der Anbieter Mandantendaten zur Verbesserung eigener Modelle nutzen darf, denn diese eine Erlaubnis verändert das Risiko.
KI-Training und neue Technologien in der Ausführungsverordnung
Der Beschluss Nr. 816 von 2025 spricht KI unmittelbar an. Artikel 4 verpflichtet den Auftragsverarbeiter, der personenbezogene Daten für das Training von KI und für neue, innovative Technologien verarbeitet, die lokal, regional und international anerkannten Grundsätze zu beachten, damit die Nutzung der Technologie der betroffenen Person keinen Schaden zufügt. Die Verordnung zählt diese Grundsätze nicht auf, und wir behaupten nicht, es gebe eine feste Checkliste. Mandanten sollten damit rechnen, dass das Zentrum die Klausel zusammen mit den Einwilligungs- und Zweckregeln liest, und wir raten davon ab, sie als eigenständige Erlaubnis zu behandeln.
In der Praxis behandeln wir die Klausel als Pflicht zu dokumentierter Sorgfalt. Ein Auftragsverarbeiter sollte belegen können, welche Daten ins Training gingen, auf welcher Einwilligung, wie sie minimiert wurden und welche Kontrollen den Schaden für die Person begrenzen. Fragt uns ein Mandant, ob personenbezogene Daten ein Modell trainieren dürfen, beginnt unsere Antwort bei Einwilligung und erklärtem Zweck und endet bei dieser Klausel in Artikel 4.
Betroffenenrechte und Widerspruch gegen automatisierte Ergebnisse
Artikel 2 gibt der betroffenen Person das Recht auf Kenntnis und Zugang, auf Widerruf der Einwilligung, auf Berichtigung, auf Einschränkung der Verarbeitung, auf Benachrichtigung bei einer Verletzung und auf Widerspruch gegen die Verarbeitung oder ihre Ergebnisse, wenn diese mit Grundrechten und Grundfreiheiten kollidieren. Die Wörter „Ergebnisse der Verarbeitung“ sind bei KI wichtig, weil sie Entscheidungen erfassen, die ein Modell über eine Person erzeugt.
Das Gesetz begrenzt in demselben Artikel 2 das Entgelt für die Ausübung dieser Rechte auf 20.000 ägyptische Pfund, und die Ablehnung eines Antrags ist nach Artikel 37 strafbar, mit einer Geldstrafe von 100.000 bis 1.000.000 ägyptischen Pfund. Wer KI-Scoring einsetzt, braucht deshalb einen funktionierenden Weg für Auskunft, Berichtigung und Überprüfung und ein Protokoll, wie jeder Antrag beantwortet wurde.
Sensible Daten und Übermittlung ins Ausland
Artikel 12 behandelt sensible Daten, darunter Gesundheits- und Finanzdaten sowie Daten von Kindern, als besonders geschützte Kategorie. Ihre Verarbeitung erfordert eine Lizenz des Zentrums und eine ausdrückliche schriftliche Einwilligung. Die Ausführungsverordnung verlangt zudem für Kinder unter 15 Jahren die schriftliche Einwilligung eines Erziehungsberechtigten. Ein KI-Produkt für Gesundheit, Kredit oder Bildung fällt meist in diese Kategorie und muss die Lizenz früh einplanen.
Artikel 14 erlaubt die Übermittlung ins Ausland nur in ein Land mit einem Schutzniveau, das nicht unter dem ägyptischen liegt, und nur mit Lizenz oder Genehmigung des Zentrums. Artikel 15 erlaubt eine Übermittlung in ein Land ohne dieses Niveau nur mit ausdrücklicher Einwilligung der betroffenen Person und zusätzlich einem der aufgelisteten Fälle, darunter medizinische Versorgung, Rechtsansprüche, ein Vertrag im Interesse der betroffenen Person, die öffentliche Gesundheit und internationale Abkommen. Artikel 16 betrifft das Bereitstellen von Daten im Ausland. Viele KI-Dienste laufen auf ausländischer Cloud-Infrastruktur, darunter gehostete Chat- und Dokumentwerkzeuge, sodass die Übermittlung oft Teil des Produkts ist. Wir erfassen vor der Freigabe, wo Daten gespeichert und verarbeitet werden, und lassen uns vom Anbieter schriftlich die Standorte und Unterauftragnehmer bestätigen.
Meldung von Verletzungen, Datenschutzbeauftragter und Zentrum
Nach Artikel 7 des Gesetzes müssen Verantwortlicher und Auftragsverarbeiter das Zentrum binnen 72 Stunden nach Kenntnis von einer Datenverletzung informieren, und unverzüglich, wenn die Verletzung die nationale Sicherheit betrifft. Artikel 5 des Beschlusses Nr. 816 von 2025 regelt den Meldeweg über das Portal oder die Hotline des Zentrums und verlangt eine Dokumentation. Die Artikel 8 und 9 betreffen den Datenschutzbeauftragten, und die Ausführungsverordnung legt die Voraussetzungen seiner Eintragung fest.
Ein KI-Vorfall, etwa ein Modell, das Daten eines Kunden einem anderen offenlegt, ist eine Verletzung in diesem Sinn. Wir raten Mandanten zu einem schriftlichen Vorfallverfahren, zur Benennung des Beauftragten, zum Testen der 72-Stunden-Frist im Voraus, denn die Frist läuft ab Kenntnis des Verantwortlichen und nicht ab dem Ende einer internen Prüfung.
Sanktionen bei Verstößen
Die Sanktionen des Gesetzes Nr. 151 von 2020 sind erheblich. Artikel 36 sieht eine Geldstrafe von 100.000 bis 1.000.000 ägyptischen Pfund für die rechtswidrige Behandlung personenbezogener Daten vor, die bei Gewinnabsicht oder Schädigungsabsicht auf mindestens sechs Monate Freiheitsstrafe und 200.000 bis 2.000.000 ägyptische Pfund oder eine dieser Strafen steigt. Artikel 38 sieht 300.000 bis 3.000.000 ägyptische Pfund für Verstöße gegen die Artikel 4, 5 und 7 vor.
Artikel 41 betrifft sensible Daten mit mindestens drei Monaten Freiheitsstrafe und 500.000 bis 5.000.000 ägyptischen Pfund oder einer dieser Strafen, und Artikel 42 sieht denselben Rahmen für die rechtswidrige Übermittlung ins Ausland vor. Nach Artikel 5 des Einführungsgesetzes sind die Wirtschaftsgerichte für diese Straftaten zuständig. Wir sagen Vorständen, dass diese Zahlen der Grund sind, warum eine KI-Datenkarte billiger ist als ein KI-Vorfall, und ein Vorstand, der die Zahlen gesehen hat, genehmigt die Prüfung meist ohne Verzögerung.
Wem das KI-Ergebnis gehört und was der Vertrag regeln muss
Artikel 138 des Gesetzes Nr. 82 von 2002 zum Schutz des geistigen Eigentums definiert den Urheber als die Person, die das Werk geschaffen hat, und die ägyptische Lehre sucht den Abdruck der Persönlichkeit des Urhebers. Das Gesetz enthält keine Regel, die einer Maschine die Urheberschaft zuweist, und wir haben keine ägyptische Rechtsprechung dazu gefunden. Die Inhaberschaft am Ergebnis sollte daher vertraglich geregelt und nicht aus dem Werkzeug vermutet werden.
Unser fester Rat lautet, im Anbietervertrag festzulegen, wem das Ergebnis gehört, wem die Eingaben gehören, ob der Anbieter mit Mandantendaten trainieren darf und wer für rechtsverletzende Ergebnisse haftet. Hat ein Ergebnis wirtschaftlichen Wert, empfehlen wir, dass ein menschlicher Urheber erkennbare schöpferische Entscheidungen beiträgt und die Akte sie festhält.
Anwälte und KI: Verschwiegenheit und Berufspflicht
Artikel 65 des Anwaltsgesetzes Nr. 17 von 1983 verpflichtet den Anwalt, nicht über Tatsachen und Informationen auszusagen, die er durch den Beruf erfahren hat, wenn die Person, die sie ihm anvertraut hat, dies verlangt, es sei denn, sie wurden zur Begehung eines Verbrechens oder Vergehens mitgeteilt. Diese Pflicht ruht nicht, wenn ein Anwalt ein Mandantendokument in ein öffentliches KI-Werkzeug kopiert.
Wenn wir KI in unserer eigenen Arbeit nutzen, behandeln wir das Werkzeug als Auftragsverarbeiter eines Dritten: Keine Mandantenfakten gehen in einen Dienst, der sie speichert oder zum Training nutzt, ohne schriftliche Auftragsverarbeitungsvereinbarung, und der Anwalt bleibt persönlich dafür verantwortlich, jedes Zitat und jeden Entwurf zu prüfen. Wir raten anderen Kanzleien und Rechtsabteilungen zur selben Regel.
Was wir bei einem KI-Einsatz in Ägypten prüfen
Bei der Prüfung eines KI-Einsatzes in Ägypten lesen wir Anbietervertrag, Einwilligungshinweis und Datenkarte anhand der Artikel 2 bis 7 des Gesetzes Nr. 151 von 2020. Wir prüfen die Rollen von Verantwortlichem und Auftragsverarbeiter, die KI-Trainingsklausel im Beschluss Nr. 816 von 2025, jede erforderliche Lizenz für sensible Daten oder Übermittlung, das Verfahren bei Verletzungen und die Regeln zur Inhaberschaft am Ergebnis. Das Ergebnis halten wir in einer kurzen Entscheidungsakte fest.
Weitere Informationen finden Sie hier: unser Ägypten-Datenschutzleitfaden und unser Ägypten-IP-Leitfaden, sowie unsere Praxis für Handels- und Gesellschaftsrecht.
Häufige Fragen
Gibt es in Ägypten ein KI-Gesetz?
Nein. Ein eigenes KI-Gesetz ist nicht in Kraft. Die Nationale KI-Strategie 2025-2030 und die ägyptische Charta für verantwortungsvolle KI sind politische Dokumente, und die verbindlichen Regeln stammen aus dem Gesetz Nr. 151 von 2020, dem Gesetz zum geistigen Eigentum und dem Vertrag.
Gilt das Gesetz Nr. 151 von 2020 für ein KI-Werkzeug?
Ja, wenn es personenbezogene Daten natürlicher Personen elektronisch verarbeitet, wie Artikel 1 vorsieht. Die Bezeichnung des Anbieters für sein Produkt spielt für diesen Test keine Rolle.
Dürfen wir ein Modell mit Kundendaten trainieren?
Nur mit ausdrücklicher Einwilligung nach Artikel 2, einem bestimmten erklärten Zweck nach Artikel 3 und einem Auftragsverarbeiter, der die Pflicht aus Artikel 4 des Beschlusses Nr. 816 von 2025 zum KI-Training beachtet. Ohne diese Voraussetzungen raten wir davon ab.
Wie schnell müssen wir eine Verletzung melden?
An das Zentrum binnen 72 Stunden nach Kenntnis von der Verletzung, und unverzüglich, wenn sie die nationale Sicherheit betrifft, nach Artikel 7 des Gesetzes und Artikel 5 des Beschlusses Nr. 816 von 2025, und die Meldung muss dokumentiert werden.
Dürfen die Daten an einen ausländischen KI-Anbieter gehen?
In der Regel nur, wenn das Zielland den Angemessenheitstest erfüllt und das Zentrum nach Artikel 14 eine Lizenz oder Genehmigung erteilt; Artikel 15 nennt enge Ausnahmen, die die ausdrückliche Einwilligung der betroffenen Person verlangen. Planen Sie die Lizenz vor dem Starttermin, nicht danach.
Wem gehört, was die KI erzeugt?
Das Gesetz weist einer Maschine keine Urheberschaft zu, denn Artikel 138 des Gesetzes Nr. 82 von 2002 spricht von der Person, die das Werk geschaffen hat. Regeln Sie die Inhaberschaft im Vertrag.
Darf ein Anwalt ein öffentliches KI-Werkzeug für Mandantenakten nutzen?
Nicht für vertrauliches Material. Artikel 65 des Anwaltsgesetzes schützt, was ein Mandant anvertraut, und ein öffentliches Werkzeug ist ein unkontrollierter Dritter.
Kann Hind Bin Al Sheikh & Partners unsere KI-Verträge und unsere Datenkarte prüfen?
Ja. Nutzen Sie die Kontaktseite und nennen Sie uns die betroffenen Systeme und Anbieter, dann bestätigen wir Umfang und nächste Schritte.