Kuwait hat weder ein eigenes Gesetz zur künstlichen Intelligenz noch ein einheitliches staatsweites Datenschutzgesetz. Ein Unternehmen, das in Kuwait KI einsetzt, und ein Anwalt, der sie nutzt, unterliegen mehreren Regelwerken, die für andere Zwecke geschaffen wurden. Am wichtigsten sind das Gesetz über elektronische Transaktionen Nr. 20 von 2014, die Datenschutzverordnung, die die Regulierungsbehörde für Kommunikation und Informationstechnologie (CITRA) mit dem Beschluss Nr. 26 von 2024 angenommen hat, und die Sektorregeln für Gesundheit und Telekommunikation. Bei Hind Bin Al Sheikh & Partners klären wir zu Beginn jedes KI-Mandats, welches dieser Regelwerke für den Mandanten tatsächlich gilt.
Kein KI-Gesetz und kein einheitliches Datenschutzgesetz
Unser erster Rat lautet, genau zu benennen, was existiert. Kuwait hat kein umfassendes KI-Gesetz erlassen, und seine Datenschutzregeln verteilen sich auf das Gesetz über elektronische Transaktionen, die CITRA-Verordnung, Vorschriften zur Computerkriminalität und Sektorregeln. Wir sagen Mandanten nicht, dass ein allgemeines Datenschutzgesetz gilt, denn es gibt keines, und wir stützen uns nicht auf Entwürfe oder politische Ankündigungen, als wären sie geltendes Recht.
Das prägt die Arbeit. Ein Mandant kann eine Compliance-Frage nicht beantworten, indem er ein einziges Gesetz nennt. Wir müssen Sektor, Datenart und Behörde bestimmen und dann das Regelwerk anwenden, das den Sachverhalt tatsächlich erreicht. Wo kein Regelwerk einen Punkt erreicht, sagen wir das offen und schlagen eine Vertragsklausel vor, statt eine Regel zu erfinden. Das Ergebnis ist oft eine Mischung aus gesetzlichen Pflichten und vertraglichen Schutzmaßnahmen, die die Parteien selbst aufbauen müssen.
Das Gesetz Nr. 20 von 2014 als allgemeine Grundlage
Das Gesetz über elektronische Transaktionen Nr. 20 von 2014 und seine Ausführungsverordnung, Beschluss Nr. 48 von 2014, sind das, was Kuwait einer allgemeinen Grundlage für in elektronischen Aufzeichnungen geführte personenbezogene Daten am nächsten hat. Artikel 4 verlangt die Einwilligung, bevor jemand zum elektronischen Handeln veranlasst wird, und die Artikel 32 und 35 verlangen die Einwilligung für Zugriff auf erhobene Daten, Offenlegung, Weitergabe und Verarbeitung, begrenzt auf den der betroffenen Person genannten Zweck.
Artikel 33 gibt dem Einzelnen das Recht, Zugang zu den über ihn gespeicherten Daten zu verlangen, Artikel 35 verpflichtet die Stelle, die Richtigkeit zu prüfen und die Daten zu schützen, und Artikel 36 gibt das Recht auf Änderung oder Löschung. Ein KI-Werkzeug, das Kunden- oder Mitarbeiterdaten in Kuwait verarbeitet, sollte zuerst an diesen Artikeln gemessen werden, denn sie gelten für Unternehmen und Behörden und hängen nicht von einer Lizenz ab.
CITRA-Beschluss Nr. 26 von 2024 und wen er erfasst
Der Beschluss Nr. 26 von 2024 wurde am 7. Februar 2024 erlassen und am 18. Februar 2024 im Amtsblatt (Kuwait Al-Youm) veröffentlicht. Er übernimmt die vom Vorstand der CITRA am 5. Dezember 2023 gebilligte Datenschutzverordnung, hebt den früheren Beschluss Nr. 42 von 2021 auf und gilt ab seiner Veröffentlichung am 18. Februar 2024. Nach Artikel 1 der Verordnung gilt sie für Diensteanbieter, die personenbezogene Daten erheben, verarbeiten und speichern, und Fachquellen beschreiben ihren Anwendungsbereich derzeit als auf CITRA-Lizenznehmer wie Telekommunikations- und Internetanbieter beschränkt.
Daraus folgt, dass eine Bank, ein Händler oder eine Klinik, die KI einsetzt, nicht schon deshalb an diese Verordnung gebunden ist, weil sie Daten nutzt. Ein lizenzierter Telekommunikations- oder Internetanbieter, der KI auf Teilnehmerdaten einsetzt, ist gebunden. Wir prüfen zuerst den Lizenzstatus, weil ein Fehler hier den Mandanten zu falschen Regeln und einer falschen Behörde schickt. Der Lizenzstatus ist eine Tatsache, die sich aus den Unterlagen des Mandanten belegen lässt, und wir fordern sie im ersten Gespräch an.
Einwilligung, Zweck und Transparenz nach der CITRA-Verordnung
Für Lizenznehmer verlangen die Artikel 2 und 4 der Verordnung, dass der Anbieter vor Erhebung und Verarbeitung die Einwilligung des Nutzers einholt und Zweck, Rechtsgrundlage, Aufbewahrungsdauer sowie Identität und Kontaktdaten des Anbieters nennt. Die Bedingungen müssen in klarer Sprache auf Arabisch und Englisch bereitgestellt werden. Ein Lizenznehmer, der Teilnehmerdaten zum Training oder zur Abstimmung eines KI-Modells nutzen will, muss diesen Zweck dem Nutzer erklären.
Artikel 4 verlangt außerdem zugängliche Mittel, mit denen der Nutzer seine Daten einsehen, berichtigen, die Einwilligung widerrufen und die Löschung bei Ende der Beziehung verlangen kann. Wir raten Lizenznehmern, den KI-Anwendungsfall an jeder dieser Pflichten zu testen und ein Protokoll über Text, Datum und angezeigte Fassung der Einwilligung zu führen, denn der Anbieter trägt die Beweislast für die Einwilligung.
Behörden und wer was durchsetzt
Kuwait hat keine einzelne Behörde mit umfassender Zuständigkeit für den Datenschutz. Die CITRA, geschaffen durch das Gesetz Nr. 37 von 2014, reguliert ihre Lizenznehmer und kann Aufzeichnungen prüfen, Abhilfemaßnahmen verlangen und vermutete Straftaten an die zuständigen Stellen verweisen. Die Zentrale Behörde für Informationstechnologie steht hinter dem Gesetz über elektronische Transaktionen und seiner Verordnung, und das Nationale Zentrum für Cybersicherheit, geschaffen durch das Dekret Nr. 37 von 2022, hat die zentrale Rolle in der Cybersicherheit, besonders für staatliche Stellen.
Für den Mandanten bedeutet das, dass ein einzelner KI-Vorfall mehrere Stellen betreffen kann. Ein Telekommunikationsanbieter kann gegenüber der CITRA rechenschaftspflichtig sein, ein Unternehmen mit elektronischen Aufzeichnungen nach den allgemeinen Regeln des Gesetzes Nr. 20 von 2014, und ein Lieferant staatlicher Stellen kann Cybersicherheitsvorgaben unterliegen. Wir erfassen die wahrscheinlichen Stellen von Anfang an, damit der Vorfallplan die richtigen Ansprechpartner und die Reihenfolge nennt.
Sicherheit, Meldung von Verletzungen und Übermittlung ins Ausland für Lizenznehmer
Artikel 5 der Verordnung verpflichtet Lizenznehmer, personenbezogene Daten gegen unbefugten Zugriff, Verlust, Zerstörung und Beschädigung zu schützen, mit Maßnahmen wie Verschlüsselung und Wiederherstellungsplanung. Artikel 6 Absatz 1 verpflichtet den Lizenznehmer, die CITRA über eine Verletzung des Schutzes personenbezogener Daten binnen 24 Stunden nach Kenntnis zu informieren und die betroffene Person zu benachrichtigen, es sei denn, auf die betroffenen Daten wurden geeignete technische und organisatorische Schutzmaßnahmen angewandt. Davon getrennt verlangt Artikel 4 Absatz 15, dass der Lizenznehmer die CITRA, die Nutzer und die Strafverfolgungsbehörden so bald wie möglich und spätestens binnen 72 Stunden benachrichtigt, wenn gespeicherte personenbezogene Daten unzulässig offengelegt werden und viele Nutzer geschädigt sind. Wir raten Mandanten, mit der 24-Stunden-Meldung an die CITRA zu planen.
Nach Artikel 4 muss ein Lizenznehmer die Nutzer informieren, wenn ihre Daten außerhalb Kuwaits übermittelt werden, und angeben, wo sie gespeichert werden. Viele KI-Dienste laufen auf ausländischen Cloud-Plattformen, sodass die Übermittlung oft Teil des Produkts ist. Wir lassen uns vom Anbieter jeden Speicherort und jeden Unterauftragnehmer schriftlich bestätigen, bevor ein Lizenznehmer den Betrieb aufnimmt.
Aufbewahrung, Löschung und das Ende eines KI-Projekts
KI-Projekte erzeugen Kopien von Daten, die niemand geplant hat: Trainingssätze, Eingabeprotokolle, Testexporte und Sicherungen beim Anbieter. Artikel 36 des Gesetzes Nr. 20 von 2014 gibt der betroffenen Person das Recht auf Änderung oder Löschung, und Artikel 4 der CITRA-Verordnung verpflichtet einen Lizenznehmer, personenbezogene Daten zu löschen, wenn der Nutzer die Einwilligung widerruft oder die Beziehung endet. Eine Löschpflicht, die an der Produktivdatenbank endet, ist keine echte Löschpflicht.
Unser fester Rat lautet, alle Kopien zu Beginn aufzulisten, dem Anbieter eine schriftliche Löschpflicht mit Bescheinigung bei Ende aufzuerlegen und eine Aufbewahrungsfrist für Eingabeprotokolle festzulegen. Wenn ein Mandant uns bittet, ein Projekt abzuschließen, prüfen wir, dass diese Kopien verschwunden sind und der Löschnachweis bei der Entscheidungsakte liegt.
Sektorregeln mit KI-Bezug: Gesundheit, Cloud und Computerkriminalität
Gesundheitsdaten haben eine eigene Regel. Das Gesetz über die ärztliche Berufsausübung Nr. 70 von 2020 verpflichtet Gesundheitsdienstleister, Patientenakten sicher zu führen, und für die Offenlegung medizinischer Daten ist im Allgemeinen die schriftliche Einwilligung des Patienten nötig. Ein KI-Werkzeug, das klinische Notizen oder Bilddaten liest, ist an dieser Pflicht zu messen, bevor es einen einzigen Datensatz erhält, und die De-Identifizierung der Daten ersetzt die Einwilligung nicht.
Cloud-Diensteanbieter unterliegen dem Cloud-Rahmen der CITRA, der beschreibt, welche Informationen ein Anbieter erheben darf, und ihn verpflichtet, dem Nutzer mitzuteilen, was automatisch erhoben wird. Die Vorschriften zur Computerkriminalität stellen den unbefugten Zugriff auf Daten, ihre Änderung und ihre Offenlegung unter Strafe. Wir sehen darin keine KI-Regeln, doch sie ziehen die äußere Grenze dessen, was ein Einsatz mit Informationen anderer tun darf.
Verträge mit KI-Anbietern in Kuwait
Ohne KI-Gesetz trägt der Anbietervertrag den größten Teil des Schutzes. Wir lesen ihn auf fünf Punkte: Wer hält die Daten, darf der Anbieter mit Mandantendaten trainieren, wo werden die Daten gespeichert, wer haftet für falsche Ergebnisse und was geschieht mit den Daten bei Vertragsende. Ist der Mandant CITRA-Lizenznehmer, müssen die Pflichten der Verordnung schriftlich an den Anbieter weitergegeben werden.
Unser fester Rat lautet, weite Lizenzen zu vermeiden, die dem Anbieter erlauben, Mandantendaten für eigene Produkte wiederzuverwenden. Wir empfehlen außerdem ein Prüfrecht, eine Pflicht zur Meldung von Verletzungen in einer kürzeren Frist als der gesetzlichen Frist des Mandanten und eine Löschbescheinigung beim Ausscheiden. Das sind gewöhnliche Geschäftsbedingungen, und ein Anbieter, der alle ablehnt, sagt dem Mandanten etwas Nützliches. Wir verlangen außerdem eine Liste der Unterauftragnehmer und eine Mitteilung vor jeder Änderung.
Verantwortung für KI-Ergebnisse und Entscheidungen
Das kuwaitische Recht behandelt ein KI-System nicht als Rechtsakteur. Das Unternehmen oder der Berufsträger, der sich auf ein Modell stützt, haftet für den Umgang mit dem Ergebnis nach den allgemeinen Grundsätzen des Vertrags- und Zivilrechts und den genannten Sektorregeln. Eine falsche Kreditentscheidung, eine irrige Diagnose oder ein ungenauer Rechtsentwurf liegen in der Verantwortung dessen, der sie verwendet hat.
Wir raten Mandanten, für jeden wesentlichen KI-Einsatz eine Entscheidungsakte zu führen: Was wurde das System gefragt, was gab es zurück, wer hat es geprüft und was wurde entschieden. Eine kurze Akte dieser Art ist der beste Beleg dafür, dass ein Mensch Urteilskraft ausgeübt hat, und im Streit oft nützlicher als die Protokolle des Modells selbst. Sie sollte vom fachlichen Entscheidungsträger geführt werden und nicht nur vom technischen Team.
Anwälte, KI und berufliche Verschwiegenheit
Das Anwaltsgesetz Nr. 42 von 1964 regelt die Anwaltschaft vor den Gerichten, und die berufliche Verschwiegenheit des Anwalts ist ein Kernstück davon. Diese Pflicht ruht nicht, wenn ein Anwalt ein Mandantendokument in ein öffentliches KI-Werkzeug kopiert. Anwälte müssen Mandantenfakten als geschützt behandeln und dürfen sie nicht in einen Dienst eingeben, der das Empfangene speichert oder weiterverwendet.
Wenn wir KI in unserer eigenen Arbeit nutzen, behandeln wir das Werkzeug als Dritten: Keine Mandantenfakten gehen in einen Dienst, der sie speichert oder zum Training nutzt, ohne schriftliche Vereinbarung, und der Anwalt bleibt für die Prüfung jedes Zitats und jedes Entwurfs verantwortlich. Wir raten Rechtsabteilungen und anderen Kanzleien in Kuwait zur selben Regel und zu ihrer Aufnahme in die Mitarbeiterrichtlinie.
Was wir bei einem KI-Einsatz in Kuwait prüfen
Bei der Prüfung eines KI-Einsatzes in Kuwait bestimmen wir zuerst Sektor und Behörde und prüfen dann den Lizenzstatus nach dem Beschluss Nr. 26 von 2024. Wir lesen Einwilligung und Hinweis anhand der Artikel 4, 32 und 35 des Gesetzes über elektronische Transaktionen, prüfen den Anbietervertrag und den Datenstandort, untersuchen jede Gesundheits- oder Telekommunikationsregel und halten das Ergebnis in einer kurzen Entscheidungsakte für den Mandanten fest.
Weitere Informationen finden Sie hier: unser Kuwait-Datenschutzleitfaden und unser Kuwait-IP-Leitfaden, sowie unsere Praxis für Handels- und Gesellschaftsrecht.
Häufige Fragen
Gibt es in Kuwait ein KI-Gesetz?
Nein. Es gibt kein eigenes KI-Gesetz, und wir behandeln Entwürfe oder Ankündigungen nicht als Recht. Die verbindlichen Regeln stammen aus bestehenden Regelwerken wie dem Gesetz Nr. 20 von 2014, Sektorgesetzen und dem Vertrag.
Hat Kuwait ein allgemeines Datenschutzgesetz?
Nein. Das Gesetz über elektronische Transaktionen Nr. 20 von 2014 ist die allgemeine Grundlage für elektronische Aufzeichnungen, und die CITRA-Verordnung nach dem Beschluss Nr. 26 von 2024 erfasst Lizenznehmer.
Gilt die CITRA-Verordnung für mein Unternehmen?
Nur wenn Sie eine CITRA-Lizenz halten, etwa als Telekommunikations- oder Internetanbieter. Prüfen Sie Ihre Lizenz, bevor Sie sich auf die Verordnung verlassen oder sie ignorieren.
Brauche ich eine Einwilligung, um Kundendaten in ein KI-Werkzeug einzugeben?
Ja, in der Regel. Die Artikel 32 und 35 des Gesetzes Nr. 20 von 2014 verlangen die Einwilligung zur Verarbeitung und begrenzen die Nutzung auf den genannten Zweck, und ein Lizenznehmer unterliegt nach den Artikeln 2 und 4 der CITRA-Verordnung derselben Anforderung.
Dürfen Patientenakten mit KI verwendet werden?
Nur im Rahmen des Gesetzes Nr. 70 von 2020 über die ärztliche Berufsausübung, das sichere Akten und im Allgemeinen die schriftliche Einwilligung des Patienten zur Offenlegung verlangt. Holen Sie die Einwilligung ein, bevor die Daten das Werkzeug erreichen.
Wer haftet, wenn die KI sich irrt?
Das Unternehmen oder der Berufsträger, der sich darauf gestützt hat. Das kuwaitische Recht behandelt das System nicht als Akteur, also verteilen Sie die Haftung des Anbieters im Vertrag.
Darf ein Anwalt ein öffentliches KI-Werkzeug für Mandantenakten nutzen?
Nicht für vertrauliches Material. Die berufliche Verschwiegenheit nach dem Anwaltsgesetz Nr. 42 von 1964 trifft den Anwalt, und ein öffentliches Werkzeug ist ein unkontrollierter Dritter.
Kann Hind Bin Al Sheikh & Partners unsere KI-Verträge und Datenflüsse prüfen?
Ja. Nutzen Sie die Kontaktseite und nennen Sie uns Sektor, Systeme und Anbieter, dann bestätigen wir Umfang und nächste Schritte.