Kuwait no tiene una ley propia sobre inteligencia artificial ni una ley única de protección de datos para todo el Estado. Una empresa que despliega IA en Kuwait, o un abogado que la usa, queda sujeto a varios textos escritos con otros fines. Los más pertinentes son la Ley n.º 20 de 2014 de transacciones electrónicas, el Reglamento de protección de la privacidad de los datos adoptado por la Autoridad Reguladora de Comunicaciones y Tecnología de la Información (CITRA) mediante la Resolución n.º 26 de 2024, y las normas sectoriales de salud y telecomunicaciones. En Hind Bin Al Sheikh & Partners empezamos cada encargo de IA identificando cuál de estos textos se aplica realmente al cliente.
Sin ley de IA y sin una única ley de datos
Nuestro primer consejo es ser exactos sobre lo que existe. Kuwait no ha aprobado una ley integral de IA, y sus reglas de privacidad se reparten entre la ley de transacciones electrónicas, el reglamento de la CITRA, las disposiciones sobre delitos informáticos y normas sectoriales. No decimos a los clientes que se aplique una ley general de protección de datos, porque no existe, y no nos apoyamos en proyectos o anuncios políticos como si fueran derecho vigente.
Esto marca el trabajo. Un cliente no puede responder a una cuestión de cumplimiento citando una sola ley. Debemos identificar el sector, el tipo de datos y la autoridad, y aplicar luego el texto que realmente alcanza los hechos. Donde ningún texto alcanza un punto, lo decimos con franqueza y proponemos una cláusula contractual en lugar de inventar una regla. El resultado suele ser una mezcla de deberes legales y protecciones contractuales que las partes deben construir por sí mismas.
La Ley de Transacciones Electrónicas n.º 20 de 2014 como base general
La Ley n.º 20 de 2014 de transacciones electrónicas y su reglamento de desarrollo, la Decisión n.º 48 de 2014, son lo más parecido a una base general que tiene Kuwait para los datos personales conservados en registros electrónicos. El artículo 4 exige consentimiento antes de llevar a una persona a actuar por medios electrónicos, y los artículos 32 y 35 exigen consentimiento para el acceso a los datos recogidos, su divulgación, su puesta en común y su tratamiento, dentro del fin comunicado al interesado.
El artículo 33 da a la persona el derecho a pedir acceso a los datos que se conservan sobre ella, el artículo 35 obliga a la entidad a verificar la exactitud y proteger los datos, y el artículo 36 da el derecho a modificar o borrar. Una herramienta de IA que trate registros de clientes o empleados en Kuwait debe evaluarse primero frente a estos artículos, porque se aplican a empresas y autoridades y no dependen de una licencia.
La Resolución n.º 26 de 2024 de la CITRA y a quién alcanza
La Resolución n.º 26 de 2024 se dictó el 7 de febrero de 2024 y se publicó en el Boletín Oficial (Kuwait Al-Youm) el 18 de febrero de 2024. Adopta el Reglamento de protección de la privacidad de los datos aprobado por la junta de la CITRA el 5 de diciembre de 2023, deroga la anterior Decisión n.º 42 de 2021 y surte efecto desde su publicación el 18 de febrero de 2024. Según el artículo 1 del reglamento, se aplica a los proveedores de servicios que recogen, tratan y almacenan datos personales, y las fuentes especializadas describen hoy su alcance como limitado a los titulares de licencia de la CITRA, como los operadores de telecomunicaciones e internet.
La consecuencia es que un banco, un comercio o una clínica que usa IA no queda sujeto a este reglamento solo por usar datos. Un operador de telecomunicaciones o de internet con licencia que usa IA sobre datos de abonados sí lo está. Comprobamos primero el estado de la licencia, porque un error en este punto envía al cliente a las reglas y a la autoridad equivocadas. El estado de la licencia es un hecho que puede acreditarse con los documentos del propio cliente, y los pedimos en la primera reunión.
Consentimiento, finalidad y transparencia en el reglamento de la CITRA
Para los titulares de licencia, los artículos 2 y 4 del reglamento exigen que el proveedor obtenga el consentimiento del usuario antes de recoger y tratar sus datos personales y que indique la finalidad, la base jurídica, el plazo de conservación y la identidad y los datos de contacto del proveedor. Las condiciones deben darse en lenguaje claro, en árabe y en inglés. Un titular de licencia que quiera usar datos de abonados para entrenar o ajustar un modelo de IA debe declarar esa finalidad al usuario.
El artículo 4 exige además medios accesibles para que el usuario consulte sus datos, los corrija, retire su consentimiento y pida su borrado al terminar la relación. Aconsejamos a los titulares de licencia probar el caso de uso de IA frente a cada uno de estos deberes y conservar un registro del texto, la fecha y la versión del consentimiento mostrada al usuario, porque el proveedor soporta la carga de probar el consentimiento.
Autoridades y quién aplica qué
Kuwait no tiene una autoridad única con competencia general sobre protección de datos. La CITRA, creada por la Ley n.º 37 de 2014, regula a sus titulares de licencia y puede inspeccionar registros, exigir medidas correctivas y remitir presuntos delitos a las autoridades competentes. El Organismo Central de Tecnología de la Información está detrás de la ley de transacciones electrónicas y su reglamento, y el Centro Nacional de Ciberseguridad, creado por el Decreto n.º 37 de 2022, tiene el papel central en ciberseguridad, en particular para entidades gubernamentales.
Para el cliente esto significa que un solo incidente de IA puede afectar a más de un organismo. Un operador de telecomunicaciones con licencia puede responder ante la CITRA, una empresa con registros electrónicos ante las reglas generales de la Ley n.º 20 de 2014, y un proveedor de entidades públicas ante requisitos de ciberseguridad. Mapeamos los organismos probables desde el principio para que el plan de incidentes nombre los contactos correctos y su orden.
Seguridad, notificación de violaciones y transferencias al extranjero para titulares de licencia
El artículo 5 del reglamento obliga a los titulares de licencia a proteger los datos personales frente al acceso no autorizado, la pérdida, la destrucción y el daño, con medidas como el cifrado y la planificación de recuperación. El artículo 6(1) obliga al titular de licencia a notificar a la CITRA una violación de datos personales dentro de las 24 horas siguientes a que la conozca, y a informar al titular de los datos afectado, salvo que se aplicaran medidas técnicas y organizativas de protección adecuadas a los datos afectados. Por separado, el artículo 4(15) obliga al titular de licencia a notificar a la CITRA, a los usuarios y a las fuerzas del orden lo antes posible, y como máximo en 72 horas, cuando datos personales almacenados se divulgan indebidamente y se perjudica a muchos usuarios. Aconsejamos a los clientes planificar con el aviso de 24 horas a la CITRA.
Según el artículo 4, un titular de licencia debe informar a los usuarios cuando sus datos vayan a transferirse fuera de Kuwait e indicar dónde se almacenan. Muchos servicios de IA funcionan en plataformas en la nube extranjeras, de modo que la transferencia suele venir incorporada al producto. Pedimos al proveedor que confirme por escrito cada lugar de almacenamiento y cada subencargado antes de que el titular de licencia inicie la operación.
Conservación, borrado y fin de un proyecto de IA
Los proyectos de IA generan copias de datos que nadie había previsto: conjuntos de entrenamiento, registros de consultas, exportaciones de prueba y copias de seguridad del proveedor. El artículo 36 de la Ley n.º 20 de 2014 da al interesado el derecho a modificar o borrar, y el artículo 4 del reglamento de la CITRA obliga al titular de licencia a borrar los datos personales cuando el usuario retira el consentimiento o termina la relación. Una obligación de borrado que se detiene en la base de datos de producción no es una verdadera obligación de borrado.
Nuestro consejo constante es inventariar todas las copias desde el inicio, imponer al proveedor una obligación escrita de borrado con certificado a la salida y fijar un plazo de conservación para los registros de consultas. Cuando un cliente nos pide cerrar un proyecto, comprobamos que esas copias han desaparecido y que la constancia del borrado se conserva con el expediente de decisión.
Normas sectoriales que alcanzan a la IA: salud, nube y delitos informáticos
Los datos de salud tienen su propia regla. La Ley n.º 70 de 2020 sobre el ejercicio de la profesión médica obliga a los prestadores sanitarios a conservar con seguridad las historias de los pacientes, y para divulgar datos médicos suele exigirse el consentimiento escrito del paciente. Una herramienta de IA que lea notas clínicas o imágenes debe revisarse frente a este deber antes de recibir un solo registro, y quitar la identidad no sustituye la petición de consentimiento.
Los proveedores de servicios en la nube están sujetos al marco de nube de la CITRA, que describe qué información puede recoger un proveedor y lo obliga a informar al usuario de lo que se recoge automáticamente. Las disposiciones sobre delitos informáticos castigan el acceso ilícito a los datos, su alteración y su divulgación. No las vemos como reglas de IA, pero trazan el límite exterior de lo que un despliegue puede hacer con la información ajena.
Contratos con proveedores de IA en Kuwait
Sin ley de IA, el contrato con el proveedor lleva la mayor parte de la protección. Lo leemos en cinco puntos: quién es el titular de los datos, si el proveedor puede entrenar con datos del cliente, dónde se almacenan, quién responde por los resultados erróneos y qué ocurre con los datos al terminar el contrato. Si el cliente es titular de licencia de la CITRA, los deberes del reglamento deben trasladarse por escrito al proveedor.
Nuestro consejo constante es evitar licencias amplias que permitan al proveedor reutilizar datos del cliente en sus propios productos. Recomendamos también un derecho de auditoría, una obligación de notificar violaciones en un plazo más corto que el plazo legal del cliente, un certificado de borrado a la salida y una lista de subencargados con aviso antes de cualquier cambio. Son cláusulas comerciales ordinarias, y un proveedor que las rechaza todas dice algo útil al cliente.
Responsabilidad por los resultados y decisiones de la IA
El derecho kuwaití no trata un sistema de IA como un actor jurídico. La empresa o el profesional que se apoya en un modelo responde de lo que hace con el resultado, según los principios generales de la responsabilidad contractual y civil y según las normas sectoriales citadas. Una decisión de crédito errónea, un diagnóstico equivocado o un borrador jurídico inexacto es responsabilidad de quien lo usó.
Aconsejamos a los clientes llevar un expediente de decisión para cada uso importante de la IA: qué se pidió al sistema, qué devolvió, quién lo revisó y qué se decidió. Un expediente breve de este tipo es la mejor prueba de que una persona ejerció su criterio y, en una disputa, suele ser más útil que los registros del propio modelo. Debe llevarlo el responsable de negocio de la decisión y no solo el equipo técnico.
Abogados, IA y secreto profesional
La Ley n.º 42 de 1964 de la abogacía regula el ejercicio de la profesión ante los tribunales, y el secreto profesional del abogado es una pieza central de ella. Este deber no se interrumpe cuando un abogado pega un documento de su cliente en una herramienta de IA pública. El abogado debe tratar los hechos del cliente como protegidos y no introducirlos en un servicio que conserve o reutilice lo que recibe.
Cuando usamos IA en nuestro propio trabajo, tratamos la herramienta como un tercero: ningún hecho del cliente entra en un servicio que los conserve o entrene con ellos sin un acuerdo escrito, y el abogado sigue siendo responsable de comprobar cada cita y cada borrador. Aconsejamos a los departamentos jurídicos internos y a otros despachos de Kuwait la misma regla y su inclusión en la política del personal.
Qué revisamos en un despliegue de IA en Kuwait
Al revisar un despliegue de IA en Kuwait identificamos primero el sector y la autoridad, y comprobamos después el estado de la licencia frente a la Resolución n.º 26 de 2024. Leemos el consentimiento y el aviso a la luz de los artículos 4, 32 y 35 de la ley de transacciones electrónicas, revisamos el contrato del proveedor y la ubicación de los datos, comprobamos cualquier regla sanitaria o de telecomunicaciones y dejamos constancia del resultado en un breve expediente de decisión para el cliente.
Vea también: nuestra guía de protección de datos en Kuwait y nuestra guía de propiedad intelectual en Kuwait, además de nuestra práctica mercantil y societaria.
Preguntas frecuentes
¿Hay una ley de IA en Kuwait?
No. No existe una ley propia de IA, y no tratamos proyectos ni anuncios como derecho. Las reglas vinculantes proceden de textos existentes como la Ley n.º 20 de 2014, las leyes sectoriales y el contrato.
¿Tiene Kuwait una ley general de protección de datos?
No. La Ley n.º 20 de 2014 de transacciones electrónicas es la base general para los registros electrónicos, y el reglamento de la CITRA según la Resolución n.º 26 de 2024 cubre a los titulares de licencia.
¿Se aplica el reglamento de la CITRA a mi empresa?
Solo si tiene una licencia de la CITRA, por ejemplo como operador de telecomunicaciones o de internet. Compruebe su licencia antes de apoyarse en el reglamento o de ignorarlo.
¿Necesito consentimiento para introducir datos de clientes en una herramienta de IA?
Sí, como regla. Los artículos 32 y 35 de la Ley n.º 20 de 2014 exigen consentimiento para el tratamiento y limitan el uso a la finalidad indicada, y un titular de licencia afronta la misma exigencia según los artículos 2 y 4 del reglamento de la CITRA.
¿Pueden usarse historias clínicas con IA?
Solo dentro de la Ley n.º 70 de 2020 sobre la profesión médica, que exige registros seguros y, en general, el consentimiento escrito del paciente para la divulgación. Obtenga ese consentimiento antes de que los datos lleguen a la herramienta.
¿Quién responde si la IA se equivoca?
La empresa o el profesional que se apoyó en ella. El derecho kuwaití no trata el sistema como un actor, así que reparta la responsabilidad del proveedor en el contrato.
¿Puede un abogado usar una herramienta de IA pública con expedientes de clientes?
No con material confidencial. El secreto profesional según la Ley n.º 42 de 1964 recae en el abogado, y una herramienta pública es un tercero no controlado.
¿Puede Hind Bin Al Sheikh & Partners revisar nuestros contratos de IA y flujos de datos?
Sí. Use la página de contacto e indíquenos el sector, los sistemas y los proveedores implicados, y confirmaremos el alcance y los siguientes pasos.