Le Koweït n'a ni loi dédiée à l'intelligence artificielle ni loi unique de protection des données applicable à l'ensemble de l'État. Une société qui déploie l'IA au Koweït, ou un avocat qui l'utilise, est régi par plusieurs instruments rédigés à d'autres fins. Les plus pertinents sont la loi n° 20 de 2014 sur les transactions électroniques, le règlement de protection de la vie privée des données adopté par l'Autorité de régulation des communications et des technologies de l'information (CITRA) par la décision n° 26 de 2024, et les règles sectorielles de la santé et des télécommunications. Chez Hind Bin Al Sheikh & Partners, nous commençons chaque mission d'IA en identifiant lequel de ces instruments s'applique réellement au client.
Pas de loi sur l'IA, et pas de loi unique de protection des données
Notre premier conseil est d'être exact sur ce qui existe. Le Koweït n'a pas adopté de loi complète sur l'IA, et ses règles de confidentialité sont réparties entre la loi sur les transactions électroniques, le règlement de la CITRA, les dispositions sur la cybercriminalité et les règles sectorielles. Nous ne disons pas aux clients qu'une loi générale de protection des données s'applique, car aucune ne s'applique, et nous ne nous appuyons pas sur des projets ou des annonces de politique comme s'ils étaient adoptés.
Cela façonne le travail. Un client ne peut pas répondre à une question de conformité en nommant un seul texte. Nous devons identifier le secteur, le type de données et le régulateur, puis appliquer l'instrument qui atteint réellement les faits. Lorsqu'aucun instrument n'atteint un point, nous le disons clairement et proposons une clause contractuelle au lieu d'inventer une règle. Le résultat est souvent un mélange d'obligations légales et de protections contractuelles que les parties doivent construire elles-mêmes.
La loi n° 20 de 2014 sur les transactions électroniques comme socle général
La loi n° 20 de 2014 sur les transactions électroniques et son règlement d'application, la décision n° 48 de 2014, sont ce que le Koweït a de plus proche d'un socle général pour les données personnelles conservées dans des enregistrements électroniques. L'article 4 exige le consentement avant qu'une personne soit amenée à traiter par voie électronique, et les articles 32 et 35 exigent le consentement pour l'accès, la divulgation, le partage et le traitement des données collectées, limités à la finalité indiquée à la personne concernée.
L'article 33 donne à une personne le droit de demander l'accès aux données détenues à son sujet, l'article 35 impose à l'entité de vérifier l'exactitude et de protéger les données, et l'article 36 donne le droit de modifier ou de supprimer. Un outil d'IA qui traite des dossiers de clients ou de salariés au Koweït doit d'abord être évalué au regard de ces articles, puisqu'ils s'appliquent aux sociétés et aux autorités et ne dépendent pas d'une licence.
La décision n° 26 de 2024 de la CITRA et les entités qu'elle vise
La décision n° 26 de 2024 a été prise le 7 février 2024 et publiée au Journal officiel (Kuwait Al-Youm) le 18 février 2024. Elle adopte le règlement de protection de la vie privée des données approuvé par le conseil de la CITRA le 5 décembre 2023, abroge la décision n° 42 de 2021 antérieure et prend effet à compter de sa publication le 18 février 2024. Selon l'article 1 du règlement, il s'applique aux fournisseurs de services qui collectent, traitent et stockent des données personnelles, et des sources de praticiens actuelles décrivent son champ comme limité aux titulaires de licence de la CITRA, tels que les fournisseurs de télécommunications et d'internet.
La conséquence est qu'une banque, un détaillant ou une clinique qui utilise l'IA n'est pas lié par ce règlement du seul fait qu'il utilise des données. Un fournisseur de télécommunications ou d'internet titulaire d'une licence qui utilise l'IA sur des données d'abonnés l'est. Nous confirmons d'abord le statut de licence, car une erreur sur ce point envoie le client vers le mauvais texte et le mauvais régulateur. Le statut de licence est une question de fait qui peut être vérifiée avec les propres documents du client, et nous les demandons dès la première réunion.
Consentement, finalité et transparence selon le règlement de la CITRA
Pour les titulaires de licence, les articles 2 et 4 du règlement exigent du fournisseur qu'il obtienne le consentement de l'utilisateur avant de collecter et de traiter des données personnelles et qu'il indique la finalité, la base légale, la durée de conservation ainsi que son identité et ses coordonnées. Les conditions doivent être données dans un langage clair en arabe et en anglais. Un titulaire de licence qui veut utiliser des données d'abonnés pour entraîner ou ajuster un modèle d'IA doit déclarer cette finalité à l'utilisateur.
L'article 4 exige aussi des moyens accessibles permettant à l'utilisateur d'accéder aux données, de les corriger et de retirer son consentement, et de faire supprimer les données à la fin de la relation. Nous conseillons aux titulaires de licence de tester leur cas d'usage d'IA au regard de chacune de ces obligations et de conserver une trace du texte du consentement, de sa date et de la version présentée à l'utilisateur, car le fournisseur supporte la charge de prouver le consentement.
Les régulateurs et qui applique quoi
Le Koweït n'a pas d'autorité unique dotée d'un pouvoir général en matière de protection des données. La CITRA, créée par la loi n° 37 de 2014, régule ses titulaires de licence et peut inspecter les registres, exiger des mesures correctives et saisir les autorités compétentes d'infractions présumées. L'Agence centrale des technologies de l'information est derrière la loi sur les transactions électroniques et son règlement d'application, et le Centre national de cybersécurité, créé par le décret n° 37 de 2022, a le rôle central en cybersécurité, en particulier pour les entités gouvernementales.
Pour un client, cela signifie qu'un incident d'IA peut impliquer plus d'un organisme. Un titulaire de licence de télécommunications peut répondre devant la CITRA, une société disposant de registres électroniques devant les règles générales de la loi n° 20 de 2014, et un fournisseur du gouvernement devant les exigences de cybersécurité. Nous cartographions dès le départ les régulateurs probables afin que le plan d'incident désigne les bons contacts et la bonne séquence.
Sécurité, notification des violations et transferts à l'étranger pour les titulaires de licence
L'article 5 du règlement oblige les titulaires de licence à protéger les données personnelles contre l'accès non autorisé, la perte, la destruction et les dommages, par des mesures comme le chiffrement et la planification de la reprise. L'article 6(1) oblige le titulaire de licence à notifier la CITRA d'une violation de données personnelles dans les 24 heures après en avoir pris connaissance, et à en informer la personne concernée, sauf si des mesures de protection techniques et organisationnelles adéquates ont été appliquées aux données touchées. Séparément, l'article 4(15) oblige le titulaire de licence à notifier la CITRA, les utilisateurs et les forces de l'ordre dès que possible, et dans les 72 heures au plus, lorsque des données personnelles stockées sont divulguées de manière illicite et que de nombreux utilisateurs subissent un préjudice. Nous conseillons aux clients de prévoir la notification de 24 heures à la CITRA.
Selon l'article 4, un titulaire de licence doit informer les utilisateurs lorsque leurs données seront transférées hors du Koweït et doit indiquer où les données sont stockées. De nombreux services d'IA fonctionnent sur des plateformes cloud étrangères, de sorte qu'un transfert est souvent intégré au produit. Nous demandons au fournisseur de confirmer par écrit chaque lieu de stockage et chaque sous-traitant ultérieur avant qu'un titulaire de licence n'entre en service.
Conservation, suppression et fin d'un projet d'IA
Les projets d'IA créent des copies de données que personne n'avait prévues : jeux d'entraînement, journaux de requêtes, exports de test et sauvegardes du fournisseur. L'article 36 de la loi n° 20 de 2014 donne à la personne concernée un droit de modifier ou de supprimer, et l'article 4 du règlement de la CITRA oblige un titulaire de licence à supprimer les données personnelles lorsque l'utilisateur retire son consentement ou que la relation prend fin. Une obligation de suppression qui s'arrête à la base de production n'est pas une véritable obligation de suppression.
Notre conseil constant est de dresser dès le départ la liste de chaque copie, de donner au fournisseur une obligation écrite de suppression avec un certificat à la sortie, et de fixer une durée de conservation pour les journaux de requêtes. Lorsqu'un client nous demande de clore un projet, nous vérifions que ces copies ont disparu et que la trace de la suppression est conservée avec le dossier de décision.
Règles sectorielles qui touchent l'IA : santé, cloud et cybercriminalité
Les données de santé ont leur propre règle. La loi n° 70 de 2020 sur la profession médicale impose aux prestataires de soins de conserver les dossiers des patients de manière sécurisée, et le consentement écrit du patient est en général nécessaire pour divulguer des données médicales. Un outil d'IA qui lit des notes cliniques ou de l'imagerie doit être examiné au regard de ce devoir avant de recevoir un seul dossier, et la désidentification ne dispense pas de demander.
Les fournisseurs de services cloud sont soumis au cadre cloud de la CITRA, qui décrit les informations qu'un fournisseur peut collecter et l'obligation d'informer les utilisateurs de ce qui est collecté automatiquement. Les dispositions sur la cybercriminalité érigent en infraction l'accès illicite aux données, leur altération et leur divulgation. Nous ne les traitons pas comme des règles d'IA, mais elles fixent la limite extérieure de ce qu'un déploiement peut faire des informations d'autrui.
Contrats avec les fournisseurs d'IA au Koweït
En l'absence de loi sur l'IA, le contrat du fournisseur porte l'essentiel de la protection. Nous le lisons sur cinq points : qui est le détenteur des données, si le fournisseur peut s'entraîner sur les données du client, où les données sont stockées, qui supporte la responsabilité d'un résultat erroné, et ce qu'il advient des données à la fin du contrat. Lorsque le client est titulaire d'une licence de la CITRA, les obligations du règlement doivent être transmises au fournisseur par écrit.
Notre conseil constant est d'éviter les licences larges qui permettent à un fournisseur de réutiliser les données du client pour ses propres produits. Nous recommandons aussi un droit d'audit, une obligation de notification des violations plus courte que le délai légal du client lui-même, et un certificat de suppression à la sortie. Ces clauses sont des conditions commerciales ordinaires, et un fournisseur qui les refuse toutes apprend quelque chose d'utile au client. Nous demandons aussi une liste des sous-traitants ultérieurs et un préavis avant tout changement les concernant.
Responsabilité pour les résultats et les décisions de l'IA
Le Koweït n'a aucune règle qui traite un système d'IA comme un acteur juridique. La société ou le professionnel qui s'appuie sur un modèle répond de ce qu'il fait du résultat, selon les principes généraux de la responsabilité contractuelle et civile et selon les règles sectorielles ci-dessus. Une décision de crédit erronée, un diagnostic erroné ou un projet juridique inexact est la responsabilité de la personne qui l'a utilisé.
Nous conseillons aux clients de tenir un dossier de décision pour chaque usage important de l'IA : ce qui a été demandé au système, ce qu'il a renvoyé, qui l'a examiné et ce qui a été décidé. Un court dossier de ce type est la meilleure preuve qu'un humain a exercé son jugement, et en cas de litige il est souvent plus utile que les propres journaux du modèle. Le dossier doit être conservé par le responsable métier de la décision et pas seulement par l'équipe technique.
Avocats, IA et confidentialité professionnelle
La loi n° 42 de 1964 sur la profession d'avocat régit la profession juridique devant les tribunaux, et le devoir de secret professionnel de l'avocat en est un élément central. Ce devoir ne s'interrompt pas lorsqu'un avocat colle un document de client dans un outil d'IA public. Les avocats doivent traiter les faits du client comme protégés et ne doivent pas les placer dans un service qui conserve ou réutilise ce qu'il reçoit.
Lorsque nous utilisons l'IA dans notre propre travail, nous traitons l'outil comme un tiers. Aucun fait du client n'entre dans un service qui les conserve ou s'entraîne dessus sans accord écrit, et l'avocat reste responsable de vérifier chaque citation et chaque projet. Nous conseillons aux équipes juridiques internes et aux autres cabinets au Koweït d'adopter la même règle et de l'inscrire dans leur politique interne.
Ce que nous examinons dans un déploiement d'IA au Koweït
Lorsque nous examinons un déploiement d'IA au Koweït, nous identifions d'abord le secteur et le régulateur, puis vérifions le statut de licence au regard de la décision n° 26 de 2024. Nous lisons le consentement et l'information au regard des articles 4, 32 et 35 de la loi sur les transactions électroniques, examinons le contrat du fournisseur et la localisation des données, vérifions toute règle de santé ou de télécommunications, et consignons le résultat dans un court dossier de décision pour le client.
Voir aussi : notre guide de la protection des données au Koweït et notre guide de la propriété intellectuelle au Koweït, ainsi que notre pratique en droit commercial et des sociétés.
Questions fréquentes
Existe-t-il une loi sur l'IA au Koweït ?
Non. Il n'existe pas de loi dédiée à l'IA, et nous ne traitons pas les annonces de politique ni les projets comme du droit. Les règles contraignantes viennent d'instruments existants tels que la loi n° 20 de 2014, les lois sectorielles et le contrat.
Le Koweït a-t-il une loi générale de protection des données ?
Non. La loi n° 20 de 2014 sur les transactions électroniques est le socle général pour les enregistrements électroniques, et le règlement de la CITRA pris par la décision n° 26 de 2024 couvre les titulaires de licence.
Le règlement de la CITRA s'applique-t-il à mon entreprise ?
Seulement si vous détenez une licence de la CITRA, par exemple comme fournisseur de télécommunications ou d'accès à internet. Vérifiez votre licence avant de vous appuyer sur le règlement ou de l'ignorer.
Ai-je besoin d'un consentement pour mettre des données de clients dans un outil d'IA ?
Oui, en règle générale. Les articles 32 et 35 de la loi n° 20 de 2014 exigent le consentement pour le traitement et limitent l'usage à la finalité indiquée, et un titulaire de licence est soumis à la même exigence selon les articles 2 et 4 du règlement de la CITRA.
Peut-on utiliser des dossiers médicaux avec l'IA ?
Seulement dans le cadre de la loi n° 70 de 2020 sur la profession médicale, qui exige des dossiers sécurisés et, en général, le consentement écrit du patient pour la divulgation. Obtenez ce consentement avant que les données n'atteignent l'outil.
Qui est responsable si l'IA se trompe ?
La société ou le professionnel qui s'y est fié. Le droit koweïtien ne traite pas le système comme un acteur ; répartissez donc la responsabilité du fournisseur dans le contrat.
Un avocat peut-il utiliser un outil d'IA public pour les dossiers de clients ?
Pas pour des éléments confidentiels. Le secret professionnel selon la loi n° 42 de 1964 sur la profession d'avocat s'applique à l'avocat, et un outil public est un tiers non maîtrisé.
Hind Bin Al Sheikh & Partners peut-il examiner nos contrats d'IA et nos flux de données ?
Oui. Utilisez la page de contact et dites-nous le secteur, les systèmes et les fournisseurs concernés, et nous confirmerons le périmètre et les prochaines étapes.