L'Egitto non ha finora una legge propria sull'intelligenza artificiale. Le imprese che usano l'IA, e gli avvocati che se ne servono, restano quindi soggetti al diritto esistente applicato a fatti nuovi. Lo strumento principale è la legge n. 151 del 2020 sulla protezione dei dati personali, il cui regolamento di attuazione è stato adottato con la Decisione n. 816 del 2025 del ministro delle comunicazioni e delle tecnologie dell'informazione ed è, secondo fonti secondarie, in vigore dal 2 novembre 2025. Accanto ad essa stanno la legge n. 82 del 2002 sulla proprietà intellettuale, la legge n. 17 del 1983 sulla professione forense e le regole generali dei contratti. In Hind Bin Al Sheikh & Partners iniziamo ogni incarico sull'IA individuando quali di questi testi il sistema tocca davvero.
Nessuna legge sull'IA: decide il diritto esistente
Il nostro primo consiglio al cliente è di non attendere una legge sull'IA. Il Consiglio nazionale per l'intelligenza artificiale ha presentato la seconda edizione della Strategia nazionale per l'IA 2025-2030, e una precedente Carta egiziana per un'IA responsabile fissa linee guida. Sono documenti di politica pubblica e di soft law. Nessuno dei due crea una sanzione o un'azione giudiziale, e non li presentiamo ai clienti come regole vincolanti.
Ciò che vincola è la legge sulla protezione dei dati personali, la legge sulla proprietà intellettuale, la legge forense e il contratto che le parti firmano. Quando esaminiamo un'implementazione di IA poniamo quindi quattro domande semplici: il sistema tratta dati personali, di chi è ciò che produce, chi risponde quando sbaglia e se dietro c'è una professione regolata. Le risposte determinano il lavoro legale e mostrano se il cliente ha bisogno di una licenza sui dati, di una riscrittura del contratto o soltanto di una breve policy interna.
Quando un sistema di IA rientra nella legge n. 151 del 2020
L'articolo 1 della legge n. 151 del 2020 definisce l'ambito come il trattamento elettronico, totale o parziale, di dati personali di persone fisiche. Uno strumento che legge le e-mail dei clienti, valuta candidati, trascrive chiamate o costruisce profili di utenti tratta dati personali per via elettronica, e la legge si applica quale che sia il nome che il fornitore dà al prodotto. I dati delle società restano fuori dalla definizione, ma dipendenti, clienti e firmatari sono persone fisiche.
Verifichiamo anche chi è coinvolto. La legge si applica al titolare e al responsabile del trattamento, e il regolamento impone al responsabile stabilito all'estero e privo di succursale in Egitto di nominare un rappresentante nel Paese approvato dal Centro per la protezione dei dati personali (il Centro) ai sensi dell'articolo 4 della Decisione n. 816 del 2025. Un fornitore di IA straniero che ospita dati egiziani o li usa per l'addestramento non esce dal regime solo perché i suoi server sono all'estero.
Consenso, finalità e basi lecite del trattamento con l'IA
L'articolo 2 della legge n. 151 del 2020 richiede il consenso esplicito dell'interessato, e l'articolo 3 richiede che i dati siano raccolti per finalità legittime, determinate e dichiarate, siano esatti e non siano conservati più a lungo del necessario. L'articolo 6 fissa le basi lecite del trattamento. Una formula come "i dati possono essere usati per migliorare i nostri servizi" è una base debole per addestrare un modello, perché la finalità non è determinata né dichiarata in modo che l'interessato possa verificarla.
Il nostro consiglio costante è di scrivere la finalità di IA nell'informativa e nel consenso, separata dalla finalità del servizio, e di conservare la prova del consenso in una forma che si possa produrre. Secondo l'articolo 11, la prova digitale ha lo stesso valore probatorio di quella scritta: un registro elettronico del consenso ben tenuto aiuta in una controversia, e la sua assenza è un problema. Raccomandiamo di tenere insieme il testo del consenso, la sua data e la versione mostrata all'utente.
Titolare e responsabile: chi risponde del fornitore
L'articolo 4 della legge fissa gli obblighi del titolare e l'articolo 5 quelli del responsabile. Il responsabile agisce solo su istruzione scritta del titolare, cancella i dati alla fine dell'incarico e non può usarli per fini propri. L'impresa che acquista uno strumento di IA è di norma il titolare, il fornitore è di norma il responsabile, e il contratto deve dirlo.
Il punto pratico è che la responsabilità non passa con la licenza. L'impresa che non sa provare istruzioni scritte al fornitore di IA, un obbligo di cancellazione e un limite al riuso secondario è esposta in base agli articoli 4 e 5, e le norme penali successive si rivolgono al titolare quanto al fornitore. Quando esaminiamo un contratto con un fornitore leggiamo queste tre clausole prima del prezzo e chiediamo se il fornitore può usare i dati del cliente per migliorare i propri modelli, perché questo solo permesso cambia il rischio.
Addestramento dell'IA e tecnologie emergenti nel regolamento di attuazione
La Decisione n. 816 del 2025 parla direttamente di IA. L'articolo 4 obbliga il responsabile che tratta dati personali per l'addestramento dell'IA e delle tecnologie emergenti e innovative a seguire i principi riconosciuti a livello locale, regionale e internazionale, in modo che l'uso della tecnologia non causi danno all'interessato. Il regolamento non elenca tali principi, e non sosteniamo che esista una lista fissa. I clienti devono aspettarsi che il Centro la legga insieme alle regole su consenso e finalità, e sconsigliamo di trattarla come autorizzazione autonoma.
In pratica trattiamo la clausola come un obbligo di diligenza documentata. Un responsabile dovrebbe poter mostrare quali dati sono entrati nell'addestramento, con quale consenso, come sono stati minimizzati e quali controlli limitano il danno alla persona. Quando un cliente chiede se dati personali possano addestrare un modello, la nostra risposta parte dal consenso e dalla finalità dichiarata e termina con questa clausola dell'articolo 4.
Diritti degli interessati e opposizione ai risultati automatizzati
L'articolo 2 dà all'interessato il diritto di conoscere e accedere, di revocare il consenso, di rettificare, di limitare il trattamento, di essere informato di una violazione e di opporsi al trattamento o ai suoi risultati quando contrastino con i diritti e le libertà fondamentali. Le parole "risultati del trattamento" contano per l'IA, perché raggiungono le decisioni che un modello produce su una persona.
La legge fissa nello stesso articolo 2 un tetto di 20.000 sterline egiziane al costo per esercitare questi diritti, e il rifiuto di una richiesta è un reato ai sensi dell'articolo 37, punito con una multa da 100.000 a 1.000.000 di sterline egiziane. Chi usa un punteggio basato sull'IA deve perciò avere una via effettiva per accesso, rettifica e riesame, e un registro di come ogni richiesta è stata trattata.
Dati sensibili e trasferimenti all'estero
L'articolo 12 tratta i dati sensibili, tra cui quelli sanitari, finanziari e dei minori, come categoria protetta. Il loro trattamento richiede una licenza del Centro e un consenso scritto esplicito. Il regolamento aggiunge che il minore di 15 anni ha bisogno del consenso scritto del tutore. Un prodotto di IA per salute, credito o istruzione rientra di solito in questa categoria e deve prevedere per tempo la licenza.
L'articolo 14 consente il trasferimento all'estero solo verso un Paese con un livello di protezione non inferiore a quello egiziano e con licenza o autorizzazione del Centro. L'articolo 15 consente il trasferimento verso un Paese privo di tale livello solo con il consenso esplicito dell'interessato e uno dei casi elencati, tra cui cure mediche, azioni legali, un contratto nell'interesse dell'interessato, sanità pubblica e accordi internazionali. L'articolo 16 riguarda la messa a disposizione di dati all'estero. Molti servizi di IA funzionano su infrastrutture cloud straniere, inclusi strumenti ospitati di chat e documenti, così che il trasferimento è spesso incorporato nel prodotto. Mappiamo dove i dati sono conservati e trattati prima dell'avvio e chiediamo al fornitore di confermare per iscritto le sedi e i sub-responsabili.
Notifica delle violazioni, responsabile della protezione dei dati e Centro
Secondo l'articolo 7 della legge, titolare e responsabile devono notificare al Centro entro 72 ore da quando vengono a conoscenza di una violazione dei dati, e immediatamente se la violazione riguarda la sicurezza nazionale. L'articolo 5 della Decisione n. 816 del 2025 fissa la via di notifica tramite il portale o la linea diretta del Centro e richiede di annotarla in un registro. Gli articoli 8 e 9 riguardano il responsabile della protezione dei dati, e il regolamento fissa le condizioni della sua iscrizione.
Un incidente di IA, come un modello che espone i dati di un cliente a un altro, è una violazione in questo senso. Consigliamo ai clienti di avere una procedura scritta per gli incidenti, di nominare il responsabile della protezione dei dati, di provare in anticipo il termine di 72 ore, perché il termine decorre da quando il titolare viene a conoscenza della violazione e non dalla fine di un esame interno.
Sanzioni in caso di violazione
Le sanzioni della legge n. 151 del 2020 sono rilevanti. L'articolo 36 prevede una multa da 100.000 a 1.000.000 di sterline egiziane per il trattamento illecito di dati personali, che sale ad almeno sei mesi di reclusione e a una multa da 200.000 a 2.000.000 di sterline, o a una delle due pene, quando vi sia un profitto o l'intento di nuocere. L'articolo 38 prevede da 300.000 a 3.000.000 di sterline per la violazione degli articoli 4, 5 e 7.
L'articolo 41 riguarda i dati sensibili, con almeno tre mesi di reclusione e una multa da 500.000 a 5.000.000 di sterline, o una delle due pene, e l'articolo 42 prevede lo stesso intervallo per il trasferimento illecito all'estero. Ai sensi dell'articolo 5 della legge di promulgazione, i tribunali economici sono competenti per questi reati. Diciamo ai consigli di amministrazione che queste cifre spiegano perché una mappa dei dati di IA costa meno di un incidente di IA. Un consiglio di amministrazione che ha visto queste cifre approva di regola la revisione senza ritardo.
Di chi è ciò che produce l'IA e cosa deve dire il contratto
L'articolo 138 della legge n. 82 del 2002 sulla proprietà intellettuale definisce l'autore come la persona che ha creato l'opera, e la prassi egiziana cerca l'impronta della personalità dell'autore. La legge non contiene alcuna regola che attribuisca la paternità a una macchina, e non abbiamo trovato giurisprudenza egiziana in tal senso. La titolarità di quanto prodotto va quindi regolata per contratto e non presunta dallo strumento.
Il nostro consiglio costante è di fissare nel contratto con il fornitore di chi sono i risultati, di chi sono i dati in ingresso, se il fornitore può addestrarsi sui dati del cliente e chi sopporta la responsabilità per risultati lesivi di diritti altrui. Quando un risultato ha valore commerciale, raccomandiamo che un autore umano apporti scelte creative riconoscibili e che il fascicolo le registri.
Avvocati e IA: riservatezza e dovere professionale
L'articolo 65 della legge n. 17 del 1983 sulla professione forense obbliga l'avvocato ad astenersi dal testimoniare su fatti e informazioni appresi per ragione della professione quando lo chieda chi gliele ha confidate, salvo che siano state rivelate per commettere un delitto o un reato minore. Questo dovere non si interrompe quando un avvocato incolla un documento del cliente in uno strumento di IA pubblico.
Quando usiamo l'IA nel nostro lavoro, trattiamo lo strumento come un responsabile del trattamento esterno: nessun fatto del cliente entra in un servizio che li conservi o si addestri su di essi senza un accordo scritto, e l'avvocato resta personalmente responsabile di verificare ogni citazione e ogni bozza. Consigliamo la stessa regola ad altri studi e agli uffici legali interni.
Cosa esaminiamo in un'implementazione di IA in Egitto
Quando esaminiamo un'implementazione di IA in Egitto leggiamo il contratto del fornitore, l'informativa sul consenso e la mappa dei dati alla luce degli articoli da 2 a 7 della legge n. 151 del 2020. Verifichiamo i ruoli di titolare e responsabile, la clausola sull'addestramento dell'IA della Decisione n. 816 del 2025, ogni licenza necessaria per dati sensibili o trasferimenti, la procedura per le violazioni e le regole di titolarità dei risultati, e registriamo l'esito in un breve fascicolo decisionale.
Si veda anche: la nostra guida alla protezione dei dati in Egitto, la nostra guida alla proprietà intellettuale in Egitto e la nostra pratica di diritto commerciale e societario.
Domande frequenti
Esiste una legge sull'IA in Egitto?
No. Nessuna legge propria sull'IA è in vigore. La Strategia nazionale per l'IA 2025-2030 e la Carta egiziana per un'IA responsabile sono documenti di politica pubblica, e le regole vincolanti derivano dalla legge n. 151 del 2020, dalla legge sulla proprietà intellettuale e dal contratto.
La legge n. 151 del 2020 si applica a uno strumento di IA?
Sì, quando tratta per via elettronica dati personali di persone fisiche, come dispone l'articolo 1. Il nome che il fornitore dà al prodotto è irrilevante per questo criterio.
Possiamo addestrare un modello con i dati dei clienti?
Solo con consenso esplicito ai sensi dell'articolo 2, una finalità determinata e dichiarata ai sensi dell'articolo 3 e un responsabile che rispetti l'obbligo dell'articolo 4 della Decisione n. 816 del 2025 sull'addestramento dell'IA. Senza questi elementi lo sconsigliamo.
Entro quanto tempo va notificata una violazione?
Al Centro entro 72 ore da quando si viene a conoscenza della violazione, e immediatamente se riguarda la sicurezza nazionale, ai sensi dell'articolo 7 della legge e dell'articolo 5 della Decisione n. 816 del 2025, e la notifica deve essere annotata in un registro.
I dati possono andare a un fornitore di IA straniero?
In genere solo se la destinazione soddisfa il criterio di adeguatezza e il Centro concede una licenza o autorizzazione ai sensi dell'articolo 14; l'articolo 15 elenca eccezioni ristrette che richiedono il consenso esplicito dell'interessato. Pianifichi la licenza prima della data di lancio, non dopo.
Di chi è ciò che produce l'IA?
La legge non attribuisce la paternità a una macchina, poiché l'articolo 138 della legge n. 82 del 2002 parla della persona che ha creato l'opera. Regoli la titolarità nel contratto.
Un avvocato può usare uno strumento di IA pubblico per i fascicoli dei clienti?
Non per materiale riservato. L'articolo 65 della legge forense protegge ciò che il cliente confida, e uno strumento pubblico è un terzo non controllato.
Hind Bin Al Sheikh & Partners può esaminare i nostri contratti di IA e la nostra mappa dei dati?
Sì. Usi la pagina dei contatti e ci indichi i sistemi e i fornitori coinvolti, e confermeremo l'ambito e i passi successivi.