В Кувейте нет ни отдельного закона об искусственном интеллекте, ни единого общегосударственного закона о защите данных. Компания, которая внедряет ИИ в Кувейте, и юрист, который им пользуется, подчиняются нескольким актам, написанным для других целей. Наиболее важны Закон № 20 от 2014 года об электронных транзакциях, Регламент защиты конфиденциальности данных, принятый Управлением по регулированию связи и информационных технологий (CITRA) Решением № 26 от 2024 года, и отраслевые нормы здравоохранения и телекоммуникаций. В Hind Bin Al Sheikh & Partners мы начинаем каждое поручение по ИИ с выяснения того, какой из этих актов действительно применим к клиенту.
Нет закона об ИИ и нет единого закона о данных
Наш первый совет - точно знать, что существует. Кувейт не принял комплексного закона об ИИ, а правила о конфиденциальности распределены между законом об электронных транзакциях, регламентом CITRA, нормами о киберпреступлениях и отраслевыми правилами. Мы не говорим клиентам, что действует общий закон о защите данных, потому что его нет, и не опираемся на проекты или заявления о государственной политике так, будто это действующее право.
Это определяет работу. Клиент не может ответить на вопрос о соответствии требованиям, назвав один закон. Нужно определить отрасль, вид данных и надзорный орган, а затем применить акт, который действительно охватывает обстоятельства. Там, где ни один акт не охватывает вопрос, мы говорим об этом открыто и предлагаем договорное условие вместо выдуманного правила. Часто результатом становится сочетание обязанностей из закона и договорной защиты, которую стороны должны выстроить сами.
Закон № 20 от 2014 года как общая основа
Закон № 20 от 2014 года об электронных транзакциях и его исполнительный регламент, Решение № 48 от 2014 года, - самое близкое к общей основе для персональных данных в электронных записях, что есть в Кувейте. Статья 4 требует согласия, прежде чем человека склонят действовать электронным способом, а статьи 32 и 35 требуют согласия на доступ к собранным данным, их раскрытие, передачу и обработку в пределах цели, о которой сообщено субъекту данных.
Статья 33 даёт человеку право запросить доступ к хранящимся о нём данным, статья 35 обязывает организацию проверять точность данных и защищать их, а статья 36 даёт право изменить или удалить. Инструмент ИИ, обрабатывающий записи клиентов или сотрудников в Кувейте, нужно прежде всего оценивать по этим статьям, потому что они действуют для компаний и органов власти и не зависят от лицензии.
Решение CITRA № 26 от 2024 года и кого оно касается
Решение № 26 от 2024 года издано 7 февраля 2024 года и опубликовано в Официальной газете («Кувейт аль-Явм») 18 февраля 2024 года. Оно принимает Регламент защиты конфиденциальности данных, одобренный советом CITRA 5 декабря 2023 года, отменяет прежнее Решение № 42 от 2021 года и действует с момента публикации, то есть с 18 февраля 2024 года. По статье 1 регламента он применяется к поставщикам услуг, которые собирают, обрабатывают и хранят персональные данные, а профильные источники сегодня описывают его сферу как ограниченную лицензиатами CITRA, такими как операторы связи и интернет-провайдеры.
Из этого следует, что банк, торговая компания или клиника, использующая ИИ, не связана этим регламентом лишь потому, что работает с данными. Лицензированный оператор связи или интернет-провайдер, применяющий ИИ к данным абонентов, связан. Сначала мы проверяем статус лицензии, потому что ошибка здесь отправляет клиента к неверным правилам и неверному органу. Статус лицензии - факт, который можно подтвердить документами самого клиента, и мы просим их на первой встрече.
Согласие, цель и прозрачность в регламенте CITRA
Для лицензиатов статьи 2 и 4 регламента требуют, чтобы поставщик получил согласие пользователя до сбора и обработки его персональных данных и указал цель, правовое основание, срок хранения, а также своё имя и контактные данные. Условия должны быть изложены ясным языком на арабском и английском. Лицензиат, который хочет использовать данные абонентов для обучения или настройки модели ИИ, обязан заявить эту цель пользователю.
Статья 4 требует также доступных средств, с помощью которых пользователь может просматривать свои данные, исправлять их, отзывать согласие и требовать удаления по окончании отношений. Мы советуем лицензиатам проверить сценарий использования ИИ по каждой из этих обязанностей и вести журнал текста, даты и версии согласия, показанной пользователю, поскольку бремя доказывания согласия несёт поставщик.
Надзорные органы и кто за что отвечает
В Кувейте нет единого органа с общей компетенцией по защите данных. CITRA, созданное Законом № 37 от 2014 года, регулирует своих лицензиатов и вправе проверять документы, требовать исправительных мер и передавать сведения о предполагаемых преступлениях компетентным органам. Центральное агентство информационных технологий стоит за законом об электронных транзакциях и его регламентом, а Национальный центр кибербезопасности, созданный Указом № 37 от 2022 года, играет центральную роль в кибербезопасности, особенно для государственных органов.
Для клиента это означает, что один инцидент с ИИ может затронуть несколько органов. Оператор связи отвечает перед CITRA, компания с электронными записями - по общим правилам Закона № 20 от 2014 года, а поставщик государственных органов подчиняется требованиям кибербезопасности. Мы с самого начала определяем вероятные органы, чтобы в плане действий при инциденте были названы правильные контакты и их очерёдность.
Безопасность, уведомление о нарушении и передача за границу для лицензиатов
Статья 5 регламента обязывает лицензиатов защищать персональные данные от несанкционированного доступа, утраты, уничтожения и повреждения такими мерами, как шифрование и планирование восстановления. Статья 6(1) обязывает лицензиата уведомить CITRA о нарушении защиты персональных данных в течение 24 часов после того, как он о нём узнал, и сообщить об этом затронутому субъекту данных, если только к затронутым данным не применялись надлежащие технические и организационные меры защиты. Отдельно статья 4(15) обязывает лицензиата уведомить CITRA, пользователей и правоохранительные органы как можно скорее и не позднее 72 часов, если сохранённые персональные данные раскрыты ненадлежащим образом и вред причинён многим пользователям. Мы советуем клиентам планировать уведомление CITRA в течение 24 часов.
По статье 4 лицензиат должен сообщать пользователям, что их данные будут переданы за пределы Кувейта, и указывать, где они хранятся. Многие сервисы ИИ работают на иностранных облачных платформах, поэтому передача нередко заложена в сам продукт. Мы просим поставщика письменно подтвердить каждую площадку хранения и каждого субобработчика до того, как лицензиат начнёт работу.
Хранение, удаление и завершение проекта ИИ
Проекты ИИ порождают копии данных, которых никто не планировал: обучающие наборы, журналы запросов, тестовые выгрузки и резервные копии у поставщика. Статья 36 Закона № 20 от 2014 года даёт субъекту данных право изменить или удалить данные, а статья 4 регламента CITRA обязывает лицензиата удалять персональные данные, когда пользователь отзывает согласие или отношения прекращаются. Обязанность удаления, которая останавливается на рабочей базе данных, не является настоящей обязанностью удаления.
Наш неизменный совет - с самого начала перечислить все копии, возложить на поставщика письменную обязанность удаления с подтверждающим документом при выходе и определить срок хранения журналов запросов. Когда клиент просит нас закрыть проект, мы проверяем, что эти копии исчезли и что доказательство удаления хранится вместе с записью о принятом решении.
Отраслевые нормы, затрагивающие ИИ: здравоохранение, облака и киберпреступления
У медицинских данных своё правило. Закон № 70 от 2020 года о медицинской практике обязывает медицинские организации надёжно хранить записи о пациентах, а для раскрытия медицинских данных, как правило, нужно письменное согласие пациента. Инструмент ИИ, который читает клинические заметки или снимки, проверяется по этой обязанности до того, как получит хотя бы одну запись, а обезличивание не заменяет запрос согласия.
Поставщики облачных услуг подчиняются облачной рамке CITRA, которая описывает, какую информацию поставщик вправе собирать, и обязывает сообщать пользователю, что собирается автоматически. Нормы о киберпреступлениях наказывают за незаконный доступ к данным, их изменение и раскрытие. Мы не считаем их правилами об ИИ, но они задают внешнюю границу того, что внедрение вправе делать с чужой информацией.
Договоры с поставщиками ИИ в Кувейте
Без закона об ИИ большую часть защиты несёт договор с поставщиком. Мы читаем его по пяти пунктам: кто держатель данных, вправе ли поставщик обучаться на данных клиента, где данные хранятся, кто отвечает за ошибочные результаты и что происходит с данными по окончании договора. Если клиент - лицензиат CITRA, обязанности регламента должны быть письменно переданы поставщику.
Наш неизменный совет - избегать широких лицензий, позволяющих поставщику повторно использовать данные клиента в собственных продуктах. Мы рекомендуем также право аудита, обязанность уведомлять о нарушении в срок короче законного срока клиента, документ об удалении при выходе и перечень субобработчиков с предварительным уведомлением о любых изменениях. Это обычные коммерческие условия, и поставщик, который отказывается от всех, сообщает клиенту нечто полезное.
Ответственность за результаты и решения ИИ
Кувейтское право не рассматривает систему ИИ как субъект права. Компания или специалист, который полагается на модель, отвечает за то, что делает с результатом, по общим принципам договорной и гражданской ответственности и по перечисленным отраслевым нормам. Ошибочное кредитное решение, неверный диагноз или неточный юридический проект - ответственность того, кто их использовал.
Мы советуем клиентам вести досье решения для каждого существенного применения ИИ: что спросили у системы, что она вернула, кто проверил и что решили. Такое короткое досье - лучшее доказательство того, что человек применил собственное суждение, и в споре оно часто полезнее журналов самой модели. Вести его должен бизнес-владелец решения, а не только техническая команда.
Юристы, ИИ и профессиональная тайна
Закон об адвокатуре № 42 от 1964 года регулирует профессию адвоката в судах, и профессиональная тайна адвоката - одна из его основ. Эта обязанность не приостанавливается, когда адвокат вставляет документ клиента в общедоступный инструмент ИИ. Адвокат обязан считать факты клиента защищёнными и не вводить их в сервис, который хранит или повторно использует полученное.
Когда мы сами используем ИИ, мы относимся к инструменту как к третьему лицу: никакие факты клиента не попадают в сервис, который их хранит или обучается на них, без письменного соглашения, а адвокат остаётся ответственным за проверку каждой ссылки и каждого проекта. Мы советуем внутренним юридическим службам и другим фирмам в Кувейте то же правило и его включение в политику для сотрудников.
Что мы проверяем при внедрении ИИ в Кувейте
При проверке внедрения ИИ в Кувейте мы сначала определяем отрасль и надзорный орган, затем проверяем статус лицензии по Решению № 26 от 2024 года. Мы читаем согласие и уведомление в свете статей 4, 32 и 35 закона об электронных транзакциях, проверяем договор с поставщиком и место хранения данных, анализируем любые нормы здравоохранения или связи и фиксируем итог в короткой записке с решением для клиента.
См. также: наше руководство по защите данных в Кувейте и наше руководство по интеллектуальной собственности в Кувейте, а также наша корпоративная и коммерческая практика.
Часто задаваемые вопросы
Есть ли в Кувейте закон об ИИ?
Нет. Отдельного закона об ИИ не существует, и мы не считаем правом проекты или заявления о государственной политике. Обязательные правила следуют из действующих актов, таких как Закон № 20 от 2014 года, отраслевые законы и договор.
Есть ли в Кувейте общий закон о защите данных?
Нет. Закон № 20 от 2014 года об электронных транзакциях - общая основа для электронных записей, а регламент CITRA по Решению № 26 от 2024 года охватывает лицензиатов.
Применяется ли регламент CITRA к моей компании?
Только если у вас есть лицензия CITRA, например как у оператора связи или интернет-провайдера. Проверьте лицензию, прежде чем полагаться на регламент или игнорировать его.
Нужно ли согласие, чтобы вводить данные клиентов в инструмент ИИ?
Да, как правило. Статьи 32 и 35 Закона № 20 от 2014 года требуют согласия на обработку и ограничивают использование заявленной целью, а лицензиат сталкивается с тем же требованием по статьям 2 и 4 регламента CITRA.
Можно ли использовать медицинские записи с ИИ?
Только в рамках Закона № 70 от 2020 года о медицинской практике, который требует надёжного хранения записей и, как правило, письменного согласия пациента на раскрытие. Получите это согласие до того, как данные попадут в инструмент.
Кто отвечает, если ИИ ошибся?
Компания или специалист, который на него положился. Кувейтское право не рассматривает систему как субъект, поэтому распределите ответственность поставщика в договоре.
Может ли адвокат использовать общедоступный инструмент ИИ для дел клиентов?
Не для конфиденциальных материалов. Профессиональная тайна по Закону об адвокатуре № 42 от 1964 года лежит на адвокате, а общедоступный инструмент - неконтролируемое третье лицо.
Может ли Hind Bin Al Sheikh & Partners проверить наши договоры по ИИ и потоки данных?
Да. Воспользуйтесь страницей контактов и сообщите нам отрасль, системы и поставщиков, и мы подтвердим объём работы и следующие шаги.