科威特既没有专门的人工智能法，也没有适用于全国的统一数据保护法。在科威特部署人工智能的企业和使用人工智能的律师，受若干为其他目的制定的文件约束。其中最相关的是2014年第20号电子交易法、通信和信息技术监管局（CITRA）以2024年第26号决定通过的《数据隐私保护条例》，以及医疗和电信领域的行业规则。在Hind Bin Al Sheikh & Partners，我们接手每一项人工智能事务时，都先弄清上述哪些文件真正适用于客户。
没有人工智能法，也没有统一的数据保护法
我们的第一条建议是准确说明现有的东西。科威特没有颁布综合性的人工智能法，隐私规则分散在电子交易法、CITRA条例、网络犯罪条款和行业规则之中。我们不会告诉客户存在一部适用的一般数据保护法，因为并没有，也不会把草案或政策表态当作有效法律来依赖。
这决定了工作的方式。客户不能靠点出一部法律来回答合规问题。我们必须确定行业、数据类型和监管机构，再适用真正触及这些事实的文件。某一点没有任何文件触及时，我们坦率地说明，并建议用合同条款来处理，而不是凭空编造规则。结果往往是法定义务与合同保护的结合，后者需要当事人自己建立。
以2014年第20号法作为一般基础
2014年第20号电子交易法及其实施条例（2014年第48号决定），是科威特对电子记录中的个人数据最接近一般基础的规定。第4条要求在让一个人以电子方式进行交易之前取得同意，第32条和第35条要求，对已收集数据的查阅、披露、共享和处理取得同意，并且限于告知数据主体的目的。
第33条赋予个人申请查阅其被保存数据的权利，第35条要求机构核实数据准确并保护数据，第36条赋予修改或删除的权利。在科威特处理客户或员工记录的人工智能工具，应当首先对照这些条文评估，因为它们适用于企业和政府机构，不取决于是否持有许可。
CITRA 2024年第26号决定及其适用对象
2024年第26号决定于2024年2月7日发布，并于2024年2月18日刊登于《科威特今日》官方公报。它通过了CITRA董事会于2023年12月5日批准的《数据隐私保护条例》，废止了此前的2021年第42号决定，自2024年2月18日公布之日起生效。依据条例第1条，它适用于收集、处理和存储个人数据的服务提供者，而专业资料目前把其范围描述为限于CITRA的持证机构，例如电信和互联网运营商。
由此可见，使用人工智能的银行、零售商或诊所，并不因为使用数据就受该条例约束。持证的电信或互联网运营商对订户数据使用人工智能，则受其约束。我们先核实许可状态，因为在这一点上出错，会把客户引向错误的规则和错误的监管机构。许可状态是可以用客户自己的文件证明的事实，我们在第一次会面时就会索取。
CITRA条例中的同意、目的和透明度
对持证机构，条例第2条和第4条要求服务提供者在收集和处理用户个人数据之前取得用户同意，并说明目的、法律依据、保存期限，以及服务提供者的身份和联系方式。条款必须以清晰的语言用阿拉伯语和英语提供。持证机构若要用订户数据训练或调整人工智能模型，必须向用户声明这一目的。
第4条还要求提供便于使用的途径，使用户能够查阅和更正数据、撤回同意，并在关系结束时要求删除。我们建议持证机构对照每一项义务检验人工智能使用场景，并保存向用户展示的同意文本、日期和版本的记录，因为证明同意的责任由服务提供者承担。
监管机构与各自负责的事项
科威特没有对数据保护拥有总体管辖权的单一机构。依2014年第37号法设立的CITRA监管其持证机构，可以检查记录、要求采取纠正措施，并把涉嫌犯罪的事项移交主管机关。中央信息技术局是电子交易法及其条例背后的机构，依2022年第37号法令设立的国家网络安全中心在网络安全方面发挥核心作用，尤其是对政府机构。
对客户而言，这意味着一起人工智能事故可能牵涉不止一个机构。电信运营商对CITRA负责，持有电子记录的公司适用2014年第20号法的一般规则，向政府机构供货的供应商则受网络安全要求约束。我们从一开始就梳理可能涉及的机构，使事件处理计划写明正确的联系人及其顺序。
持证机构的安全、泄露通报与向境外传输
条例第5条要求持证机构保护个人数据，防止未经授权的访问、丢失、毁损和损坏，措施包括加密和恢复规划。第6条第1款要求持证机构在知悉个人数据泄露后24小时内通知CITRA，并通知受影响的数据主体，但已对受影响数据采取适当技术和组织保护措施的除外。此外，第4条第15款要求，在所存个人数据遭不当披露且大量用户受损时，持证机构应尽快并最迟在72小时内通知CITRA、用户和执法机关。我们建议客户按24小时内通知CITRA来制定计划。
依据第4条，持证机构在用户数据将被传输到科威特境外时，必须告知用户，并说明数据存放在哪里。许多人工智能服务运行在外国云平台上，传输往往已内置在产品中。持证机构开始运营之前，我们要求供应商书面确认每一处存储地点和每一个次级处理者。
保存、删除与人工智能项目的结束
人工智能项目会产生无人预料到的数据副本：训练集、提示日志、测试导出文件，以及供应商处的备份。2014年第20号法第36条赋予数据主体修改或删除的权利，CITRA条例第4条要求持证机构在用户撤回同意或关系结束时删除个人数据。只停留在生产数据库的删除义务，不是真正的删除义务。
我们一贯的建议是，一开始就列出所有副本，要求供应商承担书面的删除义务并在退出时出具证明，同时为提示日志确定保存期限。客户请我们关闭项目时，我们核实这些副本已经消失，并把删除记录与决定档案一起保存。
触及人工智能的行业规则：医疗、云服务和网络犯罪
健康数据有自己的规则。2020年第70号医疗职业法要求医疗机构安全保管患者记录，披露医疗数据一般需要患者的书面同意。读取临床记录或影像的人工智能工具，在接收任何一份记录之前，都应对照这项义务审查，去除身份信息并不能代替征求同意。
云服务提供者受CITRA云框架约束，该框架规定了服务提供者可以收集哪些信息，并要求其告知用户哪些信息是自动收集的。网络犯罪条款对非法访问、篡改和披露数据的行为予以处罚。我们不把它们看作人工智能规则，但它们划定了一项部署对他人信息可以做什么的外部界限。
与科威特人工智能供应商的合同
没有人工智能法，供应商合同就承担了大部分保护。我们从五点来读：谁是数据持有者，供应商能否用客户数据训练，数据存放在哪里，错误产出由谁负责，以及合同结束时数据如何处理。客户若是CITRA持证机构，条例的义务必须以书面形式传递给供应商。
我们一贯的建议是避免宽泛的许可，不让供应商把客户数据重新用于自己的产品。我们还建议约定审计权、比客户自身法定期限更短的泄露通知义务、退出时的删除证明，以及次级处理者名单并要求变更前通知。这些都是普通的商业条款，拒绝全部条款的供应商，等于给了客户有用的信息。
对人工智能产出和决定的责任
科威特法律不把人工智能系统视为法律行为主体。依赖模型的公司或专业人员，依据合同责任和民事责任的一般原则以及上述行业规则，对自己如何使用结果负责。错误的信贷决定、误诊或不准确的法律草稿，责任在使用者。
我们建议客户为每一项重要的人工智能使用保存决定档案：向系统问了什么，系统返回了什么，谁审核过，以及作出了什么决定。这样一份简短的档案，是人类运用了判断力的最好证据，在争议中往往比模型自身的日志更有用。它应由该决定的业务负责人保管，而不只由技术团队保管。
律师、人工智能与职业保密
1964年第42号律师法规范在法院执业的律师职业，律师的职业保密义务是其核心部分。律师把客户文件粘贴进公共人工智能工具时，这项义务并不中止。律师必须把客户的事实视为受保护的信息，不得输入保留或再利用所收到内容的服务。
我们自己使用人工智能时，把工具视为第三方：没有书面协议，任何客户事实都不得进入保留或用其训练的服务，律师仍须负责核对每一处引注和每一份草稿。我们建议科威特的企业法务部门和其他律所采用同样的规则，并写入员工制度。
我们在科威特审查人工智能部署时看什么
在科威特审查人工智能部署时，我们先确定行业和监管机构，再对照2024年第26号决定核实许可状态。我们依据电子交易法第4条、第32条和第35条阅读同意和告知，审查供应商合同和数据所在位置，检查适用的医疗或电信规则，并把结果记入一份给客户的简短决定档案。
另请参阅：我们的科威特数据保护指南和我们的科威特知识产权指南，以及我们的公司与商事业务。
常见问题
科威特有人工智能法吗？
没有。没有专门的人工智能法，我们也不把草案或表态当作法律。有约束力的规则来自现行文件，例如2014年第20号法、行业法律和合同。
科威特有一般的数据保护法吗？
没有。2014年第20号电子交易法是电子记录的一般基础，依据2024年第26号决定的CITRA条例涵盖持证机构。
CITRA条例适用于我的公司吗？
只有在贵公司持有CITRA许可时才适用，例如作为电信或互联网运营商。请先核对许可，再决定是依赖还是忽略该条例。
把客户数据输入人工智能工具需要同意吗？
原则上需要。2014年第20号法第32条和第35条要求处理须取得同意，并把使用限于告知的目的，持证机构依CITRA条例第2条和第4条面临同样的要求。
病历可以与人工智能一起使用吗？
只能在2020年第70号医疗职业法的范围内使用，该法要求安全的记录，披露一般需要患者的书面同意。请在数据到达工具之前取得该同意。
人工智能出错，谁负责？
依赖它的公司或专业人员。科威特法律不把系统视为行为主体，所以请在合同中分配供应商的责任。
律师可以用公共人工智能工具处理客户文件吗？
涉及保密材料不可以。1964年第42号律师法下的职业保密义务由律师承担，而公共工具是无法控制的第三方。
Hind Bin Al Sheikh & Partners能审查我们的人工智能合同和数据流吗？
可以。请通过联系页面告诉我们行业、系统和供应商，我们会确认服务范围和后续步骤。