Datenschutz in den VAE: PDPL und künstliche Intelligenz

Welches Datenschutzrecht gilt für Ihre Firma?

• Föderales PDPL - Federal Decree-Law No. 45 of 2021 zum Schutz personenbezogener Daten. Die allgemeine Regel für Firmen auf dem Festland und in den meisten Freezones.
• DIFC - Firmen im Dubai International Financial Centre folgen dem eigenen DIFC-Datenschutzgesetz, DIFC Law No. 5 of 2020, nicht dem PDPL.
• ADGM - Firmen am Abu Dhabi Global Market folgen den ADGM Data Protection Regulations 2021.
• Gesundheitsdaten - geregelt durch Federal Law No. 2 of 2019 zur Nutzung von IKT im Gesundheitswesen, einschließlich des Speicherorts, grundsätzlich in den VAE.
• Bank-, Kredit- und Behördendaten - vom PDPL ausgenommen, soweit eigene Gesetze sie regeln.
• DSGVO - kann zusätzlich greifen, wenn Daten in der EU verarbeitet werden oder Personen in der EU betroffen sind, unter den Bedingungen von Art. 3 DSGVO. Das ist für Firmen mit deutschem Mutterhaus oder EU-Kunden oft der Fall.

Was bedeutet das für ein KI-Projekt?

Jedes KI-System, das Kundennachrichten, Lebensläufe, Rechnungen oder Patientenanfragen liest, verarbeitet personenbezogene Daten. Vor dem Bau brauchen diese Fragen eine Antwort von Ihnen und, wo nötig, von Ihrer Rechtsberatung:

• Welche personenbezogenen Daten liest die KI, und braucht die Aufgabe sie wirklich?
• Wo werden die Daten verarbeitet und gespeichert: in den VAE, in der EU oder anderswo?
• Welcher KI-Anbieter verarbeitet sie, mit welchem Vertrag und welchen Bedingungen?
• Wie lange bleiben Eingaben, Ergebnisse und Protokolle gespeichert?
• Wer sieht die Ergebnisse, und wie kann eine Person ihre Daten berichtigen oder löschen lassen?

Wie bauen wir KI-Systeme datenschutzgerecht?

• Schriftliche Datenregeln vor dem Bau: welche Daten, welcher Zweck, welcher Speicherort, wer hat Zugriff.
• Datensparsamkeit - personenbezogene Daten werden maskiert oder weggelassen, wenn die Aufgabe ohne sie funktioniert.
• Wahl des Hostings - Anbieter und Server nach Ihren Anforderungen, etwa in den VAE oder der EU, oder ein offenes Modell auf einem Server unter Ihrer Kontrolle.
• Protokolle - jede automatische Aktion mit Eingabe, Ergebnis und Freigabe.
• Menschliche Entscheidung bei Fragen über Personen, etwa bei Bewerbungen.
• Gesundheitsdaten von Kliniken getrennt und nach Federal Law No. 2 of 2019 behandelt; siehe KI für Kliniken in Dubai.

Welche weiteren Regeln zählen für KI in den VAE?

Gesprächsaufzeichnungen für einen KI-Telefonassistenten oder Besprechungsprotokolle brauchen die Zustimmung der Teilnehmer; ohne Zustimmung kann die Aufzeichnung nach Art. 431 des Federal Decree-Law No. 31 of 2021 strafbar sein. KI im Recruiting muss das Diskriminierungsverbot aus Art. 4 des Federal Decree-Law No. 33 of 2021 beachten. Für Firmen mit EU-Bezug kommt Art. 4 der KI-Verordnung hinzu: Maßnahmen, die die KI-Kompetenz der Beschäftigten fördern.

Wir sind keine Kanzlei und leisten keine Rechtsberatung; die rechtliche Bewertung bleibt bei Ihnen und Ihrer Beratung. Wir liefern ein System mit dokumentierten Datenflüssen, das diese Bewertung leicht macht. Passend dazu: ChatGPT im Unternehmen integrieren.