Protection des données aux Émirats (PDPL) et intelligence artificielle

Quel droit de la protection des données s'applique à votre société ?

• PDPL fédérale - Federal Decree-Law No. 45 of 2021 sur la protection des données personnelles. La règle générale pour les sociétés du continent et de la plupart des zones franches.
• DIFC - les sociétés du Dubai International Financial Centre suivent leur propre loi, la DIFC Data Protection Law (DIFC Law No. 5 of 2020), et non la PDPL.
• ADGM - les sociétés d'Abu Dhabi Global Market suivent les ADGM Data Protection Regulations 2021.
• Données de santé - régies par la Federal Law No. 2 of 2019 sur l'usage des TIC dans le domaine de la santé, y compris leur lieu de stockage, en principe aux Émirats.
• Données bancaires, de crédit et publiques - exclues de la PDPL lorsque leurs propres lois les régissent.
• RGPD - peut s'ajouter si des données sont traitées dans l'UE ou concernent des personnes dans l'UE, aux conditions de l'article 3 du RGPD. C'est souvent le cas pour les filiales de groupes français ou belges.

Qu'est-ce que cela change pour un projet d'IA ?

Tout système d'IA qui lit des messages clients, des CV, des factures ou des demandes de patients traite des données personnelles. Avant de construire, ces questions demandent une réponse de votre part et, si besoin, de votre conseil juridique :

• Quelles données personnelles l'IA lit-elle, et la tâche en a-t-elle vraiment besoin ?
• Où les données sont-elles traitées et stockées : aux Émirats, dans l'UE ou ailleurs ?
• Quel fournisseur d'IA les traite, avec quel contrat et quelles conditions ?
• Combien de temps les entrées, résultats et journaux sont-ils conservés ?
• Qui voit les résultats, et comment une personne peut-elle faire corriger ou supprimer ses données ?

Comment concevons-nous des systèmes d'IA respectueux des données ?

• Règles écrites avant la construction : quelles données, quelle finalité, quel lieu de stockage, quels accès.
• Minimisation - les données personnelles sont masquées ou écartées quand la tâche s'en passe.
• Choix de l'hébergement - fournisseurs et serveurs selon vos exigences, par exemple aux Émirats ou dans l'UE, ou un modèle ouvert sur un serveur que vous maîtrisez.
• Journaux - chaque action automatique avec entrée, résultat et validation.
• Décision humaine pour tout ce qui concerne des personnes, comme les candidatures.
• Données de santé des cliniques séparées et traitées selon la Federal Law No. 2 of 2019 ; voir IA pour les cliniques à Dubaï.

Quelles autres règles comptent pour l'IA aux Émirats ?

L'enregistrement d'appels pour un agent vocal ou de réunions pour un compte rendu exige le consentement des participants ; sans consentement, il peut être pénalement sanctionné au titre de l'article 431 du Federal Decree-Law No. 31 of 2021. Le recrutement assisté par IA doit respecter l'interdiction de discrimination de l'article 4 du Federal Decree-Law No. 33 of 2021. Pour les sociétés liées à l'UE s'ajoute l'article 4 du règlement européen sur l'IA : des mesures qui favorisent la maîtrise de l'IA par le personnel.

Nous ne sommes pas un cabinet d'avocats et ne donnons pas de conseil juridique ; l'appréciation juridique vous revient, avec votre conseil. Nous livrons un système aux flux de données documentés, qui facilite cette appréciation. À lire aussi : intégration de ChatGPT en entreprise.