Règlement 10 du DIFC — les premières règles contraignantes de Dubaï sur les données personnelles traitées par des systèmes autonomes et d'IA

Le Règlement 10 des Règlements de protection des données du DIFC encadre les données personnelles traitées par des systèmes autonomes et semi-autonomes, dont l'IA, l'IA générative et l'apprentissage automatique. Proposé en avril 2023, soumis à une consultation publique de 30 jours, il est entré en vigueur le 7 septembre 2023. Le DIFC l'a présenté comme le premier du genre dans la région Moyen-Orient, Afrique et Asie du Sud.
Les déployeurs et opérateurs doivent informer les utilisateurs sur la technologie de traitement, sur la capacité du système à définir ses propres finalités et sur l'incidence sur les droits des personnes concernées. Les systèmes devront satisfaire aux exigences d'audit et de certification fixées par le Commissaire, et le traitement à haut risque exige un responsable des systèmes autonomes au statut et aux tâches proches de ceux d'un délégué à la protection des données. Le Commissaire peut enquêter sur les notices trompeuses ou les fausses déclarations de certification.
Le DIFC a indiqué prévoir des essais en bac à sable avec développeurs, utilisateurs, régulateurs et ONG. Des lignes directrices détaillées sur la certification étaient attendues en 2026.
Réserve : il s'agit d'un instrument réglementaire au champ limité à une zone franche. Aucune évaluation publiée, statistique de contrôle ni montant de sanction n'a été trouvé ; l'efficacité n'est donc pas démontrée.