Regulamento 10 do DIFC — as primeiras regras vinculativas do Dubai para dados pessoais tratados por sistemas autónomos e de IA

O Regulamento 10 dos Regulamentos de Proteção de Dados do DIFC rege os dados pessoais tratados por sistemas autónomos e semiautónomos, incluindo IA, IA generativa e aprendizagem automática. Foi proposto em abril de 2023, sujeito a consulta pública de 30 dias e entrou em vigor a 7 de setembro de 2023. O DIFC descreveu-o como o primeiro do género na região Médio Oriente, África e Sul da Ásia.
Os responsáveis pela implementação e operadores devem informar os utilizadores sobre a tecnologia de tratamento, se o sistema pode definir as suas próprias finalidades e o impacto nos direitos dos titulares. Os sistemas devem cumprir requisitos de auditoria e certificação quando o Comissário os definir, e o tratamento de alto risco exige um Responsável por Sistemas Autónomos com estatuto e funções semelhantes aos de um Encarregado de Proteção de Dados. O Comissário pode investigar avisos enganosos ou declarações falsas sobre certificação.
O DIFC indicou planear testes em sandbox regulatória com programadores, utilizadores, reguladores e ONG. Orientações detalhadas sobre certificação eram esperadas em 2026.
Ressalva: trata-se de um instrumento regulatório com âmbito restrito a uma zona franca. Não foram encontradas avaliações publicadas, estatísticas de fiscalização nem valores de sanções, pelo que a eficácia não está comprovada.