Einleitung
Unternehmen ohne physische Niederlassung im Königreich halten das saudische Gesetz zum Schutz personenbezogener Daten (PDPL) oft für eine innerstaatliche Angelegenheit. Diese Annahme ist falsch, und sie wiegt gerade jetzt schwerer als sonst, da sich Saudi-Arabien als regionaler Technologie- und KI-Standort positioniert und internationale Unternehmen einen Markteintritt abwägen. Die PDPL erfasst die Verarbeitung personenbezogener Daten, die in Saudi-Arabien stattfindet oder sich auf dort ansässige Personen bezieht, durch jede beliebige Stelle, unabhängig von deren Standort. Ein Unternehmen ohne Büro in Saudi-Arabien, das von irgendwo auf der Welt Daten über Einwohner Saudi-Arabiens verarbeitet, fällt in den Anwendungsbereich des Gesetzes.
Zwei Behörden, ein Gesetz
Der Datenschutz in Saudi-Arabien wird von zwei unterschiedlichen Stellen mit sich ergänzenden Mandaten verwaltet. Die Saudische Behörde für Daten und Künstliche Intelligenz (SDAIA) ist die zuständige Behörde, die die Umsetzung der PDPL selbst beaufsichtigt: Registrierung, Einwilligungsanforderungen, Genehmigungen für grenzüberschreitende Übermittlungen und Betroffenenrechte. Daneben ist die Nationale Cybersicherheitsbehörde tätig, die die Cybersicherheitskontrollen beaufsichtigt, die Organisationen zum Schutz der unter die PDPL fallenden Daten aufrechterhalten müssen. Ein guter Eintritt in den saudischen Markt bedeutet, mit beiden Behörden in Kontakt zu treten, statt anzunehmen, dass die Registrierung nach der PDPL allein auch die darauf aufbauenden Cybersicherheitserwartungen abdeckt.
Warum das Doppelmandat der SDAIA gerade für KI-Einsätze wichtig ist
Der Name der SDAIA ist kein Zufall: Dieselbe Behörde, die für die Durchsetzung des Datenschutzes zuständig ist, ist zugleich die nationale Behörde für künstliche Intelligenz Saudi-Arabiens. Für jedes Unternehmen, das KI-Systeme einsetzt, die Daten von Einwohnern Saudi-Arabiens verarbeiten, bedeutet das: Datenschutz-Compliance und Erwartungen an die KI-Governance liegen bei einer einzigen Aufsichtsbehörde statt bei zwei getrennten Behörden, die mit unterschiedlichen Rahmenwerken arbeiten. Diese Bündelung kann die Zusammenarbeit vereinfachen, bedeutet aber auch, dass die SDAIA in der Lage ist, die Daten-Governance von KI (die Herkunft der Trainingsdaten, grenzüberschreitende Datenflüsse für das Modelltraining und die fortlaufende Richtigkeit der Daten) mit derselben Befugnis zu prüfen, mit der sie die Kernbestimmungen der PDPL durchsetzt.
- Die Anwendbarkeit der PDPL danach klären, ob eine Verarbeitung Daten von Einwohnern Saudi-Arabiens betrifft, unabhängig vom Sitz Ihrer Organisation
- Sich bei der SDAIA registrieren und direkt mit ihr in Kontakt treten, statt anzunehmen, dass die allgemeine Datenschutz-Compliance anderswo die saudischen Anforderungen abdeckt
- Die Kontrollen der Nationalen Cybersicherheitsbehörde getrennt von den Pflichten der PDPL zu den Betroffenenrechten erfassen: Sie hängen zusammen, sind aber verschieden
- Bei KI-Systemen damit rechnen, dass die Expertise der SDAIA in Datenschutz und KI-Governance in dieselbe Prüfung der Herkunft und Richtigkeit von Trainingsdaten mündet
Die Messlatte für Nachweise ist dieselbe, nur in einer anderen Rechtsordnung
Wie die EU-Regelwerke DORA, NIS2 und KI-Verordnung sowie die sich überschneidenden Rahmenwerke der Vereinigten Arabischen Emirate stellt auch die saudische Struktur letztlich dieselbe Grundfrage: Kann eine Organisation fortlaufend nachweisen, dass ihre Daten und die darauf aufbauenden Systeme genau das bleiben, als was sie dargestellt wurden? Ein Compliance-Programm, das auf kontinuierlichen, überprüfbaren Nachweisen statt auf periodischer Selbstauskunft beruht, lässt sich gut auf alle diese Rechtsordnungen übertragen, denn die zugrunde liegende Erwartung ist einheitlich, auch wenn sich der konkrete Gesetzeswortlaut und die benannten Behörden unterscheiden.
Die saudische PDPL reicht weiter, als die meisten internationalen Unternehmen annehmen, und die Zuständigkeit für KI liegt bei derselben Aufsichtsbehörde, die den Datenschutz durchsetzt. Sehen Sie, wie ROOTKey eine einheitliche, fortlaufend überprüfbare Nachweisebene über Rechtsordnungen hinweg aufbaut.