Introducción
Muchas empresas sin presencia física en el Reino dan por hecho que la Ley de Protección de Datos Personales (PDPL) de Arabia Saudí es un asunto interno del país. Esa suposición es errónea, y ahora importa más de lo habitual, cuando Arabia Saudí se posiciona como polo regional de tecnología e inteligencia artificial y las empresas internacionales sopesan su entrada en el mercado. La PDPL abarca el tratamiento de datos personales que se realice en Arabia Saudí o que se refiera a personas residentes en el país, por parte de cualquier entidad, con independencia de dónde se encuentre. Una empresa sin oficina en Arabia Saudí que trate datos de residentes saudíes desde cualquier lugar del mundo entra en el ámbito de aplicación de la ley.
Dos autoridades, una sola ley
El marco de protección de datos de Arabia Saudí lo administran dos organismos distintos con mandatos complementarios. La Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA) es la autoridad competente que supervisa la aplicación de la propia PDPL: registro, requisitos de consentimiento, autorizaciones de transferencias transfronterizas y derechos de los interesados. La Autoridad Nacional de Ciberseguridad actúa en paralelo y supervisa los controles de ciberseguridad que las organizaciones deben mantener para proteger los datos que regula la PDPL. Entrar bien en el mercado saudí implica relacionarse con ambas, sin dar por hecho que el registro en virtud de la PDPL cubre por sí solo las expectativas de ciberseguridad que se superponen a él.
Por qué el doble mandato de la SDAIA importa en concreto para los despliegues de IA
El nombre de la SDAIA no es casual: la misma autoridad responsable de hacer cumplir la protección de datos es también la autoridad nacional de inteligencia artificial de Arabia Saudí. Para cualquier empresa que despliegue sistemas de IA que traten datos de residentes saudíes, esto significa que el cumplimiento en materia de protección de datos y las expectativas de gobernanza de la IA dependen de un único regulador, y no de dos agencias distintas que trabajan con marcos diferentes. Esa concentración puede simplificar la relación, pero también significa que la SDAIA está en posición de examinar la gobernanza de datos de la IA (la procedencia de los datos de entrenamiento, los flujos transfronterizos de datos para entrenar modelos y la exactitud continua de los datos) con la misma autoridad con la que hace cumplir las disposiciones fundamentales de la PDPL.
- Confirmar si la PDPL es aplicable en función de si algún tratamiento afecta a datos de residentes saudíes, con independencia de dónde tenga su sede su organización
- Registrarse ante la SDAIA y relacionarse directamente con ella, en lugar de dar por hecho que el cumplimiento general en materia de privacidad en otras jurisdicciones cubre los requisitos saudíes
- Mapear los controles de la Autoridad Nacional de Ciberseguridad por separado de las obligaciones de la PDPL relativas a los derechos de los interesados: están relacionados, pero son distintos
- En los sistemas de IA, contar con que la experiencia de la SDAIA en protección de datos y en gobernanza de la IA converja en un mismo escrutinio de la procedencia y la exactitud de los datos de entrenamiento
La exigencia de pruebas es la misma, en otra jurisdicción
Al igual que los regímenes de la UE (DORA, NIS2 y el AI Act) y los marcos superpuestos de los Emiratos Árabes Unidos, la estructura de Arabia Saudí plantea en última instancia la misma pregunta de fondo: si una organización puede demostrar, de forma continua, que sus datos, y los sistemas construidos sobre ellos, siguen siendo exactamente lo que se declaró que eran. Un programa de cumplimiento basado en pruebas continuas y verificables, en lugar de autodeclaraciones periódicas, se traslada bien a todas estas jurisdicciones, porque la expectativa de fondo es coherente aunque difieran la redacción legal concreta y las autoridades designadas.
La PDPL de Arabia Saudí llega más lejos de lo que suponen la mayoría de las empresas internacionales, y su autoridad de IA forma parte del mismo regulador que hace cumplir la protección de datos. Descubra cómo ROOTKey construye una única capa de pruebas verificables de forma continua entre jurisdicciones.