Introduction
Les entreprises qui ne sont pas physiquement établies dans le Royaume partent souvent du principe que la loi saoudienne sur la protection des données personnelles (PDPL) est une affaire intérieure. C’est une erreur, et elle pèse plus que d’habitude en ce moment, alors que l’Arabie saoudite se positionne comme pôle régional de la technologie et de l’intelligence artificielle et que des entreprises internationales envisagent de s’y implanter. La PDPL couvre les traitements de données personnelles effectués en Arabie saoudite ou portant sur des personnes qui y résident, par quelque entité que ce soit, quel que soit son lieu d’établissement. Une entreprise sans bureau en Arabie saoudite qui traite, depuis n’importe où dans le monde, des données de résidents saoudiens entre dans le champ d’application de la loi.
Deux autorités, une seule loi
Le dispositif saoudien de protection des données est administré par deux organismes distincts aux mandats complémentaires. L’Autorité saoudienne des données et de l’intelligence artificielle (SDAIA) est l’autorité compétente qui supervise la mise en œuvre de la PDPL elle-même : enregistrement, exigences de consentement, autorisations de transferts transfrontaliers et droits des personnes concernées. L’Autorité nationale de cybersécurité intervient à ses côtés et veille aux contrôles de cybersécurité que les organisations doivent maintenir pour protéger les données régies par la PDPL. Bien entrer sur le marché saoudien suppose de dialoguer avec les deux, sans présumer que l’enregistrement au titre de la PDPL couvre à lui seul les attentes en matière de cybersécurité qui viennent s’y ajouter.
Pourquoi le double mandat de la SDAIA compte tout particulièrement pour les déploiements d’IA
Le nom de la SDAIA n’est pas anodin : l’autorité chargée de faire appliquer la protection des données est aussi l’autorité nationale saoudienne de l’intelligence artificielle. Pour toute entreprise qui déploie des systèmes d’IA traitant des données de résidents saoudiens, cela signifie que la conformité en matière de protection des données et les attentes en matière de gouvernance de l’IA relèvent d’un seul régulateur, et non de deux agences distinctes travaillant à partir de cadres différents. Cette concentration peut simplifier les échanges, mais elle place aussi la SDAIA en position d’examiner la gouvernance des données de l’IA (provenance des données d’entraînement, flux transfrontaliers de données pour l’entraînement des modèles et exactitude continue des données) avec la même autorité que celle qu’elle exerce pour faire appliquer les dispositions essentielles de la PDPL.
- Confirmer l’applicabilité de la PDPL selon qu’un traitement porte ou non sur des données de résidents saoudiens, quel que soit le lieu d’établissement de votre organisation
- S’enregistrer auprès de la SDAIA et dialoguer directement avec elle, plutôt que de présumer que la conformité générale en matière de vie privée ailleurs couvre les exigences saoudiennes
- Cartographier les contrôles de l’Autorité nationale de cybersécurité séparément des obligations de la PDPL relatives aux droits des personnes concernées : ils sont liés, mais distincts
- Pour les systèmes d’IA, s’attendre à ce que l’expertise de la SDAIA en protection des données et en gouvernance de l’IA converge vers un même examen de la provenance et de l’exactitude des données d’entraînement
Le niveau de preuve exigé est le même, dans une autre juridiction
Comme les régimes européens (DORA, NIS2 et l’AI Act) et les cadres qui se chevauchent aux Émirats arabes unis, le dispositif saoudien pose en définitive la même question de fond : une organisation peut-elle prouver, en continu, que ses données, et les systèmes qui reposent sur elles, restent exactement tels qu’ils ont été présentés ? Un programme de conformité fondé sur des preuves continues et vérifiables plutôt que sur des autodéclarations périodiques se transpose bien dans toutes ces juridictions, car l’attente de fond est cohérente, même lorsque la formulation légale précise et les autorités désignées diffèrent.
La PDPL saoudienne va plus loin que ne le supposent la plupart des entreprises internationales, et son autorité chargée de l’IA est intégrée au régulateur même qui fait appliquer la protection des données. Découvrez comment ROOTKey construit une couche unique de preuves vérifiables en continu, d’une juridiction à l’autre.