Introdução
Muitas empresas sem presença física no Reino partem do princípio de que a Lei de Proteção de Dados Pessoais (PDPL) da Arábia Saudita é uma questão interna do país. Esse pressuposto está errado, e pesa mais do que o habitual neste momento, em que a Arábia Saudita se posiciona como polo regional de tecnologia e de inteligência artificial e as empresas internacionais ponderam a entrada no mercado. A PDPL abrange o tratamento de dados pessoais que ocorra na Arábia Saudita ou que diga respeito a pessoas aí residentes, realizado por qualquer entidade, independentemente do local onde se encontre. Uma empresa sem escritório na Arábia Saudita que trate dados de residentes sauditas a partir de qualquer parte do mundo está abrangida pelo âmbito da lei.
Duas autoridades, uma lei
O quadro de proteção de dados da Arábia Saudita é administrado por dois organismos distintos, com mandatos complementares. A Autoridade Saudita de Dados e Inteligência Artificial (SDAIA) é a autoridade competente que supervisiona a aplicação da própria PDPL: registo, requisitos de consentimento, aprovações de transferências transfronteiriças e direitos dos titulares dos dados. A Autoridade Nacional de Cibersegurança atua em paralelo, supervisionando os controlos de cibersegurança que as organizações têm de manter para proteger os dados regidos pela PDPL. Entrar bem no mercado saudita significa dialogar com ambas, sem assumir que o registo ao abrigo da PDPL, por si só, cobre as expectativas de cibersegurança que se lhe sobrepõem.
Porque é que o duplo mandato da SDAIA importa especificamente nas implementações de IA
O nome da SDAIA não é um pormenor: a mesma autoridade responsável por fazer cumprir a proteção de dados é também a autoridade nacional de inteligência artificial da Arábia Saudita. Para qualquer empresa que implemente sistemas de IA que tratem dados de residentes sauditas, isto significa que a conformidade em matéria de proteção de dados e as expectativas de governação da IA estão concentradas num único regulador, e não em duas agências separadas que trabalham com quadros diferentes. Essa concentração pode simplificar o relacionamento, mas significa também que a SDAIA está em posição de escrutinar a governação de dados da IA (a proveniência dos dados de treino, os fluxos transfronteiriços de dados para o treino de modelos e a exatidão contínua dos dados) com a mesma autoridade que usa para fazer cumprir as disposições centrais da PDPL.
- Confirmar a aplicabilidade da PDPL verificando se algum tratamento envolve dados de residentes sauditas, independentemente do local onde a sua organização está sediada
- Registar-se junto da SDAIA e dialogar diretamente com ela, em vez de assumir que a conformidade geral em matéria de privacidade noutras jurisdições cobre os requisitos sauditas
- Mapear os controlos da Autoridade Nacional de Cibersegurança separadamente das obrigações da PDPL relativas aos direitos dos titulares dos dados: estão relacionados, mas são distintos
- Nos sistemas de IA, esperar que as competências da SDAIA em proteção de dados e em governação da IA convirjam no mesmo escrutínio da proveniência e da exatidão dos dados de treino
A exigência de prova é a mesma, noutra jurisdição
Tal como os regimes da UE (DORA, NIS2 e AI Act) e os quadros sobrepostos dos Emirados Árabes Unidos, a estrutura da Arábia Saudita coloca, em última análise, a mesma questão de fundo: saber se uma organização consegue provar, de forma contínua, que os seus dados, e os sistemas construídos sobre eles, continuam a ser exatamente aquilo que se declarou que eram. Um programa de conformidade assente em provas contínuas e verificáveis, e não em autodeclarações periódicas, transpõe-se bem para todas estas jurisdições, porque a expectativa de fundo é coerente, mesmo quando a redação legal específica e as autoridades designadas diferem.
A PDPL da Arábia Saudita vai mais longe do que a maioria das empresas internacionais supõe, e a sua autoridade de IA está integrada no mesmo regulador que faz cumprir a proteção de dados. Veja como a ROOTKey constrói uma única camada de provas continuamente verificáveis entre jurisdições.