Нет. В отличие от DIFC, где есть Положение 10, в ADGM нет отдельного регулирования ИИ, а её Управление по защите данных не выпускало руководств, посвящённых ИИ. Правила ADGM о защите данных 2021 года технологически нейтральны, и ряд их норм напрямую применяется к ИИ.

На практике да. Обучение модели и её использование — два разных вида обработки, и для каждого нужно своё правовое основание. Данные, которые клиенты передали вам для открытия счёта, не становятся автоматически данными, на которых можно обучать модель, и выбор основания стоит задокументировать до использования данных.

Решения, основанные исключительно на автоматизированной обработке, включая профилирование, допускаются, только если они необходимы для договора с человеком, основаны на его явном согласии или разрешены законом. Даже тогда контролёр должен как минимум предоставить человеку право на вмешательство человека, на выражение своей позиции и на оспаривание решения.

Перед обработкой, которая может повлечь высокий риск для людей. Руководство ADGM приводит примеры, подходящие для большинства сценариев использования ИИ: использование профилирования, автоматизированного принятия решений или данных особых категорий для помощи в принятии решений, а также масштабное профилирование. Если после мер по снижению риска высокий риск сохраняется, контролёр должен уведомить Уполномоченного по защите данных до начала обработки.

Согласно руководству ADGM, Правила делают исключение из требования об удалении для данных, входящих в набор, который используется для законного обучения или доработки ИИ-системы, если они используются так, что не создают рисков для прав людей; при этом сначала требуется оценка воздействия. Исключение позволяет хранить данные, законно использованные для обучения, но не собирать данные для обучения без правового основания.

Только с надлежащими гарантиями. Без дополнительных гарантий данные можно передавать только в юрисдикции из списка адекватности ADGM, а США входят в него только для организаций, сертифицированных по EU-U.S. Data Privacy Framework. Если ваш поставщик модели находится в США и не сертифицирован, понадобится другая гарантия, например стандартные договорные положения ADGM.

Максимальный штраф по Правилам — 28 млн долларов США. Об утечке персональных данных нужно сообщить Уполномоченному без неоправданной задержки и, по возможности, в течение 72 часов.