Положение 10 DIFC: комплаенс ИИ для автономных систем
Обновлено: 23 октября 2026 г.
- С сентября 2023 года в DIFC действует обязательная норма об ИИ и персональных данных — Положение 10 Правил DIFC о защите данных.
- Оно применяется, только когда ИИ-система обрабатывает персональные данные. Компания, которая покупает ИИ-инструмент и использует его в работе с клиентами, является эксплуатантом и несёт обязанности контролёра.
- Когда человек впервые использует систему, эксплуатант должен объяснить её цели, результаты, принципы проектирования, защитные меры и сертификации. Общей фразы об ИИ в уведомлении о конфиденциальности недостаточно.
- Для высокорисковой обработки нужны сертификация по требованиям Уполномоченного и офицер по автономным системам (ASO).
- С 15 июля 2025 года физические лица могут требовать компенсацию напрямую в судах DIFC.
Пока большинство стран только обсуждают, как регулировать ИИ, в Международном финансовом центре Дубая (DIFC) обязательная норма действует с сентября 2023 года. Принимая её, DIFC назвал её первым действующим нормативным актом на Ближнем Востоке, в Африке и Южной Азии об обработке персональных данных автономными и полуавтономными системами, такими как ИИ. Тем не менее многие компании DIFC, использующие чат-боты, инструменты проверки или ИИ-ассистентов, никогда её не читали. Причина проста: это не отдельный «закон об ИИ», а Положение 10, спрятанное внутри Правил DIFC о защите данных.
Что охватывает Положение 10
Положение 10 входит в Правила DIFC о защите данных, принятые на основании Закона DIFC о защите данных (Закон DIFC № 5 от 2020 года). Поскольку это норма о защите данных, она применяется, только когда ИИ-система обрабатывает персональные данные. Модель, прогнозирующая рыночные цены по анонимным данным, под неё не подпадает. Чат-бот, общающийся с клиентами, инструмент отбора резюме или система проверки документов при приёме клиентов подпадают под неё полностью.
Определение «Системы» намеренно широкое: любая машинная система, работающая автономно или полуавтономно, которая обрабатывает персональные данные для целей, определённых людьми или самой системой, и выдаёт результат. Затем Положение 10 вводит три роли. Поставщик разрабатывает систему. Эксплуатант (deployer) — лицо, под чьим руководством работает система или которое извлекает из неё выгоду. Оператор запускает систему или следит за её работой от имени эксплуатанта. Главное: эксплуатант рассматривается как контролёр, а оператор — как обработчик.
На практике это означает, что компания DIFC, которая покупает ИИ-инструмент у поставщика и использует его в работе с клиентами, является эксплуатантом. Она несёт обязанности контролёра, даже если никогда не видела ни строчки кода поставщика.
Что нужно сообщать людям
Самая конкретная часть Положения 10 — уведомление. Когда человек впервые использует систему или получает к ней доступ, эксплуатант должен ясно и прямо объяснить:
- цели, определённые людьми, а также принципы и пределы, в которых работает система;
- какой результат выдаёт система;
- принципы проектирования и встроенные в систему защитные меры;
- кодексы, сертификации или принципы, на основе которых система спроектирована или разработана.
Общая фраза вроде «мы можем использовать ИИ для улучшения наших услуг» этому стандарту не отвечает. Та же норма идёт дальше обычного уведомления о конфиденциальности. Она требует подтверждения соответствия требованиям аудита и сертификации, которое может запросить любой затронутый человек, оценки рисков и воздействия для ситуаций, когда обработка может быть несправедливой или дискриминационной, и реестра сценариев использования системы, правовых оснований, третьих лиц и мест обработки. В реестре также нужно указать, используется ли система исключительно для автоматизированного принятия решений. Для большинства компаний этот реестр — самый большой пробел: ИИ-инструменты внедряются командами по отдельности, и единого списка никто не ведёт.
Какой должна быть система
Положение 10 устанавливает пять принципов проектирования: система должна быть этичной, справедливой, прозрачной, защищённой и подотчётной. Кроме того, она должна обрабатывать персональные данные только для целей, которые определили или одобрили люди. Второе требование практичнее. Система, которая сама решает, что делать с персональными данными, не соответствует Положению, какими бы хорошими ни были остальные защитные меры.
Высокорисковая обработка: сертификация и офицер по автономным системам
Настоящая граница — высокорисковая обработка в значении Закона DIFC о защите данных. Систему можно использовать для неё, только если одновременно выполнены четыре условия: Уполномоченный по защите данных установил требования к аудиту и сертификации, система им соответствует, она обрабатывает данные только для целей, определённых или одобренных людьми, а эксплуатант или оператор назначил офицера по автономным системам (Autonomous Systems Officer, ASO). Согласно руководству Уполномоченного, поначалу ASO будет выполнять роль, похожую на роль инспектора по защите данных.
Схема сертификации уже не теоретическая. Уполномоченный ведёт портал сертификации, аккредитовал органы по сертификации и предлагает онлайн-инструмент оценки. Сертификация действует до трёх лет. Сбор портала составляет 100 долларов США для компаний DIFC и 200 долларов США для остальных, а вознаграждение органов по сертификации ограничено 5 000 долларов США. Фиксированного срока нет: порядок оставляет сроки на усмотрение Уполномоченного.
Стоит знать одну деталь. Порядок описывает сертификацию как предварительное условие коммерческого использования таких систем, тогда как сам Закон о защите данных называет схемы сертификации добровольными. По нашему прочтению, сертификация обязательна для высокорисковой обработки и настоятельно рекомендуется для остальных систем, потому что это самый простой способ получить доказательства, которых требует Положение 10.
Почему в 2025 году ставки выросли
С 15 июля 2025 года физические лица могут подавать иски о компенсации, в том числе морального вреда, напрямую в суды DIFC — в дополнение к собственным полномочиям Уполномоченного по принудительному применению. Компании, чей ИИ-инструмент несправедливо обошёлся с клиентом, теперь противостоит не только регулятор, но и сам клиент.
Что меняется
В июне 2026 года DIFC провёл консультации по поправкам к Правилам. Проект добавляет «безопасность» как шестой принцип проектирования, подробно описывает обязанности и требуемые навыки ASO и вводит новое Положение 11, которое позволит Уполномоченному признавать другие системы сертификации. По состоянию на октябрь 2026 года поправки остаются проектом, но показывают, куда движется надзор.
Что мы рекомендуем
- Составьте список всех инструментов, использующих ИИ и персональные данные, включая купленные у поставщиков, и определите для каждого, кто вы: поставщик, эксплуатант или оператор.
- Перепишите уведомления так, чтобы они охватывали все пункты, перечисленные в Положении 10.
- Начните вести реестр сценариев использования уже сейчас. Он всё равно обязателен, и это первый документ, который запросит орган по сертификации или Уполномоченный.
- Если какое-либо использование может считаться высокорисковой обработкой, назначьте ASO и спланируйте сертификацию до запуска.
Итог
Положение 10 не запрещает ИИ. Оно требует от компаний DIFC объяснять, как их ИИ использует персональные данные, и уметь это доказать. Для компаний, у которых есть реестр, уведомления и оценки, сертификация станет формальностью; для остальных — проектом. AMLzone поможет составить карту ваших ИИ-систем, обновить уведомления и подготовиться к сертификации.
Источники
1. DIFC, “DIFC Enacts Amended Data Protection Regulations”, 7 September 2023. https://www.difc.com/whats-on/news/difc-enacts-amended-data-protection-regulations
2. DIFC Data Protection Regulations (Consolidated Version No. 2), Regulation 10, made under the DIFC Data Protection Law, DIFC Law No. 5 of 2020. https://assets.difc.com/v1/media/edge/images/dubaiintern0078-difcexperie96c5-production-3253/media/project/difcexperiences/difc/difcwebsite/documents/laws--regulations/data-protection-regulation.pdf
3. DIFC Data Protection Regulations, Regulations 10.1.1 and 10.3.4. https://assets.difc.com/v1/media/edge/images/dubaiintern0078-difcexperie96c5-production-3253/media/project/difcexperiences/difc/difcwebsite/documents/laws--regulations/data-protection-regulation.pdf
4. DIFC Data Protection Regulations, Regulation 10.2.2(a)–(b). https://assets.difc.com/v1/media/edge/images/dubaiintern0078-difcexperie96c5-production-3253/media/project/difcexperiences/difc/difcwebsite/documents/laws--regulations/data-protection-regulation.pdf
5. DIFC Data Protection Regulations, Regulation 10.2.2(c)–(h). https://assets.difc.com/v1/media/edge/images/dubaiintern0078-difcexperie96c5-production-3253/media/project/difcexperiences/difc/difcwebsite/documents/laws--regulations/data-protection-regulation.pdf
6. DIFC Data Protection Regulations, Regulations 10.3.1 and 10.3.2. https://assets.difc.com/v1/media/edge/images/dubaiintern0078-difcexperie96c5-production-3253/media/project/difcexperiences/difc/difcwebsite/documents/laws--regulations/data-protection-regulation.pdf
7. DIFC Data Protection Regulations, Regulation 10.3.3. https://assets.difc.com/v1/media/edge/images/dubaiintern0078-difcexperie96c5-production-3253/media/project/difcexperiences/difc/difcwebsite/documents/laws--regulations/data-protection-regulation.pdf
8. DIFC Commissioner of Data Protection, Guidance on Regulation 10 (DIFC-DP-GL-23 Rev.03), 27 August 2024. https://assets.difc.com/v1/media/edge/images/dubaiintern0078-difcexperie96c5-production-3253/media/project/difcexperiences/difc/difcwebsite/documents/registrars-and-commissioners/guidance-and-handbooks/lawful-processing/dp_regulation_10.pdf
9. DIFC Commissioner of Data Protection, Regulation 10 page and Regulation 10 Certification Guidance (DIFC-DPC-GL-31 Rev.01), August 2026. https://www.difc.com/business/registrars-and-commissioners/commissioner-of-data-protection/regulation-10
10. DIFC Commissioner of Data Protection, Regulation 10 Accreditation and Certification Framework; DIFC Data Protection Law, Art. 50(1). https://assets.difc.com/v1/media/edge/images/dubaiintern0078-difcexperie96c5-production-3253/media/project/difcexperiences/difc/difcwebsite/documents/registrars-and-commissioners/regulation-10/difc-reg-10-accreditation-and-certification-framework.pdf
11. DIFC Commissioner of Data Protection, Regulation 10 Accreditation and Certification Framework; DIFC Data Protection Law, Art. 50(1). https://assets.difc.com/v1/media/edge/images/dubaiintern0078-difcexperie96c5-production-3253/media/project/difcexperiences/difc/difcwebsite/documents/registrars-and-commissioners/regulation-10/difc-reg-10-accreditation-and-certification-framework.pdf
12. DIFC, “DIFC Announces Enactment of Amendments to Select DIFC Legislation”, July 2025; DIFC Data Protection Law, Art. 64A. https://www.difc.com/whats-on/news/difc-announces-enactment-of-amendments-to-select-difc-legislation-through-difc-law-amendment-law
13. DIFC, Consultation Paper No. 3 of 2026 on proposed amendments to the Data Protection Regulations, 18 June 2026. https://www.difc.com/whats-on/news/difc-consultation-amended-data-protection-regulations
06.11.2026
