La consultation publique de 30 jours du Dubai International Financial Centre (DIFC) sur les amendements à ses règlements de protection des données s'est achevée le 18 juillet 2026, faisant passer les modifications proposées à l'étape suivante du processus législatif. Ces amendements précisent le Règlement 10 — la règle encadrant les données personnelles traitées par des systèmes autonomes et semi-autonomes — entré en application pleine le 1er janvier 2026, après une période transitoire de plus de deux ans.
Pour les entreprises qui exploitent l'IA dans le Golfe, il s'agit à ce jour du corpus d'obligations contraignantes le plus précis de la région en matière de systèmes d'IA. À l'inverse, l'Arabie saoudite ne dispose toujours d'aucune loi spécifique à l'IA et applique la conformité via sa loi sur la protection des données personnelles.
Points clés
- La consultation du DIFC a duré 30 jours à compter du 18 juin 2026 et s'est close le 18 juillet 2026, sous l'intitulé Consultation Paper No. 3 of 2026.
- Le Règlement 10 est entré en vigueur le 1er septembre 2023, avec une échéance de conformité au 1er janvier 2026 ; l'application est désormais effective.
- Tout traitement commercial à haut risque exige la nomination d'un Responsable des systèmes autonomes (ASO), la certification des systèmes, des registres d'IA et des notices de transparence.
- Un nouveau Règlement 11 proposé donnerait au Commissaire à la protection des données le pouvoir de reconnaître formellement des schémas d'accréditation et de certification.
- Après les amendements de juillet 2025, les amendes vont d'environ 25 000 à 50 000 USD par infraction, sans plafond annoncé en cas de manquement répété ou flagrant.
Détails
Le Règlement 10 s'applique à tout système basé sur une machine fonctionnant de manière autonome ou semi-autonome et capable de traiter des données personnelles — une définition assez large pour couvrir les assistants adossés à des grands modèles de langage, les modèles de scoring, ainsi que les personas et avatars virtuels qui identifient des individus.
Il répartit les obligations entre trois rôles. Le Provider développe ou acquiert le système. L'Operator l'exploite sur instruction d'un tiers et est traité comme un sous-traitant. Le Deployer autorise le système et en tire bénéfice : il est traité comme responsable de traitement. Les obligations pèsent sur le Deployer même lorsque le système est acheté sur étagère plutôt que développé en interne — acheter l'agent d'un fournisseur ne lui transfère pas la responsabilité.
La certification devient obligatoire lorsque deux conditions sont réunies : le système est autonome ou semi-autonome, et il effectue un traitement à haut risque à usage commercial. Les indicateurs de haut risque retenus incluent les décisions automatisées touchant à l'emploi, au crédit, à l'assurance ou à la détection de fraude ; le traitement de catégories particulières de données personnelles ; les opérations à grande échelle ; et l'usage de technologies non éprouvées.
L'article 10.3.3 interdit d'exploiter commercialement un système à haut risque sans avoir, entre autres conditions, nommé un Responsable des systèmes autonomes. Celui-ci dispose d'un statut, de compétences et de missions très proches de ceux d'un délégué à la protection des données, mais circonscrits aux systèmes autonomes. Les Deployers doivent en outre tenir des registres documentant les cas d'usage, les activités de traitement, les partages de données et les garanties de transfert, ainsi qu'une documentation de transparence expliquant la finalité, le fonctionnement et la logique décisionnelle de chaque système.
Jacques Visser, Chief Legal Officer de la DIFC Authority, présente ces amendements comme un exercice de clarification. "Alors que l'usage de l'IA et des systèmes pilotés par les données continue d'évoluer, il est important que le cadre réglementaire reste pratique, clair et capable de répondre à la manière dont ces technologies sont réellement utilisées", a-t-il déclaré. "Ces amendements visent à apporter cette clarté, tout en soutenant des standards élevés de responsabilité et de gouvernance au sein du DIFC."
Impact
La charge réelle porte sur la documentation et l'architecture, non sur le choix du modèle. Une organisation incapable de produire un registre indiquant quels systèmes traitent des données personnelles, sur quelle base légale et avec quelles garanties de transfert ne peut pas démontrer sa conformité, quelle que soit la performance de ses modèles.
C'est un problème connu sous un autre habit. La plupart des entreprises du Golfe n'ont pas d'inventaire unique de la destination de leurs données une fois sorties des systèmes centraux — et l'adoption de l'IA a multiplié ces sorties, le plus souvent via des appels d'API que personne n'avait qualifiés de traitement de données au moment de les écrire.
Le Règlement 11 proposé compte davantage que sa brièveté ne le laisse penser. En permettant au Commissaire de reconnaître des schémas externes d'accréditation et de certification, le DIFC ouvre une voie où un certificat tiers reconnu porte un poids réglementaire, au lieu que chaque entreprise négocie sa propre interprétation. C'est par ce mécanisme que le coût de la conformité finit par baisser.
Contexte
Le DIFC a publié le Règlement 10 en septembre 2023, en complément de sa loi sur la protection des données, bien avant la plupart des juridictions. Le long délai jusqu'au 1er janvier 2026 était délibéré : il laissait aux entreprises le temps d'inventorier leurs systèmes d'IA et de préparer la certification avant le début de l'application.
Le paysage régional autour reste inégal. L'Arabie saoudite n'a pas de loi contraignante spécifique à l'IA ni de processus législatif annoncé en ce sens, mais l'action de la SDAIA est bien réelle : ses comités ont rendu 48 décisions constatant des violations de la loi sur la protection des données personnelles en 2025 et 2026, avec des amendes administratives allant jusqu'à 5 millions de riyals et doublées en cas de récidive. La nouvelle loi saoudienne sur le droit d'auteur est entrée en vigueur le 1er août 2026 avec une exception autorisant la reproduction d'œuvres pour l'entraînement de l'IA. Les échéances d'application du règlement européen sur l'IA sont tombées le même mois.
Résultat : une entreprise du Golfe opérant entre Dubaï et Riyad affronte aujourd'hui deux formes de conformité distinctes pour un même système d'IA — un régime de certification et de responsable désigné au DIFC, un régime de base légale et de transfert de données en Arabie saoudite. Notre analyse sur pourquoi chaque appel d'API vers un LLM constitue un transfert transfrontalier au sens de la PDPL couvre le volet saoudien.
La suite
Les amendements poursuivent désormais leur parcours législatif au sein du DIFC après la clôture de la consultation. Les changements opérants devraient être la clarification des obligations de certification et la définition formelle du rôle d'ASO, aux côtés des nouveaux pouvoirs de reconnaissance du Commissaire au titre du Règlement 11.
L'Assemblée mondiale de la protection de la vie privée doit être accueillie par Dubaï et le DIFC au quatrième trimestre 2026 — un cadre plausible pour davantage d'alignement entre les régimes de protection des données du Golfe.
Pour les équipes qui livrent des fonctionnalités d'IA dès maintenant, l'ordre des opérations ne change pas : cartographier les systèmes, qualifier les traitements, puis choisir l'architecture. Si vous voulez un regard extérieur sur les endroits où vos systèmes d'IA touchent des données personnelles et sur ce que cela vous oblige à documenter, nous pouvons mener cette revue avec vous.
Source : DIFC — Consultation sur les amendements aux règlements de protection des données