DIFC Regulation 10 — AI & autonome Systeme

Hinweis: Dieser Explainer ist informativ; Framework-Referenzen sind nie eine Compliance-Garantie — stimmen Sie Ihr Programm mit Ihrer Rechtsberatung ab.

Die DIFC Regulation 10 wurde vom Dubai International Financial Centre am 1. September 2023 als Teil der überarbeiteten Data Protection Regulations erlassen und ist seither in Kraft; Rechtsberatungen weisen darauf hin, dass die volle Durchsetzung — die Audit- und Zertifizierungsanforderungen — Anfang 2026 beginnt (ein Datum, das in Beratungen erscheint, nicht auf der DIFC-eigenen Regulation-10-Seite). Sie ist die erste Regulierung der MEASA-Region zur Verarbeitung personenbezogener Daten durch autonome und semi-autonome Systeme — einschließlich AI, generativer und Machine-Learning-Technologie. Offizieller Text: DIFC — Regulation 10.

Für wen sie gilt

Regulation 10 verankert die Verantwortlichkeit bei den sichtbaren Parteien, die den Betrieb eines Systems autorisieren oder davon profitieren:

• Ein Deployer — die Person, unter deren Autorität oder zu deren Nutzen das System betrieben wird — gilt als Controller.
• Ein Operator — der Anbieter, der das System auf Weisung des Deployers betreibt oder überwacht — gilt als Processor.

Wenn Ihre Organisation AI-Tools nutzt, die personenbezogene Daten im oder aus dem DIFC verarbeiten, sind Sie höchstwahrscheinlich Deployer.

Die Kernpflichten

Regulation 10 verlangt von Deployern und Operatoren, Datenschutzrisiken vor der Verarbeitung personenbezogener Daten durch ein autonomes System zu bewerten, zu dokumentieren und zu mindern — und Transparenz von Anfang an mitzudenken: Betroffene müssen erfahren, dass solche Systeme im Einsatz sind, und genug Informationen erhalten, um die verbundenen Risiken einzuschätzen.

Die Regulation 10 legt außerdem fünf Gestaltungsprinzipien fest, die jedes solche System verkörpern muss — es muss ethisch, fair, transparent, sicher und rechenschaftspflichtig sein — und ergänzt spezifische Pflichten, wo die Verarbeitung hochriskant ist (etwa bei Einsatz neuer Technologie, großem Umfang oder der systematischen Bewertung von Personen einschließlich Profiling): die Bestellung eines Autonomous Systems Officer (des AI-Governance-Pendants zum Datenschutzbeauftragten) sowie eine Zertifizierungs-Anforderung, bevor diese Verarbeitung erfolgt.

Das setzt etwas Grundlegenderes voraus: zu wissen, welche AI-Systeme Ihre Organisation tatsächlich nutzt — und die Daten steuern zu können, die hineinfließen.

Wie Shield darauf abbildet

Shield liefert die Betriebsebene, die diese Pflichten voraussetzen:

• Discovery macht jedes real genutzte AI-Tool sichtbar, damit Ihr Inventar der Systeme echt ist, nicht angenommen — siehe Discovered Tools prüfen.
• Policies und Enforcement-Modes steuern, welche Daten ein AI-Tool erreichen dürfen — personenbezogene Daten transformieren, Secrets blockieren, den Rest warnen — siehe Enforcement-Modes.
• Das Audit-Log führt einen manipulationsresistenten, exportierbaren Nachweis für die Dokumentation von Risikoentscheidungen — siehe Audit-Log und Export.

Das Bundle DIFC Regulation 10 aus der Vorlagen-Bibliothek macht daraus in Minuten framework-gelabelte Policies. Shield inspiziert keine Datei-Inhalte, daher werden Datei-Upload-Kanäle durch Pauschal-Kontrollen statt durch Inhaltsprüfung gesteuert.