Resumen ejecutivo
La Inteligencia Artificial (IA) se ha convertido en un área de interés con más expectativas de beneficios sociales y económicos de las expectativas. Los Emiratos Árabes Unidos están en el corazón de la revolución de la IA, convirtiéndose en un defensor e innovador tecnológico global para transformar varios sectores, incluida la mejora de la seguridad nacional. Sin embargo, en medio de este mayor avance tecnológico, los Emiratos Árabes Unidos se han enfrentado a muchos problemas relacionados con las violaciones de datos personales. Las investigaciones han revelado que el problema se ha atribuido al lapso o la ausencia de una ley de protección de datos efectiva, integral o unificada en los Emiratos Árabes Unidos. Por lo tanto, a medida que el país opta por fortalecer la seguridad nacional mediante la aplicación de IA, representa una amenaza tanto para los datos del país como para los residentes hasta que la tecnología se adopte completamente en todas las esferas de los EAU. A pesar de estar asegurada y protegida por los avances tecnológicos, la información sigue siendo vulnerable a los expertos en el campo de la piratería. En otras palabras, los datos hoy en día dependen únicamente de la tecnología y su rendimiento efectivo, pero si el sistema falla inesperadamente, las posibilidades de que ocurra una violación de datos se disparan drásticamente.
Sin embargo, las leyes locales y sectoriales tienen disposiciones de privacidad, protección y seguridad de datos que sirven al propósito en diferentes áreas específicas; su aplicación puede no ser efectiva en ausencia de una autoridad reguladora de protección de datos confiable. Por lo tanto, el documento de política actual examina las violaciones de datos en los Emiratos Árabes Unidos causadas por la falta de leyes de protección de datos integrales o unificadas y la mayor dependencia de la información sobre el rendimiento de la tecnología y la IA, específicamente. En consecuencia, el análisis puede ayudar a reconocer el impacto de la IA y las leyes de protección de datos subdesarrolladas para evaluar los límites del sistema legal actual y cómo pueden eliminarse para alcanzar la seguridad nacional.
Introducción
Contexto del problema político
Los últimos años han visto un interés intensificado en la investigación de Inteligencia Artificial (IA) como un campo complejo que emerge de la informática. En 1955, John McCarthy y sus colegas investigadores definieron la IA como hacer que una máquina se comporte inteligentemente como seres humanos (Azar y Haddad 2021). Las múltiples subdisciplinas de la IA incluyen la robótica, la inferencia de máquinas, el procesamiento del lenguaje natural y el aprendizaje estadístico de máquinas. A medida que continúan los avances en varios subcampos de la IA, más expectativas de traer grandes beneficios sociales y económicos con las comunicaciones, la exploración espacial y la ciencia que ya se benefician (Wamba et al. 2019). Como resultado, múltiples naciones a nivel mundial se esfuerzan por formular e implementar políticas amigables con la IA para facilitar la adopción de aplicaciones de IA en varios sectores. Los Emiratos Árabes Unidos están en el corazón de la revolución de la IA y ya se han convertido en un defensor e innovador de la tecnología global (Shamout y Ali 2021). El país estableció su primer Ministerio de Inteligencia Artificial en octubre de 2017 para transformar varios sectores, incluida la mejora de la seguridad nacional.
La IA tiene un enorme impacto potencial en la seguridad nacional del país, por lo tanto, lucha por el liderazgo en el campo. En 2018, la Exposición Internacional para la Seguridad Nacional y la Resiliencia de Abu Dhabi demostró cómo la IA había revolucionado la seguridad nacional en línea con la Estrategia de IA de los Emiratos Árabes Unidos (Blasch et al. 2019). La revolución ha pasado de la seguridad física tradicional y la aplicación de la ley a un futuro más transformador y digital. La inteligencia artificial ha seguido afectando la seguridad nacional de los diversos EAU, incluida la respuesta a amenazas potenciales, el análisis de big data, la vigilancia predictiva, los robots de patrullaje y los patrones en la lucha contra el crimen (Boban 2016). Las últimas innovaciones muestran que la IA está impulsando el desarrollo de nuevas aplicaciones de seguridad y protección en los Emiratos Árabes Unidos, facilitando las operaciones de patrullaje sin tripulación. También ha demostrado un impacto significativo en la seguridad cibernética y de la información al reforzar las capacidades de aprendizaje automático para reducir las tareas operadas por humanos y permitir una recopilación y análisis de datos eficientes y más rápidos. Sin embargo, cabe señalar que hasta que la IA no se aplique en todos los sectores de las operaciones del país, la eficacia del rendimiento de la tecnología puede no estar a su máxima capacidad.
El liderazgo de los Emiratos Árabes Unidos ha demostrado su compromiso de centrarse en la IA al tiempo que avanza en la innovación tecnológica para mejorar la seguridad nacional, incluida la seguridad física y cibernética. Los EAU aplicaron la IA para aumentar su seguridad nacional al enfrentar a los oficiales de inmigración para 2020 (Programa Nacional de Inteligencia Artificial 2018). El país también ha integrado cada vez más la IA en sus fuerzas armadas teniendo en cuenta el tamaño limitado de sus fuerzas armadas, la carrera armamentista internacional y las múltiples amenazas que enfrenta (Azar y Haddad 2021). Por lo tanto, es evidente que la IA ofrece numerosas oportunidades para aumentar la seguridad nacional de los Emiratos Árabes Unidos al mejorar la eficiencia y la eficacia de los procesos de seguridad (Ghandour y Woodford 2019). Sin embargo, en el contexto de seguridad nacional y los poderes que tienen las agencias de inteligencia de los EAU, el uso de la IA podría conducir a violaciones de privacidad y datos personales, considerando la ausencia de una política de protección de datos adecuada y la aplicación incompleta de los avances tecnológicos.
Las violaciones en la seguridad de los datos, sin duda, afectan a los residentes y la seguridad nacional, teniendo en cuenta que la información crucial puede filtrarse. Cuando ocurre una violación de datos típica, la información personal, como números de tarjetas de crédito, números de seguridad social y código fuente, se expone a los atacantes (Stewart 2015). Las violaciones tienden a comprometer la información individual sensible que puede conducir a la pérdida de ingresos significativos, confianza y reputación disminuida. Además, cuando ocurren violaciones de datos, es una amenaza para la seguridad nacional, considerando que los ciberataques permiten extorsiones, desinformación y guerra de información. Los ataques tienden a socavar, defraudar y debilitar las instituciones democráticas y sus operaciones, exponiendo al país a vulnerabilidades de seguridad (Comizio, Dayanim y Bain 2016). A veces, los atacantes violarían la protección de datos para hacerse pasar por personal de seguridad que somete al país a amenazas al compartir información de seguridad crucial con enemigos, incluidos terroristas.
Los datos mal obtenidos se utilizan para robar la identidad de personas desprevenidas para que los terroristas recauden fondos para llevar a cabo actividades ilegales de manera eficiente. El acceso a información sensible permite la suplantación y chantaje de empleados federales, lo que lleva al cuestionamiento de la efectividad de la seguridad nacional (Stewart 2015). Por lo tanto, el documento de política actual se centra en las violaciones de datos personales experimentadas en medio del creciente uso de la IA en los Emiratos Árabes Unidos y una mayor vulnerabilidad de la información debido a la transición incompleta a la nueva tecnología en todos los sectores del país. Además, la situación se ve gravemente afectada por la falta de una ley de protección de datos efectiva y completa en los Emiratos Árabes Unidos como un problema de política a pesar de la drástica adopción de la IA para impulsar la seguridad nacional.
Definición del problema político
AI proporciona la plataforma para transformar la tecnología de seguridad nacional mediante el establecimiento de operaciones confiables que parecen más seguras cuando se trata de proteger los datos del país y de sus ciudadanos. La seguridad de los datos personales debe lograrse con urgencia a fin de excluir la posibilidad de menoscabo de la autoridad. En otras palabras, es evidente que los hackers optan por sistemas más grandes para adquirir información más crucial que puede amenazar el liderazgo y las operaciones del país. Es por eso que cuando se filtran los datos personales de los residentes, como números de tarjetas de crédito, números de seguridad social y código fuente, la gente culpará a la autoridad por el robo de esta información. Como resultado, el gobierno debe evitar las violaciones de datos personales, considerando que su primera y principal responsabilidad es proteger a los residentes.
La tecnología intenta lograr esto tratando con datos recopilados de operaciones de inteligencia para el análisis para ofrecer soluciones digitales transformadoras. Por lo tanto, existe la necesidad de protección de datos para una gestión de seguridad efectiva para garantizar que los datos recopilados no caigan en las manos equivocadas, incluidos los delincuentes, lo que amenazaría la seguridad nacional contra el propósito previsto (Programa Nacional de Inteligencia Artificial 2018). Sin embargo, existe una brecha política en la protección de datos que conduce a la violación de datos personales en la aplicación de tecnologías de IA en los Emiratos Árabes Unidos, lo que afecta la seguridad nacional. La brecha en las políticas es causada por la falta de una ley integral de protección de datos a nivel federal a pesar de algunas leyes que rigen la privacidad y la seguridad de los datos (Ghandour y Woodford 2019). Aunque las leyes locales y específicas del sector tienen disposiciones de privacidad, protección y seguridad de datos, su aplicación puede no ser práctica sin una autoridad reguladora de protección de datos confiable.
El tema de la violación de datos personales ha atraído una atención significativa desde la perspectiva global, y las partes interesadas en los sectores empresarial y de seguridad piden la necesidad de proteger los datos (Allen y Chan 2017). En los últimos años, los Emiratos Árabes Unidos se unieron a otros países de Medio Oriente y África del Norte (MENA) para legislar sobre la protección de datos personales. Aunque la medida se consideró alentadora para desarrollar un marco para que las organizaciones protejan los datos personales de las personas, no pasó mucho tiempo antes de que el gobierno de los Emiratos Árabes Unidos fuera acusado de mal uso de los datos (Shamout y Ali 2021). Ha provocado desafíos para que las empresas del país naveguen por las contradicciones legales y éticas que han permitido que la divulgación ilegal y accidental de datos o datos personales se procese sin autoridad (Azar y Haddad 2021). Del informe de Gulf Business News, debido a la falta de una política de protección de datos personales integral o efectiva, existe una creciente preocupación por la seguridad cibernética para las empresas e instituciones que operan en los Emiratos Árabes Unidos teniendo en cuenta su importante dependencia de la IA (Yaacoub et al. 2020). Entre los países de MENA, los Emiratos Árabes Unidos se ubican en el nivel más bajo sobre la madurez del programa de protección de datos, lo que socava su posición no solo entre MENA sino en todo el mundo. La encuesta de seguridad cibernética de los EAU realizada por KPMG en 2015 reveló que los EAU se encuentran entre los más atacados por los ciberdelincuentes, y la seguridad cibernética se está convirtiendo en un desafío en el país hasta el punto de amenazar al gobierno. La falta de protección de datos ha afectado la capacidad del país para garantizar que se logre una seguridad nacional óptima.
Las violaciones en la seguridad de los datos amenazan la seguridad individual y nacional de los Emiratos Árabes Unidos de muchas maneras. Según Stewart, cuando se producen violaciones de datos, afectan la seguridad al crear una conspiración para que los atacantes defrauden al gobierno a través del deterioro, el engaño y la derrota de las funciones gubernamentales legales. Los grupos criminales, incluidos los terroristas, utilizan la recopilación de información confidencial de propiedad estatal para atacar la infraestructura crítica para derribar al gobierno (Comizio, Dayanim y Bain 2016). En situaciones que involucran el robo de datos individuales por razones políticas, como influir en la votación en cualquier elección, también amenaza la seguridad nacional. El acceso a los datos personales permite a los atacantes exponer secretos guardados por el estado donde las rivalidades pueden influir en el funcionamiento del gobierno, debilitándolo para más ataques posteriores (Bagdasarova 2015). Los datos individuales más críticos incluyen registros médicos, datos bancarios, registros de votantes y preferencias de compra desde la perspectiva de los EAU. El acceso a estos datos, especialmente por parte de ciberatacantes extranjeros, amenaza la seguridad nacional. Los países extranjeros quieren controlar el proceso electivo político de los Emiratos Árabes Unidos para haber influido en el gobierno favoreciendo a países específicos, considerando que el país es un centro para la producción de petróleo y gas.
Los Emiratos Árabes Unidos han sido un objetivo de ataque cibernético para motivaciones políticas que se centran en causar daños y destrucción en los sectores críticos de infraestructura y servicios públicos. Estos daños y destrucciones perjudican y frustran el funcionamiento adecuado del régimen gobernante, amenazando su capacidad para facilitar la seguridad de los ciudadanos. Los objetivos específicos para el petróleo y el gas y las entidades gubernamentales desestabilizan sus operaciones, estableciendo una base débil para que los enemigos ataquen para obtener ganancias económicas (Daley 2017). Además, cuando la información de los ciudadanos privados es robada de varios departamentos gubernamentales, se despliega como un arma contra el mismo gobierno, descarrilando su funcionamiento. El objetivo de las agencias gubernamentales locales por falta de recursos vitales e infraestructura técnica para protegerse debilita la base de la función del gobierno, exponiéndola a amenazas de seguridad ya que los enemigos utilizan vías más bajas para acceder a la información del gobierno para defraudar y perjudicar las funciones.
Finalidad del documento de política
Los Emiratos Árabes Unidos encabezan la lista de países que han adoptado el uso de la IA como defensor e innovador tecnológico global después de convertirse en el primer país en establecer el Ministerio de Inteligencia Artificial en el marco del Programa de Estrategia de IA de los Emiratos Árabes Unidos. El gobierno ha transformado la seguridad nacional al mejorar la seguridad física y cibernética utilizando un plan estratégico de IA (Will 2017). Las agencias de inteligencia y seguridad que utilizan la tecnología de IA tienen poderes absolutos para acceder a los datos para facilitar la seguridad del país (Programa Nacional de Inteligencia Artificial 2018). Sin embargo, incluso con el contexto de seguridad nacional y el poder otorgado a las agencias de seguridad, existe una falta de una ley de protección de datos adecuada y completa en los Emiratos Árabes Unidos para garantizar que los datos personales recopilados a través de la tecnología de IA estén protegidos y solo sean accedidos por grupos o personas autorizados (Hoadley y Lucas 2018). Por lo tanto, el propósito de este documento de política es investigar las violaciones de datos personales que pueden ocurrir en los Emiratos Árabes Unidos debido a la falta de una ley de protección de datos integral y unificada en medio del aumento del uso tecnológico de IA en el país.
Además, la investigación se extiende a cómo esta brecha política amenaza la estabilidad de la seguridad nacional en los Emiratos Árabes Unidos, reconociendo la importancia de los datos para responder a amenazas potenciales, análisis de big data, vigilancia predictiva, robots de patrullaje y patrones de lucha contra el crimen. El documento también ofrece opciones de políticas para mejorar la seguridad nacional al abordar la brecha actual de protección de datos de la transformación digital. Las leyes de protección de datos deben aplicarse para mantener la seguridad de la información crucial que se almacena con la ayuda de la adopción de la IA.
Metodología
Este proyecto tiene como objetivo identificar el impacto de la adopción de IA para fortalecer la seguridad nacional en los Emiratos Árabes Unidos en las violaciones de datos. Por lo tanto, se estudiaron las teorías y principios relativos a esta situación para llegar a una conclusión fiable y resumir la recomendación para reducir la fuga de información. Este enfoque también se desarrolló para cumplir con el objetivo del proyecto: la amenaza que la falta de leyes de protección de datos representa para el país y los ciudadanos.
Por lo tanto, el documento de política aplicó el método cualitativo, que se centra en el uso de palabras o imágenes visuales para analizar el problema de política en la aplicación de IA y su efecto en la seguridad nacional. El documento consideró el método cualitativo para encontrar las perspectivas teóricas sobre las circunstancias que llevaron al problema de política exhibido. Por lo tanto, los datos necesarios deben estar en palabras o imágenes visuales sin números. Los datos recopilados en números no son aplicables, ya que solo se considera la parte teórica para este documento. Según el propósito del estudio, la información necesaria se proporciona en varias fuentes, incluidas revistas, libros, fuentes de Internet y documentos gubernamentales. Por lo tanto, el documento se basó en datos secundarios recopilados de los registros ya existentes sobre protección de datos, avances tecnológicos y seguridad nacional para reconocer la importancia de la aplicación de las leyes de protección de datos debido a la adopción de IA.
Limitaciones de estudio
El estudio fue limitado en cuanto a la modernidad de los datos necesarios para el análisis. La mayor parte de la información requerida fue la más reciente para mostrar la moneda del problema de política identificado y cómo afecta actualmente a los Emiratos Árabes Unidos. Del mismo modo, mucha información sobre la IA y su impacto en los Emiratos Árabes Unidos se basó en campos sociales y económicos. Sin embargo, el estudio solo se centró en el área de seguridad: violaciones de datos personales y ciberseguridad. Causó los desafíos de encontrar las fuentes relevantes para el estudio ya que los documentos relacionados con la seguridad eran escasos. Los encontrados presentaron una perspectiva global en lugar de centrarse solo en los Emiratos Árabes Unidos.
Descripción del problema
Antecedentes del problema
Ha habido un ritmo creciente de adopción de tecnología en África del Medio Oriente, con los Emiratos Árabes Unidos liderando entre el resto de los países. Dicha tecnología implica IA, migración a la nube y despliegue de trabajo remoto que han facilitado que el gobierno y las instituciones operen de manera más eficiente (Ofori-Duodu y Samuel 2019). En los Emiratos Árabes Unidos, las implementaciones de IA han sido en numerosos sectores, incluida la seguridad nacional. Sin embargo, la desventaja es que el aumento de la adopción y el uso de la IA han hecho que las instituciones sean más vulnerables a los ataques cibernéticos a medida que se accede a la información crítica personal, lo que amenaza la eficiencia de garantizar la provisión de seguridad (Birnhack 2008). Los Emiratos Árabes Unidos se han convertido cada vez más en el objetivo, especialmente de ataques sofisticados para robar datos personales y amenazar la posición del país. Sin embargo, los ataques han expuesto en muchos casos los secretos del estado como rivalidades geopolíticas antiguas que se desarrollan en línea. Significativamente, muchas empresas con sede en los Emiratos Árabes Unidos también siguen siendo críticamente vulnerables a varios ataques cibernéticos contra los datos que conservan. Al mismo tiempo, también se enfrentan a otra amenaza de no cumplir con el Reglamento General de Protección de Datos (GDPR) que recientemente entró en vigencia según la compañía de seguros AIG. GDPR requiere informar cualquier forma de violación de datos personales a las autoridades por parte de las instituciones dentro de las 72 horas posteriores a su conocimiento.
Los ataques contra datos individuales han seguido ganando impulso en los Emiratos Árabes Unidos, ya que el país experimentó más de 2 millones de ataques de phishing solo en 2020. Estos ataques han sido particularmente preocupantes por la exposición de los correos electrónicos a incidentes más dañinos, incluidos los ataques de ransomware. En los Emiratos Árabes Unidos, las violaciones de datos personales son costosas, con un daño promedio de alrededor de $ 4 millones, según Ponemon Institute e IBM Security (Chandra, Sharma y Liaqat 2019). Por lo tanto, los Emiratos Árabes Unidos, que han estado envueltos en conflictos geopolíticos durante años, han seguido siendo testigos de un aumento de los ciberataques a medida que las rivalidades se mueven hacia el ámbito digital y abren el trabajo remoto de nuevos objetivos para los atacantes. En 2018, el país experimentó dos graves violaciones de datos, lo que llevó a que «14 millones de registros se vieran comprometidos» (Chandra, Sharma y Liaqat 2019). Las dos violaciones registradas incluyen en la plataforma de transporte con sede en Dubai Careem, mientras que otra ocurrió en una aerolínea.
Las violaciones de datos informadas involucraron nombres y detalles del viaje en el sur de Asia, el norte de África y el Medio Oriente, donde los Emiratos Árabes Unidos fueron parte del incidente. El informe adicional indicó que la Autoridad de Regulaciones de Telecomunicaciones (TRA) de los Emiratos Árabes Unidos registró alrededor de 274 ataques cibernéticos (Schwab y Poujol 2018). Estos ataques, según TRA, se dirigieron a instituciones gubernamentales, semigubernamentales y del sector privado, incluidas las aerolíneas, en 2018, amenazando la seguridad del país. Según Chandra, Sharma y Liaqat, a pesar de una reducción considerable en el número de incidentes de seguridad de la información, las violaciones de datos continúan siendo más rápidas y más extensas. Por lo tanto, los Emiratos Árabes Unidos ocupan un lugar destacado en la exposición a ciberataques, incluso cuando se toman medidas para minimizar estos casos a un nivel considerablemente más bajo.
El aumento de la transformación tecnológica, incluido el uso de IA en los Emiratos Árabes Unidos y las muchas incidencias de violaciones de datos personales, han presionado a las autoridades del país para que regulen la privacidad de los datos. Sin embargo, a pesar de estos esfuerzos, el problema central de la política que se ha identificado en este documento es que los EAU actualmente carecen de una ley federal integral de privacidad y protección de datos (Will 2017). Significa que el país no tiene una autoridad reguladora de protección de datos dedicada que haya permitido a los atacantes acceder a los datos recopilados a través de tecnologías de inteligencia artificial por parte del gobierno y otras entidades, causando violaciones de datos (Rubinstein, Nojeim y Lee 2014). En otras palabras, dado que las leyes de protección de datos no están establecidas, el acceso a la información de IA no está regulado. En consecuencia, los miembros del gobierno pueden usar su poder y autoridad para acceder a los datos personales de los residentes para su propio beneficio. Además, puede ocurrir con el objetivo de chantajear a los Emiratos Árabes Unidos o socavar su posición en el mercado internacional, lo que puede dañar gravemente a otros sectores del país.
Del mismo modo, según la Ley Federal de los Emiratos Árabes Unidos, no existe un requisito obligatorio para informar sobre violaciones de seguridad de datos. Sobre la base de este problema, el país solo tiene algunas leyes locales distintas y sectores específicos que contienen algunas disposiciones relacionadas con la protección de datos, la privacidad y la seguridad. Las disposiciones de privacidad y seguridad de datos en los Emiratos Árabes Unidos solo se aplican a las instituciones establecidas en los Emiratos Árabes Unidos en tierra y aquellas en zonas francas que no se rigen por leyes específicas de privacidad de datos (Aboul Enein 2017). Por lo tanto, la existencia de estas políticas de protección de datos restrictivas selectivas podría haber obstaculizado significativamente el logro de la ley federal integral que podría abordar las violaciones de datos personales en los Emiratos Árabes Unidos. Por lo tanto, las leyes de protección de datos del país no están muy desarrolladas en comparación con otras jurisdicciones. Es por eso que parece evidente que los Emiratos Árabes Unidos aún no han impuesto leyes relacionadas con la privacidad específica o con todo incluido.
El problema en su entorno político actual
Los Emiratos Árabes Unidos no tienen regulaciones específicas para la protección de datos en su conjunto, aunque la constitución garantiza la libertad de comunicación y su secreto. Sin embargo, algunas leyes de protección de datos se basan en sectores específicos, como la Ley de Datos de Salud y las específicas de las zonas de libre comercio económicas (Sistema Global para Comunicaciones Móviles 2019). Existen varias disposiciones y artículos en otras leyes federales con respecto a la privacidad y la protección de datos. Las leyes federales en los Emiratos Árabes Unidos también han fortalecido el derecho a la privacidad y la seguridad de los datos bajo los códigos penales y civiles donde los individuos pueden tomar acciones civiles; en muchos casos, están sujetos a violaciones de datos personales.
Algunas disposiciones del código penal administran la protección de datos y las cuestiones relacionadas con la privacidad. Según Chandra, Sharma y Liaqat, la ley que se centra en proporcionar los datos con regulación y protección está «controlada por el Código Penal de los Emiratos Árabes Unidos». Por ejemplo, la institución se asegura de que las personas que divulgan información personal o la publican en línea, perjudicando la privacidad de las personas, sean penalizadas adecuadamente. Además, la ley de ciberdelincuencia, la ley de telecomunicaciones y la política regulatoria sobre comunicaciones electrónicas tienen disposiciones que respaldan la protección y la privacidad de los datos (Boban 2016). Las reglas que se aplican a áreas específicas para garantizar la privacidad y seguridad de los datos se han validado recientemente. La promulgación involucró la Ley Federal 3 de los Emiratos Árabes Unidos de 2013 que estableció la Autoridad Nacional de Seguridad Electrónica, la Ley Federal 5 de los Emiratos Árabes Unidos de 2011 para combatir el delito cibernético y la Resolución del Gabinete 21 de 2013 sobre las regulaciones de seguridad de TI en los paraestatales gubernamentales (Sistema Global para Comunicaciones Móviles 2019). Por lo tanto, teniendo en cuenta todas estas leyes vigentes para proteger los datos y la privacidad, se puede concluir que en este momento, las leyes de privacidad de datos de los EAU son complejas y poco sistemáticas.
Free Zone proporciona dos leyes y regulaciones de protección de datos que rigen el procesamiento y control de datos. Las dos leyes incluyen la Ley de Protección de Datos 2020 para el Centro Financiero Internacional de Dubai y el Reglamento de Protección de Datos 2015 para el Mercado Global de Abu Dhabi (Fatafta y Samaro 2021). El Reglamento de Protección de Datos de 2015 protege los datos personales en el Mercado Global de Abu Dhabi (ADGM) al tiempo que rige la forma en que las empresas utilizan los datos, incluidos los procesadores y controladores de datos dentro de la zona ADGM. La Ley de Protección de Datos 2020 para el Centro Financiero Internacional de Dubai (DIFC) implica el control y el procesamiento de datos en la zona económica de libre comercio. Originalmente, se suponía que las instituciones seguirían estas regulaciones para octubre de 2020. En 2019, DIFC actualizó su ley de protección de datos de 2007 que incorpora elementos de GDPR y aprobó enmiendas a su ley en 2018 que incluían la imposición de requisitos más estrictos para los controladores de datos para facilitar la notificación de cualquier violación de datos al tiempo que aumenta la multa para aquellos que no cumplieron.
No existe una legislación general de privacidad de datos a nivel federal en los Emiratos Árabes Unidos, aparte de las que rigen sectores específicos. EAU publicó la Ley Federal No. 2, en la que hizo hincapié en varios conceptos, incluidos algunos de los capturados en GDPR. La ley requiere que los proveedores conserven la información por no menos de 25 años. Los Emiratos Árabes Unidos también lanzaron un marco regulatorio para el Internet de las cosas (IoT) nacional que enfatizó el papel crítico de la limitación de propósito, la minimización de datos y la limitación de almacenamiento. Todas las entidades que ofrecen servicios de IoT deben registrarse con el gobierno, independientemente de su sede. Según el ndice Global de Protección de Datos de EMC, el informe del ndice de Madurez de Protección de Datos clasificó a los Emiratos Árabes Unidos con una puntuación baja en lo que respecta a la protección de datos.
En medio de la presión para que la legislación de privacidad de datos en los Emiratos Árabes Unidos esté en línea con otros países, el país todavía está lidiando con muchas preocupaciones. El gobierno de los Emiratos Árabes Unidos no ha respetado la privacidad de las personas dentro de sus fronteras. Reuters lo acusó a principios de 2019 de llevar a cabo un programa secreto que implicaba espiar a los disidentes, activistas y periodistas en los Emiratos Árabes Unidos (Sethu 2020). El espionaje se extendió a los extranjeros, lo que llevó a pedir restricciones sobre cómo los funcionarios de inteligencia que usan IA deberían manejar los datos, especialmente los empleados por naciones extranjeras. El país también fue acusado de espiar a personas que usaban la popular aplicación de mensajería. Sin embargo, el gobierno ha seguido manteniendo su postura de que las políticas de recopilación de datos tienen algo nefasto (Boma 2016). Por lo tanto, en el entorno actual de problemas de política, es indicativo de que para manejar los datos en los Emiratos Árabes Unidos se necesita un delicado acto de equilibrio. En cuanto al cumplimiento, la localización y la retención son algunos de los aspectos más exigentes de las leyes de los EAU. Los requisitos de EAU en torno a la seguridad se centran en la gestión de la accesibilidad y la necesidad de garantizar restricciones de acceso a datos confidenciales a las personas adecuadas.
Opciones de política
El marco de análisis
El documento de política se centra en el problema asociado con una violación de datos personales en los Emiratos Árabes Unidos atribuible a leyes de protección de datos integrales o unificadas. En cambio, el país experimenta leyes locales y específicas del sector que son selectivas en su aplicación y pueden no satisfacer la necesidad nacional de políticas que protejan los datos personales. Los Emiratos Árabes Unidos han considerado la posibilidad de legislar una ley que proteja los datos de ser accedidos por una persona no autorizada y mal utilizada para amenazar la seguridad de la nación. Sin embargo, existe la necesidad de contar con una ley integral alternativa, identificando las mejores alternativas de política o las mejores opciones para el problema actual en los Emiratos Árabes Unidos solicita tener un análisis marco basado en diversas medidas de criterios. Los criterios de evaluación para analizar las mejores opciones de políticas alternativas consideraron el tiempo con respecto a la preparación de la política para el lanzamiento, considerando que la aplicación de las tecnologías de IA de los EAU ha aumentado. La continua ausencia de una ley de protección de datos integral o unificada adecuada expone a riesgos los datos de muchas personas y aquellos en la tienda y utilizados por el gobierno con fines de seguridad (Vermeulen y Lievens 2017). Por lo tanto, el tiempo se consideró un criterio importante para determinar las mejores opciones de políticas alternativas para garantizar que la nueva ley sea aplicable lo antes posible.
El costo de la formulación de la nueva ley de protección de datos se consideró dentro del análisis marco con respecto a los gastos incurridos en el desarrollo y la implementación de la misma política. La política debe ser menos costosa en la formulación y aplicación al considerar la contratación y la participación del personal en todo el proceso. El impulso por la invención también fue una consideración como criterio de evaluación. En cuanto a la innovación, la política debería tener un impacto en las nuevas empresas, las patentes y los proyectos, de modo que brinde una visión nueva y avanzada de varias aplicaciones para mejorar mucho el resultado.
Se hicieron preguntas sobre dónde la nueva opción de política inspiraría a la nueva generación a hacer su aplicación más favorable a todos los grupos para limitar el riesgo de mal uso de los datos personales. Todas las políticas consideradas para la implementación para abordar la brecha identificada serían administradas por el gobierno, incluida su gestión y ejecución. Significativamente, la política se aplicaría tanto por el público como por el privado, por lo tanto, su asociación era crítica. Por lo tanto, el tiempo, el costo, el impulso a la innovación y las inspiraciones generacionales fueron los aspectos considerados para evaluar las opciones de política, formando la base para el análisis del marco.
Evaluación de alternativas políticas
Se lleva a cabo un análisis basado en el marco definido para evaluar las alternativas de política. El enfoque del problema de la política se basa en violaciones de datos personales en aplicaciones tecnológicas de IA que amenazan la seguridad nacional debido a la falta de una ley integral de protección de datos en los Emiratos Árabes Unidos (Sethu 2020). Por lo tanto, una evaluación se basa en dos opciones políticas principales; la primera es introducir, formular e implementar una ley federal de protección de datos completamente nueva que cubra integralmente a todo EAU, incluidos los sectores público y privado (Mawgoud et al. 2019). La segunda opción implica mejorar las leyes locales, específicas del sector y federales ya existentes para capturar los intereses de todo el país y darle la capacidad de proteger los datos desde una perspectiva más federal que garantice la seguridad de los datos dentro de los territorios de los Emiratos Árabes Unidos.
La primera alternativa política implica la redacción completa de una ley integral de datos como un hito hacia la protección total de los datos. Sin embargo, esta opción es costosa y lleva mucho tiempo teniendo en cuenta los procesos largos y complicados que implican varios aspectos (Vermeulen y Lievens 2017). El aumento de tiempo en la promulgación de esta ley se debe a que la redacción se llevará a cabo en asociación con las principales empresas de tecnología. La colaboración garantiza que cada individuo esté facultado para controlar cómo se usan, almacenan y comparten los datos de las personas para la protección de la privacidad (Organización para la Cooperación y el Desarrollo Económico 2019). También se pretende limitar a las entidades frente al uso de datos personales sin consentimiento para otros beneficios. La alternativa de política considerada también es un agente para impulsar la innovación como un criterio identificado en el requisito de evaluación debido a los nuevos datos en el petróleo que se espera que crezcan en big data.
Como gobierno, los EAU tienen que considerar nuevas formas de proteger dichos datos a través del reconocimiento de que para la prosperidad económica, las empresas requieren datos, algo vital. Por lo tanto, estas opciones de política permiten al país encontrar un término medio sin comprometer la protección de datos y la privacidad o interferir con la seguridad nacional o las empresas que dependen de la misma información para sobrevivir o proporcionar servicios a las personas. La nueva ley de protección de datos otorgaría al principal los derechos, incluido el propietario de los datos, para acceder a los datos almacenados y solo usaría dicha información con pleno consentimiento para garantizar que no se use para un propósito incorrecto aparte del curso previsto.
Los Emiratos Árabes Unidos han mantenido su esfuerzo concertado a la vanguardia de la innovación y el desarrollo, exigiendo que cualquier nueva alternativa política que se considere impulse la innovación. El Ministro de AI de los Emiratos Árabes Unidos indicó que la nueva ley de protección de datos integral o unificada se basa en considerar todas las leyes de datos del planeta (Bomah 2016). Como resultado, permitiría a todas las empresas, incluidas las patentes y las nuevas empresas establecidas en los Emiratos Árabes Unidos, realizar una transición sin problemas porque evita la mayoría de los escollos existentes en otras leyes de datos que operan actualmente en el país. La adopción de esta opción política se consideraría un paso notable para inspirar al gobierno a proteger los datos personales que garantizarían la seguridad del país. Los sectores público y privado se inspirarán significativamente en la alternativa política para proteger los datos individuales que se utilizarán solo para el propósito previsto.
Hay varias ventajas asociadas a esta primera ley integral de privacidad y protección de datos en los Emiratos Árabes Unidos. Proporciona el derecho de acceso, el derecho de corrección, el derecho a ser olvidado y el derecho a obtener información que ya forma parte de las leyes DIFC, ADGM y GDPR de la UE que brindan protección de datos (Bomah 2016). Del mismo modo, esta nueva alternativa política ofrece las disposiciones para un nuevo regulador de la privacidad de los datos nacionales. Al mismo tiempo, las restricciones al flujo de datos transfronterizos son mínimas cuando se hace referencia a datos restringidos o confidenciales. Una vez promulgada, la ley serviría para proteger las transferencias de datos de jurisdicciones reguladas, incluidas ADGM y DIFC.
La segunda opción implica una revisión de las leyes locales, específicas del sector, de ciberdelincuencia y federales existentes para capturar los intereses de mejora de todo el país. Las leyes adquieren la capacidad de proteger los datos desde una perspectiva más federal que garantiza la seguridad de los datos dentro de los territorios de los Emiratos Árabes Unidos (Younies y Na 2020). Las reformas en la ley de protección de datos sobre las leyes existentes implican cambios en el ADGM con los planes de actualizar la ley en DIFC para que se apliquen en muchos sectores diferentes en los Emiratos Árabes Unidos en lugar de solo en sectores específicos. La opción da una extensión por la cual casi todos los sectores en los EAU que tratan con datos personales o aquellos que usan IA estarían sujetos a requisitos legales todo el tiempo.
La consideración significativa con respecto a la segunda alternativa de política implicará extender las leyes y regulaciones de ciberseguridad existentes. La extensión incluirá la introducción de nuevos estándares de ciberseguridad, todas las formas de ciberdelincuencia y la obligatoriedad de que todos los distribuidores del gobierno estén certificados (Duan, Edwards y Dwivedi 2019). Estratégicamente, sería fundamental reforzar la seguridad de la infraestructura crítica en los diversos sectores del gobierno, incluidas las TIC, la energía y las finanzas. La iniciativa es para garantizar que haya una extensión de las leyes de protección de datos no solo en sectores específicos y áreas locales, sino también en las áreas de operación del gobierno (Imranuddin 2017). Se debe considerar la posibilidad de ampliar las sanciones contra los ciberdelincuentes y tener una legislación basada en las últimas tecnologías y estándares, considerando que el delito cibernético se ha vuelto cada vez más dañino y más generalizado. La decisión de revisar y mejorar estas leyes existentes es aumentar la inclusión de todos los sectores de EAU para que los datos personales estén protegidos incluso en ausencia de una ley de protección de datos integral.
Hay varias ventajas asociadas con esta segunda alternativa, teniendo en cuenta que tiene la intención de ampliar el alcance de la protección. Hay poco costo y el corto tiempo requerido porque los conceptos básicos del tema ya existen, y solo se examinan las áreas de debilidades o aquellas que necesitan mejorar. Los inconvenientes de esta alternativa son el alto nivel de rigidez que limita el impulso a la innovación considerando que la estructura básica de la ley no puede cambiar (Al Neaimi, Ranginyam y Lutaaya 2015). Es probable que las nuevas instituciones del gobierno y el sector privado pierdan la inspiración de la protección de datos, ya que algunas de las leyes, incluso si se modifican, solo pueden favorecer a sectores específicos.
Conclusión y recomendaciones
Síntesis de los principales hallazgos
Este es un documento de política que tiene la intención de identificar una brecha política en la IA en los Emiratos Árabes Unidos que podría afectar la seguridad nacional en el país. Una investigación realizada a través de un método cualitativo identificó las violaciones de datos personales como un problema crítico en los Emiratos Árabes Unidos, lo que se debe a la falta de una ley de protección de datos integral o unida a pesar del creciente uso de la IA. Algunos hallazgos significativos muestran que los EAU han implementado significativamente la IA en diferentes sectores, incluida la seguridad nacional. Sin embargo, el país es vulnerable a la pérdida de datos personales o a ser utilizado con un propósito equivocado, principalmente debido a antiguas rivalidades geopolíticas que se desarrollan en línea. La razón principal de esta vulnerabilidad es la falta de una ley unificada que proteja los datos individuales recopilados a través de tecnologías, incluida la IA. Aunque no existe una ley federal integral de protección de datos, concluimos que el país goza de regulaciones locales, leyes sectoriales específicas, leyes de ciberdelincuencia y algunas leyes federales de los EAU que se aplican solo en ciertas situaciones y áreas. Por lo tanto, algunas regiones o sectores que pueden ser importantes a nivel nacional no pueden infringir su uso de los datos.
Conjunto de recomendaciones de políticas
- La investigación sobre el problema de la política en los Emiratos Árabes Unidos identifica la violación de datos como un problema significativo en su jurisdicción, amenazando su seguridad. Por lo tanto, se recomienda que se considere la posibilidad de garantizar que la adopción futura de políticas de datos considere la protección integral de datos centrada en la seguridad nacional más que en los intereses económicos del gobierno y las empresas privadas.
- Existe la necesidad de contar con una autoridad de protección de datos robusta con poderes y mecanismos para hacer cumplir la protección de datos para que solo se utilicen para el propósito previsto sin caer en las manos equivocadas. Además de los poderes, la autoridad debe estar equipada con experiencia y recursos para monitorear, investigar y sancionar a individuos o grupos que hacen un uso indebido de los datos.
- También es necesario evitar las exenciones de la protección de datos amplios y las limitaciones de privacidad para mejorar la seguridad nacional. Asegura que las agencias de seguridad nacional no operen con el pretexto de salvaguardar el país cuando operan en secreto sin supervisión. Pueden ser una vía para que algunos oficiales accedan a los datos y los usen indebidamente.
- Al recopilar datos personales, los controladores deben informar a las personas afectadas a tiempo para limitar la sospecha y la facilidad de acceso a los mismos datos sin consentimiento.
Observaciones finales
La violación de datos personales es un problema grave que ha afectado a los Emiratos Árabes Unidos y al mundo, especialmente en los países de MENA que han seguido adoptando la tecnología. La principal preocupación es la ausencia de una ley de datos integral que hubiera ayudado a lidiar con las violaciones de datos que continúan afectando a los Emiratos Árabes Unidos. Aunque el gobierno se está enfocando en legislar algunas leyes que aseguren la protección de datos, existe la necesidad de tener cierta velocidad para minimizar más daños y amenazas continuas a la seguridad del país.