Vaak wel, maar het antwoord hangt af van vier beslissingen, niet van het merk van het model: waar de data wordt opgeslagen, waar het model draait, wie optreedt als verwerker, en of persoonsgegevens onderweg een grens overgaan. Neem die beslissingen per workflow, leg ze vast en laat ze bevestigen door je jurist. Dit is geen juridisch advies.
#Belangrijkste punten
- De naam van het model bepaalt de naleving niet; opslag, verwerking door het model, verwerker en doorgifte doen dat wel.
- Waar het model draait is even belangrijk als waar de data staat, want elke modelaanroep verwerkt de data op de plek waar het model draait.
- Welke modellen een aanbieder in welk land aanbiedt, verandert vaak; vraag de actuele lijst met regio's schriftelijk op, met datum.
- Kies eerst de hosting en dan het model, anders mag de pilot misschien nooit in productie.
- Niets hiervan is juridisch advies: je jurist bevestigt de rechtsgrond voordat er klantgegevens worden gebruikt.
#Wat regelen de wetten op gegevensbescherming van de VAE en Saoedi-Arabië?
In de VAE vallen persoonsgegevens onder Federaal Decreet-Wet nr. 45 van 2021 inzake de bescherming van persoonsgegevens (portaal van de VAE-overheid). In Saoedi-Arabië is de wet op de bescherming van persoonsgegevens (PDPL) op 14 september 2024 volledig handhaafbaar geworden, met SDAIA als toezichthouder (Clyde & Co, september 2024).
Beide wetten regelen hoe persoonsgegevens worden verwerkt en verplaatst. Wat ze voor je specifieke workflow vereisen, en hoe ze een modelaanroep vanuit een ander land behandelen, zijn vragen voor je jurist. Dit artikel geeft je de beslissingen om in dat gesprek mee te nemen. Het is geen juridisch advies, dus laat elk punt bevestigen door je jurist.
#Waarom telt waar het model draait, en niet alleen de opslag?
Veel teams controleren waar de database staat en stoppen daar. Maar telkens als een workflow een klantrecord naar een model stuurt, wordt dat record verwerkt op de plek waar het model draait. Staat de opslag in het land en draait het model in een andere regio, dan zijn de persoonsgegevens toch op reis gegaan. Vraag de aanbieder per model schriftelijk om de regio waar het model draait, met de datum waarop dat is bevestigd.
Hetzelfde geldt voor logs, promptcaches, kopieën voor evaluatie en toegang voor de support van de leverancier. Elk daarvan is een plek waar klantgegevens kunnen staan of kunnen worden gelezen. Zet ze naast de hoofddatabase op de lijst, niet erna.
#Welke AI-modellen kunnen in de VAE of Saoedi-Arabië worden gehost?
We noemen hier geen model en land, omdat beschikbaarheid per regio wordt bepaald door elke cloudaanbieder en modelleverancier en met nieuwe releases verandert. Vraag de aanbieder om de actuele lijst met regio's voor de exacte modelversie die je wilt gebruiken. Laat het schriftelijk bevestigen, bewaar de datum en controleer het opnieuw vóór elke nieuwe workflow.
De opties om te vergelijken zijn meestal een model dat via de regio van een cloudaanbieder in het land wordt aangeboden, een open-weight-model op infrastructuur die je zelf beheert, en de eigen API van een leverancier. Elk geeft een ander antwoord op de beslissingen hieronder, dus vergelijk ze op die beslissingen en niet op benchmarkscores.
#Wat leg je per workflow vast?
- Opslag: waar de brondata, de logs en eventuele kopieën staan, en wie ze kan lezen.
- Verwerking door het model: de regio waar het model voor deze workflow draait, schriftelijk bevestigd door de aanbieder, met datum.
- Verwerker: wie de data namens je verwerkt, de modelleverancier, de cloudaanbieder of beide, en wat het contract zegt.
- Grensoverschrijdende doorgifte: of een stap persoonsgegevens buiten het land stuurt, en welke rechtsgrond je jurist daarvoor heeft bevestigd.
- Minimalisatie: welke velden het model echt nodig heeft. Namen, ID's en rekeningnummers kunnen vaak vóór de aanroep worden gemaskeerd.
De vraag naar de verwerker behandelden we uitgebreid in wie is de verwerker als AI op je cloud draait. Behandel tekst van klanten ook als onbetrouwbare input: prompt injection is het eerste risico op de OWASP Top 10 voor LLM-toepassingen.
We are
Stennir brengt per workflow opslag, modelverwerking, verwerker en doorgifte in kaart, host waar je regels dat vereisen en laat je eigenaar van de accounts, de data en de uitknop.
We aren't
Stennir is geen advocatenkantoor en geeft geen juridische adviezen. Je jurist bevestigt de rechtsgrond voordat er iets op klantgegevens draait.
#Kun je een workflow automatiseren zonder data naar een Amerikaanse cloud te verplaatsen?
Vaak wel, door de hosting vóór het model te kiezen. Begin met de workflow en de data die hij raakt, kies een inrichting die opslag en modelverwerking houdt waar je regels dat vereisen, en kies daarna een model dat daar beschikbaar is. Wie eerst het model kiest, eindigt vaak met een pilot die juridische zaken niet voor productie goedkeurt.
Kopers stellen deze vraag ook in het Arabisch: «هل يجوز استخدام ChatGPT مع بيانات العملاء في السعودية حسب نظام حماية البيانات الشخصية؟». Het kader is hetzelfde, en Stennir loopt het met je team door in het Arabisch en het Engels.
#Wat doet een compliance- of operationsmanager nu?
Kies één workflow die klantgegevens raakt en vul de vijf beslissingen hierboven in. Neem het overzicht mee naar je jurist. AI-consulting neemt de hostingregio op in de aanbevolen bouw, en AI-implementatie draait de workflow waar je regels dat vereisen. Zie AI voor compliance, doe de gratis gereedheidsscan of boek een gesprek van 30 minuten.
#Veelgestelde vragen
Is het legaal om ChatGPT met klantgegevens te gebruiken in Saoedi-Arabië?
Dat hangt af van hoe de data wordt verwerkt, opgeslagen en doorgegeven, niet van de productnaam. De PDPL wordt gehandhaafd door SDAIA, en je jurist moet per workflow de rechtsgrond bevestigen. Dit is geen juridisch advies. Neem de beslissingen over opslag, modelverwerking, verwerker en doorgifte voor het specifieke gebruik mee naar je jurist.
Waar blijft onze data?
Waar je dat beslist, per workflow. Stennir legt de opslagregio vast, de regio waar het model draait en elke plek waar een kopie kan staan, zoals logs en caches. De accounts staan op je naam, zodat je de instellingen zelf kunt bekijken en ze kunt wijzigen of afsluiten zonder het ons te vragen.
Wat heb je van ons nodig om te beginnen?
De workflow die je voor ogen hebt, de velden die hij raakt, je huidige contracten met cloud- en softwareleveranciers, en een contactpersoon bij juridische zaken of compliance. Daarmee kan de hostingbeslissing worden genomen voordat er een model wordt gekozen; dat is de volgorde waarin een pilot later nog in productie kan komen.
Wat kan er misgaan?
De gebruikelijke fout is de opslag controleren en de modelverwerking missen: de database blijft in het land terwijl elke modelaanroep ergens anders heen gaat. Andere fouten zijn logs die in een andere regio worden bewaard, supportmedewerkers van de leverancier die prompts kunnen lezen, en een aanbieder die zijn lijst met regio's wijzigt nadat je hebt getekend. Controleer de lijst opnieuw vóór elke nieuwe workflow.
