¿Qué es la regulación de la IA en Kuwait?
Regulación de la IA: países y regiones
Kuwait no cuenta con una ley específica de IA ni con un regulador de IA a fecha de 2026. La IA se rige de forma indirecta a través de normas existentes: el Reglamento de Protección de la Privacidad de Datos de la Autoridad Reguladora de Comunicaciones y Tecnología de la Información (CITRA) (Decisión n.º 26 de 2024), la Ley de Transacciones Electrónicas (n.º 20 de 2014), la Ley de Ciberdelincuencia (n.º 63 de 2015) y los códigos de responsabilidad civil. Un borrador de la estrategia nacional de IA de Kuwait (2025 a 2028) marca una dirección, pero es política, no ley vinculante.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Kuwait no regula la inteligencia artificial mediante un único estatuto. No existe un equivalente kuwaití del EU AI Act, ni un regulador específico de IA, ni un reglamento vinculante sobre IA. Cualquier organización que despliegue IA en Kuwait queda sujeta a leyes generales que no fueron redactadas pensando en la IA: las normas de protección de datos emitidas por CITRA, la Ley de Transacciones Electrónicas, la Ley de Ciberdelincuencia, las normas sectoriales del Banco Central de Kuwait y las disposiciones de responsabilidad del Código Civil.
El país ha fijado una dirección clara. Un borrador de la estrategia nacional de IA de Kuwait (2025 a 2028) fue publicado a principios de 2025 por la Agencia Central de Tecnología de la Información (CAIT), alineado con el plan nacional a largo plazo Kuwait Vision 2035 (también denominado New Kuwait). La estrategia es una hoja de ruta y un conjunto de recomendaciones, no una ley ejecutable. Señala la intención de construir un marco regulatorio y ético a lo largo del tiempo.
La situación práctica es sencilla de describir. A fecha de 2026, la IA en Kuwait se rige por un conjunto de leyes existentes más una estrategia voluntaria. Las instituciones relevantes hoy son CITRA, CAIT, el Centro Nacional de Ciberseguridad y el Banco Central de Kuwait, cada uno actuando dentro de su ámbito competencial habitual y no como autoridad dedicada a la IA.
Por qué importa
Para las organizaciones, la ausencia de una ley específica de IA no implica ausencia de obligaciones. Significa que las obligaciones se encuentran en leyes que quizás no se asocian con la IA. Si la IA procesa datos personales y la organización es un operador de telecomunicaciones o proveedor de internet con licencia de CITRA, el Reglamento de Protección de la Privacidad de Datos se aplica directamente, incluyendo el consentimiento, la transparencia, la notificación de brechas y el derecho a no ser objeto de decisiones automatizadas de forma exclusiva. Si no se es titular de licencia, la Ley de Transacciones Electrónicas y la Ley de Ciberdelincuencia siguen regulando el tratamiento de datos personales electrónicos y generan responsabilidad penal por acceso o divulgación ilícitos. Quienes operen IA en servicios financieros quedan sujetos a las expectativas del Banco Central de Kuwait en materia de gobernanza, supervisión y responsabilidad. Y dado que Kuwait carece de un régimen de responsabilidad específico para la IA, los daños causados por la IA se atribuyen mediante la responsabilidad civil ordinaria: una persona física o jurídica, nunca la IA en sí, asume la responsabilidad. Ignorar esto genera un riesgo legal y reputacional real, aunque ninguna ley incluya las palabras "inteligencia artificial" en su título.
Cómo funciona
Sin estatuto específico de IA, pero con un conjunto normativo operativo
Kuwait no ha promulgado una ley integral de IA, y la gobernanza de la IA en lo relativo a datos personales se deriva de instrumentos existentes. Las piezas fundamentales son la Ley de Transacciones Electrónicas (n.º 20 de 2014) y sus Reglamentos de Ejecución, que establecen obligaciones básicas para el tratamiento de datos personales electrónicos en organismos públicos y privados; la Ley de Ciberdelincuencia (n.º 63 de 2015), que tipifica el acceso no autorizado, la alteración, la divulgación y la destrucción de datos; y el Reglamento de Protección de la Privacidad de Datos de CITRA. La Constitución de Kuwait de 1962 reconoce el derecho a la privacidad, incluida la confidencialidad de las comunicaciones en virtud del artículo 39, que subyace a estos estatutos.
El Reglamento de Protección de la Privacidad de Datos de CITRA
CITRA emitió por primera vez un Reglamento de Protección de la Privacidad de Datos mediante la Decisión n.º 42 de 2021. Fue sustituido por la Decisión n.º 26 de 2024, con efectos desde el 19 de febrero de 2024. La versión de 2024 redujo significativamente el ámbito de aplicación: según resume Chambers and Partners, el reglamento "en su versión modificada por la Decisión n.º 26 de 2024" ahora "se aplica exclusivamente a los operadores de telecomunicaciones y proveedores de internet con licencia de CITRA (los "Licenciatarios") e impone a dichos Licenciatarios obligaciones de consentimiento, transparencia, seguridad, notificación de transferencias y notificación de brechas". Para esos licenciatarios exige consentimiento explícito antes de recopilar o tratar datos personales, información clara en árabe e inglés, notificación de brechas a CITRA en un plazo de 72 horas, medidas de seguridad, mantenimiento de registros y el derecho a no ser objeto de toma de decisiones automatizada individual, incluida la elaboración de perfiles. CITRA también derogó su anterior Política de Clasificación de Datos mediante la Decisión n.º 34 de 2024.
Las instituciones
Tres organismos definen la gobernanza digital de Kuwait. CITRA, creada en virtud de la Ley n.º 37 de 2014, regula las telecomunicaciones y las TI, otorga licencias a los operadores y supervisa el cumplimiento en materia de privacidad y nube. CAIT lidera la transformación digital del gobierno y la adopción nacional de la nube y la IA en el sector público. El Centro Nacional de Ciberseguridad, creado en 2022, supervisa la ciberseguridad y los asuntos de clasificación de datos. Ninguno de estos organismos es un regulador dedicado a la IA. Kuwait no cuenta actualmente con una autoridad única con jurisdicción general sobre la protección de datos, y mucho menos sobre la IA.
Servicios financieros: el Banco Central de Kuwait
El Banco Central de Kuwait gestiona un hub de innovación denominado Wolooj, un entorno supervisado para probar inteligencia artificial, fintech, seguridad de la información y tecnología regulatoria. Kuwait no ha emitido un reglamento vinculante de IA para la banca central del tipo que algunos países del Golfo ya tienen; en cambio, la IA en la banca se rige a través de instrucciones prudenciales, de ciberseguridad y de protección al consumidor existentes, y a través de las expectativas generales de supervisión del banco en materia de gobernanza y responsabilidad humana.
El borrador de la estrategia nacional y un proyecto de ley paralizado
El borrador de la estrategia nacional de IA de Kuwait (2025 a 2028) fue publicado a principios de 2025 por CAIT, sobre la base de un documento de trabajo anterior elaborado por Microsoft titulado "Kuwait National AI Strategy Framework", que Microsoft describe como "una guía estratégica para el Gobierno kuwaití en la configuración de una estrategia nacional de IA sólida y con visión de futuro". Se alinea con Kuwait Vision 2035 y propone ambiciones para el primer año, entre ellas la creación de un Centro de Excelencia en IA, el lanzamiento de proyectos piloto de IA y el desarrollo de un repositorio centralizado de datos, así como un comité directivo de alto nivel. Es un borrador de hoja de ruta, no una ley vinculante. Por otro lado, cinco miembros del parlamento (Dawoud Maarefi, Abdullah Fehad, Hassan Jawhar, Fahd Al-Masoud y Badr Al-Mulla) presentaron en diciembre de 2023 un proyecto de ley para crear una Autoridad Pública de Inteligencia Artificial (PAAI) que elaboraría legislación sobre IA. Ese proyecto no ha avanzado. El 10 de mayo de 2024 el Emir disolvió la Asamblea Nacional y suspendió partes de la Constitución; la Asamblea permanece suspendida a fecha de 2026, por lo que el proyecto ha caducado en la práctica y cualquier nueva ley de IA tendría que llegar mediante decreto del Emir.
Ejemplos
Un operador de telecomunicaciones que despliega un chatbot de IA que procesa datos de clientes: dado que el operador es licenciatario de CITRA, el Reglamento de Protección de la Privacidad de Datos (Decisión n.º 26 de 2024) se aplica en su totalidad. Debe obtener consentimiento explícito, proporcionar avisos bilingües, respetar el derecho a no ser objeto de decisiones exclusivamente automatizadas y notificar a CITRA cualquier brecha de datos personales en un plazo de 72 horas.
Una fintech que prueba una herramienta de IA para la calificación crediticia o asesoramiento automatizado: la empresa puede solicitar al hub de innovación Wolooj del Banco Central de Kuwait realizar pruebas en un entorno supervisado. No existe un estatuto específico de IA, por lo que la empresa sigue siendo responsable en virtud de las normas prudenciales, de ciberseguridad y de protección al consumidor vigentes, y se espera que una función de cumplimiento humana mantenga la supervisión del modelo.
Una empresa de tecnología sanitaria que utiliza IA sobre historiales de pacientes: en general no es licenciataria de CITRA, por lo que el Reglamento de Protección de la Privacidad de Datos no se aplica directamente. En su lugar, la Ley de Transacciones Electrónicas regula el tratamiento de datos personales electrónicos, la Ley de Ciberdelincuencia tipifica el acceso o la divulgación ilícitos, y la Ley de Profesiones Médicas (n.º 70 de 2020) exige el consentimiento escrito del paciente para la divulgación de datos médicos.
Malentendidos frecuentes
"Kuwait tiene una ley de IA." No es así. A fecha de 2026 no existe ningún estatuto específico de IA ni ningún regulador de IA. La IA se rige por leyes generales y una estrategia no vinculante.
"El reglamento de datos de CITRA cubre todo uso de IA." Desde la Decisión n.º 26 de 2024, el Reglamento de Protección de la Privacidad de Datos se aplica únicamente a los operadores de telecomunicaciones y proveedores de internet con licencia de CITRA, no a todas las organizaciones que tratan datos personales.
"La estrategia nacional de IA es regulación vinculante." La estrategia nacional de IA de Kuwait (2025 a 2028) es un borrador de hoja de ruta y un conjunto de recomendaciones, no una ley ejecutable.
"Existe una ley de protección de datos nacional similar al GDPR." Kuwait no cuenta con un estatuto único de protección de datos de ámbito estatal. La protección proviene de un conjunto formado por la Ley de Transacciones Electrónicas, la Ley de Ciberdelincuencia, la Constitución y las normas sectoriales.
"La IA puede ser responsable de los daños en Kuwait." Conforme al derecho kuwaití, un sistema de IA no tiene personalidad jurídica. La responsabilidad recae sobre la persona física o jurídica que lo despliega.
Riesgos y límites
Este artículo describe un panorama jurídico en rápida evolución pero actualmente escaso, y varias cuestiones son genuinamente inciertas. Lo que está confirmado: no existe una ley específica de IA, no hay un regulador de IA, y las normas vinculantes que afectan a la IA son instrumentos de datos, ciberdelincuencia, telecomunicaciones y sector financiero. Lo que está pendiente o es aspiracional: el borrador de la estrategia nacional de IA, la propuesta de Autoridad Pública de Inteligencia Artificial y cualquier futuro marco ético o basado en riesgos. Lo que podría cambiar rápidamente: dado que la Asamblea Nacional está suspendida, el gobierno puede promulgar o modificar leyes mediante decreto del Emir sin revisión legislativa, por lo que un instrumento vinculante de IA podría aparecer con escaso proceso parlamentario. Esto no constituye asesoramiento jurídico; las obligaciones dependen de si se es licenciatario de CITRA, del sector de actividad y de los datos personales que se traten. Quienes se apoyen en la ausencia de una ley de IA deben considerar esa ausencia como temporal, no duradera.
Qué hacer a continuación
En primer lugar, identificar qué leyes existentes son realmente vinculantes: confirmar si se es licenciatario de CITRA, si se tratan datos personales electrónicos y si se opera en servicios financieros. En segundo lugar, tomar el Reglamento de Protección de la Privacidad de Datos de CITRA como referencia para la gobernanza de datos aunque no se sea licenciatario, ya que señala la dirección de las expectativas kuwaitíes y se alinea en términos generales con las normas internacionales. En tercer lugar, mantener a una persona responsable de cada decisión de IA con consecuencias relevantes; el derecho kuwaití no otorga personalidad jurídica a la IA, por lo que conviene documentar la supervisión, la validación y las trazas de auditoría. En cuarto lugar, si se opera en fintech, contactar con el hub Wolooj del Banco Central de Kuwait antes de lanzar nuevos productos de IA. En quinto lugar, seguir los comunicados de CAIT y CITRA y estar atentos a los decretos del Emir, ya que un marco vinculante de IA podría llegar sin un ciclo legislativo. Los hitos que deberían desencadenar una revisión son: la promulgación de un estatuto de IA o de una Autoridad Pública de Inteligencia Artificial, cualquier orientación específica de IA de CITRA o del Banco Central de Kuwait, o cualquier ampliación del Reglamento de Protección de la Privacidad de Datos a todos los responsables del tratamiento.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Kuwait una ley de IA?
No. A fecha de 2026, Kuwait no cuenta con ningún estatuto específico de IA ni con ningún regulador específico de IA. La IA se rige de forma indirecta a través de normas de protección de datos, ciberdelincuencia, telecomunicaciones, sector financiero y responsabilidad civil, más un borrador de estrategia nacional no vinculante.
¿Quién regula la IA en Kuwait?
Ningún organismo único regula la IA. CITRA gestiona las telecomunicaciones y la privacidad de datos para los licenciatarios, CAIT lidera la transformación digital del gobierno, el Centro Nacional de Ciberseguridad se ocupa de la ciberseguridad, y el Banco Central de Kuwait supervisa la IA en las finanzas, cada uno dentro de su ámbito competencial habitual.
¿Qué es el Reglamento de Protección de la Privacidad de Datos de CITRA?
Es el principal instrumento de privacidad de datos de Kuwait, emitido por primera vez como Decisión n.º 42 de 2021 y sustituido por la Decisión n.º 26 de 2024. Desde 2024 se aplica únicamente a los operadores de telecomunicaciones y proveedores de internet con licencia de CITRA e incluye el derecho a no ser objeto de decisiones exclusivamente automatizadas.
¿Es la estrategia nacional de IA de Kuwait una ley?
No. La estrategia nacional de IA de Kuwait (2025 a 2028) es un borrador de hoja de ruta publicado por CAIT, alineado con Kuwait Vision 2035. Establece una dirección y recomendaciones, pero no es regulación vinculante.
¿Cómo se gestiona la responsabilidad por IA en Kuwait?
Mediante la responsabilidad civil ordinaria. Un sistema de IA no tiene personalidad jurídica conforme al derecho kuwaití, por lo que la responsabilidad por los daños recae sobre la persona física o jurídica que lo despliega. No existe ningún estatuto de responsabilidad específico para la IA.
¿Puedo probar productos financieros de IA en Kuwait?
Sí. El Banco Central de Kuwait opera el hub de innovación Wolooj, un entorno supervisado para probar IA, fintech y tecnologías relacionadas, mientras siguen aplicándose las normas prudenciales y de protección al consumidor vigentes.
¿Cómo se compara Kuwait con los Emiratos Árabes Unidos y Arabia Saudí?
Kuwait se encuentra en una etapa más temprana de su desarrollo. Los Emiratos Árabes Unidos y Arabia Saudí cuentan con instituciones y estrategias de IA dedicadas que comenzaron años antes, mientras que Kuwait dispone de un borrador de estrategia, menos centros de datos y aún no tiene una autoridad de IA, aunque avanza a través de asociaciones gubernamentales con Microsoft (un acuerdo estratégico firmado el 6 de marzo de 2025) y Google Cloud.
¿Podría Kuwait aprobar una ley de IA pronto?
Es posible. La Asamblea Nacional ha estado suspendida desde mayo de 2024, por lo que cualquier nueva ley de IA llegaría mediante decreto del Emir en lugar de por vía legislativa. Esto significa que un marco vinculante podría aparecer con escaso proceso parlamentario.