¿Qué es la regulación de la IA en Arabia Saudí?
Regulación de la IA: países y regiones
Arabia Saudí no regula la IA mediante un único AI Act general. En su lugar, utiliza un modelo por capas: los Principios de Ética de IA de SDAIA como marco principal de gobernanza nacional, orientaciones para el sector público de SDAIA y la Autoridad de Gobierno Digital, y leyes horizontales vinculantes como la Ley de Protección de Datos Personales y las normas de gobierno digital. En la práctica, las organizaciones deben gestionar la IA mediante clasificación de riesgos, gobernanza de datos, supervisión humana, documentación y cumplimiento sectorial.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En Arabia Saudí, la "regulación de la IA" suele referirse a una arquitectura de gobernanza oficial más que a un único estatuto codificado sobre IA. El documento central son los Principios de Ética de IA de SDAIA. Estos principios se introdujeron en 2023 como marco nacional y fueron seguidos posteriormente por orientaciones más operativas, especialmente en 2024 para la IA generativa y el uso en el sector público.
Esto diferencia a Arabia Saudí de las jurisdicciones que se apoyan en una única ley de IA de aplicación transversal. La pregunta práctica no es solo si existe un estatuto específico sobre IA, sino también qué marco oficial, ley de datos, norma de gobierno digital, condición de contratación o requisito sectorial se aplica a un sistema de IA concreto.
Para la mayoría de las organizaciones, la forma correcta de interpretar la posición saudí es como una estructura por capas. En la cima se encuentran los principios éticos y las orientaciones públicas. Por debajo se sitúan las leyes vinculantes, especialmente la protección de datos personales, y luego las obligaciones contractuales, de contratación pública y sectoriales que hacen operativo el marco en el trabajo cotidiano.
Por qué es importante
Si se desarrolla, adquiere, despliega o gobierna IA en Arabia Saudí, el país espera algo más que un rendimiento técnico: espera una gobernanza documentada. Esto es relevante para los ministerios, los proveedores del sector público, las empresas reguladas y cualquier organización que gestione datos personales vinculados a residentes en Arabia Saudí.
El riesgo comercial es claro. Un equipo que ignore las orientaciones saudíes puede incumplir los requisitos de licitación, hacer un uso indebido de información gubernamental, no documentar la revisión humana o implantar una herramienta cuyo nivel de riesgo exige controles más estrictos. El riesgo legal también es real, porque la capa ética convive con normas vinculantes como la Ley de Protección de Datos Personales.
Para los equipos directivos, el modelo saudí es relevante porque premia la preparación. Las organizaciones que pueden demostrar clasificación de riesgos, controles de datos, responsabilidad clara, pruebas, explicabilidad y un canal para reclamaciones o correcciones se encuentran en una posición mucho más sólida que los equipos que tratan la IA como una adquisición de software ordinaria.
Cómo funciona
El modelo saudí actual
Según lo verificado con material oficial público y el seguimiento jurídico reciente, el marco de IA de Arabia Saudí se articula en torno a principios oficiales, orientaciones y leyes complementarias, no a un único AI Act general. SDAIA actúa como autoridad nacional central para los datos y la IA. La Autoridad de Gobierno Digital añade la capa del sector público para el gobierno digital. En otras palabras, la regulación de la IA en Arabia Saudí se entiende mejor como un sistema de gobernanza con varios instrumentos oficiales que funcionan de forma conjunta.
Los Principios de Ética de IA son la referencia nacional central
Los Principios de Ética de IA de SDAIA son el principal punto de referencia nacional. Se aplican a lo largo del ciclo de vida del sistema de IA y están concebidos para abarcar a todos los actores de la IA en el Reino, no solo a los ministerios o los organismos estatales. El marco utiliza siete principios: equidad; privacidad y seguridad; humanidad; beneficios sociales y medioambientales; fiabilidad y seguridad; transparencia y explicabilidad; responsabilidad y rendición de cuentas.
El marco también emplea la clasificación de riesgos. Distingue entre riesgo escaso o nulo, riesgo limitado, alto riesgo y riesgo inaceptable. El texto oficial establece que los sistemas de riesgo inaceptable no están permitidos, y ofrece ejemplos como la elaboración de perfiles sociales, la explotación de menores y la distorsión del comportamiento. Para los sistemas de alto riesgo, el marco prevé una revisión más rigurosa, incluida la evaluación de la conformidad previa y posterior.
Más allá de los valores de alto nivel, el documento es operativo. Asigna funciones de gobernanza, vincula los controles a las fases de planificación, diseño, desarrollo, validación, despliegue y seguimiento, y permite a SDAIA utilizar distintivos que reflejan el progreso en la adopción del marco.
La IA en el sector público está sujeta a una gobernanza más estricta
Cuando la IA se utiliza dentro de la administración o se suministra para trabajos de gobierno digital, las expectativas de gobernanza se vuelven más específicas. Las Directrices de Inteligencia Artificial Generativa para el Gobierno de SDAIA instan a las entidades gubernamentales a aplicar los Principios de Ética de IA cuando utilicen herramientas de IA generativa. La orientación se articula en torno al uso responsable de los datos gubernamentales y reconoce las funciones y responsabilidades dentro de la entidad, incluido el papel central de la Oficina de Gestión de Datos.
Las orientaciones gubernamentales también trasladan el control a la práctica cotidiana. Advierten contra la introducción de información que no esté debidamente clasificada en herramientas de IA generativa y vinculan el uso de la IA a las obligaciones de protección de datos. Esto es especialmente importante porque muchos fallos prácticos en la gobernanza de la IA comienzan en los flujos de trabajo habituales del personal, no en el diseño del modelo.
Esta capa se refuerza con la Autoridad de Gobierno Digital. El Marco Regulatorio de Gobierno Digital de la DGA se aplica a todas las entidades gubernamentales, al sector sin ánimo de lucro y a los desarrolladores y operadores privados que participan en trabajos de gobierno digital. Es el paraguas bajo el que se organizan las políticas, controles, normas y directrices del gobierno digital. La IA se integra, por tanto, en un marco administrativo más amplio para los servicios digitales públicos, no al margen de él.
Las obligaciones vinculantes siguen derivando de otras leyes
Los principios de IA de Arabia Saudí no eliminan la necesidad de cumplir con el ordenamiento jurídico ordinario. La ley horizontal más importante para muchos sistemas de IA es la Ley de Protección de Datos Personales, o PDPL. Las propias orientaciones de SDAIA sobre la PDPL la describen como la ley clave para la protección de datos personales en el Reino. Se aplica al tratamiento que tiene lugar en Arabia Saudí y también alcanza a ciertos tratamientos realizados fuera del Reino cuando se refieren a personas residentes en Arabia Saudí.
Esto significa que un sistema de IA puede ser aceptable en el nivel del marco ético y aun así incumplir las obligaciones en materia de protección de datos, retención, transferencia o responsabilidades entre responsable y encargado del tratamiento. La misma lógica se aplica a las condiciones de contratación pública, la gobernanza de datos del sector público, la supervisión sectorial y otros instrumentos jurídicos que afectan al caso de uso. En Arabia Saudí, la gobernanza de la IA se superpone a las obligaciones legales existentes en lugar de sustituirlas.
Las instituciones y los mecanismos hacen real el marco
Arabia Saudí ha ido más allá de la publicación de principios y ha construido mecanismos prácticos de gobernanza en torno a ellos. La Plataforma Nacional de Gobernanza de Datos es la principal plataforma operativa para varios de estos mecanismos. Alberga la herramienta de Evaluación Ética de IA, que permite a los responsables comparar sus prácticas actuales con los criterios éticos y conocer el nivel de compromiso ético que muestra un modelo.
La misma plataforma ofrece también la Acreditación de Proveedores de Servicios de IA. Los materiales públicos la describen como una vía estructurada para que los proveedores de software y servicios de IA evalúen su alineación con los estándares éticos. El proceso incluye el registro de la entidad, el nombramiento de un responsable de IA, la presentación de cuestionarios y documentación de apoyo, y una revisión por comité que puede dar lugar a un Distintivo de Incentivo y un certificado de acreditación.
Estos mecanismos son importantes porque generan evidencia. Convierten los principios abstractos en registros evaluables, responsables identificados, documentos presentados y pasos de revisión. Para los operadores, los compradores y los organismos públicos, ese tipo de evidencia es a menudo lo que distingue una declaración de política de un sistema de gobernanza operativo.
El marco sigue ampliándose
La arquitectura de IA de Arabia Saudí no es estática. El material oficial publicado tras los principios éticos centrales incluye orientaciones sobre IA generativa, orientaciones relacionadas con deepfake y un Marco de Adopción de IA más amplio. La dirección es clara: Arabia Saudí está construyendo un conjunto de herramientas de gobernanza de IA más amplio en torno a los principios éticos, especialmente para la administración pública y los usos de alto impacto.
Lo que hoy está confirmado es el modelo de principios y orientaciones. Lo que hoy no está confirmado es un AI Act general de aplicación transversal con su propio código único de aplicación. Por ahora, las organizaciones deben tratar la regulación de la IA en Arabia Saudí como una arquitectura de gobernanza en evolución, pero ya práctica.
Ejemplos
Una entidad gubernamental que quiera que su personal utilice una herramienta de IA generativa para redacción no puede tratarla como una aplicación de consumo ordinaria. Las orientaciones gubernamentales de SDAIA esperan que la entidad aplique los Principios de Ética de IA, gestione la clasificación de datos, involucre a la Oficina de Gestión de Datos y evite introducir información que no esté debidamente clasificada. Si la herramienta va a tratar datos personales, las obligaciones de la PDPL también se aplican a ese flujo de trabajo.
Un proveedor de software de IA que desee un reconocimiento formal puede utilizar la vía de acreditación de la Plataforma Nacional de Gobernanza de Datos. El proveedor registra la entidad, nombra a un responsable de IA, añade el producto, completa el cuestionario, carga los archivos requeridos y espera la revisión del comité. Si se aprueba, el proceso puede dar lugar a un Distintivo de Incentivo y un Certificado de Acreditación de Proveedor de Servicios de IA.
Una organización que esté desarrollando u operando un sistema de IA también puede utilizar la herramienta de Evaluación Ética de IA en la misma plataforma. La herramienta está diseñada para comparar la práctica actual con los criterios éticos de SDAIA e indicar el nivel de compromiso ético que muestra el modelo. Esto ofrece a los equipos una forma concreta de comprobar si sus controles internos cumplen las expectativas saudíes antes del despliegue o la contratación.
Malentendidos frecuentes
"Arabia Saudí ya tiene un único AI Act." No en la actualidad. El modelo vigente es un conjunto de principios oficiales, orientaciones y leyes complementarias, no un único estatuto consolidado sobre IA.
"Los Principios de Ética de IA solo importan a los organismos gubernamentales." No. SDAIA los concibe como aplicables a todos los actores de la IA en el Reino.
"Si un sistema es de bajo riesgo según el marco de IA, el trabajo legal ha concluido." No. La PDPL, la contratación pública, los controles de gobierno digital y las normas sectoriales pueden seguir siendo aplicables.
"El personal gubernamental puede introducir cualquier información interna en una herramienta de IA generativa." No. Las orientaciones del gobierno saudí hacen hincapié en la clasificación de datos y el manejo responsable de la información gubernamental.
"La acreditación de IA equivale a una licencia legal universal." No. Es una vía de acreditación oficial, pero los materiales públicos actuales no la presentan como un permiso obligatorio para todo despliegue de IA en el Reino.
Riesgos y límites
El enfoque actual de Arabia Saudí es sólido en cuanto a arquitectura de gobernanza, pero es menos sencillo que un AI Act único. Las organizaciones deben ensamblar sus obligaciones a partir de varios instrumentos. Un proyecto puede parecer aceptable bajo el marco ético de IA y aun así incumplir la PDPL, la contratación pública o los requisitos sectoriales específicos.
El ámbito de aplicación también es relevante. El marco de gobierno digital de la DGA está dirigido a las entidades gubernamentales y a quienes desarrollan u operan trabajos de gobierno digital en torno a ellas. No debe tratarse como un código universal de IA para el sector privado aplicable a todo despliegue comercial en el Reino.
Existe también una frontera activa entre las orientaciones oficiales y la ley directamente vinculante. Los principios éticos, las orientaciones gubernamentales, las herramientas de evaluación y los mecanismos de acreditación son todos importantes, pero la fuerza jurídica exacta de un requisito concreto puede depender de la ley subyacente, el tipo de entidad implicada, las condiciones de contratación o el regulador sectorial que supervisa el caso de uso.
El último límite es temporal. Arabia Saudí sigue incorporando nuevo material en torno al marco central. Lo que está claramente confirmado es el modelo de principios éticos y orientaciones públicas. Lo que sigue siendo incierto es si Arabia Saudí codificará posteriormente esa arquitectura en una única ley específica sobre IA.
Próximos pasos
Comience con un inventario. Identifique todos los casos de uso de IA que afecten a operaciones en Arabia Saudí, a datos de residentes saudíes o a trabajos del sector público saudí. A continuación, clasifique cada caso de uso por riesgo y registre el motivo de esa calificación.
Después, asigne responsables nominados en las áreas de gobernanza de IA, privacidad, seguridad, contratación y garantía técnica. En Arabia Saudí, la responsabilidad difusa es un punto débil, porque el marco oficial exige una responsabilidad interna y una revisión claras.
Para cualquier despliegue orientado al gobierno, confirme los instrumentos de la DGA y SDAIA aplicables antes de la fase piloto, no después de la contratación. Verifique la clasificación de datos, el uso permitido de datos, las instrucciones al personal, las condiciones con los proveedores y el plan de revisión humana.
Por último, elabore un expediente de evidencias para cada sistema de IA relevante: finalidad, fuentes de datos, descripción del modelo o servicio, calificación de riesgo, pruebas, supervisión humana, gestión de incidentes y normas de retención. Cuando proceda, utilice la herramienta de Evaluación Ética de IA y valore si la acreditación formal sería útil para la contratación, la confianza o la gobernanza interna.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Arabia Saudí una única ley de IA?
No en este momento. Arabia Saudí se apoya actualmente en los Principios de Ética de IA de SDAIA, las orientaciones públicas, la regulación del gobierno digital y leyes existentes como la PDPL, en lugar de un único AI Act general.
¿Cuáles son las principales autoridades saudíes en materia de gobernanza de la IA?
SDAIA es la autoridad nacional central para los datos y la IA. La Autoridad de Gobierno Digital es central para las normas de gobierno digital del sector público. Los reguladores sectoriales también pueden ser relevantes cuando la IA se utiliza en un ámbito supervisado.
¿Se aplican los Principios de Ética de IA solo a los ministerios?
No. SDAIA concibe los principios como aplicables a todos los actores de la IA en el Reino, a lo largo del ciclo de vida de los sistemas de IA.
¿Cuáles son los principales principios éticos de IA de Arabia Saudí?
Son los siguientes: equidad; privacidad y seguridad; humanidad; beneficios sociales y medioambientales; fiabilidad y seguridad; transparencia y explicabilidad; responsabilidad y rendición de cuentas.
¿Por qué el sector público afronta pasos adicionales de gobernanza de la IA?
Porque el uso de la IA en la administración se integra en el marco más amplio de gobierno digital de Arabia Saudí. Los organismos públicos deben gestionar la clasificación de datos, la responsabilidad interna, los controles de gobierno digital y, cuando proceda, las obligaciones de la PDPL.
¿Cómo afecta la PDPL a los proyectos de IA?
Si un proyecto de IA trata datos personales en Arabia Saudí, o trata datos personales relativos a personas residentes en Arabia Saudí en circunstancias cubiertas por la ley, las obligaciones de la PDPL pueden aplicarse junto con el marco de IA.
¿Es obligatoria la Acreditación de Proveedor de Servicios de IA?
Los materiales públicos actuales la describen como una vía de acreditación oficial con pasos de revisión y certificados. No la presentan como una licencia estatutaria universal para todo sistema de IA en el Reino.
¿Qué debe verificar primero un proveedor del gobierno saudí?
Debe comprobar si el proyecto está dentro del marco de gobierno digital de la DGA, las orientaciones de SDAIA sobre ética de IA e IA generativa, la PDPL, y cualquier condición de licitación o contrato que imponga obligaciones adicionales de gobernanza o manejo de datos.