Reglementation de l'IA au Moyen-Orient : 14 pays notes, compares et cartographies

Pas de loi unique sur l'IA. La reglementation est deja la.

Si vous attendez un equivalent moyen-oriental du EU AI Act, ce n'est pas pour demain. La region construit sa gouvernance de l'IA par 3 canaux distincts : des strategies nationales et chartes ethiques (en grande partie non contraignantes, mais qui gagnent en poids), des lois sur la protection des donnees (contraignantes et de plus en plus appliquees), et des regulateurs sectoriels (surtout les banques centrales) qui emettent des orientations operationnelles sur l'IA.

Nous avons etudie 14 juridictions, les avons evaluees sur 10 dimensions de gouvernance et organise les resultats en 3 niveaux.

Les 3 canaux de la gouvernance de l'IA

Le premier canal : les strategies nationales et chartes ethiques sur l'IA. Tous les pays de Tier 1 et la plupart des pays de Tier 2 en ont publie. Elles fixent des attentes en matiere de transparence, d'equite, de supervision humaine et de responsabilite. Elles sont generalement non contraignantes. Mais elles gagnent un poids reel par ce que nous appelons le "durcissement du soft law" : les equipes d'achat public les citent dans les appels d'offres, les regulateurs les integrent dans leurs cadres d'examen, et les grandes entreprises les inscrivent dans les contrats fournisseurs. Considerer ces documents comme "purement aspirationnels" sous-estime le risque de conformite.

Le deuxieme canal : le droit de la protection des donnees. C'est le socle contraignant. Les EAU, l'Arabie saoudite, le Qatar, Oman, l'Egypte, Bahrain, la Jordanie et le Koweit ont tous adopte ou sont en train de mettre en oeuvre des lois sur la protection des donnees personnelles. Pour les systemes d'IA qui traitent des donnees personnelles, ces lois imposent des obligations concretes : base juridique de traitement, minimisation des donnees, controles de securite, restrictions sur les transferts transfrontaliers, et dans certains cas des garanties contre les decisions automatisees.

Le troisieme canal : les regulateurs sectoriels. Les regulateurs financiers sont en premiere ligne. Les orientations de la Banque centrale des EAU de 2026 sur l'utilisation responsable de l'IA/ML, la directive IA de la Banque centrale du Qatar et les dispositions de l'ADGM sur l'IA et l'analyse de donnees massives sont les instruments les plus specifiques en matiere de conformite que nous avons trouves. Ils creent des attentes de supervision qui vont au-dela des chartes nationales : cadres de gouvernance, processus d'approbation, monitoring, transparence et traitement des reclamations des consommateurs.

Scores de maturite pour 14 pays

Chaque pays a ete evalue sur 10 dimensions, echelle de 0 a 5 (maximum 50 points) :

1. Presence et specificite d'une strategie nationale IA
2. Lignes directrices ou cadres ethiques publies specifiques a l'IA
3. Reglementations contraignantes specifiques a l'IA
4. Maturite et applicabilite du regime de protection des donnees
5. Orientations IA des regulateurs sectoriels
6. Standards d'achat public en matiere d'IA
7. Institutions dediees a la gouvernance de l'IA
8. Capacite d'application demontree
9. Regles de gouvernance des donnees transfrontalieres
10. Disponibilite d'outils operationnels et de modeles

Les resultats se repartissent en 3 niveaux :

Tier 1 (Avance/Operationnel, 27-36 points) : EAU (36), Arabie saoudite (35), Israel (31), Qatar (30), Oman (28), Egypte (27). Ces pays disposent de regimes de protection des donnees contraignants, d'instruments de gouvernance IA publies et d'activite reglementaire sectorielle. Ils different dans leur approche : les EAU operent un ecosysteme multi-regulateurs, l'Arabie saoudite centralise via SDAIA, le Qatar canalise les controles IA par sa banque centrale, Israel privilegie le soft law et la gestion des risques dans le secteur public.

Tier 2 (Emergent, 18-26 points) : Bahrain (26), Jordanie (22), Koweit (18). Des fondations solides en matiere de protection de la vie privee, moins d'instruments operationnels specifiques a l'IA. Bahrain est le plus proche du Tier 1 avec un PDPL dedie et des orientations IA axees sur les achats publics, developpees avec le Forum economique mondial.

Tier 3 (Precoce, 1-12 points) : Liban (12), Irak (7), Palestine (5), Syrie (4), Yemen (1). Cadres numeriques partiels, instabilite politique dans certains cas, et sources primaires accessibles limitees.

Comment les 3 premiers pays se comparent

Les EAU et l'Arabie saoudite sont en tete, mais leurs approches sont differentes en pratique. La force des EAU tient a l'etendue : des scores homogenes en strategie, orientations IA, regles sectorielles, IA du secteur public et outillage. L'Arabie saoudite concentre le pouvoir au sein de SDAIA et obtient un meilleur score en structure institutionnelle. Les scores du Qatar sont plus serres : solide en strategie, protection des donnees et regles sectorielles (grace a sa banque centrale), mais plus faible en outillage et gouvernance transfrontaliere.

Carte thermique de la couverture reglementaire

La carte thermique montre ou la gouvernance se concentre et ou subsistent des lacunes.

• La protection des donnees est la dimension la plus homogene. Les pays de Tier 1 obtiennent tous 3-4 en protection des donnees, ce qui en fait l'ancre de conformite la plus fiable de la region.
• La reglementation contraignante specifique a l'IA est quasi inexistante. Aucun pays ne depasse 2 sur cette dimension. La region gouverne l'IA par le droit de la protection des donnees et les orientations sectorielles, pas par des lois dediees a l'IA.
• L'outillage et les orientations operationnelles varient fortement. Les EAU et Israel obtiennent 4 en outillage (modeles, outils d'auto-evaluation, guides de mise en oeuvre). La plupart des autres pays se situent a 1-2.
• Le Tier 3 est faible partout. L'Irak et la Palestine ont une activite institutionnelle (Comite supreme de l'IA, loi sur la cybercriminalite) mais presque rien en matiere d'application, de regles sectorielles ou d'outillage operationnel.

Decomposition des scores du Tier 1

La decomposition en barres empilees montre comment chaque pays de Tier 1 construit son score total. La protection des donnees et la strategie sont systematiquement solides. Les ecarts proviennent des regles sectorielles, de l'outillage et de la structure institutionnelle. Le seuil "Avance" (35 points) n'est franchi que par les EAU et l'Arabie saoudite.

L'application arrive par la protection des donnees, pas par le droit de l'IA

Les regulateurs n'attendent pas une legislation specifique a l'IA pour agir. L'application passe d'abord par les canaux de protection des donnees :

• Application dans les zones franches. Le Commissaire a la protection des donnees du DIFC a rendu des decisions d'application. Le Bureau de protection des donnees de l'ADGM a publie des orientations de conformite et mene des examens de supervision. Ce sont les capacites d'application les plus structurees pour les obligations IA liees aux donnees dans la region.
• Supervision des banques centrales. Les regulateurs financiers peuvent integrer les attentes IA dans les cycles d'examen standards. Les orientations 2026 de la Banque centrale des EAU creent des attentes de protection des consommateurs et d'IA responsable pour chaque institution financiere autorisee.
• Activation des PDPL. La SDAIA d'Arabie saoudite a commence a mettre en oeuvre l'application du PDPL. Les reglements d'execution egyptiens (Decret 816/2025) creent un calendrier de conformite. L'Autorite de protection des donnees de Bahrain dispose de pouvoirs d'application en vertu de la Loi 30/2018.

Si votre systeme d'IA traite des donnees personnelles dans l'une de ces juridictions, vous etes deja dans le perimetre d'un regulateur actif.

Jalons regionaux

La chronologie montre une acceleration depuis 2021. Avant cela, la region publiait principalement des strategies et des chartes. Depuis 2021 : les EAU ont adopte leur PDPL federal, l'Arabie saoudite a operationnalise son PDPL et ses reglements d'application, Oman a adopte son PDPL, la Jordanie a vote un nouveau PDPL, l'Egypte a emis des reglements d'execution, et la Banque centrale des EAU a publie ses orientations IA. Le rythme des instruments contraignants s'accelere.

Ce que cela signifie pour les equipes de conformite

Si vous gerez la gouvernance IA au Moyen-Orient :

1. Commencez par la protection des donnees. Le droit de la protection des donnees est la couche contraignante partout. Cartographiez vos systemes d'IA par rapport au regime de protection des donnees applicable dans chaque juridiction (et attention a la fragmentation : les EAU a eux seuls ont 3 regimes : federal, DIFC, ADGM).
2. Superposez les exigences sectorielles. Dans les services financiers, les orientations de la Banque centrale des EAU et de la Banque centrale du Qatar creent des attentes de supervision reelles. Ne les traitez pas comme facultatives.
3. N'ignorez pas le soft law. Les chartes et principes ethiques nationaux deviennent obligatoires en pratique par les achats publics, la supervision et les clauses contractuelles.
4. Utilisez le NIST AI RMF pour la coherence entre juridictions. Les fonctions GOVERN, MAP, MEASURE, MANAGE offrent une base qui fonctionne dans toute la region et s'aligne aussi sur la structure basee sur les risques du EU AI Act.
5. Constituez des preuves pres a presenter aux regulateurs des maintenant. L'application passe d'abord par la protection des donnees, puis par la supervision IA sectorielle. Avoir la documentation prete vaut mieux que d'improviser apres une demande de supervision.

Telecharger le rapport complet

La recherche complete couvre les 14 dossiers pays, des analyses sectorielles approfondies (services financiers, secteur public, sante), des tableaux comparatifs reglementaires, le mapping des frameworks EU AI Act et NIST AI RMF, et des etudes de cas d'application.

Telecharger le livre blanc complet (PDF)