References

esjl

Eurasian Scientific Journal of Law

2959-41972959-4200

Университет «Туран»

10.46914/2959-4197-2026-1-3-285-299

esjl-900

Research Article

МЕЖДУНАРОДНОЕ И СРАВНИТЕЛЬНОЕ ПРАВО

INTERNATIONAL AND COMPARATIVE LAW

Институциональные и правовые механизмы защиты персональных данных при использовании искусственного интеллекта в Республике Казахстан: сравнительно-правовой анализ с европейской моделью

Institutional and legal mechanisms for personal data protection within ai usage in Kazakhstan: a comparative legal analysis with the European model

https://orcid.org/0009-0009-5137-9835

Дюсебаев

Ж. С.

Dyussebayev

Z. S.

докторант

г. Алматы

PhD student

Almat

z.dyussebayev@turan-edu.kz

https://orcid.org/0009-0009-4710-0387

Рехсон

C. Н.

Rehson

S. N.

к.ю.н., ассоциированный профессор

г. Алматы

PhD, associate professor

Almat

s.rekhson@turan-edu.kz

https://orcid.org/0009-0007-5328-6443

Сабердинова

А. А.

Saberdinova

A. A.

м.ю.н., сениор-лектор

г. Алматы

master of law, senior lecturer

Almaty

asaberdinova@turan-edu.kz

https://orcid.org/0000-0001-7666-8048

Кудрявцева

А. В.

Kudryavtseva

A. V.

д.ю.н., профессор

Санкт-Петербург

d.l.s., professor

Saint Petersburg

Университет «Туран»КазахстанTuran UniversityKazakhstan

Северо-Западный филиал Российского государственного университета правосудия им. В.М. ЛебедеваРоссияNorth-Western Branch of the Lebedev Russian State UniversityRussian Federation

2026

18092026

03(16)285299

2026

Дюсебаев Ж.С., Рехсон C.Н., Сабердинова А.А., Кудрявцева А.В.

Dyussebayev Z.S., Rehson S.N., Saberdinova A.A., Kudryavtseva A.V.

Данная работа распространяется под лицензией Creative Commons Attribution 4.0.

This work is licensed under a Creative Commons Attribution 4.0 License.

https://esjl.turan-edu.kz/jour/article/view/900

В статье проводится комплексный анализ институциональных и правовых механизмов защиты персональных данных при использовании технологий искусственного интеллекта (ИИ) в Республике Казахстан.Особое внимание уделяется сравнению с европейской моделью регулирования, в частности с Общим регламентом ЕС по защите данных (GDPR) и Регламентом об искусственном интеллекте (AI Act). Обоснована актуальность исследования в контексте масштабной цифровой трансформации Казахстана и реализации национальных стратегий в области ИИ. Цель работы – выявить правовые пробелы и противоречия между стимулированием инноваций в ИИ и гарантиями конфиденциальности личности. Методологической основой служатформально-юридический, сравнительно-правовой и институциональный подходы. Проанализированы ключевые нормативные акты Республики Казахстан, регулирующие отношения в сфере защиты персональныхданных, цифровизации и искусственного интеллекта, а также действующие стратегические документы. Особое внимание уделено взаимосвязи правового регулирования персональных данных, цифровых технологийи искусственного интеллекта. Установлено, что казахстанское законодательство активно синхронизируется севропейскими стандартами, вводя рискориентированную модель регулирования ИИ с запретами на дискриминационные алгоритмы. Однако выявлены и пробелы: недостаточное внимание к предварительной оценкерисков ИИ-систем, ограниченность институционального надзора и права на объяснение автоматизированныхрешений. Результаты исследования актуальны для совершенствования нормативной базы Казахстана в области цифрового суверенитета, ИИ и защиты персональных данных.

This article provides a comprehensive analysis of institutional and legal mechanisms for protecting personal data in the context of artificial intelligence (AI) usage in Kazakhstan, compared with the European regulatory framework. Special attention is given to the EU General Data Protection Regulation (GDPR) and the AI Act. The relevance of the study is justified by Kazakhstan’s large-scale digital transformation and national AI strategies. The study aims to identify legal gaps and conflicts between innovation incentives in AI and privacy guarantees. Methodologically, it employs formal-legal, comparative-legal, and institutional approaches. The key regulatory acts of the Republic of Kazakhstan governing relations in the field of personal data protection, digitalization, and artificial intelligence were analyzed, along with the current strategic documents. Particular attention was paid to the interrelationship between the legal regulation of personal data, digital technologies, and artificial intelligence. It is found that Kazakhstan is actively aligning with European standards, introducing a risk-based approach to AI regulation with bans on discriminatory algorithms. However, gaps are identified: insufficient attention to prior risk assessments, limited institutional oversight, and underdeveloped rights to explanations for automated decisions. The findings are relevant for improving Kazakhstan’s regulatory framework on digital sovereignty, AI, and data protection.

искусственный интеллектперсональные данныецифровой суверенитеткибербезопасностьзащита данныхрегламент GDPRзаконность обработки

artificial intelligencepersonal datadigital sovereigntycybersecuritydata protectionGDPRlawfulness of processing

References1

Конституция Республики Казахстан: принята на республиканском референдуме 15 марта 2026 года // ИПС «Әділет». – 2026. URL: https://adilet.zan.kz/rus/docs/K2600000000 (дата обращения: 04.09.2026).

Konstitucija Respubliki Kazahstan: prinjata na respublikanskom referendume 15 marta 2026 goda // IPS «Adilet». 2026. URL: https://adilet.zan.kz/rus/docs/K2600000000 (data obrashhenija: 04.09.2026) (In Russian)

Закон Республики Казахстан «О персональных данных и их защите» от 21 мая 2013 года № 94-V // ИПС «Әділет». – 2026. URL: https://adilet.zan.kz/rus/docs/Z1300000094 (дата обращения: 13.07.2026).

Zakon Respubliki Kazahstan «O personal’nyh dannyh i ih zashhite» ot 21 maja 2013 goda No. 94-V // IPS «Әdіlet». 2026. URL: https://adilet.zan.kz/rus/docs/Z1300000094 (data obrashhenija: 13.07.2026) (In Russian)

Цифровой кодекс Республики Казахстан: Кодекс Республики Казахстан от 9 января 2026 года № 255-VIII ЗРК // ИПС «Әділет». – 2026. URL: https://adilet.zan.kz/rus/docs/K2600000255 (дата обращения: 13.07.2026).

Cifrovoj kodeks Respubliki Kazahstan: Kodeks Respubliki Kazahstan ot 9 janvarja 2026 goda No. 255-VIII ZRK // IPS «Adilet». 2026. URL: https://adilet.zan.kz/rus/docs/K2600000255 (data obrashhenija: 04.09.2026) (In Russian)

Об утверждении Концепции кибербезопасности («Киберщит Казахстана»): постановление Правительства Республики Казахстан от 30 июня 2017 года № 407 // ИПС «Әділет». – 2026. URL: https://adilet.zan.kz/rus/docs/P1700000407 (дата обращения: 13.07.2026).

Ob utverzhdenii Koncepcii kiberbezopasnosti («Kibershhit Kazahstana»): postanovlenie Pravitel’stva Respubliki Kazahstan ot 30 ijunja 2017 goda No. 407 // IPS «Әdіlet». 2026. URL: https://adilet.zan.kz/rus/docs/P1700000407 (data obrashhenija: 13.07.2026) (In Russian)

Об утверждении Концепции развития искусственного интеллекта на 2024–2029 годы: постановление Правительства Республики Казахстан от 24 июля 2024 года № 592 // ИПС «Әділет». – 2026. URL: https://adilet.zan.kz/rus/docs/P2400000592 (дата обращения: 13.07.2026).

Ob utverzhdenii Koncepcii razvitija iskusstvennogo intellekta na 2024–2029 gody: postanovlenie Pravitel’stva Respubliki Kazahstan ot 24 ijulja 2024 goda No. 592 // IPS «Әdіlet». 2026. URL: https://adilet.zan.kz/rus/docs/P2400000592 (data obrashhenija: 13.07.2026) (In Russian)

Министерство искусственного интеллекта и цифрового развития Республики Казахстан: официальный сайт. URL: https://www.gov.kz/memleket/entities/maidd?lang=ru (дата обращения: 13.07.2026).

Ministerstvo iskusstvennogo intellekta i cifrovogo razvitija Respubliki Kazahstan: oficial’nyj sajt. URL: https://www.gov.kz/memleket/entities/maidd?lang=ru (data obrashhenija: 13.07.2026) (In Russian)

Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) // Official Journal of the European Union. 2016. L 119. P. 1–88. URL: https://eur-lex.europa.eu/eli/reg/2016/679/oj (accessed: 13.07.2026).

Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act) // Official Journal of the European Union. 2024. OJ L, 2024/1689. URL: https://eur-lex.europa.eu/eli/reg/2024/1689/oj (accessed: 13.07.2026).

European Data Protection Board. Guidelines 4/2019 on Article 25 Data Protection by Design and by Default. Version 2.0. Brussels, 2020. URL: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-42019-article-25-data-protection-design-and_en (accessed: 13.07.2026).

European Data Protection Board (2020) Guidelines 4/2019 on Article 25 Data Protection by Design and by Default. Version 2.0. Brussels. URL: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-42019-article-25-data-protection-design-and_en (accessed: 13.07.2026) (In English)

Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data. CETS No. 223. Strasbourg, 2018. URL: https://www.coe.int/en/web/conventions/full-list?module=treaty-detail&treatynum=223 (accessed: 13.07.2026).

Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data. CETS No. 223. Strasbourg, 2018. URL: https://www.coe.int/en/web/conventions/fulllist?module=treaty-detail&treatynum=223 (accessed: 13.07.2026) (In English)

Andraško J., Mesarčík M., Hamuľák O. The regulatory intersections between artificial intelligence, data protection and cyber security: challenges and opportunities for the EU legal framework // AI & Society. 2021. Vol. 36. No. 2. P. 623–636.

Andraško J., Mesarčík M., Hamuľák O. (2021) The regulatory intersections between artificial intelligence, data protection and cyber security: challenges and opportunities for the EU legal framework // AI & Society. Vol. 36. No. 2. P. 623–636. (In English)

Hacker P. A legal framework for AI training data: from first principles to the Artificial Intelligence Act // Law, Innovation and Technology. 2023. Vol. 15. No. 2. P. 257–301.

Hacker P. (2023)Alegal framework forAI training data: from first principlesto theArtificial Intelligence Act // Law, Innovation and Technology. Vol. 15. No. 2. P. 257–301. (In English)

Wachter S., Mittelstadt B., Russell C. Why fairness cannot be automated: bridging the gap between EU non-discrimination law and AI // Computer Law & Security Review. 2021. Vol. 41. Article 105567.

Wachter S., Mittelstadt B., Russell C. (2021) Why fairness cannot be automated: bridging the gap between EU non-discrimination law and AI // Computer Law & Security Review. Vol. 41. Article 105567. (In English)

Kaminski M.E., Malgieri G. Algorithmic impact assessments under the GDPR: producing multi-layered explanations // International Data Privacy Law. 2021. Vol. 11. No. 2. P. 125–144.

Kaminski M.E., Malgieri G. (2021) Algorithmic impact assessments under the GDPR: producing multilayered explanations // International Data Privacy Law. Vol. 11. No. 2. P. 125–144. (In English)

Smuha N.A. From a “race to AI” to a “race to AI regulation”: regulatory competition for artificial intelligence // Law, Innovation and Technology. 2021. Vol. 13. No. 1. P. 57–84.

Smuha N.A. (2021) From a “race to AI” to a “race to AI regulation”: regulatory competition for artificial intelligence // Law, Innovation and Technology. Vol. 13. No. 1. P. 57–84. (In English)

Veale M., Zuiderveen Borgesius F. Demystifying the Draft EU Artificial Intelligence Act: analysing the good, the bad, and the unclear elements of the proposed approach // Computer Law Review International. 2021. Vol. 22. No. 4. P. 97–112.

Veale M., Zuiderveen Borgesius F. (2021) Demystifying the Draft EU Artificial Intelligence Act: analysing the good, the bad, and the unclear elements of the proposed approach // Computer Law Review International. Vol. 22. No. 4. P. 97–112. (In English)

Binns R. Human judgment in algorithmic loops: individual justice and automated decision-making // Regulation & Governance. 2022. Vol. 16. No. 1. P. 197–211.

Binns R. (2022) Human judgment in algorithmic loops: individual justice and automated decisionmaking // Regulation & Governance. Vol. 16. No. 1. P. 197–211. (In English)

Adams-Prassl J., Binns R., Kelly-Lyth A. Directly discriminatory algorithms // The Modern Law Review. 2023. Vol. 86. No. 1. P. 144–175.

Adams-Prassl J., Binns R., Kelly-Lyth A. (2023) Directly discriminatory algorithms // The Modern Law Review. Vol. 86. No. 1. P. 144–175. (In English)

Almada M., Petit N. The EU AI Act: between product safety and fundamental rights // Common Market Law Review. 2024. Vol. 61. No. 3. P. 655–696.

Almada M., Petit N. (2024) The EU AI Act: between product safety and fundamental rights // Common Market Law Review. Vol. 61. No. 3. P. 655–696. (In English)

Mantelero A. The Fundamental Rights Impact Assessment in the AI Act: roots, legal obligations and key elements for a model template // Computer Law & Security Review. 2024. Vol. 54. Article 105980.

Mantelero A. (2024) The Fundamental Rights Impact Assessment in the AI Act: roots, legal obligations and key elements for a model template // Computer Law & Security Review. Vol. 54. Article 105980. (In English)

Novelli C., Taddeo M., Floridi L. Accountability in artificial intelligence: what it is and how it works // AI & Society. 2024. Vol. 39. P. 1871–1882.

Novelli C., Taddeo M., Floridi L. (2024) Accountability in artificial intelligence: what it is and how it works // AI & Society. Vol. 39. P. 1871–1882. (In English)

Casarosa F. Cybersecurity certification of Artificial Intelligence: a missed opportunity to coordinate between the Artificial Intelligence Act and the Cybersecurity Act // International Cybersecurity Law Review. 2022. Vol. 3. P. 5–32.

Casarosa F. (2022) Cybersecurity certification of Artificial Intelligence: a missed opportunity to coordinate between the Artificial Intelligence Act and the Cybersecurity Act // International Cybersecurity Law Review. Vol. 3. P. 5–32. (In English)

Peukert C., Bechtold S., Batikas M., Kretschmer T. Regulatory export and spillovers: how GDPR affects global markets for data // Management Science. 2022. Vol. 68. No. 4. P. 3186–3204.

Peukert C., Bechtold S., Batikas M., Kretschmer T. (2022) Regulatory export and spillovers: how GDPR affects global markets for data // Management Science. Vol. 68. No. 4. P. 3186–3204. (In English)

Laux J., Wachter S., Mittelstadt B. Trustworthy artificial intelligence and the European Union AI Act: on the conflation of trustworthiness and acceptability of risk // Regulation & Governance. 2024. Vol. 18. No. 1. P. 3–32.

Laux J., Wachter S., Mittelstadt B. (2024) Trustworthy artificial intelligence and the European Union AI Act: on the conflation of trustworthiness and acceptability of risk // Regulation & Governance. Vol. 18. No. 1. P. 3–32. (In English)

Judgment of the Court of Justice of the European Union of 7 December 2023, OQ v Land Hessen, Case C-634/21, ECLI:EU:C:2023:957. URL: https://curia.europa.eu/juris/liste.jsf?num=C-634/21 (accessed: 13.07.2026).

Judgment of the Court of Justice of the European Union of 16 July 2020, Data Protection Commissioner v Facebook Ireland Ltd and Maximillian Schrems, Case C-311/18, ECLI:EU:C:2020:559. URL: https://curia.europa.eu/juris/liste.jsf?num=C-311/18 (accessed: 13.07.2026).

Умитчинова Б.А., Гаврилова Ю.А., Мензюк Г.А. Правовое регулирование персональных данных в условиях развития искусственного интеллекта: зарубежный опыт и вызовы для Казахстана // Вестник Института законодательства и правовой информации Республики Казахстан. 2025. № 3 (80). С. 37–53. DOI: 10.52026/2788-5291_2025_80_3_37

Umitchinova B.A., Gavrilova Ju.A., Menzjuk G.A. (2025) Pravovoe regulirovanie personal’nyh dannyh v uslovijah razvitija iskusstvennogo intellekta: zarubezhnyj opyt i vyzovy dlja Kazahstana // Vestnik Instituta zakonodatel’stva i pravovoj informacii Respubliki Kazahstan. No. 3 (80). P. 37–53. DOI: 10.52026/2788-5291_2025_80_3_37 (In Russian)

Кусаинова А.К. Проблемы правового регулирования и перспективы совершенствования законодательства Республики Казахстан в сфере защиты персональных данных // Veritas Legis Journal. 2026. Т. 2. № 2. DOI: 10.62687/VLJ.2.2.2026.50.

Kusainova A.K. (2026) Problemy pravovogo regulirovanija i perspektivy sovershenstvovanija zakonodatel’stva Respubliki Kazahstan v sfere zashhity personal’nyh dannyh // Veritas Legis Journal. V. 2. No. 2. DOI: 10.62687/VLJ.2.2.2026.50 (In Russian)

The authors declare that there are no conflicts of interest present.