引言
对于未在沙特王国实际设立机构的公司而言，沙特阿拉伯的《个人数据保护法》(PDPL) 常被视为一项国内事务。这种看法是错误的，而且在当下比以往更为重要：沙特阿拉伯正将自身定位为地区性的技术与人工智能中心，国际企业也在权衡是否进入该市场。PDPL 适用于在沙特阿拉伯境内进行的、或与居住在沙特的个人相关的个人数据处理活动，无论处理方是谁、位于何处。一家在沙特没有办事处、但在世界任何地方处理沙特居民数据的公司，同样属于该法的适用范围。
两个机构，一部法律
沙特阿拉伯的数据保护体系由两个职责互补的独立机构管理。沙特数据和人工智能管理局 (SDAIA) 是监督 PDPL 本身实施的主管机构，负责登记、同意要求、跨境传输审批以及数据主体权利。国家网络安全局与其并行运作，监督各组织为保护 PDPL 所管辖的数据而必须维持的网络安全控制措施。要顺利进入沙特市场，就需要同时与这两个机构打交道，而不是假定仅完成 PDPL 登记就能覆盖叠加其上的网络安全要求。
为何 SDAIA 的双重职能对 AI 部署尤为重要
SDAIA 的名称并非偶然：负责执行数据保护的机构，同时也是沙特阿拉伯的国家人工智能主管机构。对于部署处理沙特居民数据的 AI 系统的任何公司而言，这意味着数据保护合规与 AI 治理要求归属于同一个监管机构，而不是由依据不同框架运作的两个独立机构分别管辖。这种集中可以简化与监管机构的沟通，但也意味着 SDAIA 有能力以执行 PDPL 核心条款时同样的权力，审查 AI 的数据治理，包括训练数据的来源、用于模型训练的跨境数据流动以及数据的持续准确性。
- 根据是否有任何处理活动涉及沙特居民的数据来确认 PDPL 是否适用，无论贵组织位于何处
- 直接向 SDAIA 登记并与其沟通，而不是假定在其他地区的一般隐私合规已涵盖沙特的要求
- 将国家网络安全局的控制措施与 PDPL 的数据主体权利义务分开梳理：二者相关，但并不相同
- 对于 AI 系统，应预期 SDAIA 在数据保护和 AI 治理方面的专业能力会汇聚于对训练数据来源和准确性的同一审查
证据门槛如出一辙，只是换了一个司法管辖区
与欧盟的 DORA、NIS2 和《人工智能法》等监管制度以及阿联酋相互交叠的框架一样，沙特阿拉伯的体系归根结底提出的是同一个根本问题：组织能否持续证明，其数据以及基于这些数据构建的系统，始终与其所声明的完全一致。以持续、可验证的证据而非定期自我报告为基础的合规计划，能够很好地适用于所有这些司法管辖区，因为即便具体的法律措辞和指定机构各不相同，其根本要求是一致的。
沙特阿拉伯 PDPL 的适用范围远超大多数国际企业的预期，而其 AI 主管机构就设在执行数据保护的同一监管机构之内。了解 ROOTKey 如何构建一个跨司法管辖区、可持续验证的统一证据层。