サウジPDPLとデータ主権：なぜAIは王国内で稼働させる必要があるのか（2026年）

サウジアラビアの個人データ保護法は、2021年9月16日にRoyal Decree No. M/19により制定され、Royal Decree No. M/148（2023年3月27日）により実質的に改正され、その施行規則とともに2023年9月14日に施行されました。 1年間の猶予期間が続き、完全な遵守はすべての公的・民間主体に対し2024年9月14日以降義務付けられています。

SDAIA（サウジデータ人工知能庁）が所管規制当局です。 SDAIAはPDPLを監督・執行し、専門の執行委員会を運営し、Vision 2030のもとで国家データガバナンスとAI戦略を担っています。

執行は理論上のものではなく現実のものです。 2026年1月までに、SDAIAの執行委員会はPDPL違反を確認する48件の正式決定を報告しています。一般的な違反類型には、有効な法的根拠のない個人データの処理、無許可の開示、技術的・組織的保護措置の実装の不備、迷惑マーケティングが含まれます。

域外適用範囲： PDPLは、処理を行う組織の所在地にかかわらず、サウジアラビアに居住する個人の個人データのあらゆる処理に適用されます。これはGDPRと同じ広範な適用範囲モデルです。

機微個人データは、より高い保護を受ける独立したカテゴリーで、7つの種類を対象とします：人種的・民族的出自、宗教的・思想的・政治的信条、犯罪歴、識別に用いられる生体データ、遺伝データ、健康データ、および不明な血縁を示すデータ。機微データの継続的または大規模な国境を越えた移転には、移転規則に基づく義務的なリスクアセスメントが必要です。

罰則： 最大500万SAR（約133万USD）の行政罰金（再犯の場合は倍額となりうる）。害を与える目的または個人的利益のための機微個人データの意図的開示には、最大300万SARの刑事罰金に加え、懲役の可能性があります。

2026年10月6日、SDAIAはPDPL施行規則の改正案について意見募集を開始しました。初めて王国内保存の義務が条文に明記される可能性があります。 回答期限は2026年11月5日（Istitlaaプラットフォーム）で、採択された場合は官報公布から60日後に施行されます。これは草案であり、現時点では法的効力はありません。

中心となる変更は新設の第23条です。 管理者に個人データの王国内保存を求める一方、PDPLおよび関連規則に適合する国外への移転・開示は引き続き認められます。法律事務所の解釈は二つに分かれます。適法な移転に加えてローカルコピーを義務付けるものとみる説と、適法な移転があればそれに譲る原則とみる説です。施行前に文言の明確化が必要です。

AIワークロードへの意味。 ローカル推論は保存と処理の両方を王国内にとどめるため、草案のどの解釈にも適合します。国外にホストされたクラウドAPIは、第29条に基づく適法な移転経路が必要で、草案がそのまま成立すれば王国内の適合コピーも必要になります。最終文書が公表されるまでは、第29条と移転規則が従来どおり適用され、SDAIAは依然として十分性認定国リストを公表していません。

執行状況。 SDAIAは2026年1月に、PDPL違反を確認する48件の正式決定を報告しました。報告されている類型は、違法な処理、無許可の開示、保護措置の欠如、同意のないマーケティングです。確認した情報源では個別の決定や科された罰金は公表されていないため、500万SARは法定上限であり、典型的な結果ではないと理解してください。

草案は次の変更も提案しています（いずれも意見募集の結果次第です）：

プロンプトをクラウドAIのAPIに送信することは、そのプロンプトが個人データを含み、推論サーバーが王国外にある時点で、国境を越えたデータ移転となります。 PDPL第29条はまさにこのシナリオを規律します。

第29条は、あらゆる国境を越えた移転に3つの累積的条件を課します： (1) 移転が王国の国家安全保障または重要な利益を害さないこと、(2) 受領管轄区域がSDAIAの評価により、少なくともPDPLと同等のデータ保護水準を提供すること、(3) 必要最小限の個人データのみが移転されること（データ最小化）。

SDAIAはまだ十分性のある国のリストを公表していません。 公表されるまで、組織は「この国は十分である」という単純な判断に依拠できません。実務上、適法な移転は、SDAIAが発行する標準契約条項（SCCs、4つのモジュラー型）、グループ内移転のための拘束的共通規則（BCRs）、または認定証明書に依存します。そのいずれもが法的負担と継続的なリスクアセスメント義務を追加します。

米国CLOUD Act（18 U.S.C. § 2713）は、ほとんどのサウジ企業が見落としている構造的問題です。 これは米国本社のクラウドプロバイダー（AWS、Microsoft Azure、Google Cloud）に対し、有効な米国政府命令に応じてデータを保全・提出することを、*そのデータが物理的にどこに保管されているかにかかわらず*要求します。AWSリヤドリージョンやAzureサウジアラビアにあるデータも依然として到達可能です。

これは直接的な法的抵触を生みます。 サウジアラビアのクラウドコンピューティング規制枠組み（CCRF）は、クラウドサービスプロバイダーがサウジ法で要求される場合を除き、加入者データを開示することを禁止しています。CLOUD Act命令を受けた米国プロバイダーは、米国法により開示を強制されると同時に、サウジ法によりそれを禁止されます。米国・サウジ間の二国間CLOUD Act執行協定は存在せず（英国とオーストラリアのみが米国とそのような協定を締結）、明確な解決メカニズムはありません。

下記の表は、3つの導入モデルをサウジの主要なコンプライアンス次元と比較したものです。

サウジアラビア国内に物理的に設置されたハードウェア上でAIを稼働させることは、国境を越えた移転を完全に排除し、それとともにPDPLコンプライアンスの最も困難な部分を排除します。

第29条は単純に適用されません。 プロンプトとその推論がオンプレミスから一切外に出なければ、評価すべき移転も、待つべき十分性判断も、締結すべきSCCsも、提出すべき移転リスクアセスメントもありません。PDPLで最も複雑な義務がアーキテクチャレベルで取り除かれます。

CLOUD Actの攻撃対象領域が消滅します。 自社のGPU上で、自社のファイアウォールの背後で処理されるデータは、米国本社のプロバイダーが保持しておらず、したがって米国政府の提出命令で到達されることはありません。

SAMAコンプライアンスが容易になります。 コアバンキングと顧客データを王国内に保持しなければならない金融機関は、同じ国内インフラ上でAI推論を実行でき、別個のクラウド承認も、監視すべき外向きトラフィックも不要です。

完全な監査証跡を保持できます。 すべてのプロンプト、モデル、出力が自社の管理するログに残ります。これはまさに、SDAIA、SAMA、NCAがデータフローとアクセス記録を監査する際に確認したいものです。

これは国家の方向性と一致します。 サウジアラビアは2026年を人工知能の年と宣言し（2026年3月10日の閣議決定）、SDAIAの2026年10月の改正案はPDPL規則に王国内保存の義務を加えようとしています。Global AI Hub Law草案（2025年）は、投資誘致を目的とした別個の「データ大使館」構想であり、PDPLの義務を緩和するものではありません。王国内のローカルAIは回避策ではなく、規制環境が向かっているアーキテクチャそのものです。

本番のローカルAIスタックには、推論ランタイム、サービング層、モデルが必要であり、これらはすべてオープンソースで、サウジでホストされるハードウェア上に導入可能です。

セクター固有の規則はPDPLの上に重なり、しばしばより厳格です。特にデータローカライゼーションについてそうです。

金融サービス（SAMA）。 サウジ中央銀行の「Artificial Intelligence Principles for Financial Institutions」（2023年）は、すべてのSAMA認可主体にAIガバナンス、リスク管理、説明責任の要件を課しています。SAMAのクラウドコンピューティング規制枠組みは、いかなるクラウドサービスの利用前にも事前承認を、王国外クラウドには別個の承認を要求し、コアバンキングシステム、顧客データ、取引記録、決済認証情報を物理的にサウジアラビア国内にホストすることを義務付けています。国家サイバーセキュリティ庁（NCA）は並行して必須サイバーセキュリティ管理策（ECC）を執行します。金融AIにとって、オンプレミス推論は規制上の抵抗が最も少ない経路です。

政府および重要インフラ。 クラウドコンピューティング規制枠組みは、政府主体および重要国家インフラが機微なワークロードに外国クラウドを使うことを制限しています。Global AI Hub Law草案（2025年）は性質が異なり、外国法が適用される「データ大使館」型ハブを王国内に設ける提案であって、ローカライゼーション規則として読むべきではありません。ローカルAIの導入は、クラウドコンピューティング規制枠組みの方針に直接適合します。

医療。 健康データはPDPLの7つの機微データカテゴリーの一つであり、最も厳格な移転条件と大規模時の義務的リスクアセスメントを伴います。保健省のデータ取扱いの期待は、国内処理へと強く後押しします。ローカルAIは患者データを最初から最後までオンプレミスに保持します。なお日本でも、METIのガイドラインとAPPI（個人情報保護法）が機微情報の国内処理を後押しする同様の方向性を示しています。検証手順についてはローカルLLMセキュリティ・プライバシーチェックリストを参照してください。

これは法的助言ではありません。 規制の解釈は、お客様固有のデータ、セクター、処理活動によって異なります。本ガイドの内容に基づいて行動する前に、DPOおよびサウジの有資格法律顧問にご相談ください。