Key Takeaways
- UAE PDPL: Federal Decree-Law No. 45 of 2021. January 2, 2022부터 시행. 규제기관: UAE Data Office (UAEDO).
- 국경 간 이전은 목적지 국가에서의 적절한 보호 수준, 또는 Standard Contractual Clauses (SCCs) / Binding Corporate Rules (BCRs)를 요구합니다. 2026년 현재 공식 UAE 적절성 목록은 아직 발표되지 않았습니다.
- 전면 준수 기한: January 1, 2027. Executive Regulations이 발행되었고(2026년) 법률이 실질적인 집행 단계에 있습니다 — 구현 세부사항에 대해서는 현행 조문과 시행일을 UAE 법률 자문가와 확인하십시오.
- DPIA 필요(Article 21): 고위험 처리에 대해 — 대규모 프로파일링, 법적 효력이 있는 자동화된 결정, 비적절 관할권으로의 국경 간 이전.
- 정보주체는 법적 또는 중대한 효력을 발생시키는 자동화된 결정에 이의를 제기할 수 있습니다. 조직은 접근 요청 시 자동화된 처리의 논리를 공개해야 합니다.
- 온프레미스 로컬 AI: 추론이 UAE 내부에서 이루어집니다 — 개인 데이터가 국경을 넘지 않습니다 — 설계상 PDPL 국경 간 이전 노출을 줄입니다.
- DIFC(DIFC Data Protection Law No. 5 of 2020, July 2025 개정)와 ADGM은 별도의 데이터 보호 제도를 운영합니다; 연방 PDPL은 자체 법률을 가진 프리존을 명시적으로 제외합니다.
- 분야: CBUAE는 February 25, 2026에 Sovereign Financial Cloud Services Infrastructure (SFCSI)를 출범시켰습니다. 의료: DHA + ADHICS. 모든 분야별 계층은 PDPL 위에 구축됩니다.
- *법률 자문이 아닙니다. 귀하의 구체적인 준수 의무에 대해서는 자격을 갖춘 UAE 법률 자문가 또는 DPO와 상담하십시오.*
UAE에서 AI 추론을 온프레미스로 실행하면 데이터가 국가 인프라를 벗어나지 않기 때문에 Federal Decree-Law No. 45 of 2021(UAE PDPL)에 따른 국경 간 개인 데이터 이전이 제거됩니다.
UAE 데이터 보호법은 개인 데이터를 다른 국가로 보내려면 승인이 필요하다고 규정합니다. AI가 UAE 내부에서 로컬로 실행되면 데이터가 나가지 않으므로 이전 규칙이 적용되지 않습니다.
UAE PDPL: 법률, 규제기관, 일정
UAE 개인정보보호법(PDPL)은 Federal Decree-Law No. 45 of 2021입니다. January 2, 2022에 발효되어 UAE는 포괄적 연방 프라이버시 법을 제정한 최초의 걸프 국가가 되었습니다.
규제기관: UAE Data Office (UAEDO). Data Office는 PDPL의 동반 법령인 Federal Decree-Law No. 44 of 2021에 의해 설립되었습니다. 감사 수행, 불만 조사, 가이드 발행 권한을 가집니다.
준수 기한: January 1, 2027. 조직은 이 날짜까지 완전한 PDPL 준수 프로그램을 마련해야 합니다.
Executive Regulations: 발행됨(2026년). 오랜 기다림 끝에, 2026년 보도에 따르면 국경 간 이전 보호 조치, 적절성 프레임워크, 동의, 침해 통지 절차를 다루는 PDPL 시행 규정이 이제 발행되어, January 1, 2027 준수 기한을 앞두고 법률이 실질적인 집행 단계로 이행되었습니다. 다만 출처마다 인용하는 내각 결정(Cabinet Decision) 번호가 다르므로, 세부 사항에 의존하기 전에 UAE 자격을 갖춘 DPO 또는 법률 자문가와 현행 조문 및 시행일을 확인하십시오.
- 법률: Federal Decree-Law No. 45 of 2021 (개인 데이터 보호에 관한 법)
- 발효일: January 2, 2022
- 규제기관: UAE Data Office (UAEDO), Federal Decree-Law No. 44 of 2021에 의해 설립
- 전면 준수 목표: January 1, 2027
- Executive Regulations: 2026년에 발행됨 — 현행 조문 및 시행일은 UAE 법률 자문가와 확인
- 적용 범위: UAE 엔티티에 의한 UAE 거주자의 개인 데이터 처리 및 UAE 거주자를 대상으로 하는 역외 처리자에 적용
클라우드 AI API가 PDPL 하에서 국경 간 이전 위험을 발생시키는 방식
클라우드 AI API를 호출하면 개인 데이터가 UAE를 벗어납니다. 일반적인 엔터프라이즈 워크플로우 — 미국 또는 EU에 호스팅된 API 엔드포인트로 고객 쿼리를 전송하는 것 — 은 데이터가 일시적이더라도 PDPL 하의 국경 간 이전입니다.
PDPL은 국경 간 이전을 제한합니다. 데이터는 UAE Data Office가 인정하는 적절한 수준의 보호를 제공하는 목적지 국가로만, 또는 특정 계약적 보호 조치(SCCs 또는 BCRs)가 마련된 경우에만 흐를 수 있습니다. 2026년 현재 UAE Data Office는 공식 적절성 목록을 발표하지 않았습니다.
DPIA가 필요할 수 있습니다. 비적절 관할권 — 적절성 목록이 보류된 현재로서는 모든 국가를 포함합니다 — 으로 이전할 때, 이전 전에 Data Privacy Impact Assessment(Article 21)가 필요할 수 있습니다.
위험의 실제 사례:
- GPT-4o(미국 호스팅)로 고객 지원 쿼리 전송: 개인 식별자를 포함할 수 있는 쿼리 콘텐츠의 국경 간 이전
- 클라우드 기반 문서 AI를 사용한 HR 파일 처리: 직원의 개인 데이터가 UAE 외부로 전송
- 의료 기록의 API 기반 번역: 공식 SCC 프레임워크 없이 민감한 특수 범주 데이터가 UAE를 벗어남
- 독점 고객 데이터를 사용한 클라우드 LLM 파인튜닝: 국내 사본 보유 없이 상당한 개인 데이터 이전
온프레미스 AI가 UAE 데이터 거주성과 주권을 해결하는 방식
온프레미스 AI 추론이란: 모델이 UAE 내부의 하드웨어에서 실행되는 것을 의미합니다. 개인 데이터는 로컬로 처리되고, 답변은 로컬로 반환되며, 추론 시점에 어떤 것도 국경을 넘지 않습니다.
국경 간 이전 문제가 사라집니다. 데이터가 UAE 인프라를 벗어나지 않으면 추론에 적절성 결정, SCC, BCR이 필요 없습니다. 거주성은 계약이 아닌 설계상 유지됩니다.
로컬 LLM이 주요 구현 방식입니다. 오픈 웨이트 모델(Falcon 3, Llama 3.1, Qwen3, Jais 등)은 Ollama, vLLM, llama.cpp를 사용하여 UAE 기반 서버에 배포할 수 있으며 — 모두 외부 API로 데이터를 전송하지 않습니다.
설계상 주권: 모델 웨이트, 구성, 모든 처리 로그가 UAE 관할권 내에 유지됩니다. 이는 데이터를 도메스틱 거버넌스가 필요한 "미래의 석유"로 규정하는 UAE National AI Strategy 2031과 부합합니다.
- ✅ 추론 데이터가 UAE에 유지 — 런타임에 개인 데이터의 국경 간 이전 없음
- ✅ 추론 단계에 적절성 결정 또는 SCC 불필요
- ✅ DPIA 범위 축소 — 처리가 국경 간이 아닌 로컬
- ✅ UAE AI Strategy 2031 도메스틱 데이터 거버넌스 목표와 부합
- ✅ 감사 로그와 모델 출력이 UAE 관할권 내에 유지
- ❌ 국내 하드웨어(GPU 서버, NVMe 스토리지, 냉각) 또는 UAE 기반 클라우드 GPU 필요
- ❌ Hugging Face에서의 모델 웨이트 다운로드는 여전히 인터넷 접근 필요 — 초기 pull 후 에어갭
- ❌ 기술팀이 모델 업데이트, 모니터링, 보안을 관리해야 함
클라우드 AI vs. 온프레미스: PDPL 국경 간 위험 비교
이 표는 클라우드 AI API와 온프레미스 로컬 AI 추론의 PDPL 준수 상태를 비교합니다. 법률 자문이 아닙니다 — DPO와 상담하십시오.
| 요소 | 클라우드 AI API | 온프레미스 로컬 AI |
|---|---|---|
| 데이터가 UAE 국경을 넘는가? | 예 — 미국/EU 서버로 전송 | 아니오 — 로컬로 처리 |
| PDPL 국경 간 이전 의무? | 예 — 적절성 또는 SCCs 필요 | 해당 없음 (이전 없음) |
| 적절성 결정 필요? | 예 (목록 아직 미발표) | 아니오 |
| SCC/BCR 필요? | 예 (2026년 Executive Regulations에 따라) | 아니오 |
| 국경 간 이전으로 DPIA 발동? | 민감 데이터의 경우 가능성 높음 | 이전에 의해서는 아님 (고위험 처리의 경우에만) |
| 감사 로그 관할권? | 해외 관할권 | UAE 관할권 |
| UAEDO 집행 범위? | 해외 벤더에 대해 불확실 | 명확한 UAE 관할권 |
| UAE AI Strategy 2031 부합? | 부분적 (해외 인프라) | 완전 (도메스틱 데이터 거버넌스) |
UAE 조직을 위한 주권형 AI 배포 옵션
다음은 UAE 국경 내에서 AI를 실행하기 위한 실용적인 옵션입니다:
- 옵션 1 — 자체 호스팅 온프레미스 GPU 서버. UAE 데이터 센터에 NVIDIA RTX 4090 또는 A100 서버를 배포합니다. Falcon 3-7B, Llama 3.1-8B, 또는 Qwen3-8B로 Ollama 또는 vLLM을 실행합니다. 완전한 주권: 귀하의 하드웨어, 귀하의 관할권.
- 옵션 2 — UAE 기반 클라우드 GPU. UAE에 물리적으로 위치한 데이터 센터를 가진 클라우드 GPU 제공업체(G42 Cloud, Microsoft Azure UAE North, AWS Middle East UAE)를 사용합니다. 데이터가 국내에 유지됩니다. DPA 범위를 주의 깊게 확인하십시오 — Azure UAE North는 Microsoft UAE 약관 하에 운영되므로 제공업체와 PDPL 준수를 검증하십시오.
- 옵션 3 — 에어갭 온프레미스 시스템. 최대 주권을 위해(정부, 국방, 금융 규제기관): 모델 웨이트를 한 번 pull하고, 서버를 에어갭하고, 오프라인으로 실행합니다. 추론 시점에 외부 인터넷 없음. 온프레미스 에어갭 로컬 LLM을 참조하십시오.
- 옵션 4 — 하이브리드: 로컬 추론, 클라우드 파인튜닝. 익명화 또는 합성 데이터로 파인튜닝하고(비개인 데이터의 경우 클라우드 허용), 파인튜닝된 웨이트를 로컬로 배포합니다. 모델 학습에 클라우드 컴퓨팅을 활용하면서 이전 위험을 줄입니다.
- UAE 주권형 배포를 위한 권장 모델: Falcon 3 (1B–10B, TII Abu Dhabi — UAE 네이티브 모델), Jais (13B–30B, Core42/G42/MBZUAI — Arabic-English, Abu Dhabi), Llama 3.1 (8B–70B, Meta, Apache 2.0), Qwen3 (8B–32B, Arabic 포함 다국어).
DIFC와 ADGM: 프리존 데이터 보호 제도
UAE PDPL은 이미 자체 데이터 보호법을 가진 프리존을 명시적으로 제외합니다. DIFC와 ADGM 모두 이에 해당합니다.
DIFC (Dubai International Financial Centre): GDPR을 모델로 한 제도인 DIFC Data Protection Law No. 5 of 2020 하에 운영됩니다. July 2025에 Amendment Law No. 1 of 2025가 발효되어(2025년 7월 15일 시행), 국제 모범 사례와 더 긴밀하게 부합하고 국경 간 이전에 대한 의무적 문서화 적절성 평가를 도입했습니다. DIFC Commissioner of Data Protection이 규제기관입니다.
ADGM (Abu Dhabi Global Market): 자체 GDPR 정렬 데이터 보호 프레임워크. 주목할 점은 "legitimate interests"를 허용된 법적 근거로 포함한다는 것입니다 — 동의에 더 크게 의존하는 연방 PDPL에서는 사용할 수 없는 근거입니다.
3계층 준수: UAE 본토와 프리존 모두에서 운영하는 조직은 두 제도 하의 준수를 관리해야 합니다. DIFC 자회사를 둔 UAE 지주회사는 연방 PDPL과 DIFC 법 모두에 직면합니다.
- DIFC: DIFC Data Protection Law No. 5 of 2020 + Amendment Law No. 1 of 2025 (July 15, 2025)
- ADGM: ADGM Data Protection Regulations (GDPR 모델, "legitimate interests" 근거 포함)
- 연방 PDPL은 자체 법률을 가진 프리존(DIFC, ADGM) 제외
- 다중 엔티티 그룹: 각 법적 엔티티를 해당 제도에 개별적으로 매핑
- 온프레미스 AI 이점: 존 내 하드웨어가 세 가지 제도를 동시에 충족
UAE 분야별 AI 준수 고려사항
연방 PDPL이 기준선입니다. 규제 분야는 그 위에 추가 요건을 더합니다:
- 은행 및 금융 (CBUAE, DFSA): UAE 중앙은행은 FIT Programme의 일환으로 February 25, 2026에 세계 최초의 Sovereign Financial Cloud Services Infrastructure (SFCSI)를 출범시켰습니다. 고객 데이터를 처리하는 금융 기관은 PDPL 위에 계층화된 CBUAE 거버넌스 요건에 직면합니다. DFSA는 DIFC 규제 기업을 별도로 다룹니다.
- 의료 (DHA, ADHICS): 건강 데이터는 PDPL 하에서 "특수 범주" 개인 데이터로, 강화된 보호를 받습니다. Dubai Health Authority (DHA)와 Abu Dhabi Healthcare Information and Cyber Security Standard (ADHICS)는 분야별 데이터 거버넌스 요건을 추가합니다. 임상 환경에서 사용되는 AI는 PDPL과 의료 규제 프레임워크 모두를 다루어야 합니다.
- 정부 및 공공 부문: 정부 엔티티는 일반적으로 기본적으로 UAE 도메스틱 인프라 내에서 데이터를 처리합니다. UAE AI Strategy 2031은 정부 AI에 대한 도메스틱 데이터 거버넌스 프레임워크를 의무화합니다. 온프레미스 AI는 정부 배포의 기본 안전 옵션입니다.
- 통신: 기존 통신 규제 프레임워크가 통신 데이터를 다룹니다. PDPL은 통신 사업자가 처리하는 개인 데이터에 연방 오버레이를 추가합니다.
UAE PDPL과 AI 준수에 관한 자주 묻는 질문
UAE PDPL은 GDPR과 유사한가요?
UAE PDPL은 GDPR에서 영감을 받았지만 동일하지는 않습니다. 주요 차이점: PDPL은 동의를 법적 근거로 더 크게 의존합니다(GDPR은 표준 PDPL 근거가 아닌 legitimate interests도 허용); Executive Regulations은 보류 중입니다(GDPR 구현은 성숙); 그리고 집행은 아직 발전 중입니다. DIFC와 ADGM 데이터 보호법은 GDPR을 더 긴밀하게 모델로 하며 legitimate interests를 포함합니다.
UAE PDPL은 데이터 현지화 — 데이터를 UAE 내부에 물리적으로 저장하는 것 — 를 의무화하나요?
연방 PDPL은 데이터 현지화(모든 데이터를 국내에 저장하도록 요구)를 명시적으로 의무화하지 않습니다. 이는 국경 간 이전을 규제합니다 — 데이터가 UAE를 벗어날 때 적절한 보호 또는 계약적 보호 조치를 요구합니다. 그러나 분야별 규칙(예: 금융 서비스를 위한 CBUAE SFCSI)은 사실상 국내 저장을 향해 밀어붙일 수 있습니다. 온프레미스 AI는 처리를 로컬로 유지하여 거주성을 달성합니다.
UAE PDPL 미준수에 대한 처벌은 무엇인가요?
2026년 현재 Executive Regulations이 발행되었고 PDPL이 실질적인 집행 단계에 있으므로, 처벌 및 제재 프레임워크가 이제 적용됩니다. PDPL은 벌금과 기타 제재를 고려하며, 정확한 금액과 절차는 규정에 명시되어 있으나 정확한 참조 근거에 대한 보도가 일치하지 않았습니다 — 현행 처벌 체계는 UAE 법률 자문가와 확인하십시오. January 1, 2027 기한에 앞서 준수 관행을 확립하십시오.
AI를 로컬에서 실행하면 자동으로 PDPL을 준수하게 되나요?
아니오 — 로컬 AI 배포는 국경 간 이전 위험을 해결하지만 자동으로 준수하게 만들지는 않습니다. 여전히 다음이 필요합니다: 개인 데이터 처리를 위한 적법한 근거, 고위험 활동을 위한 DPIA, 정보주체 권리 절차(접근, 삭제, 이의), 그리고 데이터 보유 및 보안 정책. 로컬 AI는 중요한 준수 보조 수단이지 완전한 해결책은 아닙니다.
UAE Data Office는 무엇이며 무엇을 하나요?
UAE Data Office (UAEDO)는 Federal Decree-Law No. 44 of 2021에 의해 설립된 연방 데이터 보호 규제기관입니다. PDPL 구현을 감독하고, 감사를 수행하고, 불만을 조사하고, 가이드를 발행합니다. 2026년 초 현재 Data Office는 아직 집행 역량을 구축하고 있었으며 January 2027 기한 이전에 Executive Regulations를 발표할 것으로 예상되었습니다.
우리 회사가 UAE 외부에 기반을 둔 경우에도 UAE PDPL이 적용되나요?
PDPL은 역외 적용 범위를 가집니다: UAE 거주자 또는 UAE 내 개인의 개인 데이터를 처리하는 UAE 외부 조직에 적용될 수 있습니다. 정확한 역외 적용 범위는 Executive Regulations에 의해 명확해질 것입니다. UAE 고객 또는 사용자를 둔 조직은 본사 위치와 관계없이 의무를 평가해야 합니다.
UAE PDPL 하에서 AI 프로젝트를 위한 DPIA를 어떻게 수행하나요?
Article 21 하에서, DPIA는 고위험을 초래할 가능성이 있는 처리에 필요합니다: 자동화된 의사결정, 대규모 프로파일링, 민감 데이터 처리, 또는 비적절 관할권으로의 국경 간 이전. DPIA는 다음을 문서화해야 합니다: 처리의 성격과 목적, 필요성 평가, 식별된 위험, 그리고 완화 조치. 범위 또는 목적이 변경되면 DPIA를 업데이트하십시오.
PDPL 하에서 클라우드 AI 벤더와 Data Processing Agreement (DPA)가 필요한가요?
예 — 클라우드 벤더가 귀하를 대신하여 개인 데이터를 처리한다면, GDPR Article 28 DPA와 유사하게 그들의 처리 의무를 규율하는 계약적 약정이 필요합니다. 클라우드 AI 제공업체는 UAE PDPL 준수 데이터 처리 계약을 제공해야 합니다. 국경 간 이전이 관련된 경우, SCCs 또는 BCRs도 필요합니다(Executive Regulations 템플릿 보류 중).
본토 PDPL, DIFC 법, ADGM 법의 차이는 무엇인가요?
UAE 본토 엔티티는 연방 PDPL(Federal Decree-Law No. 45 of 2021)의 규율을 받습니다. DIFC 엔티티는 DIFC Data Protection Law No. 5 of 2020(July 2025 개정)을 따릅니다. ADGM 엔티티는 ADGM Data Protection Regulations를 따릅니다. PDPL은 자체 법률을 가진 프리존을 명시적으로 제외합니다. 다중 엔티티 그룹은 각 법적 엔티티를 해당 제도에 매핑해야 합니다.
UAE 주권형 배포에 가장 적합한 오픈 웨이트 AI 모델은 무엇인가요?
세 가지 강력한 옵션: Falcon 3 (1B–10B, Technology Innovation Institute, Abu Dhabi 제공 — UAE 네이티브 모델 패밀리), Jais (13B–30B, Core42/G42/MBZUAI 제공, Abu Dhabi — Arabic-English 이중 언어), 그리고 Llama 3.1 (8B–70B, Meta, Apache 2.0). 모두 Ollama 또는 vLLM으로 온프레미스 배포가 가능합니다. Falcon과 Jais는 특히 UAE AI 주권 목표와 부합합니다. 최고의 Arabic 로컬 LLM 가이드를 참조하십시오.
출처
- UAE Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data — uaepdpl.com
- UAE Data Office (UAEDO) — uaedataoffice.gov.ae
- DIFC Data Protection Law No. 5 of 2020 and Amendment Law No. 1 of 2025 — difc.ae/business/laws-and-regulations/
- ADGM Data Protection Regulations — adgm.com/setting-up/financial-services-regulations
- CBUAE Sovereign Financial Cloud Services Infrastructure (SFCSI) announcement, February 25, 2026 — centralbank.ae
- Securiti UAE PDPL Overview — securiti.ai/uae-personal-data-protection-law
- Chambers and Partners — Data Protection & Privacy 2026, UAE — practiceguides.chambers.com