PDPL saudita e soberania de dados: por que a IA deve rodar dentro do Reino (2026)

A Lei de Proteção de Dados Pessoais da Arábia Saudita foi promulgada pelo Decreto Real n.º M/19 em 16 de setembro de 2021, substancialmente alterada pelo Decreto Real n.º M/148 (27 de março de 2023) e entrou em vigor com seu Regulamento de Aplicação em 14 de setembro de 2023. Seguiu-se um período de carência de um ano; a conformidade plena é obrigatória para todas as entidades públicas e privadas desde 14 de setembro de 2024.

A SDAIA (Autoridade Saudita de Dados e Inteligência Artificial) é o regulador competente. Ela supervisiona e aplica a PDPL, opera comitês de aplicação especializados e é responsável pela governança nacional de dados e pela estratégia de IA no âmbito da Visão 2030.

A aplicação é real, não teórica. Até janeiro de 2026, os comitês de aplicação da SDAIA informaram 48 decisões formais confirmando violações da PDPL. As categorias de violação comuns incluem o tratamento de dados pessoais sem base legal válida, divulgação não autorizada, falha em implementar salvaguardas técnicas e organizacionais e marketing não solicitado.

Alcance extraterritorial: a PDPL se aplica a qualquer tratamento de dados pessoais de indivíduos residentes na Arábia Saudita, independentemente de onde a organização que faz o tratamento esteja localizada — o mesmo modelo de amplo alcance do GDPR.

Os dados pessoais sensíveis são uma categoria distinta de proteção mais elevada que abrange sete tipos: origem racial ou étnica; crenças religiosas, intelectuais ou políticas; antecedentes criminais; dados biométricos usados para identificação; dados genéticos; dados de saúde; e dados que indiquem filiação desconhecida. Transferências internacionais contínuas ou em larga escala de dados sensíveis exigem uma avaliação de risco obrigatória sob o Regulamento de Transferências.

Penalidades: multas administrativas de até 5.000.000 SAR (~1,33 milhão USD), que podem ser dobradas em caso de reincidência; multas penais de até 3.000.000 SAR mais possível prisão pela divulgação intencional de dados pessoais sensíveis para causar dano ou para ganho pessoal.

Em 6 de outubro de 2026, a SDAIA abriu uma consulta pública sobre alterações ao Regulamento de Implementação da PDPL que, pela primeira vez, inscreveriam um dever de armazenamento no Reino. As contribuições devem ser enviadas até 5 de novembro de 2026 pela plataforma Istitlaa; se adotadas, as alterações entram em vigor 60 dias após a publicação no Diário Oficial. Trata-se de um projeto e nada nele é lei ainda.

A mudança principal é um novo artigo 23. Ele obrigaria os controladores a armazenar dados pessoais dentro do Reino, enquanto transferências e divulgações ao exterior continuariam permitidas se cumprirem a PDPL e seus regulamentos. Os escritórios de advocacia o leem de duas formas — uma cópia local obrigatória junto com transferências lícitas, ou uma regra padrão que cede diante de transferências lícitas — e a redação precisa ser esclarecida antes da entrada em vigor.

O que isso significa para cargas de IA. A inferência local mantém armazenamento e processamento dentro do Reino e, por isso, atende a qualquer leitura do projeto. Uma API em nuvem hospedada no exterior precisaria de um caminho lícito de transferência pelo artigo 29 e, se o projeto for aprovado como está, também de uma cópia conforme dentro do Reino. Até que um texto final seja publicado, o artigo 29 e o Regulamento de Transferências continuam valendo sem alteração, e a SDAIA ainda não publicou uma lista de adequação.

Situação da aplicação. Em janeiro de 2026, a SDAIA informou 48 decisões formais que confirmam violações da PDPL. As categorias relatadas são tratamento ilícito, divulgação não autorizada, ausência de salvaguardas e marketing sem consentimento. As fontes que analisamos não publicam decisões individuais nem as multas aplicadas; portanto, os 5.000.000 SAR são um teto legal, não um resultado típico.

O projeto também propõe estas mudanças (todas sujeitas ao resultado da consulta):

Enviar um prompt a uma API de IA em nuvem é uma transferência internacional de dados no momento em que esse prompt contém dados pessoais e o servidor de inferência está fora do Reino. O Artigo 29 da PDPL rege exatamente esse cenário.

O Artigo 29 impõe três condições cumulativas a qualquer transferência internacional: (1) a transferência não deve prejudicar a segurança nacional nem os interesses vitais do Reino; (2) a jurisdição receptora deve oferecer um nível de proteção de dados pelo menos equivalente ao da PDPL, conforme avaliado pela SDAIA; e (3) apenas os dados pessoais mínimos necessários podem ser transferidos (minimização de dados).

A SDAIA ainda não publicou sua lista de países adequados. Até que o faça, as organizações não podem se basear em uma simples determinação de "este país é adequado". Na prática, transferências lícitas dependem das Cláusulas Contratuais Padrão (SCCs, quatro variantes modulares) emitidas pela SDAIA, das Regras Comuns Vinculativas (BCRs) para transferências intragrupo, ou de um Certificado de Acreditação — cada um dos quais adiciona ônus jurídico e obrigações contínuas de avaliação de risco.

A CLOUD Act dos EUA (18 U.S.C. § 2713) é o problema estrutural que a maioria das empresas sauditas ignora. Ela exige que provedores de nuvem com sede nos EUA — AWS, Microsoft Azure, Google Cloud — preservem e entreguem dados em resposta a uma ordem válida do governo dos EUA, *independentemente de onde esses dados estejam fisicamente armazenados*. Dados em uma região AWS Riad ou Azure Arábia Saudita continuam acessíveis.

Isso cria um conflito jurídico direto. O Marco Regulatório de Computação em Nuvem da Arábia Saudita (CCRF) proíbe os provedores de serviços de nuvem de divulgar dados de assinantes, exceto quando exigido pela lei saudita. Um provedor dos EUA intimado por uma ordem da CLOUD Act é simultaneamente obrigado pela lei dos EUA a divulgar e proibido pela lei saudita de fazê-lo. Não existe nenhum acordo executivo bilateral CLOUD Act entre EUA e Arábia Saudita (apenas o Reino Unido e a Austrália assinaram tais acordos com os EUA), de modo que não há mecanismo de resolução claro.

A tabela abaixo compara os três modelos de implantação frente às dimensões-chave de conformidade saudita.

Rodar a IA em hardware fisicamente localizado dentro da Arábia Saudita elimina por completo a transferência internacional — e, com ela, as partes mais difíceis da conformidade com a PDPL.

O Artigo 29 simplesmente não se aplica. Se um prompt e sua inferência nunca saem das suas instalações, não há transferência a avaliar, nenhuma determinação de adequação a aguardar, nenhuma SCCs a executar e nenhuma avaliação de risco de transferência a apresentar. A obrigação mais complexa da PDPL é removida no nível da arquitetura.

A superfície de ataque da CLOUD Act desaparece. Os dados processados nas suas próprias GPUs, atrás do seu próprio firewall, não estão sob a guarda de um provedor com sede nos EUA e, portanto, não são acessíveis por uma ordem de entrega do governo dos EUA.

A conformidade com a SAMA fica direta. Instituições financeiras que precisam manter dados bancários essenciais e de clientes dentro do Reino podem rodar a inferência de IA na mesma infraestrutura nacional, sem aprovação de nuvem separada e sem tráfego de saída a monitorar.

Você mantém uma trilha de auditoria completa. Cada prompt, modelo e saída permanece em logs que você controla — exatamente o que a SDAIA, a SAMA e a NCA esperam ver ao auditar fluxos de dados e registros de acesso.

Isso se alinha com a direção nacional. A Arábia Saudita declarou 2026 o Ano da Inteligência Artificial (decisão do Conselho de Ministros de 10 de março de 2026), e as alterações propostas pela SDAIA em outubro de 2026 acrescentariam um dever de armazenamento no Reino aos regulamentos da PDPL. O projeto da Global AI Hub Law (2025) é uma proposta separada, voltada a investimentos, de "embaixadas de dados" e não flexibiliza as obrigações da PDPL. A IA local dentro do Reino não é um paliativo: é a arquitetura para a qual o ambiente regulatório está caminhando.

Uma pilha de IA local de produção precisa de um runtime de inferência, uma camada de serviço e um modelo — todos de código aberto e implantáveis em hardware hospedado na Arábia Saudita.

Regras setoriais se sobrepõem à PDPL e frequentemente são mais rígidas — em particular quanto à localização de dados.

Serviços financeiros (SAMA). Os "Artificial Intelligence Principles for Financial Institutions" (2023) do Banco Central Saudita vinculam todas as entidades licenciadas pela SAMA a requisitos de governança de IA, gestão de risco e prestação de contas. O Marco Regulatório de Computação em Nuvem da SAMA exige aprovação prévia antes de usar qualquer serviço de nuvem, uma aprovação separada para nuvem fora do Reino, e determina que sistemas bancários essenciais, dados de clientes, registros de transações e credenciais de pagamento sejam hospedados fisicamente na Arábia Saudita. A Autoridade Nacional de Cibersegurança (NCA) aplica em paralelo os Controles Essenciais de Cibersegurança (ECC). Para a IA financeira, a inferência no local é o caminho de menor resistência regulatória.

Governo e infraestrutura crítica. O Marco Regulatório de Computação em Nuvem restringe que entidades governamentais e infraestruturas críticas nacionais usem nuvens estrangeiras para cargas sensíveis. O projeto da Global AI Hub Law (2025) é um instrumento diferente: propõe polos de "embaixada de dados" regidos por direito estrangeiro dentro do Reino e não deve ser lido como regra de localização. A implantação de IA local se encaixa diretamente na postura do Marco Regulatório de Computação em Nuvem.

Saúde. Os dados de saúde são uma das sete categorias de dados sensíveis da PDPL, portanto atraem as condições de transferência mais rígidas e avaliações de risco obrigatórias em larga escala. As expectativas de tratamento de dados do Ministério da Saúde empurram fortemente para o processamento no país. A IA local mantém os dados dos pacientes no local de ponta a ponta. No Brasil, a LGPD e a ANPD apontam para a mesma direção, reforçando o processamento sob controle do próprio responsável para dados pessoais sensíveis. Veja a Lista de verificação de segurança e privacidade de LLMs locais para os passos de verificação.

Isto não é aconselhamento jurídico. A interpretação regulatória depende dos seus dados, setor e atividades de tratamento específicos. Consulte seu DPO e um advogado qualificado na Arábia Saudita antes de agir com base em qualquer coisa deste guia.