Key Takeaways
- UAE PDPL: Federal Decree-Law No. 45 of 2021. Em vigor desde January 2, 2022. Regulador: UAE Data Office (UAEDO).
- Transferências transfronteiriças exigem proteção adequada no país de destino, ou Standard Contractual Clauses (SCCs) / Binding Corporate Rules (BCRs). Nenhuma lista oficial de adequação dos EAU foi publicada até 2026.
- Prazo de conformidade total: January 1, 2027. As Executive Regulations ainda estão pendentes — recomenda-se aconselhamento jurídico para especificidades da implementação.
- DPIA obrigatório (Article 21) para tratamento de alto risco: profiling em larga escala, decisões automatizadas com efeitos legais, transferências transfronteiriças para jurisdições não adequadas.
- Titulares dos dados podem se opor a decisões automatizadas que produzam efeitos legais ou significativos. As organizações devem divulgar a lógica do tratamento automatizado em pedidos de acesso.
- IA local on-premise: a inferência ocorre dentro dos EAU — os dados pessoais nunca cruzam uma fronteira — reduz por design a exposição a transferências transfronteiriças do PDPL.
- DIFC (DIFC Data Protection Law No. 5 of 2020, alterada em July 2025) e ADGM operam regimes de proteção de dados separados; o PDPL federal exclui explicitamente as zonas francas com leis próprias.
- Setores: o CBUAE lançou a Sovereign Financial Cloud Services Infrastructure (SFCSI) em February 25, 2026. Saúde: DHA + ADHICS. Todas as camadas setoriais se baseiam no PDPL.
- *Não é aconselhamento jurídico. Consulte uma assessoria jurídica ou DPO qualificado nos EAU para as suas obrigações específicas de conformidade.*
Executar inferência de IA on-premise nos EAU elimina a transferência transfronteiriça de dados pessoais sob o Federal Decree-Law No. 45 of 2021 (UAE PDPL), porque os dados nunca deixam a infraestrutura nacional.
A lei de proteção de dados dos EAU diz que você precisa de aprovação para enviar dados pessoais a outros países. Se a sua IA roda localmente dentro dos EAU, nenhum dado sai — portanto a regra de transferência não se aplica.
UAE PDPL: lei, regulador e cronograma
O UAE Personal Data Protection Law (PDPL) é o Federal Decree-Law No. 45 of 2021. Entrou em vigor em January 2, 2022, tornando os EAU o primeiro Estado do Golfo a promulgar uma lei federal abrangente de privacidade.
Regulador: UAE Data Office (UAEDO). O Data Office foi criado pelo Federal Decree-Law No. 44 of 2021, um instrumento complementar ao PDPL. Tem autoridade para conduzir auditorias, investigar reclamações e emitir orientações.
Prazo de conformidade: January 1, 2027. As organizações devem ter programas completos de conformidade com o PDPL implementados até esta data.
Executive Regulations: ainda pendentes. Os regulamentos de implementação — que especificarão os modelos de SCCs, o quadro de adequação e regras setoriais — não haviam sido publicados até o início de 2026. Isso gera incerteza na implementação. Consulte um DPO ou assessoria jurídica qualificados nos EAU para a sua situação específica.
- Lei: Federal Decree-Law No. 45 of 2021 sobre a Proteção de Dados Pessoais
- Data de vigência: January 2, 2022
- Regulador: UAE Data Office (UAEDO), criado pelo Federal Decree-Law No. 44 of 2021
- Meta de conformidade total: January 1, 2027
- Executive Regulations: pendentes no início de 2026
- Âmbito: aplica-se ao tratamento de dados pessoais de residentes dos EAU por entidades dos EAU e a operadores extraterritoriais que visam residentes dos EAU
Como as APIs de IA em nuvem criam risco de transferência transfronteiriça sob o PDPL
Quando você chama uma API de IA em nuvem, dados pessoais deixam os EAU. Um fluxo de trabalho corporativo típico — enviar uma consulta de cliente a um endpoint de API hospedado nos EUA ou na UE — é uma transferência transfronteiriça sob o PDPL, mesmo que os dados sejam transitórios.
O PDPL restringe transferências transfronteiriças. Os dados só podem fluir para um país de destino se este fornecer um nível adequado de proteção reconhecido pelo UAE Data Office, ou se houver salvaguardas contratuais específicas (SCCs ou BCRs). Em 2026, o UAE Data Office não havia publicado uma lista formal de adequação.
DPIA pode ser exigido. Ao transferir para uma jurisdição não adequada — o que atualmente abrange todos os países enquanto a lista de adequação está pendente — uma Data Privacy Impact Assessment (Article 21) pode ser exigida antes da transferência.
Exemplos práticos de risco:
- Enviar consultas de suporte ao cliente para GPT-4o (hospedado nos EUA): transferência transfronteiriça do conteúdo da consulta, que pode conter identificadores pessoais
- Usar uma IA de documentos em nuvem para processar arquivos de RH: dados pessoais de funcionários enviados para fora dos EAU
- Tradução de prontuários médicos via API: dados sensíveis de categoria especial deixando os EAU sem um quadro formal de SCC em vigor
- Fine-tuning de LLM em nuvem com dados proprietários de clientes: transferência substancial de dados pessoais sem cópia retida no país
Como a IA on-premise atende à residência e soberania de dados nos EAU
IA on-premise significa: o modelo roda em hardware dentro dos EAU. Os dados pessoais são processados localmente, as respostas são retornadas localmente e nada cruza uma fronteira no momento da inferência.
A questão da transferência transfronteiriça desaparece. Se os dados nunca deixam a infraestrutura dos EAU, nenhuma decisão de adequação, SCC ou BCR é necessária para a inferência. A residência é mantida por design, e não por contrato.
LLMs locais são a implementação principal. Modelos de pesos abertos (Falcon 3, Llama 3.1, Qwen3, Jais e outros) podem ser implantados em servidores baseados nos EAU usando Ollama, vLLM ou llama.cpp — tudo sem enviar dados a uma API externa.
Soberania por design: os pesos do modelo, a configuração e todos os logs de processamento permanecem dentro da jurisdição dos EAU. Isso se alinha com a UAE National AI Strategy 2031, que enquadra os dados como "o petróleo do futuro" que exige governança doméstica.
- ✅ Os dados de inferência permanecem nos EAU — sem transferência transfronteiriça de dados pessoais em tempo de execução
- ✅ Nenhuma decisão de adequação ou SCC necessária para a etapa de inferência
- ✅ O escopo do DPIA é reduzido — o processamento é local, não transfronteiriço
- ✅ Alinha-se com as metas de governança doméstica de dados da UAE AI Strategy 2031
- ✅ Logs de auditoria e saídas do modelo permanecem dentro da jurisdição dos EAU
- ❌ Exige hardware no país (servidor GPU, armazenamento NVMe, refrigeração) ou GPU em nuvem baseada nos EAU
- ❌ O download dos pesos do modelo do Hugging Face ainda exige acesso à internet — faça airgap após o pull inicial
- ❌ A equipe técnica deve gerenciar atualizações de modelo, monitoramento e segurança
IA em nuvem vs. on-premise: comparação de risco transfronteiriço do PDPL
Esta tabela compara a postura de conformidade com o PDPL das APIs de IA em nuvem versus a inferência de IA local on-premise. Não é aconselhamento jurídico — consulte o seu DPO.
| Fator | API de IA em nuvem | IA local on-premise |
|---|---|---|
| Os dados cruzam a fronteira dos EAU? | Sim — enviados a servidores nos EUA/UE | Não — processados localmente |
| Obrigação de transferência transfronteiriça do PDPL? | Sim — exige adequação ou SCCs | Não aplicável (sem transferência) |
| Decisão de adequação exigida? | Sim (lista ainda não publicada) | Não |
| SCC/BCR exigido? | Sim (modelos pendentes das Executive Regulations) | Não |
| DPIA acionado por transferência transfronteiriça? | Provável para dados sensíveis | Não pela transferência (apenas se tratamento de alto risco) |
| Jurisdição dos logs de auditoria? | Jurisdição estrangeira | Jurisdição dos EAU |
| Alcance de fiscalização do UAEDO? | Incerto para fornecedores estrangeiros | Jurisdição clara dos EAU |
| Alinhamento com a UAE AI Strategy 2031? | Parcial (infraestrutura estrangeira) | Total (governança doméstica de dados) |
Opções de implantação de IA soberana para organizações dos EAU
Estas são as opções práticas para executar IA dentro das fronteiras dos EAU:
- Opção 1 — Servidor GPU on-premise auto-hospedado. Implante um servidor NVIDIA RTX 4090 ou A100 no seu data center nos EAU. Rode Ollama ou vLLM com Falcon 3-7B, Llama 3.1-8B ou Qwen3-8B. Soberania total: seu hardware, sua jurisdição.
- Opção 2 — GPU em nuvem baseada nos EAU. Use um provedor de GPU em nuvem com data centers fisicamente localizados nos EAU (G42 Cloud, Microsoft Azure UAE North, AWS Middle East UAE). Os dados permanecem no país. Verifique o escopo do DPA com cuidado — o Azure UAE North opera sob os termos da Microsoft UAE; confirme a conformidade com o PDPL junto ao provedor.
- Opção 3 — Sistema on-premise com airgap. Para máxima soberania (governo, defesa, reguladores financeiros): baixe os pesos do modelo uma vez, faça airgap do servidor e rode offline. Sem internet de saída no momento da inferência. Veja On-Prem Air-Gapped Local LLM.
- Opção 4 — Híbrido: inferência local, fine-tuning em nuvem. Faça fine-tuning com dados anonimizados ou sintéticos (nuvem aceitável para dados não pessoais) e implante os pesos ajustados localmente. Reduz o risco de transferência aproveitando o compute em nuvem para o treinamento do modelo.
- Modelos recomendados para implantação soberana nos EAU: Falcon 3 (1B–10B, TII Abu Dhabi — modelo nativo dos EAU), Jais (13B–30B, Core42/G42/MBZUAI — árabe-inglês, Abu Dhabi), Llama 3.1 (8B–70B, Meta, Apache 2.0), Qwen3 (8B–32B, multilíngue incluindo árabe).
DIFC e ADGM: regimes de proteção de dados das zonas francas
O UAE PDPL exclui explicitamente as zonas francas que já têm suas próprias leis de proteção de dados. Tanto o DIFC quanto o ADGM se qualificam.
DIFC (Dubai International Financial Centre): Opera sob a DIFC Data Protection Law No. 5 of 2020, um regime inspirado no GDPR. Em July 2025, a Amendment Law No. 1 of 2025 entrou em vigor (efetiva em July 15, 2025), alinhando-se mais de perto às melhores práticas internacionais e introduzindo avaliações de adequação documentadas e obrigatórias para transferências transfronteiriças. O DIFC Commissioner of Data Protection é o regulador.
ADGM (Abu Dhabi Global Market): Quadro próprio de proteção de dados alinhado ao GDPR. Notavelmente inclui "legitimate interests" como base legal permitida — uma base não disponível sob o PDPL federal, que depende mais fortemente do consentimento.
Conformidade em três camadas: Organizações que operam tanto no continente dos EAU quanto em uma zona franca devem gerenciar a conformidade sob ambos os regimes. Uma holding dos EAU com uma subsidiária no DIFC enfrenta tanto o PDPL federal quanto a lei do DIFC.
- DIFC: DIFC Data Protection Law No. 5 of 2020 + Amendment Law No. 1 of 2025 (July 15, 2025)
- ADGM: ADGM Data Protection Regulations (inspirado no GDPR, inclui a base "legitimate interests")
- O PDPL federal exclui as zonas francas com leis próprias (DIFC, ADGM)
- Grupos com múltiplas entidades: mapeie cada entidade jurídica ao seu regime aplicável separadamente
- Vantagem da IA on-premise: hardware dentro da zona satisfaz os três regimes simultaneamente
Considerações de conformidade de IA por setor nos EAU
O PDPL federal é a base. Setores regulados adicionam requisitos adicionais por cima:
- Bancário e Financeiro (CBUAE, DFSA): O Central Bank of the UAE lançou a primeira Sovereign Financial Cloud Services Infrastructure (SFCSI) do mundo em February 25, 2026, como parte do FIT Programme. Instituições financeiras que processam dados de clientes enfrentam requisitos de governança do CBUAE sobrepostos ao PDPL. O DFSA cobre separadamente as empresas reguladas pelo DIFC.
- Saúde (DHA, ADHICS): Dados de saúde são dados pessoais de "categoria especial" sob o PDPL, com proteções reforçadas. A Dubai Health Authority (DHA) e o Abu Dhabi Healthcare Information and Cyber Security Standard (ADHICS) acrescentam requisitos de governança de dados específicos do setor. A IA usada em ambientes clínicos deve atender tanto ao PDPL quanto aos quadros regulatórios de saúde.
- Governo e Setor Público: Entidades governamentais normalmente processam dados dentro da infraestrutura doméstica dos EAU por padrão. A UAE AI Strategy 2031 exige quadros de governança doméstica de dados para a IA governamental. A IA on-premise é a opção segura por padrão para implantações governamentais.
- Telecomunicações: Quadros regulatórios preexistentes de telecom cobrem dados de telecomunicações. O PDPL adiciona uma camada federal sobre os dados pessoais processados por operadoras de telecom.
Perguntas frequentes sobre o UAE PDPL e a conformidade de IA
O UAE PDPL é semelhante ao GDPR?
O UAE PDPL se inspira no GDPR, mas não é idêntico. Diferenças principais: o PDPL depende mais fortemente do consentimento como base legal (o GDPR também permite legitimate interests, que não é uma base padrão do PDPL); as Executive Regulations estão pendentes (a implementação do GDPR é madura); e a fiscalização ainda está em desenvolvimento. As leis de proteção de dados do DIFC e do ADGM são mais inspiradas no GDPR e incluem legitimate interests.
O UAE PDPL exige localização de dados — armazenar dados fisicamente dentro dos EAU?
O PDPL federal não exige explicitamente a localização de dados (exigindo que todos os dados sejam armazenados no país). Ele regula transferências transfronteiriças — exigindo proteção adequada ou salvaguardas contratuais quando os dados deixam os EAU. No entanto, regras setoriais (por exemplo, a SFCSI do CBUAE para serviços financeiros) podem efetivamente empurrar para o armazenamento no país. A IA on-premise alcança a residência mantendo o processamento local.
Quais são as penalidades por descumprimento do UAE PDPL?
Em 2026, o quadro de penalidades das Executive Regulations não havia sido publicado. O texto da lei PDPL prevê penalidades incluindo multas, mas os valores específicos e os procedimentos de fiscalização estavam pendentes das Executive Regulations. Essa incerteza, por si só, é uma razão para estabelecer práticas conformes antes do prazo de January 2027. Consulte uma assessoria jurídica dos EAU para a orientação mais recente sobre penalidades.
Executar IA localmente significa automaticamente que estou em conformidade com o PDPL?
Não — a implantação de IA local trata do risco de transferência transfronteiriça, mas não torna você automaticamente em conformidade. Você ainda precisa de: base legal para o tratamento de dados pessoais, DPIA para atividades de alto risco, procedimentos de direitos dos titulares (acesso, exclusão, oposição) e políticas de retenção e segurança de dados. A IA local é um auxílio significativo à conformidade, não uma solução completa.
O que é o UAE Data Office e o que ele faz?
O UAE Data Office (UAEDO) é o regulador federal de proteção de dados criado pelo Federal Decree-Law No. 44 of 2021. Ele supervisiona a implementação do PDPL, conduz auditorias, investiga reclamações e emite orientações. No início de 2026, o Data Office ainda estava construindo capacidade de fiscalização e era esperado que publicasse as Executive Regulations antes do prazo de January 2027.
O UAE PDPL se aplica à minha empresa se estamos sediados fora dos EAU?
O PDPL tem âmbito extraterritorial: pode aplicar-se a organizações fora dos EAU que tratam dados pessoais de residentes dos EAU ou de indivíduos nos EAU. O alcance extraterritorial exato será esclarecido pelas Executive Regulations. Organizações com clientes ou usuários nos EAU devem avaliar suas obrigações independentemente da localização da sede.
Como conduzo um DPIA para um projeto de IA sob o UAE PDPL?
Sob o Article 21, um DPIA é exigido para tratamento que provavelmente resulte em alto risco: tomada de decisão automatizada, profiling em larga escala, tratamento de dados sensíveis ou transferências transfronteiriças para jurisdições não adequadas. O DPIA deve documentar: natureza e finalidade do tratamento, avaliação de necessidade, riscos identificados e medidas de mitigação. Atualize o DPIA quando o escopo ou a finalidade mudarem.
Preciso de um Data Processing Agreement (DPA) com o meu fornecedor de IA em nuvem sob o PDPL?
Sim — se um fornecedor em nuvem tratar dados pessoais em seu nome, você precisa de um acordo contratual que reja suas obrigações de tratamento, semelhante a um DPA do Article 28 do GDPR. Provedores de IA em nuvem devem oferecer um acordo de tratamento de dados conforme o UAE PDPL. Se houver transferência transfronteiriça envolvida, SCCs ou BCRs também são exigidos (modelos pendentes das Executive Regulations).
Qual é a diferença entre o PDPL do continente, a lei do DIFC e a lei do ADGM?
Entidades do continente dos EAU são regidas pelo PDPL federal (Federal Decree-Law No. 45 of 2021). Entidades do DIFC seguem a DIFC Data Protection Law No. 5 of 2020 (conforme alterada em July 2025). Entidades do ADGM seguem as ADGM Data Protection Regulations. O PDPL exclui explicitamente as zonas francas com leis próprias. Grupos com múltiplas entidades devem mapear cada entidade jurídica ao seu regime aplicável.
Quais modelos de IA de pesos abertos são melhores para implantação soberana nos EAU?
Três opções fortes: Falcon 3 (1B–10B, do Technology Innovation Institute, Abu Dhabi — uma família de modelos nativa dos EAU), Jais (13B–30B, do Core42/G42/MBZUAI, Abu Dhabi — bilíngue árabe-inglês) e Llama 3.1 (8B–70B, Meta, Apache 2.0). Todos podem ser implantados on-premise com Ollama ou vLLM. Falcon e Jais estão particularmente alinhados às metas de soberania de IA dos EAU. Veja o nosso guia dos Melhores LLMs locais em árabe.
Fontes
- UAE Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data — uaepdpl.com
- UAE Data Office (UAEDO) — uaedataoffice.gov.ae
- DIFC Data Protection Law No. 5 of 2020 and Amendment Law No. 1 of 2025 — difc.ae/business/laws-and-regulations/
- ADGM Data Protection Regulations — adgm.com/setting-up/financial-services-regulations
- CBUAE Sovereign Financial Cloud Services Infrastructure (SFCSI) announcement, February 25, 2026 — centralbank.ae
- Securiti UAE PDPL Overview — securiti.ai/uae-personal-data-protection-law
- Chambers and Partners — Data Protection & Privacy 2026, UAE — practiceguides.chambers.com