关键要点
- UAE PDPL： Federal Decree-Law No. 45 of 2021。自January 2, 2022起生效。监管机构：UAE Data Office（UAEDO）。
- 跨境传输 要求目的地国家提供充分保护，或采用标准合同条款（SCCs）/约束性公司规则（BCRs）。截至2026年，阿联酋尚未发布官方的充分性国家名单。
- 完全合规截止日期：January 1, 2027。 实施细则（Executive Regulations）已发布（2026年），法律进入实际执行阶段——请就现行条文和生效日期咨询阿联酋法律顾问以了解具体实施细节。
- 高风险处理需进行DPIA（第21条）： 大规模画像分析、产生法律效果的自动化决策、向非充分性司法辖区的跨境传输。
- 数据主体 可对产生法律或重大效果的自动化决策提出异议。组织在收到访问请求时必须披露自动化处理的逻辑。
- 本地部署AI： 推理在阿联酋境内进行——个人数据从不越境——从设计层面降低PDPL跨境传输风险敞口。
- DIFC（DIFC Data Protection Law No. 5 of 2020，2025年7月修订）和ADGM 实行独立的数据保护制度；联邦PDPL明确将拥有自身法律的自贸区排除在外。
- 行业： CBUAE于February 25, 2026推出主权金融云服务基础设施（SFCSI）。医疗：DHA + ADHICS。所有行业层级均建立在PDPL之上。
- *本文不构成法律意见。请就您的具体合规义务咨询合格的阿联酋法律顾问或DPO。*
📍 简单一句话
在阿联酋本地进行AI推理可消除Federal Decree-Law No. 45 of 2021（UAE PDPL）下的跨境个人数据传输，因为数据从不离开国家基础设施。
💬 简单来说
阿联酋数据保护法规定，向其他国家发送个人数据需要获得批准。如果您的AI在阿联酋境内本地运行，则没有数据离开境内——因此传输规则不适用。
UAE PDPL：法律、监管机构与时间线
阿联酋个人数据保护法（PDPL）即Federal Decree-Law No. 45 of 2021。 它于January 2, 2022生效，使阿联酋成为首个颁布全面联邦隐私法的海湾国家。
监管机构：UAE Data Office（UAEDO）。 该数据办公室由Federal Decree-Law No. 44 of 2021设立，是PDPL的配套法律文件。它有权进行审计、调查投诉并发布指南。
合规截止日期：January 1, 2027。 组织必须在此日期前建立完整的PDPL合规程序。
实施细则（Executive Regulations）：已发布（2026年）。 经过长时间等待，2026年的报道显示，PDPL的实施细则——涵盖跨境传输保障措施、充分性框架、同意以及违规通知程序——现已发布，使该法律在January 1, 2027合规截止日期之前进入实际执行阶段。不过各方来源引用的内阁决定（Cabinet Decision）编号仍不一致，因此在依据具体细节之前，请就现行条文和生效日期咨询合格的阿联酋DPO或法律顾问。
- 法律：Federal Decree-Law No. 45 of 2021，关于个人数据保护
- 生效日期：January 2, 2022
- 监管机构：UAE Data Office（UAEDO），由Federal Decree-Law No. 44 of 2021设立
- 完全合规目标：January 1, 2027
- 实施细则：已于2026年发布——请就现行条文和生效日期咨询阿联酋法律顾问
- 适用范围：适用于阿联酋实体对阿联酋居民个人数据的处理，以及针对阿联酋居民的境外处理者
云端AI API如何在PDPL下产生跨境传输风险
当您调用云端AI API时，个人数据会离开阿联酋。 典型的企业工作流程——将客户查询发送到托管在美国或欧盟的API端点——即构成PDPL下的跨境传输，即使数据是临时的。
PDPL限制跨境传输。 数据只有在目的地国家提供经UAE Data Office认可的充分保护水平，或具备特定的合同保障措施（SCCs或BCRs）时，才可流向该国。截至2026年，UAE Data Office尚未发布正式的充分性名单。
可能需要进行DPIA。 在向非充分性司法辖区传输时——目前在充分性名单发布前涵盖所有国家——传输前可能需要进行数据隐私影响评估（第21条）。
风险的实际示例：
- 将客户支持查询发送至GPT-4o（托管于美国）：查询内容的跨境传输，其中可能包含个人标识符
- 使用基于云的文档AI处理HR文件：员工个人数据被发送至阿联酋境外
- 基于API的病历翻译：在没有正式SCC框架的情况下，敏感的特殊类别数据离开阿联酋
- 使用专有客户数据对云端LLM进行微调：大量个人数据传输，且境内不保留副本
本地AI如何满足阿联酋数据驻留与主权要求
本地AI推理意味着：模型在阿联酋境内的硬件上运行。 个人数据在本地处理，答案在本地返回，推理时没有任何数据越境。
跨境传输问题随之消失。 如果数据从不离开阿联酋基础设施，则推理无需任何充分性决定、SCC或BCR。数据驻留通过设计而非合同来维护。
本地LLM是主要的实现方式。 开放权重模型（Falcon 3、Llama 3.1、Qwen3、Jais等）可使用Ollama、vLLM或llama.cpp部署在阿联酋境内的服务器上——全程无需将数据发送到外部API。
主权由设计保障： 模型权重、配置和所有处理日志均保留在阿联酋司法辖区内。这与UAE National AI Strategy 2031相一致，该战略将数据定位为"未来的石油"，需要本地治理。
- ✅ 推理数据留在阿联酋——运行时无个人数据跨境传输
- ✅ 推理环节无需充分性决定或SCC
- ✅ DPIA范围缩小——处理为本地而非跨境
- ✅ 符合UAE AI Strategy 2031的本地数据治理目标
- ✅ 审计日志和模型输出保留在阿联酋司法辖区内
- ❌ 需要境内硬件（GPU服务器、NVMe存储、散热）或阿联酋境内的云GPU
- ❌ 从Hugging Face下载模型权重仍需联网访问——初次拉取后可进行物理隔离
- ❌ 技术团队必须管理模型更新、监控和安全
云端AI与本地AI：PDPL跨境风险对比
本表对比云端AI API与本地AI推理在PDPL合规方面的状况。本文不构成法律意见——请咨询您的DPO。
| 因素 | 云端AI API | 本地AI |
|---|---|---|
| 数据是否越过阿联酋边境？ | 是——发送至美国/欧盟服务器 | 否——本地处理 |
| 是否产生PDPL跨境传输义务？ | 是——需要充分性或SCCs | 不适用（无传输） |
| 是否需要充分性决定？ | 是（名单尚未发布） | 否 |
| 是否需要SCC/BCR？ | 是（依据2026年实施细则） | 否 |
| 是否因跨境传输触发DPIA？ | 敏感数据很可能触发 | 不因传输触发（仅高风险处理时） |
| 审计日志的司法辖区？ | 境外司法辖区 | 阿联酋司法辖区 |
| UAEDO的执法触及范围？ | 对境外供应商不确定 | 明确属阿联酋司法辖区 |
| 与UAE AI Strategy 2031的契合度？ | 部分（境外基础设施） | 完全（本地数据治理） |
面向阿联酋组织的主权AI部署选项
以下是在阿联酋境内运行AI的实用选项：
- 选项1——自托管本地GPU服务器。 在您的阿联酋数据中心部署NVIDIA RTX 4090或A100服务器。使用Ollama或vLLM运行Falcon 3-7B、Llama 3.1-8B或Qwen3-8B。完全主权：您的硬件，您的司法辖区。
- 选项2——阿联酋境内的云GPU。 使用数据中心物理位于阿联酋境内的云GPU提供商（G42 Cloud、Microsoft Azure UAE North、AWS Middle East UAE）。数据留在境内。请仔细核查DPA范围——Azure UAE North在Microsoft UAE条款下运营，请与提供商确认PDPL合规性。
- 选项3——物理隔离的本地系统。 为实现最大主权（政府、国防、金融监管机构）：一次性拉取模型权重，对服务器进行物理隔离，离线运行。推理时无出站联网。参见本地隔离式本地LLM。
- 选项4——混合：本地推理、云端微调。 在匿名化或合成数据上进行微调（非个人数据可接受云端），将微调后的权重部署在本地。在利用云端算力进行模型训练的同时降低传输风险。
- 推荐用于阿联酋主权部署的模型： Falcon 3（1B–10B，TII Abu Dhabi——阿联酋本土模型）、Jais（13B–30B，Core42/G42/MBZUAI——阿拉伯语-英语，Abu Dhabi）、Llama 3.1（8B–70B，Meta，Apache 2.0）、Qwen3（8B–32B，多语言含阿拉伯语）。
DIFC与ADGM：自贸区数据保护制度
UAE PDPL明确将已拥有自身数据保护法律的自贸区排除在外。 DIFC和ADGM均符合这一情形。
DIFC（Dubai International Financial Centre）： 在DIFC Data Protection Law No. 5 of 2020下运行，这是一套以GDPR为蓝本的制度。2025年7月，Amendment Law No. 1 of 2025生效（自July 15, 2025起），更紧密地对齐国际最佳实践，并对跨境传输引入强制性的书面充分性评估。监管机构为DIFC数据保护专员（DIFC Commissioner of Data Protection）。
ADGM（Abu Dhabi Global Market）： 拥有自身的、与GDPR对齐的数据保护框架。值得注意的是，它将"正当利益"（legitimate interests）纳入许可的法律依据——这是联邦PDPL所不具备的依据，联邦PDPL更依赖于同意。
三层合规： 同时在阿联酋本土和自贸区运营的组织必须在两套制度下管理合规。拥有DIFC子公司的阿联酋控股公司同时面临联邦PDPL和DIFC法律。
- DIFC：DIFC Data Protection Law No. 5 of 2020 + Amendment Law No. 1 of 2025（July 15, 2025）
- ADGM：ADGM Data Protection Regulations（以GDPR为蓝本，含"正当利益"依据）
- 联邦PDPL将拥有自身法律的自贸区（DIFC、ADGM）排除在外
- 多实体集团：将每个法律实体分别映射到其适用的制度
- 本地AI优势：区内硬件可同时满足全部三套制度
阿联酋行业专项AI合规考量
联邦PDPL是基线。受监管行业在此之上叠加进一步的要求：
- 银行与金融（CBUAE、DFSA）： 阿联酋中央银行作为FIT Programme的一部分，于February 25, 2026推出了全球首个主权金融云服务基础设施（SFCSI）。处理客户数据的金融机构在PDPL之上面临叠加的CBUAE治理要求。DFSA单独管辖受DIFC监管的公司。
- 医疗（DHA、ADHICS）： 健康数据在PDPL下属于"特殊类别"个人数据，享有增强保护。Dubai Health Authority（DHA）和Abu Dhabi Healthcare Information and Cyber Security Standard（ADHICS）增加了行业专项数据治理要求。用于临床环境的AI必须同时满足PDPL和健康监管框架。
- 政府与公共部门： 政府实体通常默认在阿联酋境内基础设施中处理数据。UAE AI Strategy 2031要求政府AI采用本地数据治理框架。本地AI是政府部署的默认安全选项。
- 电信： 既有的电信监管框架涵盖电信数据。PDPL在电信运营商处理的个人数据之上增加了一层联邦覆盖。
关于UAE PDPL与AI合规的常见问题
UAE PDPL与GDPR相似吗？
UAE PDPL借鉴了GDPR，但并不完全相同。主要区别：PDPL更依赖同意作为法律依据（GDPR还允许正当利益，而这不是PDPL的标准依据）；实施细则仍待发布（GDPR的实施已经成熟）；执法仍在发展中。DIFC和ADGM的数据保护法律更紧密地以GDPR为蓝本，并包含正当利益。
UAE PDPL是否要求数据本地化——将数据物理存储在阿联酋境内？
联邦PDPL并未明确要求数据本地化（即要求所有数据存储在境内）。它监管跨境传输——要求数据离开阿联酋时具备充分保护或合同保障措施。但是，行业专项规则（例如面向金融服务的CBUAE SFCSI）实际上可能推动境内存储。本地AI通过将处理保持在本地来实现数据驻留。
违反UAE PDPL会受到哪些处罚？
截至2026年，实施细则已发布，PDPL进入实际执行阶段，因此处罚与制裁框架现已适用。PDPL设想了包括罚款在内的处罚；确切金额和程序载于实施细则中，但关于确切引用依据的报道并不一致——请就现行处罚标准咨询阿联酋法律顾问。请在2027年1月1日截止日期之前建立合规实践。
本地运行AI是否自动意味着我符合PDPL要求？
不——本地AI部署解决了跨境传输风险，但并不会使您自动合规。您仍然需要：处理个人数据的合法依据、针对高风险活动的DPIA、数据主体权利程序（访问、删除、异议），以及数据保留和安全政策。本地AI是重要的合规辅助手段，而非完整的解决方案。
UAE Data Office是什么，它做什么？
UAE Data Office（UAEDO）是由Federal Decree-Law No. 44 of 2021设立的联邦数据保护监管机构。它监督PDPL的实施、进行审计、调查投诉并发布指南。截至2026年初，该数据办公室仍在建设执法能力，预计将在January 2027截止日期之前发布实施细则。
如果我的公司位于阿联酋境外，UAE PDPL是否适用于我？
PDPL具有域外效力：它可适用于阿联酋境外、处理阿联酋居民或在阿联酋境内个人之个人数据的组织。确切的域外触及范围将由实施细则予以明确。拥有阿联酋客户或用户的组织，无论总部位于何处，都应评估其义务。
在UAE PDPL下，我如何为AI项目进行DPIA？
根据第21条，对于可能导致高风险的处理，需要进行DPIA：自动化决策、大规模画像分析、敏感数据处理，或向非充分性司法辖区的跨境传输。DPIA应记录：处理的性质和目的、必要性评估、识别出的风险以及缓解措施。当范围或目的发生变化时更新DPIA。
在PDPL下，我是否需要与我的云端AI供应商签订数据处理协议（DPA）？
需要——如果云端供应商代表您处理个人数据，您需要一份管辖其处理义务的合同安排，类似于GDPR第28条的DPA。云端AI提供商应提供符合UAE PDPL的数据处理协议。如果涉及跨境传输，还需要SCCs或BCRs（待实施细则模板发布）。
本土PDPL、DIFC法律与ADGM法律之间有何区别？
阿联酋本土实体受联邦PDPL（Federal Decree-Law No. 45 of 2021）管辖。DIFC实体遵循DIFC Data Protection Law No. 5 of 2020（2025年7月修订）。ADGM实体遵循ADGM Data Protection Regulations。PDPL明确将拥有自身法律的自贸区排除在外。多实体集团必须将每个法律实体映射到其适用的制度。
哪些开放权重AI模型最适合阿联酋主权部署？
三个有力选项：Falcon 3（1B–10B，来自Technology Innovation Institute，Abu Dhabi——阿联酋本土模型系列）、Jais（13B–30B，来自Core42/G42/MBZUAI，Abu Dhabi——阿拉伯语-英语双语）和Llama 3.1（8B–70B，Meta，Apache 2.0）。三者均可使用Ollama或vLLM进行本地部署。Falcon和Jais尤其契合阿联酋的AI主权目标。参见我们的最佳阿拉伯语本地LLM指南。
参考来源
- UAE Federal Decree-Law No. 45 of 2021，关于个人数据保护 — uaepdpl.com
- UAE Data Office（UAEDO） — uaedataoffice.gov.ae
- DIFC Data Protection Law No. 5 of 2020及Amendment Law No. 1 of 2025 — difc.ae/business/laws-and-regulations/
- ADGM Data Protection Regulations — adgm.com/setting-up/financial-services-regulations
- CBUAE主权金融云服务基础设施（SFCSI）公告，February 25, 2026 — centralbank.ae
- Securiti UAE PDPL概述 — securiti.ai/uae-personal-data-protection-law
- Chambers and Partners — Data Protection & Privacy 2026, UAE — practiceguides.chambers.com