计算机视觉与智慧城市方案进入海湾市场（阿联酋 / 沙特）

执行阶段（22–38 周，估算）

1. 1. 阶段一：落地实体与适用制度选择

   4–8 周

   先选制度，再设实体。阿联酋侧要在联邦制度、DIFC 与 ADGM 之间做选择：DIFC 数据保护法配套条例第 10 条对人工智能系统有专门规则（含告知、设计要求与高风险处理的系统认证与自主系统官），ADGM 则有控制者登记与年度费用的独立安排；沙特侧则须在国家数据治理平台上登记为控制者。制度选择会决定后面所有阶段的义务清单，选错的返工成本极高。

   本阶段义务

   • 建立个人数据处理记录与安全措施体系阿联酋联邦个人数据保护法（2021 年第 45 号法令） · Art. 7(4)、Art. 20 · 严重度 高
   • 向专员办理处理活动备案并维持书面数据保护政策DIFC 数据保护法 2020 及其数据保护条例（含第 10 条人工智能系统规则） · Art. 14(5)(7)(8)、Art. 15 · 严重度 高
   • 控制者登记与数据保护费（含年度续费）ADGM 数据保护条例 2021（阿布扎比全球市场） · s. 24 · 严重度 高
   • 在国家数据治理平台登记为控制者沙特个人数据保护法（PDPL）及其实施细则 · PDPL Art. 30(4)(c)；实施细则 Art. 34；国家控制者登记册规则 Art. 2–7 · 严重度 高
   • 维护个人数据处理活动记录（须标明是否出境）沙特个人数据保护法（PDPL）及其实施细则 · PDPL Art. 31 · 严重度 中

   完成后应留存的证据

   • · 制度比选备忘录（联邦 / DIFC / ADGM / 沙特，逐项列适用义务与成本）
   • · 实体设立文件与营业范围核准
   • · 控制者登记回执（沙特国家登记册 / ADGM 登记 / DIFC 备案）
   • · 处理活动记录（ROPA，须标明是否涉及出境）

   常见卡点

   • · 在自贸区注册却按联邦法做合规：DIFC 与 ADGM 有自己的数据保护法，义务清单与监管机构都不同。
   • · 把登记当一次性动作：登记与年度费用、信息变更报送是持续义务，漏缴会影响资质有效性。
   • · 实体设立与投标窗口抢时间：海湾政府项目的投标资格常要求已有本地实体与有效登记，临时补办赶不上。

2. 2. 阶段二：数据本地化、托管架构与出境路径

   5–9 周

   把"数据放在哪、谁能碰"这件事在架构层定死，再去谈商务。沙特侧的个人数据出境须逐条链路论证目的与条件、落实三类适当保障措施之一（标准合同条款、有约束力的公司规则或认证证书）、并完成六要素的出境风险评估；DIFC 侧走充分性名单、保障措施与专员通报路径；阿联酋联邦侧另有自己的传输条款。此外，云与托管侧在沙特还存在通信、空间与技术委员会口径的监管文件，需要单独核对，不能假设数据保护合规就覆盖了托管合规。

   本阶段义务

   • 逐条链路论证出境目的与三项条件沙特个人数据出境传输条例 · PDPL Art. 29；出境条例 Art. 2 · 严重度 极高
   • 落实三类适当保障措施之一（SCC／BCR／认证证书）沙特个人数据出境传输条例 · 出境条例 Art. 4、Art. 5、Art. 6 · 严重度 极高
   • 出境风险评估（第 7 条六项要素）沙特个人数据出境传输条例 · 出境条例 Art. 7 · 严重度 高
   • DIFC 境外传输：充分性名单、保障措施与专员通报DIFC 数据保护法 2020 及其数据保护条例（含第 10 条人工智能系统规则） · Art. 26、Art. 27 · 严重度 高
   • 数据泄露通报与跨境传输路径阿联酋联邦个人数据保护法（2021 年第 45 号法令） · Art. 9、Art. 22、Art. 23 · 严重度 高

   本阶段交付物

   传输影响评估（TIA）——配合欧盟标准合同条款第 14 条

   完成后应留存的证据

   • · 数据流图与存储位置清单（原始视频、特征向量、告警记录、模型分别标注）
   • · 出境链路清单与逐条的目的与条件论证
   • · 出境风险评估报告（按沙特出境条例第 7 条六项要素）
   • · 已签署的适当保障措施文件（标准合同条款 / 有约束力的公司规则 / 认证证书）
   • · 托管与云服务的监管口径核对记录（含 CST 侧文件比对）
   • · 远程运维访问的权限矩阵与审计日志方案

   常见卡点

   • · 以为"原始视频不出境就合规"：特征向量与识别结果通常仍属个人数据，出境同样需要路径。
   • · 远程运维被排除在数据流图之外：中国境内工程师的调试访问是最常被现场审计抓到的一条链路。
   • · 把托管合规与数据保护合规混为一谈：两者的监管机构与文件要求不同，需要分别核对。

3. 3. 阶段三：生物特征处理与 AI 治理要求

   5–8 周

   这是计算机视觉方案在海湾地区最硬的一关。DIFC 侧要落实条例第 10 条的三层要求：AI 系统初次使用时的告知与系统说明、五项设计要求与"仅限人类定义目的"的技术约束、以及高风险处理活动的系统认证与自主系统官任命。沙特侧按 SDAIA 人工智能伦理原则做四档风险分级并为高风险系统安排事前与事后合格评定，同时按七项原则在生命周期各阶段留痕。阿联酋联邦侧则须为自动化处理决策提供异议权与人工复核。

   本阶段义务

   • 第 10 条：AI 系统的初次使用告知与系统说明DIFC 数据保护法 2020 及其数据保护条例（含第 10 条人工智能系统规则） · DP Regulations Reg. 10.2.2 · 严重度 高
   • 第 10 条：AI 系统五项设计要求与"仅限人类定义目的"的技术约束DIFC 数据保护法 2020 及其数据保护条例（含第 10 条人工智能系统规则） · DP Regulations Reg. 10.3.1–10.3.2、10.3.4 · 严重度 极高
   • 第 10 条：高风险处理活动的系统认证与自主系统官（ASO）DIFC 数据保护法 2020 及其数据保护条例（含第 10 条人工智能系统规则） · DP Regulations Reg. 10.3.3 · 严重度 极高
   • 数据保护影响评估与事前咨询专员DIFC 数据保护法 2020 及其数据保护条例（含第 10 条人工智能系统规则） · Art. 20、Art. 21 · 严重度 高
   • 按四档风险分级并为高风险系统安排事前与事后合格评定SDAIA 人工智能伦理原则与生成式 AI 指引 · AI Ethics Principles — Scope · 严重度 高
   • 按七项原则在 AI 生命周期各阶段落实控制并留痕SDAIA 人工智能伦理原则与生成式 AI 指引 · AI Ethics Principles — Principles 1–7 · 严重度 中
   • 自动化处理决策的异议权与人工复核阿联酋联邦个人数据保护法（2021 年第 45 号法令） · Art. 18 · 严重度 高

   本阶段交付物

   欧盟人工智能法案 第 27 条 基本权利影响评估（FRIA）模型卡（Model Card）数据卡（Data Card）——训练、验证与测试数据集说明书

   完成后应留存的证据

   • · AI 系统说明与初次使用告知文本（可直接交付给买方张贴）
   • · 风险分级判定记录与高风险系统的合格评定安排
   • · 自主系统官（ASO）任命文件与职责说明（DIFC 高风险场景）
   • · 数据保护影响评估与事前咨询记录
   • · 算法性能与偏差测试报告（按人群分组的准确率与误报率）
   • · 人工复核与异议受理流程说明及工单样本

   常见卡点

   • · 拿不出按人群分组的误报率数据：政府买方与监管方在人脸类项目上普遍会问，给不出等于承认没测。
   • · 把"仅限人类定义目的"理解成一句合同承诺：这是技术约束要求，需要在系统设计上有对应机制与证据。
   • · 高风险场景没有指定自主系统官就上线：这是 DIFC 条例的明确要求，事后补任命无法覆盖上线期间。

4. 4. 阶段四：政府与国企采购应答准备

   4–8 周

   把合规产出翻译成投标材料。海湾政府项目的技术标通常要求：已任命的数据保护官及其联系方式、处理活动记录、影响评估摘要、数据本地化方案、以及本地运维与知识转移承诺。这一阶段要同步准备英文与阿拉伯文版本，并把所有承诺与阶段二、三的实际架构对齐 —— 标书里的承诺在合同执行阶段会被逐条核验。

   本阶段义务

   • 任命个人数据保护官并明确其职责沙特个人数据保护法（PDPL）及其实施细则 · 实施细则 Art. 32；数据保护官任命规则 Art. 4–8 · 严重度 高
   • 产品与服务的个人数据处理影响评估沙特个人数据保护法（PDPL）及其实施细则 · PDPL Art. 22；实施细则 Art. 32(3)(b) · 严重度 高
   • 组织、管理与技术安全措施及从业人员保密义务沙特个人数据保护法（PDPL）及其实施细则 · PDPL Art. 19、Art. 41 · 严重度 高
   • 高风险处理活动的数据保护官与责任分配DIFC 数据保护法 2020 及其数据保护条例（含第 10 条人工智能系统规则） · Art. 16、Art. 17、Art. 18 · 严重度 高
   • 数据保护官的任命与一个月内通知专员ADGM 数据保护条例 2021（阿布扎比全球市场） · s. 35–37 · 严重度 高

   本阶段交付物

   招投标 / RFP 合规应答包（含欧盟公共采购与企业采购两条线）客户安全与隐私问卷答案库（按 CAIQ / CCM 主题分组）

   完成后应留存的证据

   • · 数据保护官任命文件与向监管机构的通知回执
   • · 投标合规章节（英文 + 阿拉伯文），含数据本地化与访问控制方案
   • · 影响评估摘要（可对外版本）
   • · 安全措施与保密义务说明（含从业人员保密承诺）
   • · 本地运维与知识转移计划

   常见卡点

   • · 只准备英文材料：部分政府采购要求阿拉伯文版本，且以阿拉伯文本为准。
   • · 数据保护官任命后未向监管通知：ADGM 有一个月内通知的明确要求，漏报会在资质核查时暴露。
   • · 标书承诺"全部数据留在境内"但方案里有跨境模型更新：执行阶段被核验时无法自圆其说。

5. 5. 阶段五：运营、泄露通报与年度维持

   3–5 周

   把 72 小时通报通道、安全措施的持续有效性、以及登记与人员任命的年度维持固化下来。沙特与 ADGM 均设有 72 小时口径的泄露通报要求，DIFC 另有专员通报、数据主体告知与书面记录的组合。对长期运维项目，还要把人员变更（尤其是能访问现场数据的中方工程师）纳入访问复核节奏。

   本阶段义务

   • 泄露事件 72 小时内通知主管机关并告知数据主体沙特个人数据保护法（PDPL）及其实施细则 · PDPL Art. 20；实施细则 Art. 24（泄露通报）、Art. 23（安全措施） · 严重度 极高
   • 个人数据泄露 72 小时通报与文档化ADGM 数据保护条例 2021（阿布扎比全球市场） · s. 32、s. 33 · 严重度 高
   • 个人数据泄露的专员通报、数据主体告知与书面记录DIFC 数据保护法 2020 及其数据保护条例（含第 10 条人工智能系统规则） · Art. 41、Art. 42 · 严重度 高
   • 出境传输的保障措施与自动化决策的一个月异议窗口ADGM 数据保护条例 2021（阿布扎比全球市场） · s. 20、s. 41–44 · 严重度 高
   • 组织、管理与技术安全措施及从业人员保密义务沙特个人数据保护法（PDPL）及其实施细则 · PDPL Art. 19、Art. 41 · 严重度 高

   本阶段交付物

   AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

   完成后应留存的证据

   • · 泄露响应手册（按辖区分列接收方、语言与时限）与一次演练记录
   • · 访问权限季度复核记录（含离职与调岗后的权限回收证据）
   • · 登记、任命与年度费用的合规日历
   • · 安全措施有效性测试报告（渗透测试、日志审计抽样）

   常见卡点

   • · 通报走中国总部审批链：72 小时内要完成的动作，跨时区审批经常把时间耗光，须预先授权本地负责人。
   • · 权限回收滞后于人员变动：现场审计与合同复审时，离职人员仍有有效账号是最常见的失分点。