沙特阿拉伯现行有效对中国 AI 企业相关度：极高数据跨境数据与隐私

沙特个人数据出境传输条例

《个人数据出境传输条例》（PDPL 第 29 条实施条例）

沙特数据与人工智能管理局（SDAIA）

PDPL 第 29 条设定了出境的两层结构：先要落入允许的目的（履行沙特为缔约方的协议项下义务、服务沙特利益、履行数据主体为一方的义务、或条例规定的其他目的），再要满足三项条件（不得损害国家安全或王国重大利益；境外须存在不低于本法与条例水平的适当保护，由主管机关评估认定；传输或披露限于所需的最小数据量）。本条例把"其他目的"具体化为三类：为使控制者开展其活动而进行的必要集中处理、向数据主体提供服务或利益、开展科学研究与研究性工作；并在第 4 条列举五种可豁免"适当保护水平"与"最小化"两项条件（或其一）的情形，但豁免的前提是控制者落实标准合同条款、约束性共同规则或认证证书三类适当保障措施之一。第 5 条明确后续再传输同样受本法与条例约束；第 6 条规定控制者未落实保障措施、或主管机关认定保障措施不充分时豁免即告失效，控制者须停止传输并通知接收方。第 7 条则规定两类情形必须事前开展出境风险评估：依第 4 条豁免进行的传输，以及持续或大规模向境外传输或披露敏感数据。

已对照官方来源核实 · 2026-09-12部分依据二手来源，建议复核

它管不管得到我？

任何把沙特境内产生的个人数据送出王国的业务动作都受其约束，对中国 AI 企业而言最典型的四种是：（1）把沙特用户的提示词、语音、影像或行为日志回传中国或第三国用于模型训练与评测；（2）由中国团队远程运维沙特客户的系统而实际访问其个人数据（远程访问在实务中等同于传输，应按出境处理）；（3）集团内 HR、财务、客服系统集中在中国或新加坡，处理沙特员工与客户数据——这正是第 4(2)(c) 条"跨国集团必要集中运营"所对应的情形，需落实约束性共同规则或标准合同条款；（4）与沙特科研机构或医院合作，把去标识不充分的健康、基因或影像数据带出境——这类属于第 7(1)(b) 条持续或大规模传输敏感数据，必须先做风险评估。

重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、医疗 AI、金融科技 AI

适用时间线

2026-09-12
核实：SDAIA 官网现行英文本为 0.2 版（2024 年 8 月），第 9 条规定自官方公报公布之日起施行
SDAIA 同时公布了配套的《个人数据出境风险评估指引》《标准合同条款》《约束性共同规则（BCR）指引》，构成一整套可落地的出境合规工具。

义务清单（3 条）

每条都写明触发条件、需要留存的证据与条款出处

逐条链路论证出境目的与三项条件

严重度极高PDPL Art. 29；出境条例 Art. 2

为每一条出境链路留存书面论证：（一）落入 PDPL 第 29(1) 条允许的目的，或本条例第 2 条具体化的三类"其他目的"之一（必要集中处理／向数据主体提供服务或利益／科学研究）；（二）不损害国家安全与王国重大利益；（三）境外存在不低于沙特法与条例水平的适当保护；（四）传输限于实现目的所需的最小个人数据量。第 29(3) 条另规定，在为保护数据主体生命或重大利益、或预防、检查、治疗疾病的极端必要情形下，第 29(2) 条的三项条件不适用。

触发条件: 把沙特境内个人数据传出或向境外主体披露的所有控制者。
做完之后应留存的证据: · 出境链路清单（目的、法律依据、接收方、数据类别、数据量）
· 最小化论证与字段级裁剪证据（传输前后字段对照）
· 国家安全与重大利益影响的内部审查意见
· 适当保护水平评估结论与支撑材料

首次达标投入估算：6–15 人日（估算，非承诺）

落实三类适当保障措施之一（SCC／BCR／认证证书）

严重度极高出境条例 Art. 4、Art. 5、Art. 6

第 4(1) 条规定，适用豁免情形的控制者必须实施以下适当保障措施之一：标准合同条款、约束性共同规则、认证证书。第 4(2) 条给出五类豁免情形及其对应要求：公共机构之间为履行沙特为缔约方的协议或服务其利益而传输的，须在相关协议或备忘录中纳入个人数据保护标准条款；非经常性或限定期间、涉及有限数量数据主体的传输，须遵守标准合同条款，或向已取得主管机关许可实体所颁认证证书的接收方传输且数据非敏感；跨国集团为必要集中运营而传输的，控制者与其关联方须遵守约束性共同规则或标准合同条款，或接收方取得认证证书；为直接向数据主体提供服务或利益且不违背其预期或利益而传输的，须向持有认证证书的接收方传输且数据非敏感；为科学研究与研究性工作所必需的传输须限于最小数据量，并遵守标准合同条款或向持证接收方传输且数据非敏感。第 4(3) 条要求保障措施须确保控制者遵守法与条例，并保护数据主体权利，包括向主管机关投诉与就权利受侵害获得赔偿的权利。

触发条件: 中国 AI 企业最常落入的是"跨国集团必要集中运营"一档：集团内中国或新加坡的训练平台、数据湖、客服与 HR 系统处理沙特数据时，必须以约束性共同规则或标准合同条款覆盖控制者与全部关联处理方。
做完之后应留存的证据: · 已签署的 SDAIA 标准合同条款文本或获批的约束性共同规则
· 接收方认证证书及其颁发机构许可证明（若依赖认证路径）
· 豁免情形归类备忘（逐链路对应第 4(2) 条五类中的哪一类）
· 保障措施落地验证（访问控制、投诉与赔偿通道、审计权行使记录）

首次达标投入估算：10–25 人日（估算，非承诺）

出境风险评估（第 7 条六项要素）

严重度高出境条例 Art. 7

第 7(1) 条规定两种必须在传输前完成风险评估的情形：依第 4 条豁免进行的出境传输或披露；以及持续或大规模向境外传输或披露敏感数据。第 7(2) 条要求评估至少包含六项要素：出境的目的与法律依据；出境的性质描述（含所涉处理活动及其地理范围）；已实施的适当保障措施及其在确保不低于法与条例水平保护方面的充分性；在未获第 29(2)(c) 条豁免时确保传输限于最小数据量的措施；出境可能造成的物质或精神影响及其发生可能性；为预防潜在风险或在风险发生时减轻其影响所将采用的措施或控制。SDAIA 另发布《个人数据出境风险评估指引》，应作为评估模板的基准。

触发条件: 依豁免路径出境的每一类传输，以及任何持续或大规模向境外传输敏感数据（健康、基因、生物识别、信用、宗教或政治观点等）的场景。; 时限：在传输前完成。
做完之后应留存的证据: · 出境风险评估报告（覆盖第 7(2) 条六项要素）
· 评估所依据的接收国法律环境分析
· 风险缓解控制清单与实施证据
· 触发重评的规则与历次复评记录（接收方、数据类别或法律环境变化）

首次达标投入估算：5–12 人日（估算，非承诺）

罚则

本条例本身不单独设定罚则；违反出境规则按 PDPL 第 36 条处理（警告或不超过 500 万里亚尔罚款，累犯可加倍），若涉及以损害数据主体或牟取私利为目的披露敏感数据，另可触发第 35 条的刑事责任。

已知不确定之处

（1）与 PDPL 条目同样的原因，本条目不给出公历公布与施行日期，官方英文本仅标注"0.2 版，2024 年 8 月"并规定自官方公报公布之日起施行；（2）SDAIA 标准合同条款与约束性共同规则指引的具体条款文本未逐条抄录，签署前须以官网最新版本为准；（3）第 4(4) 条规定主管机关可每两年或按需复核各豁免情形的保障措施是否充分，因此各档要求可能变动；（4）"持续或大规模"在条例中未给出量化门槛，实务中应从严把握。