说清楚你的生意，拿走一份能派工的义务清单

第 10.3.1 条要求任何可能对数据主体产生正面或负面影响的系统在设计上满足伦理（算法决策与数据谱系应无偏见并已缓解）、公平（平等对待个体、避免或缓解可能导致不公结果的偏见）、透明（以非技术语言向数据主体与其他相关方解释个人数据处理并附适当支持证据）、安全（保护并保密个人数据、防止造成声誉、心理、财务、职业等损害的泄露）、问责（具备内部治理与控制框架或定期外部审计等机制，可对算法、数据与设计流程进行评估）。第 10.3.2 条进一步禁止任何人将不满足以下条件的系统投入商用：只能为人类定义或人类批准的目的处理个人数据，或仅在人类定义原则的基础上并严格限于人类定义的约束内由系统自行定义目的；且按第 10.3.1 条设计并符合专员可能发布的其他审计与认证要求。第 10.3.4 条把部署者视为控制者、运营者视为处理者，责任随之落地。

需留存证据：五项设计要求的符合性说明与设计评审记录；偏差与公平性测试报告（含数据谱系分析）；目的约束的技术实现证据（系统提示、工具白名单、目的校验与拒绝逻辑、日志）；算法／数据／设计流程的内部治理框架或外部审计报告

ISO/IEC 42001 人工智能管理体系实施与认证准备清单

第 10.3.3 条规定，任何人不得使用、运营、提供、要约或以其他方式为商业用途提供用于"高风险处理活动"的系统，除非：专员已就用于高风险处理活动的系统设立审计与认证要求；该系统符合全部此类要求；该系统仅为人类定义或人类批准的目的处理个人数据；且部署者或运营者已任命一名"自主系统官（ASO）"，其能力、地位、角色与任务须与本法第 17 条、第 18 条项下的数据保护官相同或实质相似。条例脚注说明其监管意图是：在专员发布上述认证与其他要求之前，任何系统都不得用于高风险处理活动。DIFC 已公布第 10 条认证框架、加速器框架与认可认证机构名单，并提供第 10 条认证在线申请与自评工具。

需留存证据：高风险处理活动认定与第 10.3.3 条适用性分析；第 10 条认证申请材料与认可认证机构出具的认证结论；自主系统官（ASO）任命文件与职责说明（对照第 17、18 条）；系统仅为人类定义／批准目的处理数据的技术证据与审计轨迹

ISO/IEC 42001 人工智能管理体系实施与认证准备清单

第 14(7) 条要求控制者与处理者向专员提交处理操作通知完成登记，并通过修订通知保持更新；第 14(8) 条明确该通知将进入专员维护的公开登记册并须缴纳条例规定的费用。第 14(5) 条另要求实施并维持一份书面数据保护政策，其详略程度须与处理的范围和类型相称并与本法一致。第 15 条要求控制者与处理者分别维持处理活动书面记录（含接收方类别、第三国与国际组织、第 27 条传输的保障措施文档、各类数据的删除期限、技术与组织安全措施概述）。

需留存证据：专员登记回执与最新一次修订通知记录；书面数据保护政策（含版本与审批留痕）；处理活动记录（RoPA，按第 15(1) 条字段）；第 27 条传输保障措施的文档与归档索引

第 16(2)(b) 条规定，系统性或常规性开展"高风险处理活动"的控制者或处理者必须任命数据保护官；DIFC 主体本身亦须任命。不需任命的主体，依第 16(4) 条必须在组织内明确分配数据保护职责与合规监督责任，并能在专员要求时提供负责人信息。数据保护官可由内部员工、集团内员工或第三方以服务合同方式担任，集团可共用一名但须对各实体均易于联络。特别注意第 16(7) 条的居住要求：数据保护官必须居住在阿联酋境内，除非其为集团内雇员并在国际层面为集团履行类似职能——中国企业若打算由境内团队远程兼任，须先确认是否落入该但书。第 16(8) 条另要求以第三方可轻易获取的方式公开数据保护官联系方式，并在专员要求时书面确认其身份。

需留存证据：高风险处理活动判定备忘（逐业务线结论与理由）；数据保护官任命文件或第 16(4) 条责任分配文件；数据保护官独立性与资源保障安排说明；向专员提供负责人信息的应答模板

依第 20 条对高风险处理开展数据保护影响评估；依第 21 条，当评估显示即便采取第 20(6)(e) 条所述措施后对数据主体权利的风险仍然存在时，控制者必须在处理前咨询专员；专员认定该处理将违反本法时可通知控制者与处理者并动用第 46 条项下的权力。AI 项目应把 DPIA 与模型评估、红队测试与上线审批串联，避免出现"先上线后补评估"。

需留存证据：DPIA 报告与风险缓解措施清单；事前咨询提交材料与专员答复（如触发）；模型评估与红队测试报告；上线审批记录（含 DPIA 结论作为前置条件的证据）

第 26 条允许向专员认定具备充分保护水平的第三国或国际组织传输，专员通过条例发布并维护该名单，此类传输无需单独授权。不具备充分性时适用第 27 条：可依赖第 27(2) 条的保障措施（公共机构间具法律约束力的文书、约束性公司规则、专员通过的标准合同条款／示范条款、经批准的行为准则或认证机制加上可执行承诺），或第 27(3) 条的具体减损情形；仅在均不可用时才落入第 27(4) 条的有限情形，且依第 27(5) 条控制者须将该传输通知专员。DIFC 专员办公室官网提供第 26 条充分性名单与第 27(2)(c) 条示范条款的下载入口，应以其最新版本为准。

需留存证据：出境清单（接收方、所在地、数据类别、所依赖的第 26 或 27 条路径）；已签署的 DIFC 示范条款／标准合同条款或 BCR 批准文件；第 27(5) 条向专员通报的记录（如适用）；对照专员最新充分性名单的复核记录

打开工具：跨境传输矩阵

第 41 条规定，凡发生损害数据主体保密性、安全或隐私的个人数据泄露，控制者须"在当时情形下尽快（as soon as practicable）"通知专员，通知至少包含泄露性质（含可能的数据主体与记录类别与大致数量）、数据保护官或其他联络点、可能后果、以及已采取或拟采取的措施；信息可分阶段提供。处理者在知悉后须无不当迟延通知控制者。第 42 条要求在泄露可能对数据主体的安全或权利造成高风险时尽快告知受影响个人，存在即时损害风险的须立即沟通；告知内容须以清晰易懂语言说明性质并至少包含第 41(4)(b)–(d) 项，并尽可能给出缓解建议。第 41(6) 条要求控制者书面记录全部泄露的事实、影响与补救措施，并在专员要求时无延迟提供。

需留存证据：泄露应急预案与专员通报模板（对齐第 41(4) 条四项要素）；泄露事件书面记录簿（事实、影响、补救措施）；数据主体告知文本与送达证明；处理者向控制者通报的时效记录

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

数据主体有权反对任何仅基于自动化处理（含画像）、产生法律后果或其他严重影响后果的决策，并要求进行人工复核。第 38(2) 条的例外为：为订立或履行数据主体与控制者之间的合同所必需、依控制者所受的适用法律授权且该法律同时规定了适当保障措施、或基于数据主体的明示同意。控制者依赖合同必要性或明示同意时，第 38(5) 条要求其已实施适当保障措施，至少包括可对处理进行人工复核的能力。第 38(4) 条明确：当数据主体为未成年人（按阿联酋成年年龄判断）时，上述例外一律不适用。第 38(6) 条另规定，除非取得明示同意或基于适用法律的重大公共利益且符合比例并配有适当保障，否则不得仅基于对特殊类别个人数据的自动化处理作出影响数据主体的决策。

需留存证据：自动化决策清单与所依赖例外的法律分析；人工复核流程与复核记录样本；年龄识别／未成年人分流机制说明与测试记录；特殊类别数据自动化决策的合法性论证与保障措施清单

当应用或网站服务使用自主／半自主系统处理个人数据时，部署者或运营者必须在用户初次使用或访问该系统时以清晰明确的措辞告知：系统中可能进行非人为发起、控制或指示的个人数据处理的底层技术与流程（例如系统是否仅限于为特定人类定义目的处理，或能否自行定义进一步目的），以及该系统的使用对个人依第 29(1)(h)(ix) 条享有的权利行使的影响。告知还必须包含对下列内容的全面、真实、平实描述：系统处理个人数据的人类定义目的；系统自行定义进一步目的时所依据的全部人类定义原则与限度；系统产生的输出及其使用方式；系统在设计上遵循的原则，包括为确保处理合规而内建的保障措施；以及系统设计或开发所依据的准则、认证或原则（条例例示了迪拜数字管理局、经济合作与发展组织（OECD）、联合国教科文组织（UNESCO）、美国国家标准与技术研究院（NIST）AI 框架，以及阿联酋中央银行、证券与商品管理局（SCA）、DFSA 与 FSRA 发布的《金融机构采用赋能技术指引》，并允许专员另行指定其他准则与认证）。

需留存证据：首次使用告知的最终文案与展示位置截图；系统说明文档（人类定义目的、自定义目的的原则与限度、输出及其用途）；设计内保障措施清单与实现证据；所依据的准则／认证清单（例如 OECD、NIST AI RMF、UNESCO、央行或 DFSA 指引）

模型卡（Model Card）

依第 7(4) 条建立并保存"个人数据专用记录"，内容须包括控制者与数据保护官信息、个人数据类别描述、有权访问人员名单、处理时间／限制与范围、删除与修改机制、处理目的、与跨境流动和处理有关的数据、以及信息安全与处理相关的技术和组织措施；数据局要求时须提交。第 20 条另要求按国际最佳实践部署加密与假名化、保障处理系统的持续保密性与完整性、故障后及时恢复访问、并定期测试与评估措施有效性。

需留存证据：个人数据处理记录（按第 7(4) 条逐项字段）；访问权限清单与定期复核记录；加密与假名化实施说明、密钥管理制度；安全措施有效性测试与评估报告

第 10 条规定在三种情形下控制者与处理者必须任命具备充分技能与知识的数据保护官：采用新技术或就数据量而言会对个人数据的保密性与隐私造成高风险的处理；涉及对敏感个人数据的系统性全面评估（含画像与自动化处理）；对大量敏感个人数据的处理。数据保护官可以在境内或境外，但必须将其联系方式告知数据局。第 21 条要求在使用会造成高风险的新技术前开展影响评估，且在上述"系统性全面自动化评估"与"大量敏感数据处理"两种情形下强制进行；评估须至少包含处理操作与目的的系统说明、必要性与相称性评估、风险评估、以及降低风险的措施，并需与数据保护官协同、在风险等级变化时定期复核。

需留存证据：数据保护官任命书、岗位说明与资质材料；向数据局报送联系方式的记录；数据保护影响评估报告（按第 21(3) 条四项要素）；影响评估定期复核记录与风险变化触发说明

第 18 条赋予数据主体对自动化处理（含画像）所产生决策——特别是具有法律影响或对其造成不利影响的决策——提出异议的权利；仅在合同约定、其他法律要求、或数据主体事先同意三种情形下不得异议。即使适用这三种例外，控制者仍须采取适当措施保护数据主体个人数据的隐私与保密性且不得损害其权利，并且必须在数据主体提出要求时，在自动化决策的复核中引入人工环节。

需留存证据：自动化决策清单与所依赖的第 18(2) 条例外情形说明；人工复核流程文件与复核记录样本；异议受理入口与处理台账；合同或同意文本中关于自动化处理的条款留存

第 9 条要求控制者在知悉任何会损害数据主体隐私、保密性或安全的泄露或违规时，按实施细则规定的期限与程序向数据局通报，通报须附泄露的性质与形式、原因、大致数量与记录、数据保护官信息、可能影响、已采取或拟采取的纠正措施及相关文档；若泄露会损害数据主体个人数据的隐私与保密安全，还须通知数据主体；处理者知悉后须立即通知控制者。跨境方面，第 22 条允许向已有个人数据保护立法且设有可实施措施的司法或监管机构、或与阿联酋签有双多边数据保护协定的国家或地区传输；第 23 条则在不具备适当保护水平时提供合同约束、数据主体明示同意、司法程序所需、履行合同所需、国际司法协助、公共利益六条路径。控制者应据此为每条链路选定路径并留存依据。

需留存证据：泄露应急响应预案与通报模板（含第 9(1) 条要求的六类信息）；泄露事件台账与向数据局、数据主体的通报留痕；跨境传输清单（链路、接收方、所依赖的第 22 或 23 条路径）；依第 23(1)(a) 条签署的传输合同文本与其中的可实施措施条款

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

打开工具：跨境传输矩阵

第 24(1) 条要求控制者在开始处理个人数据之前、或在开始后尽快：向专员缴纳自开始处理之日起 12 个月的数据保护费，并通知专员其名称与地址（注册公司为注册办事处地址）以及开始处理的日期。第 24(2) 条要求此后每年在开始处理周年日届满后一个月内按董事会规则规定的金额缴纳续费。ADGM 数据保护办公室官网亦明确：所有处理个人数据的 ADGM 注册实体均须登记为数据控制者。

需留存证据：数据保护登记回执与登记信息截图；数据保护费与年度续费缴纳凭证；开始处理个人数据日期的内部认定记录；登记信息变更（名称、地址、数据保护官）更新留痕

第 35(1) 条要求在三种情形下任命数据保护官：由公共机关处理（司法职能的法院除外）；控制者或处理者的核心活动包含因其性质、范围与目的而需要对数据主体进行大规模常规系统性监测的处理操作；核心活动包含大规模处理特殊类别个人数据。数据保护官可服务于单一实体、集团或多个独立实体，可兼任其他职务，不必是雇员（但须有书面协议），亦无需常驻 ADGM，前提是对其服务的每一实体均易于联络且其他职务不与本条例项下义务冲突。第 35(3) 条要求基于专业素质特别是数据保护法律与实务的专门知识任命；第 35(4) 条要求在任命或辞任后一个月内通知专员，通知须包含新任数据保护官的联系方式，辞任情形下还须说明理由。

需留存证据：第 35(1) 条触发判定备忘；数据保护官任命文件或书面服务协议；向专员报送任命／辞任通知的记录（含一个月时效证明）；数据保护官资质与独立性说明

第 32(1) 条要求控制者在发生个人数据泄露时无不当迟延地、在可行情况下不迟于知悉后 72 小时内向专员通报，除非该泄露不太可能对自然人权利造成风险；超过 72 小时的通报须附迟延理由。第 32(2) 条要求处理者在知悉后无不当迟延通知控制者。通报内容须包括泄露性质（含数据主体与记录的类别与大致数量）、数据保护官或联络点、可能后果、已采取或拟采取的措施；信息不能一次提供的可分阶段提供。第 32(5) 条要求控制者记录全部泄露的事实、影响与补救措施，使专员能够核查合规。

需留存证据：泄露应急预案与 72 小时计时起点的认定规则；泄露事件登记簿（事实、影响、补救措施）；向专员通报的提交记录与迟延理由说明（如有）；受影响数据主体告知文本与送达证明（触发第 33 条时）

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

出境方面：第 41 条允许依专员的充分性认定传输，专员在评估时可考虑欧盟委员会依 GDPR 第 45(3) 条作出的充分性决定；无充分性认定时适用第 42 条，可无需专员单独授权而依赖公共机构间具法律约束力的文书、约束性公司规则、专员依第 42(2) 条通过的标准数据保护条款（专员可直接批准欧盟委员会或其他监管机构发布的标准合同条款并以引用方式纳入本条例）、经批准的行为准则或认证机制加可执行承诺；第 42(4) 条项下的定制合同条款与行政安排则须经专员授权；均不可用时才适用第 44 条的特定减损（含在被告知无充分性认定与保障措施的风险后作出的明示同意）。自动化决策方面：第 20(1) 条赋予不受纯自动化决策约束的权利，例外为合同必要、明示同意、以及适用法律要求或授权（含反欺诈、反洗钱、安全与完整性目的）；依赖第三种例外时，控制者须在合理可行范围内尽快书面通知数据主体已作出纯自动化决策，且数据主体自收到通知起一个月内未要求重新考虑或作出非纯自动化的新决定，该例外方可维持。第 20(3) 条要求在合同必要与明示同意两种情形下实施适当措施，至少包括获得人工介入、表达观点与对决策提出异议的权利。

需留存证据：出境清单与每条链路所依赖的第 41／42／44 条路径；已签署的标准数据保护条款、BCR 批准或专员授权文件；纯自动化决策的书面通知模板与发送记录；一个月异议窗口的计时与处理台账（含重新考虑／人工决定的结果）

打开工具：跨境传输矩阵