A conformidade com as regras sauditas de privacidade de dados e cibersegurança é o sistema operacional para o uso de dados no Reino: a PDPL rege dados pessoais, a Plataforma de Governança de Dados da SDAIA oferece serviços de apoio à conformidade em privacidade, as políticas da NDMO orientam a classificação e o compartilhamento de dados e os dados abertos, e os controles da NCA definem as principais evidências de cibersegurança. Uma empresa deve tratar privacidade e governança de dados como uma única revisão, antes de coletar, hospedar, transferir ou analisar dados sauditas, ou treinar IA com eles. O teste imediato é saber se a organização consegue comprovar, antes do lançamento, o tratamento lícito, a classificação, a análise de transferências, os controles de segurança, a retenção, a resposta a incidentes e a responsabilização [S1], [S2], [S3], [S4].
Isso é especialmente importante para fornecedores que participam de contratos do setor público, de nuvem, saúde, finanças, telecomunicações, cidades inteligentes e IA. Um aviso de privacidade, por si só, não garante a proteção da privacidade. Uma região local de nuvem, por si só, não comprova que a transferência é lícita nem que os dados permanecem no país. Um certificado genérico de segurança, por si só, não demonstra que um sistema atende aos requisitos da NDMO, da PDPL, da NCA, da CST, da DGA e dos reguladores setoriais.
Quem controla o tema
As competências sauditas são distribuídas por função. A SDAIA é a autoridade central de dados e IA para materiais relacionados à PDPL e serviços da Plataforma de Governança de Dados. A plataforma informa que se destina à gestão e governança de dados e à proteção de dados pessoais e lista serviços como Avaliação de Impacto sobre a Privacidade, Notificação de Violação de Dados Pessoais, Relatórios e Reclamações, esclarecimento de parecer jurídico, aprovação de métodos de compartilhamento de dados, autoavaliação e avaliação de ética em IA [S2].
A NDMO compõe a camada nacional de governança de dados. Suas políticas se dirigem mais diretamente a dados governamentais e ecossistemas do setor público, mas também são relevantes para fornecedores privados que hospedam, enriquecem, integram, analisam, protegem ou de outra forma tratam dados públicos. A NCA é a principal referência de cibersegurança para controles como proteção de dados e informações, criptografia, backups, cibersegurança de terceiros e segurança cibernética de nuvem ou hospedagem [S3].
A CST regula a prestação de serviços de computação em nuvem. As políticas de governo digital da DGA exigem que o desenho dos serviços digitais governamentais considere os requisitos de privacidade de dados da SDAIA e os requisitos de cibersegurança da NCA. Também orientam as entidades governamentais a adotar soluções de nuvem em consonância com a política Cloud First e as regras de nuvem da CST [S5], [S6]. Reguladores setoriais podem impor obrigações mais rigorosas para finanças, saúde, seguros, telecomunicações, energia, educação, transportes e mercados de capitais.
Por que isso importa para a liderança saudita em IA
A ambição saudita em IA depende do uso de dados com alto grau de confiança. O lançamento da HUMAIN apresentou a empresa, de propriedade do Fundo de Investimento Público (Public Investment Fund, PIF), como atuante em infraestrutura de IA, data centers, recursos de nuvem, modelos e soluções. Já o anúncio do PIF com o Google Cloud descreveu um polo de IA perto de Dammam para modelos em árabe e aplicações de IA específicas para a Arábia Saudita, sujeito a aprovações regulatórias [S7], [S8]. Esses projetos precisam de dados governados, não apenas de capacidade computacional.
Para investidores e operadores, a questão central não é se a Arábia Saudita está ampliando sua capacidade de IA. É se um conjunto de dados específico pode ser tratado, classificado, compartilhado, transferido, hospedado e protegido legalmente, além de reutilizado para análise ou desenvolvimento de modelos. Uma gestão deficiente de dados pessoais atrasa aprovações; uma classificação fraca aumenta o risco de vazamento; controles de nuvem insuficientes limitam as cargas de trabalho; e evidências de auditoria frágeis dificultam a contratação.
Mapa institucional
Funções de SDAIA/NDMO/HUMAIN/MCIT/CST
O mapa de conformidade deve ser lido por função, e não apenas pelas siglas.
| Instituição | Função central | O que uma empresa deve verificar |
|---|---|---|
| SDAIA | Autoridade de dados e IA, incluindo os materiais oficiais da plataforma relacionados à PDPL | Texto vigente da PDPL, materiais de implementação, serviços da plataforma, canais para reclamações e violações e orientações de governança de IA [S1], [S2] |
| NDMO | Camada nacional de políticas de governança de dados | Diretrizes de classificação de dados, compartilhamento, dados abertos, acesso à informação, registros, titularidade, retenção e tratamento de dados do setor público [S4] |
| NCA | Controles nacionais de cibersegurança | Evidências sobre ativos, acesso, criptografia, backups, incidentes, terceiros, nuvem, hospedagem e proteção de dados [S3] |
| CST | Regulação de nuvem e de tecnologias de comunicação | Regras para prestação de serviços de computação em nuvem, obrigações de fornecedores, direitos dos clientes e requisitos de registro ou qualificação [S5] |
| DGA | Marco regulatório de governo digital | Requisitos para plataformas governamentais, nuvem, privacidade desde a concepção, cibersegurança e serviços digitais [S6] |
| HUMAIN e empresas de IA do PIF | Camada comercial de infraestrutura e soluções de IA | Se a carga de trabalho, o fluxo de dados, o modelo de suporte e o percurso de transferência atendem às verificações de privacidade, cibersegurança, nuvem e setor [S7], [S8] |
A implicação prática é simples: não há uma única caixa de conformidade para projetos de dados sauditas. Um serviço digital pode exigir análise da PDPL, governança de dados nos moldes da NDMO, mapeamento de controles da NCA, análise das regras de nuvem da CST, alinhamento com os serviços governamentais da DGA, revisão do regulador setorial e evidências contratuais.
Setores público, PIF e privado
As entidades públicas têm a exposição mais clara à NDMO, pois as políticas nacionais de governança de dados se destinam à gestão de dados governamentais. Antes de trocar ou publicar dados, elas precisam de evidências sobre titularidade, catalogação, classificação, controles de compartilhamento, revisão de dados abertos, retenção e auditoria [S4].
As empresas do PIF e os campeões nacionais ocupam uma zona mais complexa. Podem atuar como empresas comerciais comuns, plataformas estratégicas apoiadas pelo Estado, fornecedores do setor público, operadores de data centers, prestadores de serviços de IA ou participantes de setores regulados. Sua postura de conformidade muitas vezes precisa atender tanto a clientes e parceiros quanto aos reguladores formais.
Empresas privadas não devem presumir que a PDPL é a única questão. Um fornecedor de software ou nuvem, integrador de sistemas, desenvolvedor de IA, prestador de serviços gerenciados ou consultor de análise de dados pode ter de apresentar uma política de classificação e tratamento de dados, registros das atividades de tratamento, mapeamento de transferências, evidências de segurança em nuvem, procedimentos para incidentes e controles de subprocessadores antes de um cliente saudita aprovar a implantação.
Tecnologia e infraestrutura
Nuvem e data centers
As decisões sobre nuvem e data centers devem começar pela classificação. Os Controles Essenciais de Cibersegurança da NCA incluem titularidade de dados e informações, classificação e rotulagem, privacidade, criptografia, backups, cibersegurança de terceiros e requisitos de segurança cibernética para hospedagem ou nuvem. Também exigem a classificação dos dados antes da hospedagem em serviços de nuvem ou hospedagem e, no contexto do controle pertinente, que as informações da organização sejam hospedadas e armazenadas dentro da Arábia Saudita [S3].
Isso não significa que todas as cargas de trabalho na Arábia Saudita tenham a mesma resposta. Um conjunto público de dados abertos, um banco interno de compras, um prontuário de saúde, um registro de atendimento ao cidadão, uma tabela de transações financeiras, um corpus de treinamento de IA e um chamado de suporte com dados pessoais podem gerar obrigações diferentes. A mesma arquitetura também pode criar questões ocultas de transferência por meio de administração remota, telemetria, backups, ferramentas de observabilidade, avaliação de modelos, capturas de tela do help desk ou suporte no exterior.
As regras de nuvem da CST acrescentam uma camada regulatória de mercado. Em sua decisão de 2023, a comissão aprovou a versão 4 do Regulamento para Prestação de Serviços de Computação em Nuvem e os guias correspondentes, substituindo a versão 3 anterior do Marco Regulatório de Computação em Nuvem. A nova versão entrou em vigor em 10 de outubro de 2023 [S5]. A política da DGA acrescenta uma camada operacional para o setor público ao orientar as plataformas digitais governamentais a adotar nuvem em consonância com a política Cloud First da MCIT e as regras da CST [S6].
Modelos, chips e plataformas
Os sistemas de IA herdam a situação jurídica e de segurança de seus dados. Um modelo que use dados de clientes sauditas, registros do setor público, dados de saúde, identidade, crédito, localização, emprego ou atendimento ao cidadão não deve ser aprovado apenas com base no desempenho do modelo. É preciso avaliar a linhagem dos dados, a finalidade, a base legal, a classificação, a retenção, a remoção de identificadores, o atendimento aos direitos, os registros, a supervisão humana e os controles cibernéticos. [S6]
Os Princípios de Ética em IA da SDAIA relacionam a governança de IA à privacidade, segurança, responsabilização, equidade, transparência, confiabilidade e concepção centrada nas pessoas. O marco incorpora a governança de dados ao ciclo de vida da IA, em vez de tratá-la como uma etapa documental posterior [S9].
É nesse ponto que as normas ISO podem ajudar, sem substituir a análise local. A ISO/IEC 27001 pode apoiar a gestão da segurança da informação; a ISO/IEC 27701, a gestão da privacidade da informação; e a ISO/IEC 42001, os sistemas de gestão de IA. A pergunta útil sobre uma norma ISO de privacidade de dados é se as evidências de certificação realmente correspondem às obrigações da PDPL, ao tratamento de dados da NDMO, aos controles da NCA, às regras de nuvem da CST e aos contratos setoriais.
Adoção pelo governo
A adoção pelo governo é o teste mais difícil porque os sistemas públicos podem envolver identidade, benefícios, licenças, educação, saúde, justiça, pagamentos, compras e serviços críticos. A política da DGA para a concepção de serviços digitais aponta explicitamente para privacidade desde a concepção e por padrão, de acordo com os requisitos da SDAIA, e para os requisitos de cibersegurança da NCA [S6].
Para um sistema do setor público, as evidências operacionais devem incluir:
| Área de evidência | O que apresentar |
|---|---|
| Inventário de dados | Sistemas, conjuntos de dados, responsáveis, finalidades, campos, fontes e destinatários |
| Classificação de dados | Rótulo aprovado, requisitos de tratamento, restrições e responsável pela revisão |
| Privacidade de dados pessoais | Categorias de dados pessoais e sensíveis, titulares e papéis de controlador e operador |
| Evidências de privacidade ROPA | Finalidades do tratamento, destinatários, retenção, transferências, salvaguardas e responsável |
| Revisão de transferências | Países, operadores, acesso remoto, backups, suporte, salvaguardas e avaliação de risco |
| Controles cibernéticos | Acesso, criptografia, registros, gestão de vulnerabilidades, backup, resposta e controles de fornecedores |
| Controles de IA | Proveniência dos conjuntos de dados, avaliação, monitoramento dos modelos, análise de vieses, supervisão humana e escalonamento de incidentes |
Políticas e conformidade
Governança de dados
A governança de dados conecta privacidade e cibersegurança. Sem um inventário e um modelo de classificação, uma organização não consegue determinar com segurança se pode tratar dados pessoais, publicar um conjunto de dados, compartilhá-lo com um fornecedor, migrar cargas de trabalho para a nuvem, manter registros, treinar um sistema de IA ou transferir registros para fora do Reino.
Um exemplo de política de classificação de dados adequada à Arábia Saudita deve definir rótulos, responsáveis, níveis de acesso, permissões de compartilhamento, regras de criptografia, hospedagem em nuvem e transferência, retenção, destruição, revisão para publicação e vias de escalonamento. A política também deve explicar como as exceções são aprovadas e como as evidências são mantidas. Em projetos do setor público, ela deve ser mapeada para os materiais da NDMO e os requisitos do cliente, em vez de ser copiada de um modelo global genérico [S4].
Uma plataforma de dados abertos é um canal controlado de publicação, não um depósito indiscriminado. O Banco Nacional de Dados descreve a Plataforma de Dados Abertos como um espaço em que órgãos governamentais e organizações do setor privado podem publicar conjuntos de dados para promover transparência, inovação e responsabilização. A mesma página lista plataformas como Data Lake, Data Marketplace, Catálogo Nacional de Dados e Plataforma de Dados de Referência [S10]. A publicação ainda requer revisão de classificação, privacidade, confidencialidade, titularidade, qualidade, formato e reutilização.
Ética em IA
A ética em IA importa porque danos à privacidade podem ocorrer antes de uma violação. Isso pode acontecer quando um modelo usa dados para uma nova finalidade, infere atributos sensíveis, automatiza uma decisão de alto impacto, produz resultados injustos, expõe detalhes pessoais em suas respostas ou dificulta contestar um serviço público.
Os princípios fundamentais da privacidade de dados continuam práticos: limitação da finalidade, minimização, transparência, exatidão, segurança, limitação da retenção, direitos dos titulares e responsabilização. A IA eleva os riscos porque pode conectar conjuntos de dados que não foram originalmente coletados para uso conjunto e porque os resultados dos modelos podem influenciar elegibilidade, priorização, preços, tratamento, contratação, crédito, segurança ou acesso a serviços públicos.
Em projetos sauditas de IA, a pergunta operacional mínima é se a equipe consegue explicar: quais dados são usados, por que seu uso é permitido, como são classificados, se contêm dados pessoais ou sensíveis, se saem da Arábia Saudita, por quanto tempo são mantidos, como os riscos dos resultados são monitorados e quem responde quando o sistema falha.
Privacidade e segurança
A conformidade com a PDPL começa pela função e pela finalidade. A organização deve saber se atua como controladora, operadora, participante conjunta, fornecedora, suboperadora, entidade pública ou empresa regulada por setor. Deve documentar por que tratará dados pessoais, quais categorias estão envolvidas, qual aviso ou base legal se aplica, quem recebe os dados, por quanto tempo são retidos e como os direitos dos titulares são atendidos [S1], [S2].
O texto da PDPL exige que os controladores disponibilizem políticas de privacidade antes da coleta, identifiquem as finalidades da coleta e os direitos dos titulares, adotem medidas organizacionais, administrativas e técnicas, notifiquem a autoridade competente após incidentes pertinentes com dados pessoais e realizem avaliações de impacto relacionadas a produtos ou serviços segundo a natureza da atividade do controlador [S1].
A transferência internacional exige uma análise própria. O artigo 29 da PDPL permite transferir ou divulgar dados para fora do Reino apenas para finalidades especificadas e sob condições que incluem não prejudicar a segurança nacional ou interesses vitais, manter um nível adequado de proteção fora do Reino e limitar a transferência ao mínimo de dados pessoais necessário [S1]. O regulamento de transferência acrescenta salvaguardas como cláusulas contratuais padrão, regras corporativas vinculantes e certificados de acreditação em casos especificados. Também exige avaliações de risco para algumas transferências, inclusive certas transferências contínuas ou em grande escala de dados sensíveis [S11].
As condições de proteção cibernética devem ser convertidas em evidências, não em slogans. Os controles da NCA apontam para titularidade dos dados, classificação, privacidade, criptografia em trânsito e em repouso segundo a classificação e os requisitos aplicáveis, testes de backup e recuperação, cláusulas contratuais para terceiros, comunicação de incidentes, avaliação de risco e controles de hospedagem ou nuvem [S3]. O melhor mapa de evidências conecta esses controles à PDPL e à NDMO, em vez de manter planilhas separadas para as equipes jurídica, de dados e de cibersegurança.
Implicações para o mercado
Oportunidades para fornecedores
Compradores sauditas precisam de sistemas operacionais de conformidade. A demanda mais forte provavelmente está em operações de privacidade, catálogos de dados, classificação, segurança de nuvem, governança, risco e conformidade cibernéticos, risco de terceiros, governança de IA, prevenção de perda de dados, revisão de transferências e evidências de auditoria.
| Categoria de fornecedor | Necessidade do comprador saudita |
|---|---|
| Operações de privacidade | Avisos, consentimento quando exigido, ROPA, solicitações de direitos, fluxo de trabalho para violações, avaliação de impacto, retenção e evidências dos operadores |
| Governança de dados | Catálogo, linhagem, classificação, qualidade, aprovações de compartilhamento, revisão de dados abertos e evidências de destruição |
| Governança, risco e conformidade cibernéticos | Mapeamento de controles da NCA, registros de ativos e riscos, revisões de terceiros, incidentes, vulnerabilidades e artefatos de auditoria |
| Segurança de nuvem | Arquitetura de hospedagem saudita, criptografia, identidade, registros, gestão de postura, backup e evidências de recuperação |
| Governança de IA | Aprovação de conjuntos de dados, registros de risco de modelos, registros de avaliação, monitoramento, supervisão humana e revisão de resultados |
O erro comercial é vender uma ferramenta sem o mapa de controles. Clientes sauditas perguntarão onde os dados são hospedados, se as equipes de suporte podem acessá-los, se os registros contêm dados pessoais, se o treinamento de modelos está excluído, se os subprocessadores são informados, se os rótulos de classificação são aplicados e se as evidências resistem a uma auditoria ou revisão regulatória.
Restrições de talento, energia e geopolítica
A capacidade de execução é a restrição por trás de muitos programas de conformidade. Projetos sauditas de dados precisam de advogados de privacidade, arquitetos de cibersegurança, engenheiros de nuvem, responsáveis por dados, especialistas em dados em árabe, equipes de compras, líderes de governança de IA, equipes de resposta a incidentes e auditores que entendam o mesmo sistema por perspectivas diferentes.
Energia e geopolítica também importam. Grandes data centers precisam de energia, refrigeração, chips, resiliência de rede, atenção aos controles de exportação, continuidade de fornecedores e modelos seguros de suporte. Os anúncios do PIF e da HUMAIN mostram ambição apoiada pelo Estado, mas a ambição oficial ainda precisa se converter em cargas de trabalho aprovadas, operações confiáveis e confiança dos clientes [S7], [S8].
Para empresas estrangeiras que entram no mercado, a regra prática é incorporar a conformidade saudita à arquitetura do produto. Se um fornecedor comprova a classificação, a gestão de dados pessoais, os controles de transferência, as evidências cibernéticas, as opções de hospedagem local e a auditabilidade antes da negociação, reduz o atrito nas compras. Se esses controles só forem improvisados depois da assinatura do contrato, o projeto fica mais lento, arriscado e caro.
Perguntas frequentes
Como privacidade e dados se relacionam na conformidade saudita?
Privacidade e dados se relacionam porque uma decisão de privacidade depende de saber quais dados existem, por que são coletados, quem é responsável por eles, como são classificados, onde são hospedados, quem os recebe, se são pessoais ou sensíveis e se podem ser compartilhados, transferidos, retidos, excluídos ou publicados [S1], [S4].
O que significa proteger a privacidade na prática?
Significa que a organização consegue comprovar o tratamento lícito, os avisos, o atendimento aos direitos, o controle de acesso, a minimização de dados, a criptografia ou outras medidas de segurança, a disciplina de retenção, a resposta a incidentes, a notificação de violações quando exigida e as salvaguardas para transferências [S1], [S2], [S3].
O que é uma política de classificação e tratamento de dados?
É uma política operacional que atribui rótulos aos dados e define as regras de tratamento associadas a cada rótulo. Deve abranger titularidade, acesso, criptografia, hospedagem em nuvem, compartilhamento, transferência, retenção, exclusão, revisão de dados abertos e escalonamento.
O que deve constar de um exemplo de política de classificação de dados?
Deve incluir categorias de classificação, responsáveis de negócio, exemplos no nível dos campos, locais de armazenamento permitidos, regras de acesso e compartilhamento, verificações de dados abertos, limites de transferência, prazos de retenção, evidências de destruição e periodicidade das revisões. O trabalho no setor público saudita deve mapear a política para as diretrizes de classificação da NDMO ou para as diretrizes específicas do comprador [S4].
O que significa tratar dados pessoais?
Tratar dados pessoais é manipular informações relacionadas a uma pessoa identificável, incluindo coleta, armazenamento, organização, uso, divulgação, transferência, publicação, alteração, retenção, exclusão ou operações semelhantes. Registros, chamados de suporte, backups, análises e dados de treinamento de IA também podem ser pertinentes [S1].
O que são evidências de privacidade ROPA?
ROPA significa registros das atividades de tratamento. Nas operações sauditas, um ROPA útil deve mostrar finalidades, categorias de dados, titulares, controladores, operadores, destinatários, períodos de retenção, percursos de transferência, salvaguardas e responsáveis.
O que é uma plataforma de dados abertos na Arábia Saudita?
O Banco Nacional de Dados da Arábia Saudita descreve a Plataforma de Dados Abertos como um canal para que órgãos governamentais e organizações do setor privado publiquem conjuntos de dados para promover transparência, inovação e responsabilização. A publicação ainda exige revisão de classificação, privacidade, qualidade, titularidade e sensibilidade [S10].
Quais são os princípios fundamentais da privacidade de dados?
Os princípios práticos são limitação da finalidade, minimização, transparência, exatidão, segurança, limitação da retenção, gestão de direitos e responsabilização. Projetos sauditas devem aplicá-los por meio da PDPL, da governança da NDMO, dos controles da NCA e das regras setoriais pertinentes [S1], [S3], [S4].
Qual norma ISO é usada para privacidade de dados?
A ISO/IEC 27701 é a extensão de gestão de informações de privacidade mais comum da ISO/IEC 27001. Ela pode apoiar a garantia, mas não substitui os requisitos sauditas da PDPL, NDMO, NCA, CST, DGA ou dos setores.
Este texto é aconselhamento jurídico sobre privacidade?
Não. Esta é uma análise de conformidade para operadores e empresas que entram no mercado. Obrigações sauditas vinculantes devem ser confirmadas com assessoria jurídica qualificada, materiais oficiais da SDAIA e da NCA, contratos vigentes, termos de nuvem e reguladores setoriais.
O que é gestão de dados pessoais?
Gestão de dados pessoais é o controle cotidiano dos dados pessoais durante coleta, classificação, uso, acesso, compartilhamento, transferência, retenção, exclusão, atendimento a direitos e resposta a violações. É assim que a conformidade com a PDPL se torna operacional, e não apenas teórica.
Análises relacionadas
Evidências adicionais a acompanhar
A conformidade em privacidade de dados também deve ser verificada na biblioteca de documentos regulatórios da Autoridade Nacional de Cibersegurança, porque a PDPL, a classificação de dados, os controles de nuvem e as obrigações de cibersegurança frequentemente se sobrepõem nas avaliações reais de fornecedores [S12].
Fontes
[S1] SDAIA Data Governance Platform, página regulatória oficial, “Personal Data Protection Law”, consultada em 2026-05-26, https://dgp.sdaia.gov.sa/wps/portal/pdp/knowledgecenter/details/PDPL/
[S2] SDAIA Data Governance Platform, página oficial da plataforma, “About the Platform”, consultada em 2026-05-26, https://dgp.sdaia.gov.sa/wps/portal/pdp/about/objectives/
[S3] National Cybersecurity Authority, PDF oficial, “Essential Cybersecurity Controls”, consultado em 2026-05-26, https://nca.gov.sa/ecc-en.pdf
[S4] SDAIA / National Data Management Office, PDF oficial, “National Data Governance Policies”, consultado em 2026-05-26, https://sdaia.gov.sa/ndmo/Files/PoliciesEn001.pdf
[S5] Communications, Space and Technology Commission, página oficial de decisão, “Approval on the Update of the Cloud Computing Service Provisioning Regulations and its Guides”, data da decisão: 2023-10-08, consultada em 2026-05-26, https://www.cst.gov.sa/en/regulations-and-licenses/decisions/Regulation-1482
[S6] Digital Government Authority, página oficial de políticas, “Digital Government Policies”, publicada em 2024-03-10, consultada em 2026-05-26, https://dga.gov.sa/en/regulatory-documents/Digital-government-policies
[S7] Public Investment Fund, comunicado oficial, “HRH Crown Prince launches HUMAIN as global AI powerhouse”, 2025-05-12, consultado em 2026-05-26, https://www.pif.gov.sa/en/news-and-insights/press-releases/2025/hrh-crown-prince-launches-humain-as-global-ai-powerhouse/
[S8] Public Investment Fund, comunicado oficial, “PIF and Google Cloud to create advanced AI hub in Saudi Arabia”, 2024-10-30, consultado em 2026-05-26, https://www.pif.gov.sa/en/news-and-insights/press-releases/2024/pif-and-google-cloud-to-create-advanced-ai-hub-in-saudi-arabia/
[S9] Saudi Data and AI Authority, PDF oficial, “AI Ethics Principles”, setembro de 2023, consultado em 2026-05-26, https://sdaia.gov.sa/en/SDAIA/about/Documents/ai-principles.pdf
[S10] National Data Bank / SDAIA, página oficial da plataforma, “National Data Bank”, última modificação em 2026-01-26, consultada em 2026-05-26, https://data.gov.sa/en
[S11] SDAIA Data Governance Platform, PDF oficial, “Regulation on Personal Data Transfer Outside the Kingdom”, consultado em 2026-05-26, https://dgp.sdaia.gov.sa/wps/wcm/connect/e5bbede0-1119-4f70-b4ef-f043ce58d780/Regulation%2Bon%2BPersonal%2BData%2BTransfer%2BOutside%2Bthe%2BKingdom..pdf?CACHEID=ROOTWORKSPACE-e5bbede0-1119-4f70-b4ef-f043ce58d780-p6OMj1M&CONVERT_TO=url&MOD=AJPERES
[S12] National Cybersecurity Authority, biblioteca oficial de documentos regulatórios, fonte oficial do regulador de cibersegurança, consultada em 26 de maio de 2026, https://nca.gov.sa/en/regulatory-documents/