Como a Arábia Saudita regula a inteligência artificial: o modelo da SDAIA

Não — a Arábia Saudita não tem uma lei de IA. Em 31 de julho de 2026, o Reino não possuía uma lei vinculante específica para inteligência artificial, nem havia anunciado um processo legislativo para aprová-la [S6]. Todo instrumento com “inteligência artificial” no título emitido pela Autoridade Saudita de Dados e Inteligência Artificial (SDAIA) é orientação: não prevê penalidade, não cria direito de ação nem confere a um regulador poder para multar quem a descumprir.

Isso não significa que a IA esteja sem regulação. Como em boa parte do mundo fora de Bruxelas, as regras sauditas de IA decorrem de instrumentos de aplicação geral que também alcançam sistemas de IA. As obrigações vinculantes vêm da Lei de Proteção de Dados Pessoais (PDPL), promulgada pelo Decreto Real M/19 em setembro de 2021 e alterada pelo M/148 em março de 2023, de seus regulamentos de execução e transferência, dos controles da Autoridade Nacional de Cibersegurança (NCA) e do regulador responsável pelo cliente [S3][S8][S9].

Grande parte da cobertura trata tudo como um regime único. Na realidade, são quatro categorias distintas — lei vinculante, regulamento vinculante, orientação não vinculante e projeto de lei —, cada qual com consequências próprias. A análise a seguir distingue seu status. Estas são informações jurídicas, não aconselhamento jurídico; quem estiver exposto a um caso concreto deve consultar advogado habilitado na Arábia Saudita.

Última verificação: 31 de julho de 2026.

A Arábia Saudita tem uma lei de IA?

Não. O CMS AI Regulation Scanner, cuja avaliação cobre a situação em 17 de fevereiro de 2026, afirma que “a Arábia Saudita atualmente não tem uma lei específica de IA e não anunciou nenhum processo legislativo formal para aprová-la” [S6]. O inventário da Regulations.ai chega à mesma conclusão [S7].

O projeto mais próximo é a Lei do Hub Global de IA, publicado para consulta pela Comissão de Comunicações, Espaço e Tecnologia (CST) em abril de 2025, com consulta encerrada em 14 de maio de 2025 [S5][S13]. O nome induz ao erro: o texto não regula sistemas, modelos ou treinamento de IA. Ele cria um regime de embaixadas de dados — três modelos de hospedagem (hubs privados, estendidos e virtuais) que permitiriam a um Estado ou empresa estrangeira hospedar dados no Reino sob sua própria jurisdição [S13]. Quinze meses depois, ainda era um projeto.

Ainda assim, o Reino declarou 2026 o Ano da Inteligência Artificial [S14]. Não há contradição entre a declaração e a ausência de uma lei: a opção tem sido regular a IA por meio da legislação de dados e da posição do Estado como comprador dominante, em vez de aprovar uma lei horizontal de IA.

Regulação saudita da IA: o que de fato vincula uma implantação

A coluna sobre status jurídico é a mais importante.

Na prática, quase todo o peso recai sobre duas linhas: a PDPL e seu regulamento de transferência. Já os Princípios de Ética em IA dominam a cobertura, mas têm pouco peso jurídico.

O que é a SDAIA e qual é sua autoridade jurídica?

A SDAIA é a Autoridade Saudita de Dados e Inteligência Artificial, criada por Ordem Real em 30 de agosto de 2019 e subordinada diretamente ao primeiro-ministro — cargo ocupado pelo príncipe herdeiro Mohammed bin Salman [S15]. A mesma ordem criou o Escritório Nacional de Gestão de Dados (NDMO), braço regulatório da governança de dados, e o Centro Nacional de IA. Consulte o perfil institucional completo da SDAIA.

Sua autoridade normativa antecede a PDPL. O próprio modelo da SDAIA cita a Resolução do Conselho de Ministros nº 292, de 27/04/1441 AH — fim de dezembro de 2019 —, cujo artigo 10(1) determina à SDAIA “desenvolver políticas, mecanismos de governança, padrões e controles relacionados a dados e inteligência artificial e monitorar seu cumprimento após sua emissão” [S1]. Esse é o fundamento de seus instrumentos.

Daí decorrem duas consequências. A SDAIA formula políticas e também supervisiona a proteção de dados, portanto a função de supervisão não é independente da promoção da IA. E ela não é o único regulador: a CST, sucessora da CITC, rege a infraestrutura por meio do Marco Regulatório de Computação em Nuvem e patrocinou o projeto da lei de hubs [S13]; a Autoridade Nacional de Cibersegurança, criada em 2017, é responsável pelos controles de segurança. A SDAIA regula dados e modelos; a CST, a infraestrutura; e a NCA, as proteções. A atuação operacional da SDAIA inclui a Plataforma Nacional de Governança de Dados, em dgp.sdaia.gov.sa; consulte as políticas de governança de dados do NDMO para ver as regras de classificação.

Os Princípios de Ética em IA da Arábia Saudita são vinculantes?

Não — e o próprio documento deixa isso claro para quem vai além da cláusula de escopo.

A SDAIA publicou os Princípios de Ética em IA, versão 1.0, em setembro de 2023; a versão 2.0 veio em 2025, acrescentando categorias de risco e ferramentas de autoavaliação [S1][S2]. Os sete princípios são equidade, privacidade e segurança, humanidade, benefícios sociais e ambientais, confiabilidade e segurança, transparência e explicabilidade, e responsabilização.

A cláusula de escopo parece texto legal. Diz literalmente: “Este Marco de Ética em IA aplica-se a todas as partes interessadas em IA que projetem, desenvolvam, implementem, implantem, utilizem ou sejam afetadas por sistemas de IA no Reino da Arábia Saudita, incluindo, entre outros, entidades públicas e privadas, entidades sem fins lucrativos, pesquisadores, serviços públicos, instituições, organizações da sociedade civil, indivíduos, trabalhadores e consumidores” [S1]. Lida isoladamente, pareceria impor uma obrigação universal.

O capítulo de execução diz outra coisa. Seu título é “Registro opcional”. Na seção “Conformidade”, a SDAIA “poderá acompanhar e medir o nível de compromisso e conformidade de entidades registradas” e apoiá-las na apresentação de relatórios “opcionais”. A seção seguinte chama-se “Selos de incentivo” [S1]. O documento não prevê penalidade, cadastro de infrações nem procedimento para impor multa ou ordem.

O mecanismo, portanto, é: registre-se se quiser, apresente relatório se quiser, receba um selo. Trata-se de um programa de maturidade, não de um regulamento. Seus quatro níveis de risco — mínimo ou inexistente, limitado, alto e inaceitável, sendo este último “não permitido” [S1] — espelham a arquitetura da Lei de IA da UE sem incorporar seu mecanismo de execução. Quando o marco produz efeito, é porque remete a outras normas: sistemas de alto risco devem passar por avaliações de conformidade e “os requisitos legais pertinentes devem ser considerados” [S1] — ou seja, a PDPL e as regras setoriais.

Ainda há efeitos indiretos por meio de compras públicas, reguladores setoriais e contratos. Nossa página sobre os princípios sauditas de ética em IA trata do marco de governança; esta analisa sua força jurídica.

Qual é o status das diretrizes da SDAIA para IA generativa?

São não vinculantes e foram publicadas em duas edições. Em 2024, a SDAIA publicou as Diretrizes de IA Generativa para o Governo e para o Público, além de um Modelo de Adoção de IA e um projeto de diretrizes sobre deepfakes [S6][S7]. Os textos abordam a divulgação de conteúdo sintético, riscos de alucinação e viés, supervisão humana e uso aceitável.

A edição para o governo tem importância operacional: não cria dever legal, mas, como orientação do órgão que define a política de dados governamentais, funciona como diretriz interna para entidades públicas e alcança fornecedores por meio das condições de contratação. Vender um modelo a um ministério saudita torna seu cumprimento, na prática, uma obrigação contratual.

As obrigações exigíveis estão na PDPL

A PDPL entrou em vigor em 14 de setembro de 2023, após um período de transição de um ano; a aplicação integral começou em 14 de setembro de 2024 [S3][S16]. A lei cobre o tratamento dentro do Reino e — ponto que fornecedores estrangeiros de modelos muitas vezes deixam passar — o tratamento por entidades no exterior de dados pessoais de pessoas residentes na Arábia Saudita [S3]. Um fornecedor estrangeiro sem entidade ou infraestrutura saudita pode estar sujeito ao regime.

Base legal. O consentimento é a regra geral. A alteração de 2023 acrescentou hipóteses para tratar dados sem consentimento — execução de contrato, obrigação legal, interesses vitais, funções de entidade pública e interesses legítimos sujeitos à proporcionalidade — embora o capítulo da ICLG de 2026 observe que essa última hipótese não é formulada com a mesma clareza do artigo 6(1)(f) do GDPR [S8][S9].

A única disposição que regula diretamente uma decisão de IA. A PDPL exige consentimento explícito quando uma decisão se baseia exclusivamente no tratamento automatizado de dados pessoais [S9]. Este é o ponto mais direto da regulação saudita de IA: a única regra vinculante que trata do que um sistema de IA faz, e não apenas dos dados que consome, está na lei de proteção de dados — não em um instrumento cujo título mencione “IA”. Uma decisão automatizada de crédito, seleção de candidatos ou indeferimento de sinistro está sujeita à regra. Um mecanismo de recomendação que não chega a tomar uma decisão, não.

Encarregado, registro e documentação. É obrigatório nomear um encarregado de proteção de dados (DPO) para entidades públicas que tratem dados em grande escala, controladores cujas atividades principais envolvam monitoramento regular em grande escala e os que tratem dados sensíveis. O registro na Plataforma Nacional de Governança de Dados aplica-se a essas categorias e também a controladores cuja atividade principal seja o tratamento de dados [S8][S9]. É necessário manter registro das atividades de tratamento; a SDAIA deve ser notificada de incidentes em até 72 horas, e os titulares devem ser avisados sem demora injustificada [S9]. Consulte as páginas sobre proteção e privacidade de dados sauditas e conformidade saudita em privacidade de dados e cibersegurança.

É possível transferir dados pessoais para fora da Arábia Saudita?

Sim, sob condições — e a afirmação repetida de que o Reino impõe localização de dados pessoais não resiste ao texto atual.

O artigo 29, regulamentado pelo Regulamento de Transferência de Dados Pessoais para Fora do Reino, publicado em 2023 e atualizado em 1º de setembro de 2024, permite transferências para finalidades enumeradas; a versão de 2024 acrescentou processamento centralizado, prestação de serviços e pesquisa científica [S10][S17]. Nenhuma transferência pode prejudicar a segurança nacional ou os interesses vitais do Reino, e cada uma deve limitar-se ao mínimo de dados necessário [S10].

Em seguida, há duas possibilidades. O destino pode constar da lista da SDAIA de jurisdições avaliadas como oferecendo proteção adequada — lista ainda não publicada [S10] — ou o controlador pode adotar uma de três salvaguardas aprovadas: cláusulas contratuais padrão da SDAIA, em quatro modelos controlador-operador; regras corporativas vinculantes para transferências intragrupo; ou certificado de acreditação [S9][S10]. Também é necessária uma avaliação de risco da transferência, com exceções para transferências de baixo volume sob cláusulas contratuais padrão sem dados sensíveis, transferências de entidades públicas e intragrupo aprovadas e pesquisas aprovadas [S10].

A localização de dados, em termos práticos. A DLA Piper afirma que a localização “não é expressamente exigida, embora as transferências continuem fortemente restritas e regulamentadas” [S8]. Publicações que afirmam existir uma regra legal de residência de dados geralmente refletem o texto de 2021, anterior à alteração de março de 2023. Há restrições de localização — por meio da classificação do NDMO para dados governamentais, dos controles de nuvem da NCA e de reguladores setoriais —, mas elas se aplicam à categoria dos dados e à identidade do cliente, não a todos os dados pessoais. É por isso que provedores de nuvem instalaram regiões dentro do Reino. Consulte a análise sobre computação em nuvem e soberania digital e a capacidade de data centers sauditas.

Quais são as penalidades previstas na PDPL?

Há dois níveis de penalidade, além da possibilidade de ação privada. Divulgar ou publicar dados pessoais sensíveis com a intenção de causar dano ou obter benefício pode resultar em até dois anos de prisão, multa de até SAR 3 milhões (cerca de US$ 800.000), ou ambas. Outras violações podem levar a advertência ou multa de até SAR 5 milhões (cerca de US$ 1,33 milhão); um tribunal pode dobrar o valor em caso de reincidência, até SAR 10 milhões (cerca de US$ 2,67 milhões) [S8][S9]. Os titulares também podem pedir indenização por danos materiais ou morais e devem apresentar reclamação em até 90 dias após tomar conhecimento [S9].

As evidências públicas sobre a aplicação da lei são escassas: a SDAIA não publica um registro de decisões. Em maio de 2026, o Global Privacy & Security Compliance Blog, da Squire Patton Boggs, informou que comitês especializados da SDAIA haviam emitido 48 decisões de execução em 2025 e 2026, concentradas em tratamento sem base legal válida, divulgação não autorizada, salvaguardas inadequadas e marketing sem consentimento [S11][S12]. A publicação não permitiu acesso automatizado; portanto, trate esse número como informação reportada, não como documentação primária. Nenhuma decisão publicada aplicou o teto de SAR 5 milhões a um réu identificado. Quem calcular o risco de execução saudita com base nas tabelas de multas europeias estará usando a distribuição errada.

Como os controles de cibersegurança da NCA alcançam sistemas de IA

A Autoridade Nacional de Cibersegurança publica uma estrutura de controles, não uma lei. Seu cadastro de documentos regulatórios lista os Controles de Cibersegurança de Dados, publicados em 18 de setembro de 2022, junto aos controles de Sistemas Críticos e de Tecnologia Operacional, ambos datados de 2 de junho de 2022 [S4]. Os Controles Essenciais de Cibersegurança formam a base; os controles de nuvem regem implantações em nuvem.

Eles incidem em três pontos: dados de treinamento, pelos controles de cibersegurança de dados; infraestrutura de inferência em nuvem, pelos controles de nuvem, que incluem condições de residência; e, quando o sistema dá suporte a um sistema crítico, como rede elétrica ou pagamentos, pelos controles adicionais de Sistemas Críticos. A limitação de escopo é fundamental: as regras vinculam entidades governamentais e operadores de infraestrutura crítica e alcançam empresas privadas pela cadeia de fornecimento. Um fornecedor sem cliente governamental tende a ficar fora delas; quem vende a um ministério as incorpora por contrato. Consulte o marco saudita de cibersegurança.

Regras setoriais: SAMA para finanças, SFDA para saúde

Os serviços financeiros têm a sobreposição regulatória mais explícita. O Banco Central Saudita publicou a Circular 43045328 em 23 de dezembro de 2021, vinculante para bancos, financeiras, prestadores de pagamento, casas de câmbio, birôs de crédito e participantes de sandbox. A circular exige que revisem “as políticas e os procedimentos internos aprovados e assegurem sua compatibilidade e/ou alteração” em conformidade com a PDPL, além de observar as “políticas, controles e regras emitidos pela” SDAIA [S18]. Isso transforma as regras de dados da SDAIA em obrigações supervisionadas pela SAMA contra entidades licenciadas — uma restrição mais forte que a PDPL isoladamente.

Para dispositivos, a Autoridade Saudita de Alimentos e Medicamentos (SFDA) publicou o MDS-G010, “Guidance for Artificial Intelligence and Machine Learning (AI/ML)-Enabled Medical Devices”, em 3 de janeiro de 2023, estabelecendo requisitos para autorização de comercialização de dispositivos médicos [S19]. Embora se apresente como orientação, funciona como condição de acesso ao mercado: sem autorização, o dispositivo não pode ser vendido. Para essa classe específica de IA, a SFDA — e não a SDAIA — tem os instrumentos mais incisivos.

Dados de saúde são dados pessoais sensíveis segundo a PDPL, o que atrai a faixa mais alta de penalidade e a obrigação de nomear DPO. O Ministério da Saúde e o Centro Nacional de Informação em Saúde mantêm políticas de governança de dados de saúde, mas nenhum deles publica uma lista consolidada de instrumentos em inglês; também não foi possível confirmar aqui, em fonte primária, um regulamento específico de dados de saúde.

Implantação de um LLM na Arábia Saudita: roteiro de conformidade

Para colocar um modelo em produção no Reino, siga estas etapas:

1. Determine se a PDPL se aplica a você e defina seu papel — controlador ou operador. As obrigações subsequentes dependem disso.
2. Registre-se na Plataforma Nacional de Governança de Dados se estiver em uma das categorias sujeitas a registro.
3. Estabeleça uma base legal para cada operação de tratamento. Se o sistema decidir exclusivamente por meios automatizados, será necessário consentimento explícito — requisito frequentemente ignorado.
4. Nomeie e registre um DPO se uma das três hipóteses se aplicar.
5. Mantenha o registro das atividades de tratamento, considerando treinamento, ajuste fino, avaliação e inferência como operações distintas — muitas equipes documentam a inferência e esquecem o treinamento.
6. Mapeie todo fluxo de dados para fora do Reino, faça avaliação de risco da transferência salvo se houver isenção e adote cláusulas da SDAIA ou regras corporativas vinculantes. Não espere por uma lista de adequação que ainda não existe.
7. Aplique a classificação do NDMO a dados governamentais e os controles da NCA quando você ou seu cliente for entidade pública ou operador de infraestrutura crítica.
8. Verifique as regras setoriais — Circular SAMA 43045328 para instituições financeiras supervisionadas e MDS-G010 da SFDA para dispositivos médicos.
9. Estruture a notificação de incidentes em 72 horas, com responsável, modelo e processo de escalonamento testado.
10. Faça a autoavaliação dos Princípios de Ética em IA e trate os direitos autorais dos dados de treinamento em uma análise separada.

Comparação entre a Lei de IA da UE, os Emirados Árabes Unidos e a Arábia Saudita

O calendário chama atenção. Em 2 de agosto de 2026 — dois dias depois da verificação desta página — a maior parte da Lei de IA da UE começa a ser aplicada; as obrigações de alto risco do artigo 6(1) vêm em 2 de agosto de 2027. As proibições valem desde 2 de fevereiro de 2025 e as obrigações para modelos de propósito geral, desde 2 de agosto de 2025 [S20].

A reconciliação entre regimes opera em um só sentido. Cumprir a Lei de IA da UE ajuda a atender os padrões sauditas e emiradenses de governança de sistemas, mas não basta para a conformidade saudita sem o registro da PDPL, a avaliação de risco de transferência e as cláusulas da SDAIA — exigências sem equivalente europeu reaproveitável. Os regimes do Golfo impõem menos controles ao modelo e mais documentação em torno dos dados: cumprir as regras de Bruxelas não dispensa a papelada de Riad. E, enquanto a UE publica um calendário, na Arábia Saudita o necessário depende do cliente, sendo o Estado o maior deles.

HUMAIN e o problema de regular e operar ao mesmo tempo

É uma questão de governança que investidores externos devem fazer; ela merece uma resposta direta, sem defesa automática nem insinuação.

A Arábia Saudita é ao mesmo tempo reguladora de IA e, por meio do Fundo de Investimento Público, a maior operadora de IA do país. A HUMAIN, lançada em 13 de maio de 2025 sob a direção executiva de Tareq Amin, é uma empresa de IA integralmente controlada pelo PIF que constrói capacidade computacional em escala de gigawatts e um modelo soberano de fronteira em árabe. O perfil completo da HUMAIN explica sua estrutura, e as relações anunciadas com parceiros na camada de modelos, classificadas conforme o instrumento mostram quanto dessa camada é comprado, e não desenvolvido internamente. O conselho do PIF é presidido pelo príncipe herdeiro Mohammed bin Salman, também primeiro-ministro — cargo ao qual a SDAIA se reporta. A cadeia entre a autoridade supervisora e a operadora supervisionada termina na mesma pessoa. Vai além da propriedade: em janeiro de 2026, a própria SDAIA lançou a pedra fundamental de um data center governamental de 480 MW em Riade [S23]. O órgão que supervisiona a PDPL também constrói a infraestrutura computacional nacional.

Quais salvaguardas de independência existem? Poucas das que investidores europeus ou americanos reconheceriam: não há comissário de proteção de dados separado da função de promoção da IA, processo de nomeação que isole o supervisor do Executivo, registro público de decisões ou jurisprudência administrativa consolidada sobre recursos relativos à PDPL. As separações existentes são funcionais, não estruturais: a NCA é externa à SDAIA em cibersegurança; a CST, em infraestrutura; e SAMA e SFDA têm autonomia e poder em seus setores.

A leitura equilibrada é que isso faz parte do modelo, não é uma falha de execução. A Arábia Saudita optou por uma regulação desenvolvimentista — o Estado como promotor, comprador e supervisor simultaneamente —, modelo que construiu seus setores petroquímico e de telecomunicações. O risco não é necessariamente a captura da SDAIA, mas a ausência de um foro em que um concorrente privado de uma empresa do portfólio do PIF possa argumentar que uma decisão foi tomada por razões concorrenciais. É um risco sem preço que merece ser precificado. O outro lado da equação também importa: a restrição à expansão acabou sendo a energia da rede elétrica, e não os chips, um limite físico que nenhum regulador controla. O andamento das instalações da HUMAIN em Riade e Dammam testa a capacidade de execução; os controles de exportação dos EUA sobre aceleradores de IA são uma restrição externa que nenhum marco doméstico resolve.

Dados de treinamento: a dimensão da proteção de dados

Dois regimes distintos determinam o que pode ser usado no treinamento, e confundi-los é o erro mais comum no mercado. A questão de direitos autorais é regida por outra lei e outro calendário: o artigo 26 da nova Lei de Direitos Autorais, promulgada pelo Decreto Real M/169 e em vigor a partir de 12 de agosto de 2026, permite reproduzir obra publicada, sem autorização do autor ou remuneração, para desenvolver produtos e algoritmos de IA, sem mecanismo de oposição do titular. Nossa análise sobre o artigo 26 da Lei de Direitos Autorais de 2026 aborda o tema; consulte também o marco saudita de propriedade intelectual.

A questão de proteção de dados não é afetada pelo artigo 26, ponto que profissionais muitas vezes deixam passar. Uma exceção de direitos autorais não constitui base legal para tratar dados pessoais. Se o corpus de treinamento contiver dados pessoais — nomes, imagens, identificadores biométricos, dados de saúde ou localização —, a PDPL aplica-se de forma independente, com sua própria exigência de base legal, condições de transferência se o treinamento ocorrer no exterior e faixa de penalidade própria para dados sensíveis. Um corpus árabe coletado na web quase certamente contém tudo isso. O artigo 26 afasta a reivindicação do autor; não afeta os direitos do titular dos dados.

Por que isso importa para a Visão 2030

As metas da economia digital da Visão 2030 dependem de investidores e operadores estrangeiros de IA escolherem o Reino em vez dos Emirados Árabes Unidos; a clareza regulatória entra nessa decisão. A ausência de uma lei de IA significa não haver avaliações de conformidade, organismos notificados nem exposição de € 35 milhões — uma vantagem de velocidade diante da Europa justamente quando as obrigações europeias entram em vigor. A estratégia nacional de IA foi construída sobre essa escolha.

O custo é a previsibilidade. Um investidor pode calcular um custo de conformidade conhecido; é mais difícil estimar um regime em que a restrição efetiva pode ser uma condição de contratação pública ou uma postura de execução não publicada, em vez de uma regra divulgada. O projeto da lei dos hubs sugere alguma consciência disso: a ideia de embaixadas de dados oferece aos operadores estrangeiros a possibilidade de trazer sua própria segurança jurídica. Consulte como funcionam as leis sauditas e a lei de investimento estrangeiro.

Riscos, contradições e questões em aberto

A lista de adequação não existe. O regulamento de transferência foi estruturado em torno de uma lista de jurisdições com proteção adequada, mas a SDAIA ainda não publicou nenhuma [S9][S10]. Todo exportador é obrigado a recorrer às salvaguardas — a maior lacuna da regulação saudita de IA atualmente.

A data dos Princípios de Ética em IA 2.0 não é precisa. A versão 1.0 indica setembro de 2023 na capa [S1]. A versão 2.0 existe e o arquivo hospedado pela SDAIA indica 2025 [S2], mas o domínio principal da SDAIA bloqueou o acesso automatizado, então não foi possível confirmar a data exata em fonte primária. Algumas fontes secundárias datam a primeira versão de 2022; a capa é a referência mais confiável.

O histórico de execução foi reportado, não documentado. O número de 48 decisões depende de uma publicação de escritório de advocacia e de resumos posteriores [S11][S12]. Sem registro público, não é possível conferir a contagem, os réus nem se alguma multa chegou perto do teto. Os instrumentos do setor de saúde também não puderam ser plenamente verificados; por isso, a análise acima é deliberadamente conservadora.

Não se sabe se haverá uma lei saudita de IA. Os rastreadores dizem que nenhum processo legislativo foi anunciado [S6][S7]; o projeto da lei dos hubs permanece parado há quinze meses. Isso é compatível tanto com uma decisão deliberada de não legislar quanto com um processo lento que ainda não veio a público.

O que acompanhar

• 2 de agosto de 2026. A maior parte da Lei de IA da UE começa a valer. Observe se provedores de modelos sediados na Arábia Saudita que atendem usuários europeus se adaptam: o alcance europeu depende do uso da saída, não do local do desenvolvedor.
• 12 de agosto de 2026. O artigo 26 da Lei de Direitos Autorais entra em vigor; na data de publicação deste texto, os regulamentos de execução ainda não haviam sido elaborados.
• 14 de setembro de 2026. Dois anos desde o início da aplicação integral da PDPL — momento propício para a SDAIA publicar estatísticas agregadas e a lista de adequação cuja ausência obriga exportadores a usar salvaguardas.
• Instrumento vinculante de IA. A aprovação da lei dos hubs ou uma versão 3.0 dos Princípios de Ética em IA com penalidade por descumprimento do registro mudaria a avaliação deste artigo.

Contexto relacionado à Visão 2030

• Perfil institucional da SDAIA — mandato, estrutura e relação com o NDMO
• Marco saudita de proteção e privacidade de dados — visão geral da PDPL
• Políticas de governança de dados do NDMO — a camada nacional de classificação
• Artigo 26 da Lei de Direitos Autorais de 2026 — exceção para treinamento de IA
• Estratégia saudita de IA — o programa de políticas em que a regulação se insere
• Perfil da HUMAIN — a operadora controlada pelo PIF

Fontes

• [S1] Saudi Data and Artificial Intelligence Authority, AI Ethics Principles, versão 1.0, documento de referência, setembro de 2023. Hospedado na Plataforma Nacional de Governança de Dados da SDAIA. https://dgp.sdaia.gov.sa/wps/wcm/connect/4c56ed1c-1b82-447d-ac29-638f5f99c12e/ai-principles-EN.pdf
• [S2] Saudi Data and Artificial Intelligence Authority, AI Ethics Principles, edição atual datada de 2025. https://sdaia.gov.sa/en/SDAIA/about/Documents/ai-principles.pdf — o domínio principal da SDAIA recusou o acesso automatizado; os detalhes da versão 2.0 acima se baseiam em fontes secundárias sobre o documento.
• [S3] Personal Data Protection Law, Decreto Real nº M/19 de 09/02/1443 AH (16 de setembro de 2021), alterado pelo Decreto Real nº M/148 de 05/09/1444 AH (27 de março de 2023). Texto e situação conforme resumidos em [S8] e [S9].
• [S4] National Cybersecurity Authority (Arábia Saudita), cadastro de documentos regulatórios, consultado em 31 de julho de 2026. https://nca.gov.sa/en/regulatory-documents/
• [S5] National Competitiveness Center, plataforma de consulta Istitlaa, Global AI Hub Law (Communications, Space and Technology Commission), abril a maio de 2025. https://istitlaa.ncc.gov.sa/en/Transportation/citc/globalailaw/Pages/default.aspx
• [S6] CMS, AI Regulation Scanner — Kingdom of Saudi Arabia, guia especializado, posição em 17 de fevereiro de 2026. https://cms.law/en/int/expert-guides/ai-regulation-scanner/kingdom-of-saudi-arabia
• [S7] Regulations.ai, Saudi Arabia AI Regulation Overview, inventário regulatório, 2026. https://regulations.ai/regulations/saudi-arabia-summary
• [S8] DLA Piper, Data Protection Laws of the World — Saudi Arabia, guia por país, fevereiro de 2026. https://www.dlapiperdataprotection.com/?c=SA
• [S9] International Comparative Legal Guides, Data Protection Laws and Regulations 2026 — Saudi Arabia, capítulo de prática jurídica. https://iclg.com/practice-areas/data-protection-laws-and-regulations/saudi-arabia/
• [S10] Securiti, An Overview of the Regulation on Personal Data Transfer Outside the Kingdom, análise regulatória. https://securiti.ai/regulation-on-personal-data-transfer-outside-the-kingdom/
• [S11] Squire Patton Boggs, Active Enforcement of Saudi Arabia Privacy Regime — Implications for Businesses, Global Privacy & Security Compliance Blog, maio de 2026. https://www.globalprivacyblog.com/2026/05/active-enforcement-of-saudi-arabia-privacy-regime-implications-for-businesses/ — a publicação recusou acesso automatizado; os dados de execução citados aqui foram reportados em [S12].
• [S12] SGC Consulting, SDAIA and the Saudi Personal Data Protection Law — What Saudi Organizations Must Know in 2026, guia de conformidade, 2026. https://www.sgc.consulting/sdaia-saudi-personal-data-protection-law-pdpl-compliance-guide/
• [S13] DGA Group, Saudi Arabia Introduces a Draft Global AI Hub Law, análise de políticas públicas, 2025. https://dgagroup.com/insight/saudi-arabia-introduces-a-draft-global-ai-hub-law/
• [S14] Saudi Press Agency, Saudi Arabia Emerges as AI Powerhouse under Vision 2030, Declares 2026 the Year of Artificial Intelligence, comunicado oficial, 2026. https://www.spa.gov.sa/en/N2533339
• [S15] Plataforma Nacional (my.gov.sa), perfil institucional da Saudi Data and Artificial Intelligence Authority. https://my.gov.sa/en/agencies/17828
• [S16] Morgan Lewis, Saudi Arabia Personal Data Protection Law — Transition Period Ends September 14, comunicado a clientes, setembro de 2024. https://www.morganlewis.com/pubs/2024/09/saudi-arabia-personal-data-protection-law-transition-period-ends-september-14
• [S17] Mayer Brown, Updates to Saudi Arabia’s Personal Data Protection Regulations — SCCs, Guidelines and More, comunicado a clientes, outubro de 2024. https://www.mayerbrown.com/en/insights/publications/2024/10/updates-to-saudi-arabias-personal-data-protection-regulations-sccs-guidelines-and-more
• [S18] Saudi Central Bank (SAMA), Adherence to the Personal Data Protection Law and Data Governance Policies, Regulations and Rules, Circular nº 43045328, 19/05/1443 AH (23 de dezembro de 2021), SAMA Rulebook. https://rulebook.sama.gov.sa/en/adherence-personal-data-protection-law-and-data-governance-policies-regulations-and-rules
• [S19] Saudi Food and Drug Authority, Guidance for Artificial Intelligence and Machine Learning (AI/ML)-Enabled Medical Devices, MDS-G010, 3 de janeiro de 2023. https://www.sfda.gov.sa/sites/default/files/2023-01/MDS-G010ML.pdf
• [S20] Lei de Inteligência Artificial da UE, cronograma de implementação. https://artificialintelligenceact.eu/implementation-timeline/
• [S21] CMS, AI Regulation Scanner — United Arab Emirates, guia especializado, 2026. https://cms.law/en/int/expert-guides/ai-regulation-scanner/united-arab-emirates
• [S22] Lei de Inteligência Artificial da UE, artigo 99 (penalidades) e artigo 2 (escopo), Regulamento (UE) 2024/1689. https://artificialintelligenceact.eu/article/99/
• [S23] w.media, SDAIA Lays Foundation Stone for 480MW Hexagon Government Data Center in Riyadh, reportagem setorial, 5 de janeiro de 2026. https://w.media/sdaia-lays-foundation-stone-for-480mw-hexagon-government-data-center-in-riyadh/