PDPL, SDAIA e la residenza dei dati negli EAU: eseguire l'IA su dati finanziari senza inviarli all'estero

Un controller a Riyadh incolla il bilancio di verifica consolidato dell’ultimo trimestre in un chatbot per redigere una sintesi per il board. Il modello è ospitato in una regione statunitense. In quel singolo gesto, dati personali e finanziari regolamentati hanno lasciato il Regno, attraversato un confine senza alcuna valutazione del rischio, e sono atterrati in un sistema che l’azienda non può verificare. Ai sensi della legge saudita sulla protezione dei dati personali (PDPL), questa non è una zona grigia. Il periodo di grazia per la conformità si è concluso il 14 settembre 2024. La SDAIA sta ora conducendo controlli, e i suoi comitati di applicazione hanno già emesso decine di decisioni che confermano violazioni della PDPL, con sanzioni amministrative fino a 5 milioni di SAR, raddoppiate in caso di recidiva.

La parte scomoda per i responsabili finanziari: la maggior parte degli strumenti IA che il vostro team già utilizza non è mai stata progettata tenendo conto di quel confine.

Le regole sono diventate specifiche, e puntano ai vostri dati, non alle vostre intenzioni

Per anni, la “protezione dei dati” nel Golfo è stata materia gestita dal legale e ignorata dalla finanza. Questo è finito. Due cambiamenti hanno portato il CFO nella stanza.

Primo, l’Arabia Saudita ha trasformato il trasferimento transfrontaliero in un atto documentato e difendibile. Nell’agosto 2024, la SDAIA ha emesso il Regolamento sul Trasferimento dei Dati Personali Fuori dal Regno, e nel febbraio 2025 lo ha seguito con una Linea Guida per la Valutazione del Rischio relativa a tali trasferimenti. È possibile spostare dati all’estero, ma solo a determinate condizioni: una base giuridica, una valutazione di adeguatezza della destinazione, garanzie approvate come clausole contrattuali standard o norme vincolanti d’impresa, e una valutazione del rischio per i trasferimenti continui o su larga scala di dati sensibili. La SDAIA si riserva inoltre il diritto di bloccare trasferimenti che riguardano la sicurezza nazionale o gli interessi vitali del Regno. Nulla di tutto ciò accade in silenzio quando un dipendente utilizza un’app IA per consumatori.

Secondo, gli Emirati Arabi Uniti hanno reso la residenza dei dati un vincolo netto per le istituzioni finanziarie. Le regole della CBUAE impongono alle istituzioni autorizzate di mantenere i dati dei consumatori e delle transazioni all’interno degli EAU, e di tenere il Master System of Record costantemente aggiornato nel Paese. L’esternalizzazione di una funzione rilevante o di dati riservati a un fornitore cloud richiede la non obiezione preventiva della Banca Centrale. Nel febbraio 2026 la CBUAE è andata oltre, lanciando un cloud finanziario sovrano dove, per progettazione, i dati finanziari restano nella giurisdizione degli EAU. La preferenza del regolatore non è più sottile.

Quindi la domanda non è “la nostra IA è accurata?” È “possiamo dimostrare dove è finito ogni dato regolamentato, chi poteva leggerlo, e se avevamo il diritto di inviarlo lì?” Questa è una domanda architetturale. Una policy che dice “non incollate dati finanziari in ChatGPT” è un post-it appiccicato su un problema che richiede impianti.

Perché “il modello è conforme” è l’affermazione sbagliata

I fornitori vi diranno che il loro modello è certificato SOC 2, cifrato, ospitato in una regione conforme. Bene. Ma per un’IA che risponde a domande finanziarie, tre elementi si muovono, e ognuno è un trasferimento:

• I dati che inviate (il contesto del prompt: saldi contabili, nomi di clienti, valori contrattuali).
• Il recupero che il sistema esegue (estrarre cifre dal vostro ERP, dal vostro data warehouse, dai vostri estratti conto).
• L’output e i log (la risposta, più la traccia di ciò a cui si è avuto accesso, archiviata chissà dove).

Un modello può essere perfettamente sicuro e trovarsi comunque nella giurisdizione sbagliata. La residenza dei dati riguarda la geografia e il controllo, non solo la cifratura. E nel momento in cui un LLM ingerisce una riga del vostro libro mastro generale per “ragionarci sopra”, quella riga è stata elaborata dal modello. Se il modello si trova all’estero e non avete condotto alcuna valutazione, avete una non conformità, indipendentemente da quanto fosse buona la risposta.

Qui è dove il disegno del livello dei numeri sottostante l’IA determina la vostra esposizione. Se le cifre sono sparse tra QuickBooks, NetSuite, un data warehouse e una cartella di PDF, ogni interrogazione IA diventa un trasferimento ad hoc senza traccia di cosa è passato dove. Non c’è un unico punto in cui applicare la residenza dei dati, e nessun log pulito da consegnare a un revisore.

Tenete i calcoli nella giurisdizione, e tenete l’LLM fuori dai calcoli

La visione di Rexfin è che la soluzione sia strutturale. Collegate le piattaforme contabili e di dati finanziari o caricate gli estratti conto, poi costruite un unico modello finanziario riconciliato che quadri con il libro mastro. Quel modello è l’unica fonte di verità, e risiede dove voi decidete che risieda. Quando un assistente IA riceve una domanda, non trasporta dati grezzi del libro mastro generale verso un modello estero per eseguire l’aritmetica. Recupera le cifre dal modello riconciliato ed esegue il calcolo attraverso un motore deterministico, non il modello linguistico. L’LLM gestisce la formulazione e il ragionamento su quale cifra recuperare; i numeri e il calcolo restano all’interno del perimetro governato.

Questa separazione fa due cose contemporaneamente per la residenza dei dati.

Riduce ciò che deve mai uscire. Il motore deterministico calcola tassi di crescita, indici, consolidamenti e scenari ipotetici in loco. Al modello non viene chiesto di “ricordare” i vostri ricavi e riprodurli; interroga il livello sottostante, e il livello risponde dalla fonte. Molti meno dati regolamentati devono toccare un modello esterno, e quelli che lo fanno possono essere governati, redatti o mantenuti in regione per progettazione.

Produce il registro che il regolatore vuole. Poiché ogni cifra risale alla fonte e ogni calcolo è riproducibile, ottenete un log di accesso su chi e cosa ha toccato quale numero, e quando. Questa è la tracciabilità che le valutazioni del rischio della SDAIA presuppongono possiate produrre, e la pista di controllo che le regole di esternalizzazione della CBUAE si aspettano. La nostra guida sui bilanci certificati approfondisce perché la tracciabilità è diventata il prezzo d’ingresso per i numeri generati dall’IA nella regione.

I limiti onesti

Questo non fa scomparire la regolamentazione. Se scegliete di instradare qualsiasi dato verso un modello esterno, dovete comunque garantire la base giuridica, la valutazione e le garanzie. L’hosting sovrano e in regione può comportare un costo e una penalità di latenza, e il mercato locale dei modelli è più giovane di quello globale. Un livello riconciliato riduce la superficie di esposizione e vi fornisce i log, ma non firma i vostri contratti né scrive la vostra valutazione del rischio di trasferimento al posto vostro. Chiunque prometta “IA pienamente conforme pronta all’uso” sta vendendo il post-it.

Ciò che fa davvero è spostare la decisione nel punto in cui può effettivamente essere controllata: l’architettura. Decidete voi dove risiede la fonte di verità. Decidete voi che il calcolo funzioni in modo deterministico all’interno di quel perimetro. Decidete voi che l’LLM non diventi mai una via d’uscita non tracciata per il vostro bilancio di verifica. La stessa disciplina che impedisce alle vostre cifre di divergere tra quaranta SPV è quella che impedisce loro di attraversare un confine senza controllo. L’articolo sul consolidamento multi-entità rende concreto questo legame per i gruppi che gestiscono decine di strutture.

Per una visione più ampia dell’infrastruttura sovrana che incontra numeri sovrani, si veda il pilastro su un livello di numeri affidabile per l’IA nel GCC.

La conclusione è netta: nel Golfo nel 2026, la conformità si decide prima ancora che venga digitato il primo prompt, in base a dove risiedono i vostri numeri e a come la vostra IA vi accede. Se non potete rispondere a “dove è finita quella cifra” con un log invece che con una supposizione, l’accuratezza del modello è irrilevante. Prenotate una demo e vi mostreremo come si presenta davvero l’esecuzione dell’IA su un modello riconciliato e circoscritto alla giurisdizione.