PDPL и ИИ: 1 января 2027 года — срок по PDPL ОАЭ?

PDPL и ИИ: что изменится до срока в январе 2027 года

Машинный перевод

Эта статья переведена с английского автоматически. Отдельные формулировки могут быть неточными, поэтому в спорных местах ориентируйтесь на оригинал.

Оригинал на английском: PDPL and AI: What Changes Before the January 2027 Deadline →

Обновлено: 9 октября 2026 г.

Январь 2027 года — реальный срок, но не по PDPL.
PDPL даёт компаниям шесть месяцев на приведение деятельности в соответствие, но отсчёт начинается только после принятия исполнительных положений. Они пока не опубликованы.
Реальный срок 1 января 2027 года относится к закону о цифровой безопасности детей: проверка возраста, согласие родителей для детей младше 13 лет, запрет таргетированной рекламы на данных детей.
Отсутствие исполнительных положений не отключает закон. PDPL уже применяется к ИИ-системам, обрабатывающим персональные данные.
Шести месяцев недостаточно, чтобы перестроить ИИ-систему с нуля. Не ждите исполнительных положений PDPL.

В последние месяцы в блогах о комплаенсе в ОАЭ постоянно встречается одна дата: 1 января 2027 года. Многие называют её сроком по Закону о защите персональных данных (PDPL). Некоторые даже публикуют чек-листы того, что «нужно сделать» к этой дате. Клиенты тоже начали спрашивать нас об этом, обычно с одним вопросом: если мы используем ИИ, что нужно исправить до января?

Прежде чем строить планы вокруг этой даты, стоит проверить, откуда она взялась. Ответ немного неожиданный: январь 2027 года — реальный срок, но не по PDPL.

Откуда на самом деле взялась дата январь 2027 года

PDPL (Федеральный декрет-закон № 45 от 2021 года) действует с 2 января 2022 года. Его статья 29 даёт компаниям шесть месяцев на приведение деятельности в соответствие, но отсчёт начинается только после принятия исполнительных положений к закону. По состоянию на октябрь 2026 года этих положений на официальном портале законодательства ОАЭ по-прежнему нет. Без них невозможно рассчитать срок по PDPL — ни на январь 2027 года, ни на любой другой месяц. Если вы видите блог, где сказано, что положения уже опубликованы, проверьте источник: ни один из них не является официальной базой данных.

Реальная дата относится к другому закону. Федеральный декрет-закон № 26 от 2025 года о цифровой безопасности детей вступил в силу 1 января 2026 года и дал платформам год на приведение деятельности в соответствие, поэтому срок — 1 января 2027 года, если Кабинет министров его не продлит. В этом законе есть собственные правила о персональных данных, и они важны для ИИ-продуктов. Скорее всего, два закона просто где-то перепутали.

Что PDPL уже сегодня требует от ИИ

Отсутствие исполнительных положений не отключает закон. В тексте PDPL уже есть ряд норм, которые напрямую применяются к ИИ-системам, обрабатывающим персональные данные:

Правовое основание для данных. Персональные данные можно обрабатывать только с согласия или по одному из исключений статьи 4. Это касается и данных, на которых вы обучаете модель, и того, что клиенты вводят в чат-бот.
Автоматизированные решения. По статье 18 человек может возразить против решения, принятого в результате автоматизированной обработки, включая профилирование, если оно имеет для него юридические последствия, например отказ в услуге.
Оценка воздействия. Статья 21 требует оценки перед использованием современных технологий, которые могут создавать высокий риск для персональных данных. ИИ, профилирующий людей или принимающий автоматизированные решения, — хрестоматийный пример.
Инспектор по защите данных. Статья 10 требует его назначения, если новые технологии создают высокий риск или если в больших объёмах обрабатываются чувствительные данные.
Трансграничная передача. Многие ИИ-инструменты работают на серверах за пределами ОАЭ. По статьям 22 и 23 данные можно передавать за рубеж только в страны с адекватным уровнем защиты или при наличии других гарантий, например договора или явного согласия человека.
Утечки данных. По статье 9 об утечке нужно сообщить регулятору и затронутым людям.

Есть ли сегодня штрафы по PDPL?

Есть одна практическая оговорка. PDPL предусматривает, что санкции будут установлены решением Кабинета министров, а это решение пока не принято. Поэтому сегодня риск штрафа на основной территории низкий. Но как только положения появятся, у компаний будет всего шесть месяцев, чтобы навести порядок, а для ИИ-систем это очень мало.

Что действительно изменится к январю 2027 года: данные детей

Закон о цифровой безопасности детей применяется к цифровым платформам, которые работают в ОАЭ или ориентированы на пользователей в ОАЭ, — от соцсетей и игр до приложений и сайтов. К 1 января 2027 года они должны уметь:

проверять возраст пользователей и при необходимости ограничивать доступ;
получать явное задокументированное согласие родителя до сбора данных ребёнка младше 13 лет и давать простой способ его отозвать;
не использовать данные детей для таргетированной рекламы, коммерческих целей или отслеживания сверх согласованного.

Для ИИ-продуктов это очень конкретно. ИИ-репетитор для школьников, чат-бот в игре или ИИ-приложение, которое подросток может легко скачать, — всё это попадает в эту сферу. Подробные правила и санкции ещё ожидаются от Кабинета министров, но сами обязанности уже закреплены в законе.

Ещё одно изменение, за которым стоит следить: кто будет надзирать

Ещё недавно надзор за PDPL должно было осуществлять Управление данных ОАЭ. В июне 2026 года оно вошло в состав нового Федерального управления по искусственному интеллекту и данным вместе с Офисом ОАЭ по ИИ. Иными словами, органы, отвечающие за данные и за ИИ, теперь находятся под одной крышей. Как будут распределены надзорные полномочия, официально пока не объяснено, но направление ясно: защиту данных и ИИ, скорее всего, будут рассматривать вместе.

Не уверены, какие из этих правил применяются к вашему ИИ-продукту? Пройдите тест AI Compliance Readiness Score:

Что мы рекомендуем сделать до января 2027 года

Проверьте, могут ли вашим продуктом в ОАЭ пользоваться дети. Если да, планируйте проверку возраста и согласие родителей уже сейчас. Это единственный реальный срок.
Составьте перечень мест, где ваш ИИ обрабатывает персональные данные, и запишите правовое основание для каждого использования.
Проведите оценку воздействия для ИИ, который профилирует людей или принимает автоматизированные решения.
Выясните, где ваши ИИ-поставщики хранят и обрабатывают данные, и проверьте, что передача за рубеж оформлена надлежащим образом.
Не ждите исполнительных положений PDPL. Шести месяцев недостаточно, чтобы перестроить ИИ-систему с нуля.

Частые вопросы

1 января 2027 года — это срок по PDPL?

Нет. Январь 2027 года — реальный срок, но не по PDPL. Эта дата относится к Федеральному декрет-закону № 26 от 2025 года о цифровой безопасности детей, который вступил в силу 1 января 2026 года и дал платформам год на приведение деятельности в соответствие, если Кабинет министров не продлит этот срок.

Когда компании должны начать соблюдать PDPL ОАЭ?

Статья 29 PDPL даёт компаниям шесть месяцев на приведение деятельности в соответствие, но отсчёт начинается только после принятия исполнительных положений к закону. Эти положения пока не опубликованы на официальном портале законодательства ОАЭ, поэтому рассчитать срок по PDPL пока невозможно.

Применяется ли PDPL ОАЭ к ИИ?

Да, когда ИИ-система обрабатывает персональные данные — за пределами свободных зон с собственными законами о защите данных, таких как DIFC и ADGM. Отсутствие исполнительных положений не отключает закон. PDPL уже требует правового основания для обработки персональных данных, даёт людям право возражать против автоматизированных решений (статья 18), требует оценки воздействия для высокорисковых технологий (статья 21), в ряде случаев — инспектора по защите данных (статья 10), гарантий при трансграничной передаче (статьи 22 и 23) и уведомления об утечках (статья 9).

Может ли человек по PDPL возразить против решения ИИ?

Да. По статье 18 человек может возразить против решения, принятого в результате автоматизированной обработки, включая профилирование, если оно имеет для него юридические последствия, например отказ в услуге, — если только такая обработка не предусмотрена договором, не требуется законом и не основана на предварительном согласии человека.

Могут ли ИИ-инструменты передавать персональные данные за пределы ОАЭ?

Только при определённых условиях. По статьям 22 и 23 данные можно передавать за рубеж только в страны с адекватным уровнем защиты или при наличии других гарантий, например договора или явного согласия человека.

Есть ли сегодня штрафы по PDPL?

PDPL предусматривает, что административные санкции будут установлены решением Кабинета министров, а это решение пока не принято. Это не значит, что ответственности нет: неправомерное использование персональных данных всё равно может повлечь уголовное наказание по закону о киберпреступлениях или иски о возмещении ущерба. Но как только положения появятся, у компаний будет всего шесть месяцев, чтобы навести порядок.

Что должны сделать ИИ-приложения, которыми пользуются дети, к 1 января 2027 года?

По закону о цифровой безопасности детей платформы, которые работают в ОАЭ или ориентированы на пользователей в ОАЭ, должны проверять возраст пользователей, получать явное задокументированное согласие родителя до сбора данных ребёнка младше 13 лет и прекратить использовать данные детей для таргетированной рекламы, коммерческих целей или отслеживания сверх согласованного.

Кто будет следить за соблюдением PDPL?

Итог

Январь 2027 года — не срок по PDPL, и лучше узнать об этом до того, как строить вокруг него план комплаенса. Но это реальный срок для всех, чьим продуктом могут пользоваться дети, а сам PDPL уже сегодня применяется к ИИ, даже без исполнительных положений. Если вы не уверены, какие из этих правил применяются к вашему ИИ-продукту, AML ZONE поможет это проверить и подготовиться раньше регулятора.

Не уверены, какие из этих правил применяются к вашему ИИ-продукту?

Поможем это проверить и подготовиться раньше регулятора.

Записаться на консультацию Регулирование ИИ в ОАЭ

Источники

1. Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data, Art. 29 and Art. 31 — https://uaelegislation.gov.ae/en/legislations/1972

Chambers and Partners, Data Protection & Privacy 2026 – UAE, March 2026 — s://practiceguides.chambers.com/practice-guides/data-protection-privacy-2026/uae

2. Federal Decree-Law No. 26 of 2025 on Child Digital Safety — https://uaelegislation.gov.ae/en/legislations/3912/download

Latham & Watkins, “UAE’s Child Digital Safety Law: What Every Digital Platform and ISP Should Know” — s://www.lw.com/en/insights/uaes-child-digital-safety-law-what-every-digital-platform-and-isp-should-know

3. https://uaelegislation.gov.ae/en/legislations/1972

4. https://uaelegislation.gov.ae/en/legislations/1972

5. Federal Decree-Law No. 44 of 2021 establishing the UAE Data Office — https://app.reallaw.ai/en/legal-table/doc/federal-decree-law-no-44-of-2021-on-the-establishment-of-the-uae-data-office-635

Morgan Lewis, “UAE Establishes Federal Authority for Artificial Intelligence and Data”, June 2026 — s://www.morganlewis.com/pubs/2026/06/uae-establishes-federal-authority-for-artificial-intelligence-and-data

06.11.2026