AI 数据合规：中东出海与企业 API 采购清单

先画清数据流向，再决定接入方式

列出发送给模型的提示词、附件、检索内容、个人信息与输出，确认哪些环节会存储或转发这些数据。逐项核实 API 网关、上游提供商、观测平台、备份和支持人员的处理地域及访问范围。

数据最小化与日志保留要分别确认

接入前移除不必要的个人标识、密钥与敏感内容，按业务需要控制上传范围。区分计费元数据、请求及响应正文、错误日志和备份，分别确认保留周期、删除流程、访问控制及模型训练用途；不要把“不用于训练”等同于“不留存”。

DPA 与上游边界是采购核对事项

需要处理个人信息的企业，应明确各方角色、处理目的、数据类别、子处理商、跨境安排、事件响应和数据主体请求流程。具体承诺须以适用的隐私政策、上游条款及实际签署的 DPA 为准；本指南不代表已提供认证或默认开启零留存。

中东并非单一数据法域

阿联酋联邦个人数据保护框架和 DIFC 数据保护制度各有适用范围，不能把迪拜公司一律等同于 DIFC 主体。还应按具体项目核实目标国家、行业规则和跨境要求。以下官方资料用于了解制度范围，不能代替项目法律评估。

使用迪拜 AI 网关就能自动满足数据合规吗？

不能。应核实实际处理地域、业务与数据类型、上游条款及合同安排，不能仅凭服务商所在地判断合规。

ALTapi 默认承诺零日志或零留存吗？

本指南不作此承诺。生产接入前应分别确认用量日志、请求正文、监控与备份的实际配置、保留周期和合同约定。