SDAIA apre le iscrizioni al percorso di protezione dei dati personali nel Data Regulatory Sandbox

La Saudi Data and Artificial Intelligence Authority (SDAIA) ha annunciato lunedì l’apertura delle iscrizioni al percorso dedicato alla protezione dei dati personali all’interno del Data Regulatory Sandbox. La finestra di registrazione resterà aperta per due mesi. L’obiettivo dichiarato è consentire la conformità con la Legge sulla protezione dei dati personali e il suo Regolamento di attuazione attraverso la Piattaforma nazionale di governance dei dati.

Come ha riferito l’agenzia di stampa saudita SPA il 6 ottobre 2026, l’annuncio riguarda un percorso pensato per le entità private che sviluppano prodotti o servizi innovativi basati sul trattamento di dati personali. Queste entità potranno testare i propri prodotti o servizi sotto supervisione regolatoria, allineandoli alla Legge sulla protezione dei dati personali e al suo Regolamento di attuazione.

Il percorso non si limita a un adempimento formale. Secondo quanto indicato da SDAIA, l’iniziativa serve a proteggere i diritti degli interessati e a promuovere pratiche responsabili nella raccolta, nel trattamento e nell’uso dei dati personali fin dalle prime fasi dello sviluppo di prodotti e servizi. Ma che cosa significa, in concreto, testare un prodotto sotto supervisione regolatoria prima che diventi operativo su larga scala?

Le condizioni per partecipare sono definite con precisione. I candidati devono essere entità private autorizzate che operano nel Regno dell’Arabia Saudita. I loro prodotti o servizi devono comportare il trattamento di dati personali. Inoltre, i candidati devono essere registrati nel Registro nazionale di protezione dei dati personali sulla Piattaforma nazionale di governance dei dati. Quanti soggetti, tra le aziende attive nel Regno, soddisfano già oggi tutti e tre questi requisiti contemporaneamente?

SDAIA ha invitato le entità idonee a sfruttare il periodo di registrazione e a presentare le domande attraverso la Piattaforma nazionale di governance dei dati. La piattaforma funge quindi da unico punto di accesso sia per la registrazione al sandbox sia per l’iscrizione al Registro nazionale di protezione dei dati personali. Non è un dettaglio secondario: la registrazione al Registro è una condizione preliminare, non un passaggio successivo all’ammissione.

Il Data Regulatory Sandbox, nel quadro descritto da SDAIA, è uno spazio in cui le entità private possono sperimentare i propri prodotti o servizi innovativi sotto la vigilanza di un’autorità regolatoria. Il percorso specifico sulla protezione dei dati personali concentra questa sperimentazione sul trattamento dei dati. Le aziende ammesse possono quindi verificare come i loro prodotti o servizi si comportano rispetto ai requisiti della Legge sulla protezione dei dati personali e del suo Regolamento di attuazione, prima di portarli sul mercato in forma definitiva. Perché mai un’azienda dovrebbe scegliere di sottoporsi volontariamente a questa verifica?

La risposta, secondo la logica dell’annuncio, sta nel fatto che l’allineamento normativo avviene dalle prime fasi dello sviluppo. Intervenire presto significa ridurre il rischio di dover modificare in seguito prodotti o servizi già costruiti su pratiche di trattamento non conformi. Il percorso è quindi presentato come uno strumento di conformità preventiva, non come una procedura sanzionatoria. Ma è davvero possibile progettare un prodotto basato sui dati personali pensando alla conformità fin dall’inizio, senza rallentare l’innovazione?

Il riferimento alla protezione dei diritti degli interessati collega il percorso a un principio più ampio: chi fornisce i propri dati personali deve poter contare su tutele effettive. SDAIA indica che le pratiche responsabili riguardano l’intero ciclo, dalla raccolta al trattamento fino all’uso. Non si tratta soltanto di ciò che accade nel momento in cui il dato viene acquisito, ma di come viene conservato, combinato e utilizzato nel tempo. In che modo un sandbox regolatorio può verificare pratiche che si estendono ben oltre il momento della raccolta?

La durata di due mesi per le iscrizioni introduce un elemento temporale chiaro. Le entità interessate hanno una finestra definita per presentare la domanda attraverso la Piattaforma nazionale di governance dei dati. Trascorso questo periodo, secondo quanto annunciato, la possibilità di registrarsi per questo percorso si chiude. Quante aziende riusciranno a completare la registrazione al Registro nazionale e la candidatura al sandbox entro il termine?

Va sottolineato un aspetto organizzativo: la registrazione al Registro nazionale di protezione dei dati personali è distinta dalla candidatura al percorso nel sandbox. Un’entità può essere registrata al Registro e non presentare domanda per il sandbox, oppure può voler partecipare al sandbox e doversi prima registrare al Registro. La Piattaforma nazionale di governance dei dati ospita entrambi i passaggi. Questo doppio livello suggerisce che SDAIA stia costruendo un ecosistema in cui la visibilità delle entità che trattano dati personali è essa stessa parte del sistema di governance. Ma quali informazioni deve fornire un’azienda per registrarsi al Registro nazionale?

Il testo dell’annuncio non specifica i criteri di selezione oltre ai requisiti di ammissibilità. Non indica quante entità saranno ammesse al percorso, né se esistano quote per settore. Non chiarisce la durata della permanenza nel sandbox una volta superata la selezione, né quali siano le tappe di verifica previste durante la sperimentazione. Non specifica nemmeno che tipo di supervisione regolatoria verrà esercitata in concreto, né se i partecipanti riceveranno un supporto dedicato da parte di SDAIA. Sono tutte domande a cui l’annuncio non risponde. Quante di queste informazioni saranno rese note prima della chiusura delle iscrizioni?

Il percorso si rivolge esclusivamente a entità private autorizzate che operano nel Regno. Questo esclude, almeno sulla base dei requisiti elencati, soggetti non autorizzati o operanti al di fuori del territorio saudita. La formulazione è restrittiva e coerente con un’iniziativa pensata per il mercato nazionale. Ma le aziende con operazioni transfrontaliere, che trattano dati personali di residenti nel Regno, rientrano o restano fuori da questo perimetro?

Il collegamento con la Legge sulla protezione dei dati personali e il suo Regolamento di attuazione è il filo conduttore dell’intero annuncio. Il percorso nel sandbox non introduce un regime alternativo: serve a facilitare la conformità a un quadro normativo già esistente. Le entità che partecipano non ottengono una deroga, ma un ambiente controllato in cui verificare come applicare quelle regole ai propri prodotti o servizi. È una distinzione importante, perché chiarisce che il sandbox non sospende gli obblighi, ma li rende verificabili in una fase controllata. In che modo, però, si concilia la sperimentazione con gli obblighi che già oggi gravano sulle aziende che trattano dati personali?

La Piattaforma nazionale di governance dei dati assume così un ruolo centrale. Non è soltanto il canale per presentare la domanda: è l’infrastruttura attraverso cui SDAIA gestisce sia il Registro nazionale sia il sandbox. Questa concentrazione in un unico ambiente digitale dovrebbe semplificare il percorso per le entità private, che non devono rivolgersi a sportelli diversi per adempimenti collegati. Ma la piattaforma è già pienamente operativa per tutte le funzioni descritte, o l’apertura delle iscrizioni rappresenta anche un test della sua capacità di gestire i flussi?

L’invito di SDAIA alle entità idonee è esplicito: cogliere l’opportunità del periodo di registrazione. Il tono è quello di un’agenzia che vuole attrarre partecipanti, non di un’autorità che impone un obbligo. La partecipazione al percorso è volontaria e richiede che l’entità abbia già un prodotto o un servizio innovativo basato sul trattamento di dati personali. Non è quindi un programma per chi muove i primi passi nel settore, ma per chi ha già qualcosa da testare. Quante entità private nel Regno hanno oggi un prodotto di questo tipo pronto per la sperimentazione?

Il tema della protezione dei dati personali è trattato nell’annuncio come una questione di pratiche responsabili, oltre che di conformità legale. SDAIA collega la tutela dei diritti degli interessati alla promozione di comportamenti corretti nella raccolta, nel trattamento e nell’uso dei dati. È un approccio che sposta l’attenzione dalla sola sanzione alla costruzione di abitudini aziendali. Ma come si misura, in un sandbox, l’adozione effettiva di pratiche responsabili?

La finestra di due mesi crea un calendario implicito. Le entità interessate devono prima verificare di soddisfare i requisiti, poi registrarsi al Registro nazionale sulla piattaforma, quindi presentare la domanda per il percorso nel sandbox. Ogni passaggio richiede tempo e documentazione. Il periodo annunciato è sufficiente per completare l’intero iter? E quali sono le conseguenze per chi presenta la domanda negli ultimi giorni disponibili?

L’annuncio non indica la data esatta di chiusura delle iscrizioni, limitandosi a specificare che resteranno aperte per due mesi a partire da lunedì 6 ottobre 2026. Non indica nemmeno quando verranno comunicati gli esiti della selezione. Non chiarisce se il percorso sarà ripetuto in futuro o se si tratti di un’iniziativa una tantum. Sono elementi che le entità interessate dovranno probabilmente verificare direttamente sulla Piattaforma nazionale di governance dei dati. Ma un’agenzia che apre un percorso di questo tipo non dovrebbe rendere pubblico anche il calendario delle fasi successive?

Il quadro che emerge dall’annuncio è quello di un’iniziativa circoscritta ma con ambizioni chiare: portare la conformità alla Legge sulla protezione dei dati personali dentro il processo di sviluppo dei prodotti, invece di trattarla come una verifica finale. Il Data Regulatory Sandbox diventa così lo strumento operativo di questo intento, e il percorso sulla protezione dei dati personali ne è la declinazione specifica. Resta da vedere quante entità private sceglieranno di partecipare e con quali risultati. La risposta arriverà, presumibilmente, dopo la chiusura delle iscrizioni.

Chi può iscriversi al percorso sulla protezione dei dati personali? Secondo SDAIA, i candidati devono essere entità private autorizzate che operano nel Regno dell’Arabia Saudita. I loro prodotti o servizi devono comportare il trattamento di dati personali. Devono inoltre essere registrati nel Registro nazionale di protezione dei dati personali sulla Piattaforma nazionale di governance dei dati. Tutti e tre i requisiti devono essere soddisfatti contemporaneamente, perché la registrazione al Registro è una condizione preliminare alla candidatura per il sandbox.

Quanto dura il periodo di registrazione? SDAIA ha annunciato l’apertura delle iscrizioni lunedì 6 ottobre 2026 e ha indicato che resteranno aperte per due mesi. Le domande vanno presentate attraverso la Piattaforma nazionale di governance dei dati. L’annuncio non specifica la data esatta di chiusura né il calendario delle fasi successive alla selezione. Le entità interessate devono quindi fare riferimento alla piattaforma per i dettagli operativi del termine.

A cosa serve il Data Regulatory Sandbox? Il sandbox consente alle entità private di testare prodotti o servizi innovativi sotto supervisione regolatoria. Il percorso specifico sulla protezione dei dati personali concentra la sperimentazione sul trattamento dei dati, per allineare i prodotti alla Legge sulla protezione dei dati personali e al suo Regolamento di attuazione. Secondo SDAIA, l’obiettivo è proteggere i diritti degli interessati e promuovere pratiche responsabili nella raccolta, nel trattamento e nell’uso dei dati fin dalle prime fasi dello sviluppo.

Dove si presenta la domanda di iscrizione? Le domande vanno presentate attraverso la Piattaforma nazionale di governance dei dati, indicata da SDAIA come canale unico sia per la registrazione al Registro nazionale di protezione dei dati personali sia per la candidatura al percorso nel sandbox. SDAIA ha invitato le entità idonee a sfruttare il periodo di registrazione. L’annuncio non specifica quali documenti debbano essere allegati né se siano previste fasi di verifica intermedie.

Quali informazioni non sono state rese note da SDAIA? L’annuncio non indica il numero di entità che saranno ammesse, l’eventuale presenza di quote per settore, la durata della permanenza nel sandbox dopo la selezione né le tappe di verifica durante la sperimentazione. Non chiarisce il tipo di supervisione regolatoria esercitata in concreto, se sia previsto supporto dedicato ai partecipanti, la data esatta di chiusura delle iscrizioni e il calendario degli esiti.