系统现代化时我的数据去哪了？PDPL 与 90 天计划

用 AI 进行现代化改造时，工具会读取您的代码，可能还会读取数据库副本，而且通常是在沙特王国境外的数据中心完成。根据其区域页面，AWS Transform 目前在中东没有任何工作区区域；而根据沙特通讯社（SPA）的报道，AWS 沙特区域预计于 2026 年 12 月上线。所以在发送任何内容之前：把代码与个人数据分开，只发送最少的内容，并对所有流出的内容适用《个人数据向王国境外传输条例》。

在第 6 部分中，您规划了在不中断业务的情况下切换到新系统。最后这一部分回答数据问题，并把本系列的练习变成一份 90 天计划。关于法律本身的基础知识，请参阅我们的 PDPL 实用指南。

现代化期间究竟有什么离开了您的公司

“数据”一词在这里其实包含 4 种不同的东西，每一种风险都不同：

• 代码本身：您的开发人员编写的软件。它通常不含客户数据，但可能包含写死在代码里的密码、您服务器的地址，或者开发人员注释中的客户姓名。
• 数据库副本：分析和测试需要它们，而它们也是最危险的外发内容，因为其中包含客户的姓名、身份证号和手机号，以及员工的工资。
• 您与工具的提问和对话：团队在聊天窗口中输入的一切，有人可能会为了说明问题而粘贴一条真实记录。
• 输出结果：新代码、文档，以及您在第 4 部分中提取的业务规则，它们描述了您公司内部的运作方式。

实用规则是：代码在流出之前先清理，真实数据只有在别无选择时才流出。在大多数转换项目中，测试用一份脱敏副本就够了，也就是把真实姓名和号码替换为格式相同的虚构值的数据。

AWS Transform 这类工具在哪里处理您的数据

我们以 AWS Transform 为例，是因为亚马逊公布了相关细节，而同样的问题适用于任何其他工具。亚马逊官方页面目前的说法如下：

• 存储位置：根据数据保护页面，您的数据保存在您创建工作区的区域。区域页面列出了 11 个区域，包括法兰克福、伦敦、孟买、东京和弗吉尼亚，其中一些仅支持特定功能，没有一个位于中东。
• 处理位置：跨区域处理页面说明，该工具基于 Amazon Bedrock 模型运行，请求及其结果可能在同一地理范围内的其他区域处理；例如来自法兰克福的请求可能在 6 个欧洲区域处理。同一页面还宣布，自 2026 年 10 月 7 日起，来自孟买和首尔的聊天请求会分发到 AWS 的所有商业区域处理，而存储仍保留在请求发起的区域。
• 服务改进：亚马逊在其服务改进页面中表示，可能会使用您的提问以及工具生成的代码来改进服务，包括训练模型；退出方式是由您的账户管理员在 AWS Organizations 中设置 AI 服务退出策略。

此外，预计于 2026 年 12 月上线的 AWS 沙特区域，并不自动意味着这款工具会在那里运行。项目启动时请亲自打开区域页面查看，列表会变化。

数据流出前 PDPL 有哪些要求

如果个人数据离开王国，您就是在进行《个人数据保护法》（PDPL）和传输条例所规范的传输，这两份文件都发布在沙特数据与人工智能管理局（SDAIA）的国家数据治理平台上。对现代化项目而言重要的几点，用实务而非法律语言来说：

• 接收国的保护水平：主管机构会公布提供充分保护水平的国家名单，并每 4 年或在必要时进行复审。先弄清您的数据将在哪里处理，再核对名单。
• 替代保障措施：在条例规定的豁免情形下，传输须受适当保障措施约束，共有 3 种：标准合同条款、企业集团内部具有约束力的共同规则，或接收方的认证证书。
• 风险评估：条例要求数据控制者，也就是您的公司，在其规定的情形下于传输前进行风险评估。
• 敏感数据：部分豁免情形明确排除敏感数据，例如健康数据和个人财务数据，因此要格外谨慎地处理它们。

国家数据治理平台为这一步提供了实用服务，包括个人数据处理影响评估、一个告诉您是否必须任命数据保护官的工具，以及合规自评估。我们是一家科技公司，不是法律顾问，因此请把传输决定交给您的数据保护官或法律顾问。如果您考虑等待本地区域，我们在王国境内的云区域一文中解释了它真正带来的变化。

发送任何内容之前要问任何工具或供应商的 6 个问题

1. 我们的数据存储在哪个区域，又可能在哪些区域处理？请对方书面答复，并附上官方页面链接。
2. 我们的提问或代码会被用来训练模型吗？如何停止？
3. 分析能否只基于代码进行，而不使用数据库副本？
4. 我方团队和供应商团队中谁可以访问工作区？每次访问都会被记录吗？
5. 项目结束后我们的数据何时删除？我们如何核实删除？
6. 必要时，敏感环节能否在王国境内或我们自己的服务器上执行？

如果供应商不愿书面回答其中任何一个问题，这本身就是答案。关于托管方案本身，请参阅我们的上云指南。

用本系列练习搭建的 90 天计划

这份计划不会在 90 天内完成系统现代化。它带您得出一份书面决定，以及一个可以并行运行的试点模块，并且基于前六部分的练习：

第 90 天之后，您会知道以前不知道的事：您拥有什么，什么值得现代化，以及 AI 工具面对您自己的代码而不是供应商示例时表现如何。只有到那时，任何关于成本和工期的讨论才建立在您的实际情况之上。

Origami 的观点

我们开展现代化项目时，先画数据地图，再画代码地图：什么会流出、流向哪里、为什么。我们倾向于让分析在清理过的代码和脱敏数据上进行，并尽可能让真实数据留在您的环境中，以免技术上的提速日后变成合规问题。

我们在真正能缩短工作的地方使用 AI 工具，但向它们发送什么的决定始终由您做出，书面并签字。想了解我们的工作方式，请查看我们的服务。

系列结语

7 部分之前，我们从一个问题开始：如何借助 AI 实现遗留系统现代化？我们得出的答案是：AI 能加快阅读、转换和测试，但重要的决定仍掌握在经营公司的人手中：哪个系统值得改，哪条规则是对的，谁来签字，数据去往哪里。您的遗留系统多年来支撑着公司运转，冷静而有计划地对它们进行现代化，是您能为它们做的最好的事。本系列的所有部分都可以在知识中心找到。

来源

• 亚马逊：AWS Transform 支持的区域 — 区域列表，中东没有任何区域。
• 亚马逊：AWS Transform 的跨区域处理 — 处理区域以及 2026 年 10 月 7 日的变更。
• 亚马逊：AWS Transform 的数据保护 — 数据存储位置。
• 亚马逊：AWS Transform 服务改进 — 内容用于服务改进的情况及退出方式。
• 沙特通讯社：AWS 沙特区域将于 2026 年 12 月上线 — 2026 年 9 月 1 日。
• SDAIA 国家数据治理平台：《个人数据保护法》。
• SDAIA 国家数据治理平台：《个人数据向王国境外传输条例》 — 国家名单、适当保障措施和风险评估。
• 国家数据治理平台：服务与工具。