GCC 国防合资企业：AI 出口管制和数据主权约束下的能力转移

1. 在构建合资企业之前定义主权能力决策

发起委员会应从具体的能力成果开始。例如，在没有外部现场支持的情况下维护平台、在本地生产定义的组件、在授权范围内修改任务软件、培训和认证本地工程师、确保备件的可用性或建立可输出的区域支持能力。每个结果都需要一个日期、操作结果、证据标准和责任人。

决策记录应将战略愿望与最低可投资结果分开。合资企业可以创造就业和装配，同时仍然依赖进口设计权威、受控软件、专业工具、远程诊断或外国批准。董事会应说明哪些依赖性是可以接受的，哪些依赖性必须随着时间的推移而减少，哪些依赖性必须保留在国际合作伙伴手中，因为法律、安全或商业政策有要求。

替代方案应使用相同的证据和现金流量测试。它们可以包括直接采购、许可生产、维护协议、技术援助安排、少数投资、合资、主要分包商模式、政府对政府路线或内部开发。应选择合资企业，因为其权利、经济、弹性和治理在核心和不利情况下优于其他替代方案。

开放大门应确定预期的最终用户、产品和服务范围、来源国家、受控组件、拟议的本地活动、需要访问的人员、数据位置、AI用例、资金范围和离开条件。合格的律师和相关机构确定适用的法律地位。交易团队维护证据和决策轨迹。

2. 使用GCC国防合资企业能力转移框架

该框架链接了八个问题：需要什么主权能力；合法转让的内容；哪些技术数据和服务获得授权；数据和计算驻留在哪里；谁拥有设计和发布权；如何证明本地能力；经济学如何应对延迟能力；以及双方如何在不中断运营支持的情况下分拆或退出。

合资协议不应单独承担这一负担。操作设计需要针对受控项目、允许的活动、区域、最终用户、被转许可人、数据域、命名角色、培训、工具、验证、网络安全、审计、报告、里程碑、补救措施和过渡的链接时间表。每个时间表应参考管理批准或证据。

3、股权与经营能力分离

股权确立了法人实体的经济和治理权利。它本身并不转让出口管制技术、技术数据、国防服务、源代码、模型权重、设计权威、认证权、工具、专有技术或向其他最终用户提供供应的许可。事务模型应该单独评估每个能力层。

能力分类账应描述当前持有者、法律依据、分类、来源国家、允许的接收者、目的、领土、访问方法、修改权、衍生作品处理、更新权、支持义务、证据和到期日。它还应该识别无法转移的依赖项以及丢失它们的操作后果。

拟议的尽职调查结构；合格的顾问应确定适用的分类和授权。

4. 在定价之前证明主权需求和授权用例

商业案例应从证据要求、采购路径、预算权限、资格流程、预期数量、验收标准、支持义务和付款途径开始。战略重要性并不能消除需求风险。当产量、时间安排、配置或出口机会是假设的而不是签订合同时，本地生产计划可能变得不经济。

对于AI启用的功能，定义精确的功能和结果。预测性维护、视觉质量检查、物流规划、文档搜索、模拟和决策支持可能需要不同的数据、模型保证、人工审查和安全性。团队应避免使用单一宽泛的 AI 标签来隐藏不同的访问和风险概况。

客户和权威机构的证据应确定本地内容、安全认证、设施许可、人员批准、测试范围、认证、互操作性或主权托管是否影响奖励或运营。投资委员会应该看到政策雄心、资助计划、授予的合同和接受的经常性收入之间的区别。

5. 将能力转移链映射为一系列授权状态

能力转移应该表示为可以测试的状态。企业可以从进口成品开始，进展到本地组装，然后是组件生产、维护、软件配置、批准的修改和定义的设计权限。每次转变都需要授权、设施、人员、工具、数据、质量证据和客户认可。

该链应该暴露瓶颈。当地技术人员可能在缺乏批准的技术数据的情况下完成培训。安全设施可能获得认可，而模型更新仍然只能通过合作伙伴访问。本地制造可能取决于受控测试夹具或加密密钥。董事会应该看到限制下一个状态的依赖性。

6. 通过控制能力记分卡对合作伙伴进行排名

合作伙伴的选择应反映能力深度、合法可转让性、主权需求、安全成熟度、培训能力、供应弹性、经济性和退出连续性。当所需的技术数据无法发布、关键人员无法访问或合作伙伴保留无价单方面撤回支持的权利时，高性能产品的排名可能会很差。

分数应带有证据可信度和严重失败标志。低置信度分数不能通过强大的商业展示来平均化。委员会应该看看哪个结论来自权威、执行文件、技术演示、客户证据或管理层代表。

7. 构建一个管辖权和授权矩阵

交易团队应制定来源国出口管制、再出口和再转让、目的地和最终用户限制、制裁、外国投资审查、竞争、采购、工业许可、网络安全、隐私、机密信息、就业、移民、税收、海关和知识产权规则。该矩阵确定了主管当局、负责申请人、所需证据、顺序、条件、期限、到期日和变更事件。

美国 ITAR 和 EAR 问题可能涉及原产地、物品、技术、技术数据、国防服务、软件、人员、最终用途、最终用户、目的地和再转让。英国和欧洲的管制可适用于商品、软件、技术、技术援助和军事最终用途。确切的结果是特定于交易的。各方应避免将公司注册地视为唯一相关事实。

仅供说明性类别；合格的顾问和主管当局确定适用的要求。

8. 来源国出口管制和最终使用工作的顺序

出口管制工作应在合资企业承诺本地化、技术准入或交付日期之前开始。原始合作伙伴应确定受控物项和活动、拟议各方、最终用户、地点、国籍、技术范围、制造权、国防服务、培训和再转让。当地合作伙伴应提供准确的所有权、治理、设施、安全、人员和预期用途证据。

授权范围可以比商业条款清单更窄。它可以限制产品、数据、各方、地点、目的、领土、持续时间、外国人、分包商或转发。财务模型和里程碑时间表应使用授权范围，并对未解决的项目进行明确的处理。成交条件不应假定将获得批准或按照所要求的条款获得批准。

关闭后控制继续进行。所有权、董事会权利、人员、最终用途、产品配置、云架构、分包商或出口目的地的变更可能需要审查。合规运营模式应维护分类、批准、附带条件、访问列表、培训、记录、筛选、审计和升级。

9. 集成前设计主权数据和AI架构

双方应根据法律控制、国家安全敏感性、客户限制、知识产权所有权、个人数据状态、操作后果和允许的处理对数据进行分类。该架构可以分离公共、企业、客户控制、出口控制、机密或特殊保护的域。身份、设备、网络、存储、计算、模型、接口和支持访问应遵循分类。

AI 需要额外的血统。记录训练和评估数据、预处理、模型和权重来源、代码和库版本、提示、检索源、部署环境、权限、人工审核、性能限制、安全测试、更新和退役。本地托管的模型仍然可以依赖于外部权重、远程遥测、许可证服务器、专家或云工具。主权托管和主权运营控制应分开测试。

提出的控制模型；实际分类和处理取决于适用的当局和合同要求。

10.保护客户权威和使命信心

企业应与政府客户、最终用户和相关安全机构保持清晰、负责的界面。客户可能需要了解所有权、外部访问、分包商、位置、系统变更、事件响应、连续性和退出。这些权利应与合作伙伴的保密和受控数据义务相协调。

AI启用的功能需要经过批准的使用概念。定义系统观察、建议或控制的内容；人类的角色；绩效界限；后备模式；日志保留；测试证据；变更批准和事件响应。商业示范不应被视为操作验收。

董事会应跟踪验收证据和收入。合同签署、工厂验收、现场验收、运营评估、安全认证和定期服务验收可能会产生不同的现金和风险影响。估值应反映实际达到的阶段。

11. 将培训转化为地方权威的体现

培训时间并不能证明能力。转移计划应明确每个角色、先决条件、教学大纲、受控材料、讲师权限、监督任务、考试、重新认证、准入批准和决定权。能力是通过在规定的质量和安全体系下接受的工作来证明的。

隐性知识需要通过配对决策、故障分析、配置审查、维护事件、客户问题和受控修改来刻意捕获。合资企业应保留当地团队可以独立执行哪些操作、哪些需要合作伙伴审查以及哪些仍然被禁止的证据。

拟议的证据框架；实际角色和发布权限取决于产品、法律、合同和安全案例。

12. 协调文化与运营设计

跨境一体化风险往往反映的是决策权、激励措施和工作制度的不相容，而不是国家的刻板印象。买方应比较每个组织的销售、定价、批准投资、管理风险、开发产品、服务客户和升级问题的方式。

合作伙伴运营模式应定义哪些决策保留在本地，哪些决策转移到集团职能以及哪些需要联合治理。保护自主权可以保留创新，同时保留重复的控制。立即集中化可能会损害速度和责任感。选择应该遵循价值论。

整合领导者需要来自管理层访谈、员工倾听、流程观察和历史变化的行为证据。通用文化评分的价值有限，除非它们与特定的执行依赖关系相关，例如投标批准、工程签字或客户响应。

董事会应同时批准文化和运营设计。每个拟议的治理变革都应说明所实现的价值、决策所有者、过渡风险、可衡量的结果和逆转计划。

13、签约前建立合资运营模式

合作伙伴运营模式应分配产品管理、工程、配置控制、制造、质量、供应链、软件、数据、模型治理、网络安全、程序安全、销售、承包、财务、合规、审计和客户交付。每项活动都应确定决策所有者、合作伙伴支持、批准依赖性、系统和证据。

保留事项应集中于其后果证明联合控制合理的决策。例如，产品范围、新的最终用户、出口目的地、受控数据访问、材料模型变更、安全架构、关键分包商、知识产权许可、资本催缴、债务、股息、合资企业、关联方合同和退出。日常运营需要授权，企业才能正常运转。

运营模式应包括拒绝或延迟。如果合作伙伴无法提供更新、专家或批准，则企业需要安全的运营模式、客户沟通、库存和现金响应、修复时间表和升级。经济学应该对这种依赖性进行定价。

14. 作为操作系统保障本地化和供应弹性

本地化应区分本地支出、本地组装、本地制造、本地工程、本地知识产权、本地决策权和出口能力。这些结果需要不同的投资并创造不同的弹性。没有物料清单和活动图的百分比合作伙伴可以奖励低后果的支出，而关键依赖项仍然在海外。

供应链模型应识别受控零件、单一来源、长期交货项目、测试设备、加密材料、批准的供应商、过时、维修循环、海关、质量放行和最低库存。本地替代需要工程、资格、客户和出口管制审查。

AI可以协助需求预测、异常检测和维护计划。批准的操作流程应保留源证据、信心、人工审查和后备。模型预测不应默默地成为命令、配置更改或安全决策。

15. 将AI和产品路线图作为受控配置进行管理

路线图应区分产品基线、授权的本地配置、计划的合作伙伴版本、安全补丁、模型更新、数据更改、接口和客户特定的变体。企业应该知道它可以提出、开发、测试、批准和部署哪些变更。

对于每个 AI 用例，维护预期目的、禁止用途、数据权利、性能测量、不确定性、故障模式、人工监督、网络安全、验证、监控和退役。 NIST 和 OECD 框架提供了有用的治理概念；它们不能取代国防特定的权力、安全、安保或法律要求。

模型漂移和软件依赖性可能会改变关闭后的经济效益。财务计划应包括安全计算、数据准备、独立测试、适当的红队、模型监控、更新验证、许可成本、专家保留和合作伙伴控制组件的应急费用。

16. 保存认证质量和配置证据

企业应绘制制造、维护或支持产品所需的每项认证、批准、质量标准、设施状态、人员批准、测试程序和配置记录。确定持有人、范围、可转让性、续展、审计权、变更过程和暂停后果。

数字线程可以提高需求、设计、零件、流程、测试、发布、现场事件和修改的可追溯性。访问仍然遵循适用的授权和安全边界。企业应避免创建一个整合的数据湖，从而扩大访问范围超出允许的目的。

AI辅助检查或异常检测需要经过验证的输入、代表性评估、假阳性和假阴性分析、人为处置、保留图像或测量结果、模型版本和审计跟踪。负责的质量机构批准发布。

17.搭建商业协同桥梁

商业协同效应应从特定的客户、产品和渠道开始。买方需要表明哪种关系可以打开访问权限、哪种产品满足已知需求、谁拥有销售、需要什么证明以及何时可以开始收入。广泛的交叉销售百分比导致治理薄弱。

这座桥梁应该将价格、数量、组合、保留、渠道、新产品和地域扩张分开。它应包括实施成本、销售能力、本地化、营运资金、客户集中度和蚕食。毛利率很重要，因为低利润扩张可能会增加收入而不增加价值。

证据可以包括合格的管道、客户访谈、框架协议、招标日历和参考要求。每个协同作用都应该有一个所有者、概率、里程碑和警告指标。买方应将桥梁与合作伙伴的独立预测进行协调。

中心案例应包含由可执行的市场途径支持的好处。额外的机会可以保留在单独披露的上涨情况中，这样价格就不会利用不确定的需求。

管道治理应区分买方引入的机会、合作伙伴发起的机会和共同获胜。归因影响激励、收益和协同报告。它还揭示了合资企业是否真正开放了准入，或者合作伙伴是否会在没有买家的情况下赢得收入。

18. 搭建成本与能力投资桥梁

采购、设施、系统、专业服务、保险和重复的公司职能可以节省成本。能力合资企业还需要对人员、产品、本地化、营销、合规性和交付能力进行刻意投资。网桥应显示两侧。

每项计划都应说明基线、所有者、行动、时间安排、一次性成本、经常性收益、客户影响和依赖性。裁员可能与保留能力发生冲突。平台整合可能会扰乱产品开发。采购变更可能会损害经过认证的供应链。

该模型应区分可避免成本和分配的会计成本，并应消除合作伙伴预测中已包含的收益。分阶段应遵循员工协商、合同终止、迁移和运营准备情况。

董事会批准的再投资范围可以保护战略论文免受狭隘储蓄计划的影响。价值来自于在新所有者的领导下赚取更多收入的能力，同时保留弹性运营和客户成果。

19. 通过授权能力状态评估企业价值

估值应将合同现金、可能的计划现金、期权价值和战略价值分开。依赖于未经批准、未经测试的转让、未经认可的环境、不可用的人员或客户接受的能力不应被视为运营能力。董事会可以使用概率加权案例，同时保持门控事实可见。

该模型应将收入和利润与能力状态联系起来：进口、组装、生产、维护、配置、修改和出口。每个州都有投资、营运资金、批准、数量、价格、成本、税收和延迟假设。最终价值应反映持续权利、支持、更新、过时和退出限制。

估值视角可以包括贴现现金流、可比交易、重置成本、合同经济学和实物期权分析。战略价值应以已确定的现金流、可避免的成本、弹性或决策选项的形式呈现，并附有所有者和证据日期。它不应该成为不受支持的溢价。

20.围绕许可和里程碑风险设计融资

资金投入应与能力的阶段性释放相匹配。股权可以为不确定的发展和主权基础设施提供资金。在接受合同和可控应收账款后，周转资金便利可能变得合适。资产融资可以支持可分离的设备。项目或计划融资需要可靠的现金、安全性和逐步设计。

债务契约不应强制进行禁止的披露或转让。贷款人的尽职调查、安全、执行、控制权变更和信息权需要尊重出口管制、国家安全限制、客户同意和机密信息规则。抵押品包可能不包括受控知识产权或需要预先商定的过渡机制。

资本呼吁应与证据挂钩。安全基础设施的一部分遵循设计批准和采购证据。培训部分遵循授权的材料、讲师和访问权限。生产部分遵循设施和质量关卡。董事会应保留流动性以应对延迟、补救和客户连续性。

21. 将经济权利与证据和能力交付联系起来

预付股本应支付交割时交付的权利。延期贡献、里程碑份额、盈利、特许权使用费、服务费或许可付款可以对以后的能力做出反应。每个机制都需要客观的定义、证据、审查者、争议处理、会计和税务分析。

合资企业应避免通过股权估值、经常性许可费、强制性服务和转让定价为同一出资支付两次费用。关联方协议应指定范围、服务水平、基准、审计、变更、终止和过渡。

错过里程碑可能会导致延期、补救、费用降低、资金调整、限制股息、额外支持、看涨期权或看跌期权，或有序结束。补救措施应该适合原因并保持客户连续性。

22. 起草最终文件作为一种控制架构

合资协议、条款、知识产权许可、技术援助安排、供应、服务、数据、网络安全、设施、就业、融资和客户文件应使用一致的定义和优先顺序。能力计划应将商业承诺与管理授权和运营证据联系起来。

主要条款包括所有权和董事会权利、保留事项、资金、业务计划、产品和领土、受控访问、人员、分包商、审计、安全事件、模型和软件变更、数据返回或删除、合规性、保证、赔偿、暂停、不可抗力、僵局、控制权变更、退出和过渡。

这些文件应区分因当局决策而导致的无能与合作伙伴违约、规划不当或商业选择。一方不应保证其无法控制的权威结果。它可以致力于准确的申请、及时的合作、合规、通知和明确的应急行动。

23. 在控制权变更之前建立独立的运营并退出连续性

集成应保留授权范围。身份、网络、设备、存储库、开发工具、支持渠道和物理空间可能需要隔离。应评估共享企业服务的数据访问、管理员权限、日志、备份、事件响应和退出。

退出计划应确定客户连续性、库存、备件、保修、维护数据、允许的技术记录、合法的软件托管、模型访问、密钥、工具、人员、设施、许可证、记录、数据返回或删除以及权限通知。当合作伙伴退出后企业无法运营时，买断权的价值有限。

拟议的交易时间表；可执行性和允许的过渡取决于适用的法律和授权。

24. 展示一个假设的阶段性能力投资案例

假设初始承诺资金为 USD 180 million。当地合作伙伴贡献 USD 105 million 和设施。国际合作伙伴提供 USD 45 million 和定义的许可证。 USD 30 million 为安全基础设施、培训、验证和营运资金提供资金。本案假定未经批准的技术数据或出口权没有任何价值。

能力通过六个大门释放：授权范围、认可环境、训练有素的人员、接受的组装、接受的维护和批准的配置。抽签和经济权利遵循证据。在中心案例中，该企业在第五年达到年收入 USD 92 million 和 EBITDA USD 16 million。许可延迟和资格较低案件的收入达到USD 61 million，EBITDA达到USD 3 million。所有金额均为假设。

所有金额和结果均为说明性管理假设，单位为 USD 百万。

25. 跨权力能力和现金运行相关的下行情景

下行应该结合可能同时发生的事件。许可证延迟可能会推迟技术访问、培训、设施验收、客户交付和收入，同时安全基础设施和工资成本仍在继续。网络事件可以暂停访问并进行补救。合作伙伴控制权变更可能会引发审核。客户配置更改可能需要新的批准。

该模型应显示每月流动性、承诺成本、收入、EBITDA、营运资金、资本调用和契约净空。运营案例应该表明哪些能力仍然安全合法。董事会应了解在客户连续性或偿付能力受到威胁之前可用于解决问题的时间。

26. 建立董事会治理和问责AI控制

董事会应收到能力分类账、批准状态、访问例外、安全事件、培训授权、客户接受度、供应弹性、模型变更、里程碑经济性和流动性。保留事项和授权应与结果相一致。

AI治理应确定系统所有者、操作权限、数据所有者、模型开发者、验证者、网络安全所有者、用户和独立保证。高后果输出应送达授权人员，并提供来源证据、可信度、局限性和后备方案。推翻需要理由、证据、权威和保留。

企业应保持与敏感性相适应的内部审计和合作伙伴审计权利。审查可以测试访问、分类、授权范围、模型沿袭、配置、第三方、记录、事件响应和纠正措施。调查结果需要所有者和截止日期。董事会信息设计应将合法权利与经营条件分开。当访问控制失败导致继续使用不安全时，批准仍然有效。模型在技术上仍然可用，但其评估证据不再支持预期目的。当安全事件需要暂停时，客户合同仍然有效。因此，仪表板应将权威、安全性、性能、客户接受度和流动性作为不同的维度以及它们的交互来显示。

委员会的任务应遵循能力和结果。合资公司董事会拥有战略、资本、保留事项和连续性。程序委员会负责交付、验收和客户承诺。安全委员会拥有认可的边界、访问例外和事件响应。配置或设计机构拥有批准的基线和有限的变更。模型治理论坛拥有 AI 目的、验证、监控和退役。当决策涉及另一项任务时，每个委员会都需要明确的升级路径。

变更控制不应只涵盖技术配置。新的投资者、董事、国籍、借调人员、分包商、设施、云服务、开发工具、数据源、模型、界面、最终用户和地区可以改变批准的风险状况。公司秘书和合规部门应维护变更触发登记册并在实施前获得审查。紧急行动需要狭窄的权限、保留的证据和及时的回顾性审查。

指标应该支持干预。合适的措施可以包括接近到期的批准、访问例外、逾期的安全措施、获得的培训权限、拒绝的配置更改、模型评估失败、客户接受延迟、关键供应商覆盖、下一个能力门的现金以及执行连续性计划的时间。应根据来源证据和后果来解释目标；绿色平均值不应掩盖一项严重禁止或不安全的情况。

27. 建立交易数据室作为受控证据系统

数据室应将商业、公司、技术、出口管制、安全限制和客户控制的材料分开。入场应遵循身份、法律相关的国籍、需要、授权、协议以及设备或位置控制。下载限制不能取代合法访问分析。

核心记录包括所有权、产品、分类、许可证、协议、附带条件、最终用户、技术数据登记册、知识产权、软件物料清单、模型卡、数据来源、网络安全架构、设施证据、人员批准、培训、质量、认证、供应链、合同、财务、税务、保险和纠纷。

每个投资委员会的结论都应与注明日期的来源、审阅者、信心和开放条件联系起来。管理层的演示是代表性的证据，而不是独立验证。

28. 执行受控的前 100 天

第 1 至 20 天应确认治理、授权范围、人员、站点、系统、客户界面和停工规则。第 21 至 50 天应建立分段环境、访问管理、记录、安全监控、程序控制和资金门。第 51 至 80 天应运行监督培训、质量和支持周期。第 81 天至第 100 天应进行涵盖配置更改、网络事件、供应中断和权限升级的操作演习。

前 100 天应避免广泛的系统集成或不受控制的数据迁移。每个界面都需要目的、分类、批准、所有者、记录和退出。任何临时安排都需要一个到期且负责任的转换计划。

董事会应该收到有关哪些内容正在运营、哪些内容仍受监管、哪些内容有待授权、哪些里程碑式的经济数据已发布以及流动性是否涵盖下一个关口和下行情况的证据。

29.使用三十个月的能力和交易路线图

路线图应连接交易、审批、构建、能力和客户大门。第 0 至 3 个月定义结果、合作伙伴范围和初步分类。第 3 至 6 个月完成调查、应用、操作设计和最终文件。第 6 至 12 个月构建安全环境并开始授权培训。第 12 至 18 个月展示生产或支持能力。第 18 至 24 个月扩大接受的地方权力。第 24 至 30 个月在允许的情况下测试弹性、选择权和出口准备情况。

30. 定义可投资和可执行的国防合资企业

当主权成果、受控边界、合作伙伴贡献、批准、安全架构、能力路径、客户接受度、经济、治理和退出连续性形成一个证据链时，国防合资企业就变得可投资。董事会应避免为战略中描述但缺乏授权、运营设计或演示的本地任务的能力付费。

当企业能够确定其在每个阶段可能接收、了解、执行、修改、制造、维护和出口的内容时，即可继续进行；当客户和权威依赖性透明时；当AI且数据仍处于负责任的控制范围内时；当资金遵循证据时。当关键权利、数据边界、人员、设施或批准未定义时推迟。当商业案例取决于禁止访问、不受支持的权威结果或无法保留客户支持的退出时，拒绝。

实际的输出是受控的交易架构，而不是无限制传输的承诺。当各方仅承诺其能够合法且可操作地交付的内容时，该架构仍然可以创造有价值的本地能力、弹性支持、行业学习和一致的经济。

拟议的治理清单；实际批准和专业意见因交易而异。

来源

1. 美国国务院国防贸易管制局，国际武器贸易条例。 阅读主要来源
2. 美国国务院、国防贸易管制局、协议指南和 DECCS 行业资源。 阅读主要来源
3. 美国国务院国防贸易管制局，制造许可协议 FAQ。 阅读主要来源
4. 美国商务部工业与安全局，出口管理条例第 734 部分。 阅读主要来源
5. 美国商务部工业与安全局，出口管理条例第 744 部分。 阅读主要来源
6. 英国政府，出口管制：军用商品、软件和技术。 阅读主要来源
7. 英国政府，军事最终用途控制。 阅读主要来源
8. 欧盟，条例 (EU) 2021/821 建立了控制两用物项出口、经纪、技术援助、过境和转让的联盟制度。 阅读主要来源
9. 阿拉伯联合酋长国，2021 年第 45 号联邦法令，关于保护个人数据。 阅读主要来源
10. 阿拉伯联合酋长国网络安全委员会，国家云安全政策。 阅读主要来源
11. 沙特数据和 AI 权威、个人数据保护法和实施资源。 阅读主要来源
12. 沙特数据和 AI 权威机构，关于在王国境外传输个人数据的规定。 阅读主要来源
13. 沙特国家网络安全局，基本网络安全控制。 阅读主要来源
14. 沙特国家网络安全局，云网络安全控制。 阅读主要来源
15. 美国国家标准与技术研究院，人工智能风险管理框架 1.0。 阅读主要来源
16. 美国国家标准与技术研究院，网络安全框架 2.0。 阅读主要来源
17. 美国国家标准与技术研究所，保护非联邦系统和组织中的受控非机密信息，SP 800-171 Rev。 3. 阅读主要来源
18. 经合组织，AI原则。 阅读主要来源
19. 国际标准化组织，ISO/IEC 42001 AI 管理体系概述。 阅读主要来源
20. 瓦森纳安排，控制清单。 阅读主要来源
21. 联合国裁军事务厅，《武器贸易条约》。 阅读主要来源
22. 美国国防部，网络安全成熟度模型认证计划。 阅读主要来源