urlloader работает внутри браузера клиента, поэтому, если они не могут получить доступ к этой папке XML из Интернета, это не сработает.
Кроме того, даже если они могут получить доступ к пути xml через Интернет, его необходимо будет открыть через тот же домен, чтобы избежать проблем с безопасностью во «песочнице». в противном случае вам нужно будет добавить xml-файл с разрешениями между доменами, который можно получить (флеш-памятью) с вашего домена, разрешив доступ с других доменов.