Jak založit společnost zabývající se bezpečností AI, hodnocením nebo auditem modelů v SAE

Úřad udělující licence (Department of Economy and Tourism v rámci mainland nebo úřad free zone) rozhoduje o tom, zda společnost existuje a pod jakou obchodní činností se smí popisovat. Tento úřad netestuje ani neschvaluje kvalitu hodnocení AI.

Vedle licence existují dva samostatné rámce. Právo SAE (UAE) o ochraně údajů upravuje, jak smí společnost shromažďovat, zpracovávat, uchovávat a předávat osobní údaje, které se k ní dostanou během zakázky: trénovací data modelů, záznamy o zákaznících nebo výstupy obsahující osobní údaje. Pokud testování společnosti zahrnuje aktivní zkoumání živého systému za účelem zjištění slabin, spadá tato práce pod pravidla kybernetické bezpečnosti a neoprávněného přístupu, takže testování bez písemného oprávnění vlastníka systému není šedou zónou, kterou lze vyřešit sebevědomým popisem licence.

UAE Telecommunications and Digital Government Regulatory Authority (TDRA) reguluje telekomunikační infrastrukturu a infrastrukturu digitální vlády; pokud se hodnocení dotýká regulovaných služeb ICT nebo telekomunikačních služeb, zeptejte se přímo TDRA, zda se na ně její pravidla vztahují, ještě než tuto práci uvedete v licenci. UAE Cyber Security Council stanovuje národní strategii kybernetické bezpečnosti a koordinuje politiku napříč odvětvími; je to orgán, na který je třeba se obrátit ohledně toho, jak národní politika kybernetických rizik ovlivňuje podnikání v oblasti testování nebo ujištění, a nikoli každodenní licenční přepážka. Považujte oba za úřady, u nichž je třeba věc potvrdit přímo, nikoli za ustálenou odpověď, kterou tento průvodce může poskytnout předem.

UAE Strategy for Artificial Intelligence 2031 stanovuje federální směr přijímání a řízení AI; jde o politický dokument, nikoli o licenční schéma, takže sám o sobě nevytváří kategorii schválení, o kterou by se mohla společnost zabývající se hodnocením ucházet. Praktické požadavky, které podnikání skutečně zavazují, jsou obsaženy v právu SAE (UAE) o ochraně údajů: jak se osobní údaje zpracovávají, na jakém právním základě, jak dlouho se uchovávají a co se s nimi stane po skončení zakázky. Odpověď o nakládání s údaji sestavte z oficiálního zdroje o ochraně údajů, nikoli z obecné šablony zásad ochrany soukromí, protože hodnotitel, který přijímá trénovací data, podněty nebo výstupy obsahující osobní údaje, je sám zpracovatelem po celou dobu, po kterou tyto údaje drží.

Pokud hodnocení zahrnuje aktivní testování produkčního systému, uložte si písemný rozsah a oprávnění klienta do spisu před zahájením práce a uchovávejte je. Je to také dokument, který si banka, pojišťovna nebo protistrana vyžádá jako první.

Banky a podnikoví zákazníci se zeptají, jakých údajů se společnost dotýká, komu patří výsledky testů a zda lze tvrzení společnosti o nezávislosti nebo certifikaci doložit smlouvou, nikoli marketingovou frází. Podepsaný popis prací (statement of work), který uvádí metodiku hodnocení, její rozsah a omezení, je nejsilnějším jednotlivým důkazem v celé sadě.

Před zahájením vztahu připravte:

Práce na připravenosti firemního bankovního účtu popisuje, jak se tato sada důkazů sestavuje a sladí s finančním modelem dříve, než ji banka uvidí. Náklady se skládají po vrstvách a servisní poplatek Velarozone je vyčíslen ve smluvním dopisu, nikoli zveřejněn jako hlavní částka; jak Velarozone funguje popisuje tento přístup.

Před založením společnosti se rozhodněte, zda společnost vydává posudky, hodnocení nebo atestace pod vlastním jménem, nebo jen podporuje interní testování klienta. První role nese expozici profesní odpovědnosti, kterou druhá nemá, a pojišťovny obě oceňují velmi odlišně. Určete, kdo ve společnosti odpovídá za schválení jakékoli zprávy, která jde představenstvu, regulátorovi nebo auditorovi zákazníka, a uchovávejte jeho způsobilost a situaci střetu zájmů ve spisu, nikoli jen v životopise.

Pokud zahraniční mateřská společnost drží metodiku hodnocení, akreditaci nebo značku a subjekt v SAE službu poskytuje lokálně, vyžaduje vlastnický a licenční řetězec mezi nimi stejnou péči jako jakákoli franšíza technických služeb; viz regulované a složité zřízení vlastnictví. Písemný podnikatelský plán a podpůrná dokumentace je místem, kde se metodika, role a rozpočet spojí dříve, než je uvidí banka nebo investor.

Odborní hodnotitelé a bezpečnostní testeři, kteří nejsou občany SAE nebo zemí GCC, potřebují vlastní pobytová víza vázaná na licencovaný subjekt; kvótu a kategorii víz potvrďte u licenčního úřadu dříve, než se plány náboru ustálí. Zabezpečená testovací prostředí a data klientů uchovávaná na půdě SAE vyvolávají otázky umístění a mazání dat, na které je třeba odpovědět jednou, písemně, a uplatňovat odpověď důsledně, místo aby se rozhodovalo znovu u každého klienta. Obnovení licencí a případná odvětvová potvrzení běží ve vlastních cyklech; sledujte je odděleně od data zahájení a ukončení jednotlivých zakázek klientů.