Blog
ChatGPT, Claude, Gemini und GLM: KI-Anwendungsunternehmen in den VAE gründen
Die kurze Antwort
Ein Unternehmen in den UAE, das auf ChatGPT, Claude, Gemini oder GLM aufbaut, mietet seine Kernfähigkeit, behält aber die Datenpflichten für das, was Kunden darüber senden. Das Federal Decree Law No. 45 of 2021, beaufsichtigt vom UAE Data Office, gilt für Verantwortliche und Auftragsverarbeiter in den UAE sowie für ausländische, die Daten von Personen in den UAE verarbeiten. Es gilt nicht für free-zone-Unternehmen, die ein eigenes Datenschutzgesetz haben, etwa jene im DIFC. Die Frage, die den Weg am häufigsten entscheidet, ist, ob das Produkt einen Nutzer nur unterstützt oder in einem regulierten Sektor wie Banking, Gesundheit oder Recht eine Entscheidung übernimmt.
Ein Schreibassistent für Marketingteams und ein Werkzeug zur Prüfung von Kreditanträgen können sich eine Codebasis teilen und dennoch völlig unterschiedliche Rahmen erfordern, weil das zweite Entscheidungen trifft, die Betroffene anfechten können.
Das Unternehmen sollte um das herum aufgebaut werden, was es vertraglich eingehen, halten und kontrollieren wird. Wer mit Kunden Verträge unterzeichnet, wer das Anbieterkonto hält, wo Prompts und Ausgaben liegen und wer einsteht, wenn ein Modell etwas falsch macht, sind die Tatsachen, nach denen eine Bank, ein Investor und eine Lizenzbehörde fragen werden. So arbeitet Velarozone ist darauf ausgerichtet, diese Tatsachen vor jeder Einreichung festzulegen.
Was die Anbieterbedingungen festlegen, bevor die Gesellschaft es tut
Lesen Sie die Anbieterbedingungen so, als wären sie Teil Ihrer eigenen Produktspezifikation, denn für Ihre Kunden sind sie es.
Die Gemini-API-Bedingungen von Google ziehen eine klare Grenze zwischen kostenpflichtiger und kostenloser Nutzung. Bei kostenlosen Diensten darf Google übermittelte Inhalte und Antworten zur Verbesserung seiner Produkte verwenden, und menschliche Prüfer dürfen Eingaben und Ausgaben lesen und annotieren, nachdem sie vom Konto, vom API-Schlüssel und vom Cloud-Projekt getrennt wurden. Die Bedingungen raten davon ab, sensible, vertrauliche oder personenbezogene Informationen an diese Dienste zu übermitteln. Bei kostenpflichtigen Diensten erklärt Google, dass es Prompts oder Antworten nicht zur Verbesserung seiner Produkte verwendet und sie für einen begrenzten Zeitraum protokolliert, um Missbrauch zu erkennen und gesetzliche Offenlegungspflichten zu erfüllen. Ein Startup, das mit echten Kundendokumenten in der kostenlosen Stufe einen Prototyp entwickelt, hat bereits eine Datenentscheidung getroffen, unabhängig davon, ob sie jemand dokumentiert hat.
Dieselben Bedingungen verlangen, dass API-Nutzer mindestens 18 Jahre alt sind, und untersagen API-Clients, die sich an Personen unter 18 Jahren richten oder auf die voraussichtlich Personen unter 18 Jahren zugreifen. Außerdem verbieten sie, den Dienst zur Entwicklung konkurrierender Modelle zu nutzen sowie Modellkomponenten zurückzuentwickeln oder zu extrahieren. Das ist wichtig, wenn Ihre Roadmap vorsieht, Ausgaben in ein eigenes Modell zu destillieren, was manche Gründer als den Kern des Geschäfts betrachten.
GLM stammt von der BigModel-Plattform von Zhipu AI und ChatGPT von OpenAI. Jeder Anbieter hat eigene Geschäftsbedingungen, und jede sollte auf dieselben vier Punkte hin gelesen werden: Datennutzung, Mindestalter, Beschränkungen einer konkurrierenden Nutzung und was mit Ihrem Service geschieht, wenn sich eine Richtlinie ändert. Eine Multi-Provider-Architektur mindert dieses Risiko. Sie vervielfacht aber auch die Bedingungen, mit denen Ihre Kundenverträge in Einklang bleiben müssen.
Die Abkündigung von Modellen ist ein Vertragsproblem
Die Modelldokumentation von Anthropic zeigt, wie kurz die Lebensdauer einer Modellabhängigkeit sein kann. Sie führt Claude Sonnet 5.5 und Haiku 5.5 mit einer Abschaltung „nicht vor“ dem 28. September 2027 bzw. dem 7. Oktober 2027 auf, während frühere Modelle wie Sonnet 5 und Sonnet 4.6 bereits in einer Liste älterer Modelle stehen. Sie besagt außerdem, dass Amazon Bedrock und Google Cloud für die von ihnen gehosteten Modelle eigene Lebenszyklusdaten festlegen, und sie führt dieselben Modelle über die Claude API, Amazon Bedrock, Google Cloud, Microsoft Foundry und Claude Platform on AWS auf.
Für ein Unternehmen in den VAE ergeben sich daraus zwei Konsequenzen. Ein Kundenvertrag, der für eine feste Laufzeit ein bestimmtes Modell verspricht, ist ein Versprechen, das der Anbieter unterlaufen kann; Leistungsbeschreibungen sollten daher Ergebnisse benennen und sich das Recht zum Austausch vorbehalten. Und die gewählte Cloud-Route ändert, wer das Abschaltdatum festlegt und wo die Verarbeitung stattfindet, was unmittelbar in die nachstehende Datenfrage einfließt.
Welches Datenschutzgesetz für die Anwendung gilt
Die Datenschutzseite der Regierung der VAE nennt das Federal Decree Law No. 45 of 2021 zum Schutz personenbezogener Daten, in Kraft seit dem 2. Januar 2022. Es verbietet die Verarbeitung personenbezogener Daten ohne Einwilligung des Inhabers, außer in aufgeführten Fällen, verpflichtet Unternehmen, die personenbezogene Daten halten, zu deren Sicherung, räumt den Inhabern Rechte auf Berichtigung sowie auf Einschränkung oder Beendigung der Verarbeitung ein und stellt Anforderungen an die grenzüberschreitende Übermittlung und Weitergabe. Die Seite beschreibt das UAE Data Office, das nach dem Federal Decree Law No. 44 of 2021 errichtet wurde, als die föderale Aufsichtsbehörde, die für Politik, Standards, Beschwerdesysteme und Umsetzungsleitlinien zuständig ist. Sie führt zudem das DIFC Data Protection Law (DIFC Law No. 5 of 2020) neben dem föderalen Gesetz auf.
Für eine KI-Anwendung besteht die praktische Arbeit in einer Übersicht: Welche Kundenfelder gelangen zum Modellanbieter, in welcher Region werden sie verarbeitet, welche Unterauftragsverarbeiter (subprocessors) greifen darauf zu, und welche Einwilligung deckt jeden Schritt ab. Ein Unternehmen mit Kunden im DIFC kann neben dem föderalen Gesetz auch dem Recht der free zone unterliegen, sodass die Wahl der Lizenz hier nicht neutral ist. Die föderale Seite erläutert nicht, wie beide zusammenwirken; dieser Punkt bedarf daher einer fachkundigen Prüfung anhand der tatsächlichen Umstände.
Wo das Produkt in einen regulierten Sektor hineinreicht
Ein Werkzeug, das Texte zur Freigabe durch einen Menschen entwirft, befindet sich in einer anderen Lage als eines, das Empfehlungen ausgibt oder Transaktionen ausführt. Maßgeblich ist die Funktion. Das föderale Datenschutzgesetz tritt zurück, wo eigene Gesetze personenbezogene Gesundheitsdaten oder personenbezogene Bank- und Kreditdaten schützen (Artikel 2(2)(e) und (f)), und es gilt nicht für Regierungsstellen (Artikel 2(2)(b)), sodass diese Kunden ihre eigenen Regeln mitbringen. Wenn die Anwendung Kreditentscheidungen beeinflusst, Patientendaten verarbeitet, rechtliche Schlussfolgerungen liefert oder von einer Regierungsstelle genutzt wird, wirken die Sektorregeln des Kunden über Prüfrechte, Datenlokalisierungsforderungen und Haftungsklauseln auf Ihren Vertrag zurück, selbst wenn Sie selbst keine Lizenz halten.
Halten Sie den Schritt der menschlichen Prüfung schriftlich fest und wer ihn durchführt. Artikel 18 des föderalen Gesetzes erlaubt einer Person, einer automatisierten Entscheidung zu widersprechen, die rechtliche oder nachteilige Wirkung für sie hat, es sei denn, sie beruht auf einem Vertrag, einer gesetzlichen Anforderung oder ihrer vorherigen Einwilligung, und er verlangt vom Verantwortlichen, auf Verlangen einen Menschen in die Prüfung solcher Entscheidungen einzubeziehen. Banken und Unternehmenskunden fragen in der Due Diligence nach demselben Schritt, und er ist der klarste Beleg dafür, dass das Produkt unterstützt, statt zu entscheiden.
Den Weg zum Rechtsträger wählen
Sowohl ein direkt lizenziertes Mainland-Unternehmen als auch ein Free-Zone-Unternehmen kann Software- und Technologietätigkeiten ausüben, und eine Einheit in einem Finanzzentrum kann für einen Gründer geeignet sein, dessen Kunden innerhalb dieses Zentrums sitzen. Die Wahl hängt in der Regel davon ab, wo die Kunden sind, ob Mitarbeiter Aufenthaltsvisa benötigen, für die das Unternehmen als Sponsor auftritt, und ob ein Kunde auf die Gerichte und Datenregeln einer bestimmten Jurisdiktion besteht.
Die nützlichere strukturelle Frage lautet, wo das geistige Eigentum liegt. Wurden Prompts, Evaluierungsdatensätze und feinabgestimmte Konfigurationen von Auftragnehmern oder einer ausländischen Muttergesellschaft erstellt, sollten Abtretungen vorliegen, bevor das Unternehmen in den VAE gegenüber einer Bank oder einem Investor als deren Eigentümer präsentiert wird.
Kurz gesagt
Was davon zu halten ist
- Das Datenschutzrecht folgt dem Kunden, nicht dem Server: Das Decree Law 45 of 2021 erfasst Daten von Personen in den UAE auch dann, wenn der Verantwortliche oder der Modellanbieter im Ausland sitzt, es sei denn, es gilt stattdessen ein free-zone-Gesetz wie das des DIFC.
- Die Anbieterbedingungen unterscheiden sich darin, ob Kunden-Prompts zur Verbesserung der Modelle des Anbieters verwendet werden dürfen, und der Unterschied hängt häufig davon ab, ob Sie zahlen.
- Modelle werden nach veröffentlichten Zeitplänen abgeschaltet; daher sollten Kundenverträge nicht ein einzelnes Modell als dauerhaftes Merkmal benennen.
- Wer an Finanzwesen, Gesundheitswesen, Rechtsbranche oder Behörden verkauft, bringt in der Regel eine Sektoraufsicht ins Spiel, der auch der Softwareanbieter nicht entgeht.
- Prompts, Workflows und feinabgestimmte Konfigurationen benötigen eine lückenlose Dokumentation der Eigentumsverhältnisse, insbesondere wenn Auftragnehmer sie erstellt haben.
- Sowohl Mainland- als auch Free-Zone-Unternehmen können dieses Geschäft betreiben; daher ist der Gesellschaftsweg weniger wichtig als die Verträge, die sie abschließt.
- Bedeutet die Nutzung eines ausländischen Modellanbieters, dass dem Unternehmen nichts gehört?
- Nein, aber das Eigentum ist enger gefasst, als Gründer annehmen. Das Unternehmen kann seinen Code, seine Prompts, Workflows, Evaluierungsdaten und Kundenbeziehungen besitzen. Es besitzt nicht das Modell und übernimmt die Nutzungsbedingungen des Anbieters, einschließlich der Beschränkungen beim Aufbau konkurrierender Modelle, so wie sie sind.
- Müssen Kunden-Prompts in den VAE bleiben?
- Nicht als pauschale Regel. Das föderale Gesetz erlaubt die Übermittlung ins Ausland in Jurisdiktionen, die das UAE Data Office als angemessen geschützt anerkannt hat (Artikel 22). Im Übrigen erlaubt es die Übermittlung aus aufgeführten Gründen, etwa einem Vertrag, der den Empfänger an die Standards des Gesetzes bindet, der ausdrücklichen Einwilligung der Person oder der Erforderlichkeit zur Erfüllung eines Vertrags mit der Person (Artikel 23). Kunden aus Regierung und Finanzwesen können vertraglich eine Lokalisierung vorgeben, sodass die Antwort häufig vom Kunden bestimmt wird und nicht vom Gesetz.
- Ist eine kostenlose Nutzungsstufe für frühe Kundenpilotprojekte akzeptabel?
- Nach den Bedingungen von Google kann die unentgeltliche Nutzung in die Produktverbesserung und in die menschliche Überprüfung einfließen, und die Bedingungen raten davon ab, sensible oder personenbezogene Informationen zu übermitteln. Pilotprojekte mit echten Kundendaten sollten zu kostenpflichtigen Bedingungen laufen, wobei die Datenlage schriftlich vereinbart wird.
- Was sollte der Kundenvertrag zu Modelländerungen regeln?
- Beschreiben Sie die Leistung anhand des Ergebnisses, behalten Sie sich das Recht vor, die zugrunde liegenden Modelle zu ändern oder zu ersetzen, und legen Sie fest, wer Ausfallzeiten trägt, wenn ein Anbieter ein Modell abkündigt oder einschränkt. Die Abkündigungspläne werden veröffentlicht, daher ist ein Vertrag, der sie ignoriert, nicht zu entschuldigen.
Quellen
Woher das kommt
Allgemeine Informationen aus dem CBUAE Rulebook, darunter die Retail Payment Services and Card Schemes Regulation (C 15/2021), und aus dem Cabinet Resolution No. (134) of 2025 in der veröffentlichten Fassung; keine Rechts- oder Steuerberatung. Regeln und Leitlinien ändern sich. Prüfen Sie daher vor der Einreichung den aktuellen Wortlaut und die eigenen Anforderungen jedes Instituts.