Blog
Doubao-Arbeit: Wie chinesische Unternehmen im Bereich KI ihre Aktivitäten in den VAE aufbauen können
Die kurze Antwort
Doubao Work ist ein chinesisches Produkt, das um einen Agenten herum aufgebaut ist, der eine Aufgabe von einem Nutzer übernimmt und ausführt, statt wie ein Chatbot nur zu antworten. Ein Unternehmen, das ein solches Produkt an Kunden in den VAE verkauft, unterliegt zuerst dem föderalen Datenschutzgesetz, dem Federal Decree-Law No. 45 of 2021, das das UAE Data Office als föderale Datenschutzbehörde beaufsichtigt. Der Umstand, der den Weg am häufigsten bestimmt, ist die Frage, ob der Agent personenbezogene Daten von Personen in den VAE lesen, speichern oder darauf zugreifen und handeln wird und wo diese Verarbeitung physisch stattfindet.
Das Datenrecht hindert die Gründung eines Unternehmens nicht. Es bestimmt, was das Unternehmen gegenüber seinem ersten Unternehmenskunden nachweisen können muss: wer die Dateien und Protokolle kontrolliert, wo sie liegen und wer einsteht, wenn der Agent einen Fehler macht.
Für einen ausländischen KI-Anbieter prägt dieser Nachweis die Wahl der Rechtseinheit stärker als die Lizenzgebühr. Ein Unternehmen, das lediglich einen gehosteten Dienst aus dem Ausland weiterverkauft, hat einen anderen Fußabdruck als eines, das den Agenten im Netzwerk eines Kunden installiert und Ingenieure vor Ort stationiert.
Was ein KI-Agent im Rahmen des VAE-PDPL verändert
Ein Chat-Assistent sieht, was ein Nutzer eingibt. Ein Agent sieht deutlich mehr. Um einen Termin zu buchen, eine Rechnung abzugleichen oder einen Bericht zu entwerfen, benötigt er Zugriff auf Postfächer, gemeinsame Laufwerke, Buchhaltungswerkzeuge und mitunter Zugangsdaten. Jeder dieser Orte enthält personenbezogene Daten.
Das föderale PDPL erfasst die Verarbeitung personenbezogener Daten, ganz oder teilweise durch elektronische Systeme, als in seinen Anwendungsbereich fallend. Das Gesetz trat am 2. Januar 2022 in Kraft. Es knüpft die Verarbeitung grundsätzlich an die Einwilligung des Dateninhabers, mit aufgeführten Ausnahmen, und räumt Einzelpersonen das Recht ein, Berichtigungen zu verlangen sowie die Verarbeitung einzuschränken oder zu beenden. Es enthält zudem Regeln für die grenzüberschreitende Übermittlung personenbezogener Daten zur Verarbeitung; diese Bestimmung muss ein Anbieter, der Modelle außerhalb der VAE betreibt, genau lesen.
Die praktische Folge ist, dass ein Unternehmenskunde in den VAE vom Anbieter verlangen wird, schriftlich darzulegen, was der Agent lesen kann, was er speichert, ob Prompts und Ausgaben zur Verbesserung des Modells verwendet werden und welche Unterauftragsverarbeiter mit den Daten in Berührung kommen. Ein Gründer, der diese Fragen nicht beantworten kann, verliert den Auftrag, bevor die Frage der Lizenz überhaupt aufkommt.
Das Data Office wurde durch das Federal Decree-Law No. 44 of 2021 geschaffen und ist beim Kabinett der VAE angesiedelt. Zu seinen Aufgaben gehören die Ausarbeitung der Datenschutzpolitik und die Herausgabe von Leitlinien, sodass sich die Position zu Umsetzungsdetails ändern kann. Prüfen Sie die aktuellen Leitlinien, bevor Sie einen Hosting-Vertrag unterzeichnen.
Gehostet, Private Cloud oder On-Premises: die Entscheidung, die den Rechtsträger bestimmt
Die gehostete Bereitstellung ist die schlankste. Der Anbieter betreibt den Agenten auf seiner eigenen Infrastruktur, und der Kunde meldet sich an. Das Unternehmen in den VAE kann dabei kaum mehr als eine Vertriebs- und Supporteinheit sein, doch die Frage der Datenübermittlung stellt sich hier am schärfsten, weil Kundendaten das Land systembedingt verlassen.
Bei der Private-Cloud-Bereitstellung wird eine dedizierte Instanz in einer vom Kunden genehmigten Cloud-Region betrieben. Der Anbieter betreibt sie weiterhin, verarbeitet also weiterhin die Daten des Kunden, und der Vertrag muss dies festhalten.
Bei der On-Premises-Bereitstellung steht die Software innerhalb der Räumlichkeiten des Kunden. Bedenken wegen grenzüberschreitender Übermittlung entfallen für die gespeicherten Daten, doch Fernwartungssitzungen können sie sofort wieder aufleben lassen. Ein Support-Ingenieur in einem anderen Land, der sich mit dem Server eines Kunden verbindet, greift aus dem Ausland auf Daten aus den VAE zu.
Viele chinesische Anbieter von Unternehmenssoftware bieten alle drei Varianten an. Sie sollten jede im Rahmenvertrag als eigenen Anhang mit eigenen Regelungen zur Datenverarbeitung ausgestalten, statt in einem einzigen Dokument alle Fälle abdecken zu wollen.
Kunden aus Gesundheitswesen, Finanzwesen und öffentlicher Hand
Die Branchen, die am meisten für Workflow-Automatisierung ausgeben, sind zugleich diejenigen mit eigenen Regeln. Ein Kunde aus dem Gesundheitswesen bringt das Federal Law No. 2 of 2019 über die Nutzung von Informations- und Kommunikationstechnologie im Gesundheitsbereich mit, das nach Darstellung der Regierung der VAE auch in Freizonen gilt. Banken und Versicherer unterstehen eigenen Aufsichtsbehörden und werden ihre Auslagerungsbedingungen an den Anbieter weitergeben. Behörden kaufen nach ihren eigenen Verfahren ein.
Nichts davon bedeutet, dass der Anbieter eine eigene Lizenz benötigt. Es bedeutet, dass die Compliance-Abteilung des Kunden Bedingungen in den Vertrag aufnehmen wird und der Anbieter eine lokale Gesellschaft braucht, die diese unterzeichnen, die Versicherung halten und der eine Klage zugestellt werden kann. Eine dünn aufgestellte Niederlassung, die jede Frage an eine Muttergesellschaft im Ausland weiterreicht, bleibt in der Beschaffung erfahrungsgemäß hängen.
Ein Anbieter, der nur an private, nicht regulierte Unternehmen verkauft, etwa Einzelhändler oder Logistikunternehmen, hat es leichter. Sagen Sie das im Vertriebsmaterial und heben Sie sich Kunden aus regulierten Branchen für eine zweite Phase auf.
Verantwortung für das, was der Agent tut
Ein Agent, der eine E-Mail versendet, eine Datei verschiebt oder ein Formular einreicht, handelt im Namen des Kunden. Handelt er falsch, wird sich der Kunde an den Vertrag halten. Das Cybercrime-Gesetz der VAE, das Federal Decree-Law No. 34 of 2021, erfasst Straftaten, die mittels Informationstechnologie und Netzwerken begangen werden, und ein Anbieter, dessen Agent mit dauerhaften Zugangsdaten ausgestattet ist, sollte so konzipieren, als könnten seine Protokolle eines Tages von einem Ermittler gelesen werden.
Drei Gestaltungsentscheidungen haben rechtliches Gewicht und sollten vor der Gründung geklärt werden:
- Welche Handlungen der Agent ohne vorherige Freigabe durch einen Menschen vornehmen darf und welche zuerst freigegeben werden müssen.
- Wie lange Zugangsdaten gespeichert werden und ob der Kunde sie sofort widerrufen kann.
- Wem die Protokolle gehören und ob der Anbieter sie zum Training oder zur Feinabstimmung von Modellen verwenden darf.
Eine klare Freigabeschwelle ist für das Risikoteam eines Kunden leichter zu akzeptieren als die Behauptung vollständiger Autonomie.
Einen Weg in den VAE für einen KI-Anbieter wählen
Eine mainland-Gesellschaft ermöglicht den direkten Vertragsabschluss mit Unternehmen und staatlichen Einkäufern in den VAE, weshalb Anbieter von Unternehmenssoftware dort häufig beginnen. Free-zone-Strukturen eignen sich für Teams, deren Haupttätigkeit in Entwicklung oder Fernsupport liegt, wobei jede Zone eigene Bedingungen festlegt und die Behörde bestätigen sollte, was ein Unternehmen von seinen Räumlichkeiten aus tun darf. Eine DIFC-Einheit bringt das DIFC Data Protection Law zur Anwendung, was von Bedeutung ist, wenn der Kundenstamm dort sitzt.
Der Vergleich hängt davon ab, wo die Kunden sind, wo die Ingenieure sitzen und ob das Unternehmen Hardware halten wird. Ein Gründer, der abwägt, welche Jurisdiktion zum Geschäftsmodell passt, sollte Antworten auf diese drei Punkte mitbringen. Auch der Aufenthaltsstatus des Teams spielt eine Rolle, da Visa für das Gründerteam von der gewählten Lizenz abhängen. Lesen Sie, wie Velarozone arbeitet, wenn Sie vor Ihrer Entscheidung sehen möchten, wie der Beratungsprozess aussieht.
Banken werden dieselben Fragen stellen wie Kunden: wem das Unternehmen gehört, wer es finanziert, woher das Geld kommen wird und warum eine Gesellschaft in den VAE benötigt wird. Ein Anbieter mit einem unterzeichneten Pilotkunden und einem klaren Datenflussdiagramm beantwortet diese Fragen schneller als einer mit einer Gründungsurkunde und einer Website.
Kurz gesagt
Was davon zu halten ist
- Doubao Work wird auf der eigenen Produktseite als Arbeitsweise beschrieben, bei der der Nutzer Doubao mitteilt, was zu tun ist, und der Agent die Aufgabe erledigt; das Produkt handelt also auf den Systemen eines Kunden.
- Das föderale PDPL gilt für die elektronische Verarbeitung personenbezogener Daten innerhalb oder außerhalb der UAE; ein Anbieter, der im Ausland hostet, liegt daher nicht außerhalb seines Anwendungsbereichs.
- Das UAE Data Office ist die föderale Datenschutzbehörde. Das DIFC hat ein eigenes Data Protection Law (DIFC Law No. 5 of 2020).
- Kunden aus dem Gesundheitswesen bringen ein weiteres föderales Gesetz zu ICT im Gesundheitsbereich ins Spiel, Federal Law No. 2 of 2019.
- Gehostete Bereitstellung, Private-Cloud-Bereitstellung und On-Premises-Bereitstellung erfordern jeweils einen anderen Vertrag und eine andere Zusammensetzung des lokalen Personals.
- Gilt das PDPL, wenn unsere Modelle in China laufen und nie UAE-Server berühren?
- Der Anwendungsbereich des Gesetzes erstreckt sich auf die Verarbeitung innerhalb oder außerhalb der UAE, wie es die Datenschutzseite der Regierung der UAE formuliert. Wenn Sie personenbezogene Daten von Personen in den UAE verarbeiten, sollten Sie davon ausgehen, dass das Gesetz Anwendung findet. Die Übermittlungsregeln sind der Teil, den es zu studieren gilt, und die Voraussetzungen sollten dem Gesetz und der aktuellen Orientierungshilfe des Data Office entnommen und nicht vorausgesetzt werden.
- Benötigen wir eine Lizenz, um einen KI-Agenten in den UAE zu verkaufen?
- Der Verkauf von Software ist für sich genommen keine lizenzierte Finanz- oder Gesundheitstätigkeit. Was der Agent für den Kunden tut, kann es jedoch sein. Ein Agent, der Zahlungen vornimmt, Patientenakten verarbeitet oder fachliche Beratung erteilt, kann den Kunden und mitunter auch den Anbieter unter die Aufsicht einer Sektoraufsichtsbehörde stellen. Halten Sie schriftlich fest, was das Produkt leisten wird und was nicht, und prüfen Sie dann jede Funktion anhand der zuständigen Behörde.
- Kann dasselbe Unternehmen Kunden innerhalb des DIFC bedienen?
- Das DIFC hat ein eigenes Data Protection Law (DIFC Law No. 5 of 2020), das vom föderalen PDPL getrennt ist. Ein Anbieter, der sowohl Onshore-Kunden als auch Kunden im DIFC bedient, benötigt möglicherweise Vertragsbedingungen, die zwei Regime abbilden. Lassen Sie sich rechtlich beraten, wie diese auf Ihre konkreten Datenflüsse Anwendung finden.
- Was sollten wir einer Bank in den UAE vorlegen?
- Eigentümerstruktur und Finanzierung, einen benannten Kunden oder eine Pipeline sowie eine kurze Erläuterung, warum die UAE-Gesellschaft existiert. Fügen Sie die Zusammenfassung der Datenflüsse des Produkts bei, denn Compliance-Teams in Banken verstehen eine Datenlandkarte besser als eine Pitch-Präsentation. Das verbessert die Unterlagen; es garantiert kein Konto.
Quellen
Woher das kommt
Allgemeine Informationen aus dem CBUAE Rulebook, darunter die Retail Payment Services and Card Schemes Regulation (C 15/2021), und aus dem Cabinet Resolution No. (134) of 2025 in der veröffentlichten Fassung; keine Rechts- oder Steuerberatung. Regeln und Leitlinien ändern sich. Prüfen Sie daher vor der Einreichung den aktuellen Wortlaut und die eigenen Anforderungen jedes Instituts.