Blog
OpenRouter und Multi-Model AI Gateways: Strukturierung einer AI-Routing-Plattform in den VAE
Die kurze Antwort
Ein Multi-Model-AI-Gateway wie OpenRouter, also eine einzige API vor vielen Modellen mit Routing und Fallbacks, kann von einem Unternehmen in den UAE als Software betrieben werden. Der Verkauf von Nutzung gegen vorausbezahltes Guthaben ist etwas anderes: Die Stored Value Facilities Regulation der Central Bank of the UAE (CBUAE) verlangt eine vorherige Lizenz für die Ausgabe einer Stored Value Facility, sofern keine Ausnahme greift. Prompts können außerdem personenbezogene Daten enthalten, sodass das Federal Decree-Law No. 45 of 2021 in jedem Fall auf das Gateway Anwendung findet.
Das Federal Decree-Law No. 45 of 2021, das Personal Data Protection Law, gilt für personenbezogene Daten, die ganz oder teilweise durch elektronische Systeme verarbeitet werden, innerhalb oder außerhalb der UAE. Es ist am 2. Januar 2022 in Kraft getreten. Der Prompt eines Kunden kann Namen, E-Mail-Adressen oder Kontodaten enthalten, sodass das Gesetz Ihr Gateway erfasst, sobald es diesen Datenverkehr weiterleitet.
Entscheidend für die Struktur ist, wer das Geld des Kunden hält. Wenn Kunden bei Ihnen ein Guthaben aufladen und es gegen die Nutzung von Modellen verbrauchen, geben Sie möglicherweise eine Stored Value Facility aus. Die Regulierung der Central Bank of the UAE (CBUAE) verlangt, dass dieses Float getrennt von den eigenen Mitteln des Emittenten auf Konten bei lizenzierten Banken gehalten wird, und CBUAE und Ihre Bank werden dies prüfen, bevor sie Ihre Software betrachten.
Was ein Routing-Gateway tatsächlich leistet und wo das rechtliche Risiko liegt
Die Dokumentation von OpenRouter beschreibt das Produkt nüchtern. Ein einzelner Endpunkt, `/api/v1/chat/completions`, gibt Zugang zu Hunderten von Modellen. Er kann über das OpenAI SDK als direkter Ersatz verwendet werden. Anfragen werden an die kosteneffizienteste Option geleitet, und Fallbacks erfolgen automatisch. Business- und Enterprise-Kunden können einen separaten Endpunkt in der EU-Region mit EU-fähigen Modellen nutzen.
Für einen Gründer in den UAE ergeben sich aus drei dieser Funktionen Pflichten. Routing bedeutet, dass Sie wählen, welcher Anbieter den Prompt eines Kunden sieht; Sie entscheiden also, wohin personenbezogene Daten gelangen. Fallbacks bedeuten, dass ein an einen Anbieter gesendeter Prompt an einen anderen erneut gesendet werden kann, wenn der erste ausfällt; Ihre Beschreibung der Datenflüsse muss daher den Fallback-Pfad abdecken und nicht nur die erste Wahl. Der regionale Endpunkt zeigt, was große Kunden von Ihnen verlangen werden: eine Möglichkeit, den Datenverkehr innerhalb einer genannten Geografie zu halten.
Ein Gateway, das Kunden zusichert, „Ihre Prompts verlassen die Region X nie“, muss dies auch für den Fallback-Pfad nachweisen können. Das erfordert eine Datenübersicht, die jeden Anbieter und jede Region auflistet, die ein Prompt erreichen kann, und die mit dem jeweils abgeschlossenen Vertrag abgestimmt gehalten wird.
Prepaid-Guthaben und die Stored-Value-Vorschriften der Zentralbank
Software, die eine monatliche Gebühr erhebt, ist einfach. Ein Gateway, das Modellnutzung im Voraus verkauft, ist es nicht, denn der Kunde zahlt zuerst an Sie und Sie zahlen später an die Anbieter. In der Zwischenzeit halten Sie sein Geld.
Maßgeblich ist die Definition der Zentralbank. Eine Stored Value Facility liegt vor, wenn ein Kunde einem Emittenten Geld zahlt, im Austausch für die Speicherung dieses Werts und die Zusage des Emittenten, bei Verwendung des Werts Waren oder Dienstleistungen zu liefern oder Zahlungen zu leisten. Für die Ausgabe oder den Betrieb einer solchen Einrichtung in den UAE ist eine vorherige CBUAE-Lizenz erforderlich, außer bei einer Einzweck-Einrichtung, bei der der Emittent die Waren oder Dienstleistungen selbst liefert. Die Zentralbank kann außerdem Einrichtungen ausnehmen, die nur beim Emittenten oder bei Lieferanten mit einer Vereinbarung mit ihm nutzbar sind. Ein Ausnahmeweg gilt nur, solange das Float bei höchstens AED 500,000 bleibt und die Zahl der Kunden höchstens 100 beträgt, und er setzt einen Test in der Sandbox des CBUAE FinTech Office voraus. Ob Guthaben, mit dem die Modellnutzung eines Dritten erworben wird, als eigene Leistung des Emittenten gilt, ist eine Frage an die CBUAE und nichts, was man einfach annehmen sollte. Ein lizenzierter Emittent benötigt eingezahltes Kapital von mindestens AED 15,000,000. Er muss das Float, also die vorausbezahlten Mittel der Kunden, getrennt von seinen eigenen Mitteln auf Konten bei lizenzierten Banken halten. Gestalten Sie das Guthabenprodukt so, dass die Antwort bewusst gewählt ist, und legen Sie sie vor dem Start der CBUAE und Ihrer Bank vor.
Ein Kartenakquirer will wissen, ob das Guthaben erstattungsfähig ist, ob es nur für Ihren Service ausgegeben werden kann und ob die CBUAE konsultiert wurde. Der Leitfaden zu Zahlungsgateways und Merchant Acquirern erläutert, wie ein Zahlungsdienstleister ein Unternehmen betrachtet, das für ein digitales Guthaben wiederkehrende Kartenzahlungen entgegennimmt.
Welche Zusagen Ihnen Ihre Lieferanten erlauben
Ein Gateway kann nur weitergeben, was seine vorgelagerten Anbieter zulassen. Die Anbieterbedingungen unterscheiden sich in vier Punkten, die für einen Reseller von Bedeutung sind:
- Ob die Nutzung überhaupt weiterverkauft werden darf und unter welcher Marke.
- Ob Prompts oder Ausgaben zwischengespeichert oder gespeichert werden dürfen.
- Ob der Anbieter Kundendaten speichert oder für Trainingszwecke verwendet und ob eine Opt-out-Möglichkeit besteht.
- Ob der Anbieter Preise, Ratenbegrenzungen (Rate Limits) oder die Verfügbarkeit von Modellen ohne Vorankündigung ändern darf.
Die Dokumentation von OpenRouter beschreibt auf der Hauptseite keine Richtlinie zur Datenspeicherung und verweist für die Datenverarbeitung auf gesonderte Seiten. Das ist üblich: Die Antwort steht in den Bedingungen des Anbieters, nicht in der Produktbeschreibung. Lesen Sie jeden Upstream-Vertrag und halten Sie schriftlich fest, was Sie ehrlicherweise anbieten können. Wenn ein Anbieter Prompts speichert und ein anderer nicht, ist ein einzelner kundengerichteter Satz, der "keine Speicherung" verspricht, falsch.
Dieselbe Logik gilt für die Verfügbarkeit. Sie können Fallbacks anbieten. Sie können nicht garantieren, dass jedes Modell verfügbar bleibt, weil Sie die Modelle nicht kontrollieren. Formulieren Sie Service Levels bezogen auf Ihre eigene Plattform und benennen Sie die Abhängigkeit von Lieferanten.
Personenbezogene Daten und das UAE Data Office
Das Federal Decree-Law Nr. 45 von 2021 trat am 2. Januar 2022 in Kraft. Nach der Zusammenfassung der UAE-Regierung erfasst es personenbezogene Daten, die ganz oder teilweise durch elektronische Systeme verarbeitet werden, innerhalb oder außerhalb der UAE, verlangt für die Verarbeitung grundsätzlich die Einwilligung des Dateninhabers, räumt Einzelpersonen Rechte auf Berichtigung sowie auf Einschränkung oder Beendigung der Verarbeitung ein und stellt Anforderungen an die grenzüberschreitende Übermittlung und Weitergabe personenbezogener Daten. Das UAE Data Office, das dem Kabinett angegliedert ist, ist die föderale Datenschutzaufsichtsbehörde.
Für ein Gateway ergeben sich daraus praktisch folgende Konsequenzen:
- Sie handeln gegenüber Ihren Kunden voraussichtlich als Auftragsverarbeiter. Ihr Vertrag mit jedem Kunden muss das daher festhalten und beschreiben, was Sie mit den Daten tun.
- Das Weiterleiten eines Prompts an einen Anbieter im Ausland ist eine grenzüberschreitende Übermittlung, die in Ihren Aufzeichnungen und Ihren Kundenbedingungen abgebildet sein sollte.
- Gesellschaften in einer free zone oder in einem Finanzzentrum können eigenen Datenschutzgesetzen unterliegen (das DIFC hat ein eigenes Datenschutzgesetz). Prüfen Sie daher, welche Regelung die von Ihnen gewählte Zone mit sich bringt.
Unternehmenskunden in regulierten Branchen können zusätzlich eigene Anforderungen an die Datenlokalisierung stellen. Fragen Sie danach im Vertriebsprozess, nicht erst nach Vertragsunterzeichnung.
Die Wahl des Rechtsträgers: mainland, free zone oder Technologiezone
Ein reines Software-Gateway mit kleinem Team und Kunden auf der ganzen Welt passt häufig zu einer Freizonenunternehmen mit einer Technologie- oder Handelslizenz. Ein Gateway, dessen Hauptkunden Unternehmen in den UAE sind oder das direkt mit regierungsnahen Käufern Verträge schließen möchte, bevorzugt möglicherweise eine mainland-Lizenz. Keine der beiden Entscheidungen beseitigt die Frage des Guthabens: Die Stored Value Facilities Regulation definiert den Staat als die UAE ohne die Financial Free Zones, sodass ein gewöhnliches free-zone- oder mainland-Unternehmen, das vorausbezahltes Guthaben verkauft, innerhalb ihres Geltungsbereichs liegt. Der Leitfaden zur Wahl zwischen free zone und mainland legt die Abwägungen zu Kundenstandort, Geschäftsräumen und Visa dar.
Wenn Sie zusätzlich offene Modelle auf Ihrer eigenen Infrastruktur hosten, verlagern sich die operativen Fragen in Richtung eines Cloud-Geschäfts, das im Leitfaden zum Cloud Managed Service Provider behandelt wird. Wenn Sie Modelle selbst trainieren oder feinabstimmen, kommt der Leitfaden zum Foundation-Model-Unternehmen Ihrer Lage näher. Vor der Entscheidung kann ein Gründer sehen, wie Velarozone arbeitet, wenn Guthabengestaltung, Datenflüsse und Rechtsträger gemeinsam beurteilt werden.
Kurz gesagt
Was davon zu halten ist
- Das Kernversprechen eines Gateway-Unternehmens lautet: ein Endpunkt, viele Modelle. Die eigene Dokumentation von OpenRouter beschreibt einen einzigen Chat-Completions-Endpunkt, das Routing zur kostengünstigsten Option und automatische Fallbacks.
- Der Verkauf von Nutzung gegen vorausbezahltes Guthaben kann Sie zum Emittenten einer Stored Value Facility machen, wofür eine vorherige CBUAE-Lizenz erforderlich ist, sofern keine Ausnahme gilt. Ein monatliches Software-Abonnement speichert keinen Kundenwert im Voraus.
- Über Ihre Plattform geleitete Prompts können personenbezogene Daten enthalten, wodurch das Federal Decree-Law Nr. 45 von 2021 und das UAE Data Office relevant werden.
- Die Modellanbieter legen die Bedingungen für Weiterverkauf, Caching und Datenspeicherung fest; Ihr Kundenvertrag kann nur zusagen, was Ihre Lieferanten erlauben.
- Unternehmenskunden werden fragen, wo Daten verarbeitet werden und welche Unterauftragsverarbeiter sie einsehen können, noch bevor sie nach dem Preis fragen.
- Benötigen wir eine Lizenz für den Weiterverkauf von Modellzugang?
- Eine Geschäftstätigkeit für Softwarelizenzen allein deckt möglicherweise nicht den Weiterverkauf von Nutzung gegen vorausbezahltes Guthaben ab. Wenn Kunden im Voraus für gespeicherten Wert zahlen, verlangt die Stored Value Facilities Regulation der CBUAE eine vorherige Lizenz, es sei denn, die Einrichtung dient nur einem Zweck oder die Zentralbank nimmt sie aus. Klären Sie zuerst die Gestaltung des Guthabens und legen Sie die Frage dann der CBUAE und Ihrer Bank vor.
- Gilt das Federal Decree-Law Nr. 45 von 2021, wenn sich unsere Server außerhalb der UAE befinden?
- Die Zusammenfassung der UAE-Regierung besagt, dass das Gesetz für die elektronische Verarbeitung personenbezogener Daten gilt, unabhängig davon, ob sie innerhalb oder außerhalb der UAE erfolgt. Wenn Sie Kunden in den UAE haben oder eine Gesellschaft in den UAE deren Prompts verarbeitet, behandeln Sie das Gesetz als anwendbar und lassen Sie sich zu den Einzelheiten beraten.
- Können wir Kunden zusagen, dass ihre Daten nicht für Trainingszwecke verwendet werden?
- Nur wenn jeder Upstream-Anbieter, an den Sie weiterleiten, Ihnen diese Zusage schriftlich gibt. Wenn einige dies tun und andere nicht, bieten Sie Routing-Steuerungen an, mit denen der Kunde die übrigen ausschließen kann, und beschreiben Sie die Lage je Anbieter.
- Können wir die Verfügbarkeit von Modellen garantieren?
- Nein. Sie können die Verfügbarkeit Ihrer eigenen Plattform und Ihr Fallback-Verhalten beschreiben. Die Verfügbarkeit von Modellen Dritter hängt von den Anbietern ab.
Quellen
Woher das kommt
Allgemeine Informationen aus dem CBUAE Rulebook, darunter die Retail Payment Services and Card Schemes Regulation (C 15/2021), und aus dem Cabinet Resolution No. (134) of 2025 in der veröffentlichten Fassung; keine Rechts- oder Steuerberatung. Regeln und Leitlinien ändern sich. Prüfen Sie daher vor der Einreichung den aktuellen Wortlaut und die eigenen Anforderungen jedes Instituts.