Einrichten einer AI-Agenten-Plattform für regulierte Branchen in den VAE

Maßgeblich ist die Tätigkeit, zu der der Agent befugt ist, nicht die Branche, in die er verkauft wird. Ein Agent, der ein Kreditmemo für einen Kreditsachbearbeiter zur Unterschrift entwirft, ist etwas anderes als einer, der den Kredit genehmigt. Ein Agent, der ein verdächtiges Geschäft meldet, ist etwas anderes als einer, der es platziert. Sobald der Agent von der Unterstützung zur Ausführung einer lizenzierten Tätigkeit übergeht, bestimmt die für diese Tätigkeit zuständige Aufsicht den Weg: die CBUAE für Bank-, Kredit- und Zahlungstätigkeiten, die CMA für Wertpapier- und Warengeschäfte auf dem Festland, die DFSA für Finanzdienstleistungen aus dem DIFC, die FSRA für Finanzdienstleistungen aus dem ADGM und die VARA für Tätigkeiten mit virtuellen Vermögenswerten in Dubai außerhalb des DIFC. Eine Plattform, die mehrere dieser Kunden zugleich bedient (eine Bank auf dem Festland, einen Fonds im DIFC, eine Börse unter der VARA), untersteht in der Regel mehr als einer Aufsichtsbehörde und nicht einer Lizenz, die alle abdeckt. Gründer, die für Kunden mit virtuellen Vermögenswerten bauen, sollten den Weg über die VARA als eigenen Pfad neben einem herkömmlichen Fintech-Aufbau behandeln, denn die beiden Aufsichtsbehörden prüfen unterschiedliche Dinge. Für automatisierte Anlageberatung erklärt der Leitfaden zum Robo-Berater den Test zwischen Beratung und Ermessensverwaltung.

Zwei Pflichten gelten, bevor überhaupt eine Branchenaufsicht zuständig wird. Das Bundesdekret-Gesetz Nr. 45 von 2021 über den Schutz personenbezogener Daten, in Kraft seit dem 2. Januar 2022, verbietet die Verarbeitung personenbezogener Daten ohne Einwilligung des Inhabers außer in begrenzten Fällen. Das gilt für alles, was der Agent erhebt, speichert oder weitergibt, auch wenn die Plattform nie eine Finanz- oder Lizenz für virtuelle Vermögenswerte braucht. Das Datenbüro der VAE fungiert als bundesweite Datenschutzbehörde. Davon getrennt legt der Cybersicherheitsrat der VAE die nationale Cybersicherheitslage fest, die von Systemen erwartet wird, die sensible oder kritische Daten verarbeiten. Ein Agent mit dauerhaftem Zugriff auf Kundenakten, Gesundheitsdaten oder Zahlungswege wird wahrscheinlich so eingestuft. Beide Pflichten knüpfen an das an, was das System tatsächlich berührt, nicht an seine Lizenzkategorie oder an die Beschreibung des Produkts als „nur Software“. Für eine Struktur, die Kredite über eine SPV vergibt oder hält, erklärt der Leitfaden zu Private Credit und Verbriefung, welche Aufsichtsbehörde welche Funktion genehmigt.

Eine Bank, die ein Konto eröffnet, oder ein regulierter Kunde, der die Plattform onboardet, bewertet die Berechtigungen des Agenten, nicht dessen Präsentation. Bevor dieses Gespräch beginnt, sollten Sie bereit sein, eine Tool-Berechtigungsmatrix (was der Agent aufrufen kann und unter welcher Bedingung), eine Datenfluss- und Aufbewahrungsübersicht, die Schwelle für die menschliche Freigabe je Aktionsklasse sowie die Art und Weise, wie Fehler erkannt und rückgängig gemacht werden, vorzulegen. Die Bankkonto-Bereitschaft einer solchen Plattform hängt davon ab, ob diese vier Dokumente untereinander und mit dem Kundenvertrag übereinstimmen, nicht von der Größe der Pitch-Präsentation. Eine Abweichung zwischen dem, was das Vertriebsmaterial dem Agenten zuschreibt, und dem, was die Berechtigungsmatrix tatsächlich erlaubt, ist der schnellste Weg, sowohl eine Bankprüfung als auch die Beschaffung eines regulierten Kunden zum Stillstand zu bringen.

Die Gesellschaft, die den Kundenvertrag unterzeichnet, sollte diejenige sein, die die Compliance-Funktion innehat, und nicht eine dünn besetzte Hülle, während die eigentliche Arbeit anderswo in der Gruppe stattfindet. Ist die zugrunde liegende Tätigkeit reguliert, erwartet die Aufsichtsbehörde vor der Zulassung des Geschäfts eine benannte, fachlich und persönlich geeignete (fit and proper) für Compliance verantwortliche Person: Die konkrete Rolle und der Prüfmaßstab variieren je nach Aufsichtsbehörde und werden anhand des laufenden Antrags bestätigt, nicht hier als feste Liste veröffentlicht. Gruppen, die sowohl DIFC- oder ADGM-regulierte Mandanten als auch onshore Mandanten bedienen, benötigen in der Regel jeweils getrennte Gesellschaften, weil die Vorschriften der DFSA, der FSRA und des onshore UAE-Gesellschaftsrechts nicht austauschbar sind. Genau an diesem Punkt lohnt es sich meist, eine regulierte oder komplexe Eigentümerstruktur sauber aufzusetzen, statt sie nachträglich anzuflicken, wenn der erste regulierte Kunde danach fragt.

Die Kosten setzen sich aus mehreren Schichten zusammen und nicht aus einer einzelnen Gesamtzahl (die Gesellschaft, jede sektorspezifische Zulassung und die oben genannten Compliance-Rollen haben jeweils eigene Kosten), und die Velarozone Servicegebühr für die Zusammenstellung wird in der Mandatsvereinbarung einzeln aufgeführt; siehe so arbeitet Velarozone.

Sobald die Aufsichtsbehörde und das Betriebsmodell feststehen, folgt die Gründung nach, statt voranzugehen: eine DIFC- oder ADGM-Gesellschaft, wenn die Tätigkeit innerhalb des Perimeters dieses Finanzzentrums liegt, eine mainland- oder free-zone-Gesellschaft, wenn nicht. Die Pflichten zur Körperschaftsteuer-Registrierung und -Erklärung bei der Federal Tax Authority (FTA) gelten für die operative Gesellschaft unabhängig davon, welcher Weg gewählt wird, und Lizenzverlängerungen, Visakontingente und jede sektorspezifische Zulassung werden in der Regel nach getrennten jährlichen Zyklen erneuert, die zusammen nachgehalten werden müssen und nicht erst nachträglich, wenn das Geschäft bereits läuft. Zu den Abläufen der Gründung selbst siehe Unternehmensgründung in den UAE Schritt für Schritt.