So richten Sie ein AI-Sicherheits-, Bewertungs- oder Modellprüfungsunternehmen in den VAE ein

Die Lizenzbehörde (ein Department of Economy and Tourism im mainland oder eine free zone-Behörde) entscheidet, ob das Unternehmen existiert und unter welcher gewerblichen Tätigkeit es sich beschreiben darf. Diese Behörde prüft oder genehmigt nicht die Qualität einer KI-Evaluierung.

Neben der Lizenz bestehen zwei gesonderte Bereiche. Das UAE-Datenschutzrecht regelt, wie das Unternehmen personenbezogene Daten, die ihm im Rahmen eines Auftrags zugehen, erheben, verarbeiten, speichern und übermitteln darf: Modelltrainingsdaten, Kundendatensätze oder Ausgaben, die personenbezogene Informationen enthalten. Wo das Testen des Unternehmens das aktive Abtasten eines Live-Systems auf Schwachstellen umfasst, fällt diese Arbeit unter die Vorschriften zu Cybersicherheit und unbefugtem Zugriff; Testen ohne schriftliche Ermächtigung des Systemeigentümers ist daher keine Grauzone, die sich durch eine selbstbewusste Lizenzbeschreibung lösen ließe.

Die UAE Telecommunications and Digital Government Regulatory Authority (TDRA) reguliert die Telekommunikations- und Digital-Government-Infrastruktur; berührt eine Evaluierung regulierte ICT- oder Telekommunikationsdienste, ist vor der Beschreibung dieser Tätigkeit in der Lizenz direkt bei der TDRA nachzufragen, ob deren Vorschriften gelten. Der UAE Cyber Security Council legt die nationale Cybersicherheitsstrategie fest und koordiniert die Politik sektorübergreifend; er ist die Stelle, an die man sich wendet, wenn es darum geht, wie die nationale Cyberrisikopolitik ein Test- oder Assurance-Geschäft betrifft, und kein Lizenzschalter für den Tagesbetrieb. Beide sind als Behörden zu verstehen, bei denen direkt nachzufragen ist, und nicht als eine abschließende Antwort, die dieser Leitfaden vorab geben könnte.

Die UAE Strategy for Artificial Intelligence 2031 legt die föderale Richtung für Einführung und Governance von KI fest; sie ist ein Grundsatzdokument und kein Lizenzierungssystem und schafft daher keine Genehmigungskategorie, bei der sich ein Evaluierungsunternehmen bewerben könnte. Die praktischen Anforderungen, die das Unternehmen tatsächlich binden, ergeben sich aus dem UAE-Datenschutzrecht: wie personenbezogene Daten verarbeitet werden, auf welcher Rechtsgrundlage, wie lange sie aufbewahrt werden und was nach Ende eines Auftrags mit ihnen geschieht. Die Antwort zur Datenverarbeitung ist aus der offiziellen Datenschutzquelle selbst und nicht aus einer allgemeinen Datenschutzerklärungsvorlage zu entwickeln, denn ein Evaluierer, der Trainingsdaten, Prompts oder Ausgaben mit personenbezogenen Informationen erhält, ist für die Dauer der Speicherung dieser Daten selbst Auftragsverarbeiter.

Umfasst die Evaluierung das aktive Testen eines Produktivsystems, holen Sie den schriftlichen Umfang und die Befugnis des Mandanten ein, bevor die Arbeit beginnt, und bewahren Sie sie auf. Dieses Dokument ist zugleich das Erste, was eine Bank, ein Versicherer oder eine Gegenpartei sehen möchte.

Banken und Unternehmenskunden werden fragen, welche Daten das Unternehmen berührt, wem die Testergebnisse gehören und ob die Aussagen des Unternehmens zu Unabhängigkeit oder Zertifizierung durch einen Vertrag belegt werden können und nicht durch eine Marketingaussage. Ein unterzeichneter Leistungsbeschrieb, der die Evaluierungsmethodik, ihren Umfang und ihre Grenzen beschreibt, ist der stärkste einzelne Nachweis in der Unterlagenmappe.

Vor dem Onboarding vorbereiten:

Die Arbeit zur Bereitschaft für ein Firmenbankkonto legt dar, wie diese Nachweismappe zusammengestellt und mit dem Finanzmodell abgeglichen wird, bevor eine Bank sie sieht. Die Kosten setzen sich aus mehreren Schichten zusammen, und die eigene Gebühr von Velarozone wird in der Mandatsvereinbarung einzeln aufgeführt und nicht als Schlagzeilenbetrag veröffentlicht; wie Velarozone arbeitet beschreibt das Vorgehen.

Entscheiden Sie vor der Gründung, ob das Unternehmen Gutachten, Bewertungen oder Attestierungen im eigenen Namen abgibt oder nur die internen Tests eines Mandanten unterstützt. Die erste Rolle bringt ein Berufshaftungsrisiko mit sich, das die zweite nicht hat, und Versicherer bepreisen beide sehr unterschiedlich. Benennen Sie, wer im Unternehmen für die Freigabe jedes Berichts verantwortlich ist, der an den Vorstand, die Aufsichtsbehörde oder den Prüfer eines Kunden geht, und halten Sie die Kompetenz und die Interessenkonfliktlage dieser Person in den Unterlagen fest, nicht nur in einem Lebenslauf.

Hält eine ausländische Muttergesellschaft die Evaluierungsmethodik, die Akkreditierung oder die Marke, und erbringt die Gesellschaft in den UAE die Leistung vor Ort, braucht die Eigentums- und Lizenzkette zwischen beiden dieselbe Sorgfalt wie jedes Franchise für technische Dienstleistungen; siehe regulierte und komplexe Eigentümerstruktur. Ein schriftlicher Businessplan mit unterstützenden Unterlagen ist der Ort, an dem Methodik, Rollen und Budget zusammengeführt werden, bevor eine Bank oder ein Investor sie sieht.

Spezialisierte Evaluierer und Sicherheitstester, die keine Staatsangehörigen der UAE oder des GCC sind, benötigen eigene Aufenthaltsvisa, die an die lizenzierte Gesellschaft gebunden sind; bestätigen Sie Visakontingent und -kategorie bei der Lizenzbehörde, bevor die Einstellungspläne konkret werden. Sichere Testumgebungen und Mandantendaten, die in den UAE gehalten werden, werfen Fragen zur Datenresidenz und Löschung auf, die einmal schriftlich beantwortet und einheitlich angewandt werden sollten, statt für jeden Mandanten neu entschieden zu werden. Lizenzverlängerungen und etwaige branchenspezifische Bestätigungen folgen eigenen Zyklen; verfolgen Sie sie getrennt von Beginn und Ende des jeweiligen Mandanten-Auftrags.