So strukturieren Sie ein Foundation-Model- oder Generative-AI-Unternehmen in den VAE

Es gibt keine eigene KI-Aufsichtsbehörde, die ein Foundation-Model- oder Generative-KI-Unternehmen in den UAE lizenziert. Die gewerbliche Registrierung läuft über dieselbe Route wie bei jedem anderen Technologieunternehmen: Gründung einer mainland-Gesellschaft bei der zuständigen mainland-Lizenzbehörde oder eine Freizone-Struktur. Was das Bild verändert, ist die Frage, was das Modell tatsächlich berührt. Personenbezogene Daten, die beim Training, Fine-Tuning oder bei der Inferenz verwendet werden, bringen das bundesweite Datenschutzrecht der UAE ins Spiel. Infrastruktur, die als kritisch eingestuft wird, bringt die Standards des Cyber Security Council ins Spiel. Und wenn die Ausgaben des Modells in einen regulierten Bereich einfließen (Gesundheitsberatung, Finanzempfehlungen, Medieninhalte), kommt die Aufsichtsbehörde dieses Sektors zusätzlich zur gewerblichen Lizenz in die Prüfung des Aufsichtsbereichs. Die Lizenzbehörde entscheidet, dass das Unternehmen handeln darf; sie entscheidet nicht darüber, dass es die Daten verarbeiten darf, mit denen es trainieren möchte, oder dass seine Infrastruktur den Erwartungen an die Cybersicherheit genügt.

Das bundesweite Datenschutzrecht der UAE regelt, wie personenbezogene Daten erhoben, verwendet und übermittelt werden, sobald sie in eine Training- oder Fine-Tuning-Pipeline gelangen, und die Pflichten knüpfen an die Verarbeitung selbst an, nicht an das KI-Etikett des Produkts. Ein Modell, das auch nur teilweise mit personenbezogenen Daten trainiert wurde, benötigt eine dokumentierte Rechtsgrundlage für diese Verarbeitung und eine Position zu jeder Übermittlung dieser Daten aus den UAE, bevor der Datensatz genutzt wird, gleichgültig, ob das Produkt als Foundation Model, als Fine-Tune oder als API-Wrapper bezeichnet wird. Davon getrennt legt der Cyber Security Council die nationale Cybersicherheitsstrategie und die Standards fest, die gelten, sobald Rechen- oder Hosting-Infrastruktur als Teil der kritischen Systeme der UAE behandelt wird. Ein Generative-KI-Unternehmen, das eigene Trainings- oder Inferenzinfrastruktur in nennenswertem Umfang betreibt, sollte damit rechnen, an diesen Standards gemessen zu werden und nicht an einer generischen internen IT-Richtlinie, und sollte nicht davon ausgehen, dass die eigenen Zertifizierungen eines Cloud-Anbieters diese Frage stellvertretend für das Unternehmen erledigen.

Banken und Zahlungsabwickler, die ein KI-Unternehmen prüfen, blicken über die Lizenz hinaus auf die dahinterstehenden Verträge: wem die Rechenleistung in Rechnung gestellt wird, wie Umsätze aus API oder Abonnements tatsächlich eingezogen werden und ob die Gesellschaft, die Kundenverträge unterzeichnet, dieselbe ist, die das Modell und die Datenrechte hält. Eine Holdinggesellschaft, die die Gewichte besitzt und neben einer Betriebsgesellschaft steht, die Kunden Rechnungen stellt, ist üblich, sobald ein Modell vom Prototyp zum Umsatz übergeht; jede benötigt jedoch eigene Verträge, ein eigenes Bankmandat und eine eigene Verrechnungspreisposition, nicht ein gemeinsames Konto, das für beide steht. Die Kontoeröffnung geht schneller, wenn Model Card, Register der Datenrechte und Rechenverträge bereitliegen, bevor das Bankgespräch beginnt; das ist die Vorarbeit hinter der Bereitschaft für das Firmenbankkonto. Die Kosten setzen sich hier schichtweise zusammen und nicht aus einer einzelnen Zahl, da Rechenverträge und Entwicklerpersonal gewöhnlich jede behördliche Gebühr in den Schatten stellen; die eigene Gebühr von Velarozone wird in der Mandatsvereinbarung einzeln ausgewiesen; unter so arbeitet Velarozone ist dargelegt, wie diese Schichtung aufgebaut ist.

Jeder Beitragende zu einem Modell (Gründer, Mitarbeiter, Auftragnehmer und alle Open-Source-Maintainer, deren Code oder Gewichte eingeflossen sind) benötigt eine dokumentierte Abtretung von IP-Rechten oder eine Lizenz, bevor das Modell als Vermögenswert des Unternehmens und nicht als umstrittener Gegenstand behandelt werden kann. Wo das Training personenbezogene Daten verwendet hat, muss jemand im Unternehmen für die Datenschutzposition verantwortlich sein, auch in einem kleinen Team, in dem diese Person noch eine andere Rolle innehat. Gruppenstrukturen, die eine IP-haltende Gesellschaft von einer Betriebsgesellschaft trennen oder Investoren aus mehr als einer Jurisdiktion einbeziehen, fallen unter regulierte und komplexe Eigentümerstrukturen, und die Eigentümerkette muss auf dieselbe Weise dokumentiert werden wie das Modell selbst, und zwar durch Businesspläne und Dokumentation, die eine Bank oder ein Unternehmenskunde lesen und auf die er sich verlassen kann.

Sobald die Gesellschaft gegründet ist, knüpft die Lizenz an betriebliche Schritte an, die das KI-Etikett nicht verändert. Die Visakapazität ist an die establishment card gebunden und muss die Entwicklungs-, Sicherheits- und Compliance-Mitarbeiter abdecken, die das Modell tatsächlich betreiben, nicht nur eine fiktive Personalzahl. Eine registrierte Adresse ist erforderlich, unabhängig davon, ob die Rechenleistung auf dem Boden der UAE oder bei einem ausländischen Cloud-Anbieter liegt. Die Registrierung für die Körperschaftsteuer bei der Federal Tax Authority (FTA) folgt denselben bundesweiten Regeln wie bei jedem anderen Unternehmen in den UAE; es gibt keine eigene KI-Kategorie. Die Verlängerung ist zugleich der Zeitpunkt, um die Datenschutz- und IP-Position erneut zu prüfen, denn ein Modell, das seit der letzten Verlängerung neu trainiert, weiter feinabgestimmt oder für neue Kunden geöffnet wurde, kann sich aus dem bei der Gründung erfassten Aufsichtsbereich herausbewegt haben.