Blog
ChatGPT, Claude, Gemini y GLM: crear una empresa de aplicaciones de IA en EAU
La respuesta corta
Una sociedad de los Emiratos Árabes Unidos (UAE) que construye su producto sobre ChatGPT, Claude, Gemini o GLM alquila su capacidad central, pero conserva las obligaciones en materia de datos respecto de lo que los clientes envían a través de ella. El Decreto-Ley Federal n.º 45 de 2021, supervisado por la UAE Data Office, se aplica a los responsables y encargados del tratamiento establecidos en los Emiratos Árabes Unidos y a los extranjeros que traten datos de personas en el país. No se aplica a las sociedades de free zone que cuentan con su propia ley de datos personales, como las del DIFC. La cuestión que con más frecuencia determina el camino a seguir es si el producto se limita a asistir al usuario o si asume una decisión en un sector regulado como la banca, la sanidad o el derecho.
Un asistente de redacción para equipos de marketing y una herramienta que evalúa solicitudes de préstamo pueden compartir la misma base de código y, aun así, requerir perímetros completamente distintos, porque la segunda adopta decisiones que las personas pueden impugnar.
La sociedad debe constituirse en torno a lo que va a contratar, poseer y controlar. Quién firma con los clientes, quién es titular de la cuenta del proveedor, dónde se alojan los prompts y los resultados, y quién responde cuando un modelo se equivoca son los hechos sobre los que preguntarán un banco, un inversor y una autoridad que concede licencias. Cómo funciona Velarozone se articula en torno a fijar esos hechos antes de presentar cualquier trámite.
Lo que deciden las condiciones del proveedor antes que la propia empresa
Lea las condiciones del proveedor como si formaran parte de la especificación de su propio producto, porque para sus clientes lo son.
Las condiciones de la API de Gemini de Google establecen una distinción tajante entre el uso de pago y el uso gratuito. En los servicios gratuitos, Google puede utilizar el contenido enviado y las respuestas para mejorar sus productos, y revisores humanos pueden leer y anotar las entradas y salidas una vez desvinculadas de la cuenta, de la clave de API y del proyecto de Cloud. Las condiciones desaconsejan enviar a esos servicios información sensible, confidencial o personal. En los servicios de pago, Google declara que no utiliza los prompts ni las respuestas para mejorar sus productos y que los registra durante un tiempo limitado para detectar usos indebidos y cumplir requisitos legales de divulgación. Una startup que hace prototipos con un plan gratuito y documentos reales de clientes ya ha tomado una decisión sobre los datos, la haya dejado por escrito o no.
Esas mismas condiciones exigen que los usuarios de la API tengan 18 años o más y prohíben los clientes de API dirigidos a menores de 18 años o a los que probablemente accedan estos. Además, prohíben utilizar el servicio para desarrollar modelos competidores, así como aplicar ingeniería inversa o extraer componentes del modelo. Esto es relevante si su hoja de ruta incluye destilar los resultados en un modelo propio, algo que algunos fundadores consideran el sentido mismo del negocio.
GLM procede de la plataforma BigModel de Zhipu AI y ChatGPT de OpenAI. Cada uno tiene sus propias condiciones comerciales, y cada una debe leerse atendiendo a los mismos cuatro aspectos: uso de los datos, edad mínima, límites al uso competidor y qué ocurre con su servicio si cambia una política. Un diseño multiproveedor mitiga ese riesgo. También multiplica las condiciones con las que deben mantenerse coherentes los contratos con sus clientes.
La retirada de modelos es un problema contractual
La documentación de modelos de Anthropic muestra lo breve que puede ser la vida de una dependencia de un modelo. Enumera Claude Sonnet 5.5 y Haiku 5.5 con una retirada «no antes del» 28 de septiembre de 2027 y el 7 de octubre de 2027, mientras que modelos anteriores como Sonnet 5 y Sonnet 4.6 figuran ya en una lista de modelos heredados. Indica también que Amazon Bedrock y Google Cloud fijan sus propias fechas de ciclo de vida para los modelos que alojan, y enumera los mismos modelos en la API de Claude, Amazon Bedrock, Google Cloud, Microsoft Foundry y Claude Platform on AWS.
De ahí se derivan dos consecuencias para una sociedad de los UAE. Un contrato con un cliente que promete un modelo concreto durante un plazo fijo es una promesa que el proveedor puede dejar sin efecto, por lo que las descripciones del servicio deben indicar resultados y reservar el derecho a sustituir el modelo. Y la vía de nube que elija cambia quién fija la fecha de retirada y dónde se realiza el tratamiento, lo cual incide directamente en la cuestión de los datos que se aborda a continuación.
Qué ley de protección de datos personales se aplica a la aplicación
La página del Gobierno de los EAU sobre protección de datos identifica el Federal Decree Law No. 45 of 2021 sobre la Protección de Datos Personales, en vigor desde el 2 de enero de 2022. Prohíbe tratar datos personales sin el consentimiento del titular salvo en los supuestos enumerados, exige a las empresas que conservan datos personales que los protejan, reconoce a los titulares derechos de rectificación y de limitación o cese del tratamiento, y establece requisitos para la transferencia y el intercambio transfronterizos. La página describe a la UAE Data Office, creada en virtud del Federal Decree Law No. 44 of 2021, como el regulador federal responsable de la política, las normas, los sistemas de reclamaciones y las orientaciones de aplicación. También menciona la DIFC Data Protection Law (DIFC Law No. 5 of 2020) junto con la ley federal.
Para una aplicación de IA, el trabajo práctico consiste en un mapa. Qué campos de clientes llegan al proveedor del modelo, en qué región se tratan, qué subencargados acceden a ellos y qué consentimiento cubre cada paso. Una empresa con clientes dentro del DIFC puede quedar sujeta a la ley de la free zone además de a la federal, de modo que la elección de la licencia no es neutra en este punto. La página federal no explica cómo interactúan ambas, por lo que ese punto requiere el examen de un especialista sobre los hechos concretos.
Cuando el producto entra en un sector regulado
Una herramienta que redacta textos para que una persona los apruebe se encuentra en una posición distinta de la que emite recomendaciones o ejecuta transacciones. El criterio es la función. La ley federal de datos personales se retira cuando una legislación específica protege los datos personales de salud o los datos personales bancarios y crediticios (artículo 2(2)(e) y (f)), y no se aplica a las entidades gubernamentales (artículo 2(2)(b)), de modo que esos clientes aportan sus propias normas. Si la aplicación informa decisiones de crédito, trata información de pacientes, emite conclusiones jurídicas o la utiliza una entidad gubernamental, las normas sectoriales del cliente se proyectan sobre su contrato a través de derechos de auditoría, exigencias de localización de datos y cláusulas de responsabilidad, incluso cuando usted no tenga ninguna licencia.
Documente por escrito la fase de revisión humana y quién la realiza. El artículo 18 de la ley federal permite a una persona oponerse a una decisión automatizada que tenga un efecto jurídico o adverso sobre ella, salvo que se base en un contrato, en una obligación legal o en su consentimiento previo, y exige que el responsable del tratamiento incluya a una persona en la revisión de tales decisiones cuando se le solicite. Los bancos y los compradores corporativos piden esa misma fase en la due diligence, y es la prueba más clara de que el producto asiste y no decide.
Elegir la vía para la entidad
Tanto una sociedad mainland con licencia directa como una sociedad free-zone pueden desarrollar actividades de software y tecnología, y una entidad de un centro financiero puede convenir a un fundador cuyos clientes se encuentren dentro de ese centro. La elección suele depender de dónde estén los clientes, de si el personal necesita visados de residencia patrocinados por la entidad y de si algún cliente exige los tribunales y las normas de datos de una jurisdicción concreta.
La cuestión estructural más útil es dónde reside la propiedad intelectual. Si los prompts, los conjuntos de evaluación y las configuraciones ajustadas mediante fine-tuning los crearon contratistas o una matriz extranjera, las cesiones deben estar formalizadas antes de presentar la sociedad de los UAE ante un banco o un inversor como su titular.
En resumen
Qué tomar de esto
- La normativa de datos personales sigue al cliente, no al servidor: el Decreto-Ley 45 de 2021 alcanza a los datos de personas en los Emiratos Árabes Unidos (UAE) aunque el responsable del tratamiento o el proveedor del modelo estén en el extranjero, salvo que se aplique en su lugar una ley de free zone como la del DIFC.
- Las condiciones de los proveedores difieren en cuanto a si los prompts de los clientes pueden utilizarse para mejorar los modelos del proveedor, y la diferencia depende a menudo de si se paga.
- Los modelos se retiran según calendarios publicados, por lo que los contratos con los clientes no deben nombrar un modelo concreto como una característica permanente.
- Vender a los sectores financiero, sanitario, jurídico o público suele implicar a un regulador sectorial al que el proveedor de software no escapa.
- Los prompts, los flujos de trabajo y las configuraciones ajustadas mediante fine-tuning requieren un rastro documental de titularidad, especialmente cuando los han creado contratistas.
- Tanto las sociedades mainland como las free-zone pueden desarrollar este negocio, por lo que la vía de la entidad importa menos que los contratos que firme.
- ¿Utilizar un proveedor de modelos extranjero significa que la sociedad no es titular de nada?
- No, pero la titularidad es más limitada de lo que suponen los fundadores. La sociedad puede ser titular de su código, sus prompts, sus flujos de trabajo, sus datos de evaluación y sus relaciones con los clientes. No es titular del modelo y asume como dadas las condiciones de uso del proveedor, incluidos los límites a la creación de modelos competidores.
- ¿Deben permanecer los prompts de los clientes en los UAE?
- No como regla general. La ley federal permite la transferencia al extranjero a jurisdicciones que la UAE Data Office haya aprobado por contar con una protección adecuada (artículo 22). En los demás casos, permite la transferencia por los motivos enumerados, como un contrato que obligue al destinatario a cumplir los estándares de la ley, el consentimiento explícito de la persona o la necesidad de ejecutar un contrato con ella (artículo 23). Los clientes del sector público y financiero pueden imponer la localización por contrato, por lo que con frecuencia es el cliente, y no la ley, quien fija la respuesta.
- ¿Es aceptable un plan gratuito para los primeros pilotos con clientes?
- Según las condiciones de Google, el uso gratuito puede alimentar la mejora de productos y la revisión humana, y las condiciones desaconsejan enviar información sensible o personal. Los pilotos con datos reales de clientes deben ejecutarse con condiciones de pago y con la posición sobre los datos acordada por escrito.
- ¿Qué debe establecer el contrato con el cliente en relación con los cambios de modelo?
- Describa el servicio por su resultado, reserve el derecho a modificar o sustituir los modelos subyacentes y establezca quién asume la inactividad cuando un proveedor retira o restringe un modelo. Los calendarios de retirada se publican, de modo que un contrato que los ignore no tiene excusa.
Fuentes
De dónde proviene esto
Información general extraída del CBUAE Rulebook, incluida la Retail Payment Services and Card Schemes Regulation (C 15/2021), y de la Resolución del Consejo de Ministros n.º (134) de 2025 tal como se ha publicado; no constituye asesoramiento jurídico ni fiscal. Las normas y las directrices cambian, por lo que confirme el texto vigente y los requisitos propios de cada entidad antes de presentar su solicitud.