Blog
Doubao Work: Cómo las empresas chinas de IA empresarial pueden establecer operaciones en los EAU
La respuesta corta
Doubao Work es un producto chino construido en torno a un agente que recibe una tarea de un usuario y la ejecuta, en lugar de un chatbot que se limita a responder. Una empresa que vende ese tipo de producto a clientes de los Emiratos Árabes Unidos se rige en primer lugar por la ley federal de protección de datos personales, el Decreto-Ley Federal n.º 45 de 2021, cuya supervisión corresponde a la UAE Data Office como regulador federal de datos. El hecho que con más frecuencia decide la vía es si el agente leerá, almacenará o actuará sobre los datos personales de personas en los Emiratos Árabes Unidos, y dónde se produce físicamente ese tratamiento.
La legislación sobre datos no impide que se constituya una sociedad. Lo que determina es qué debe poder demostrar la sociedad a su primer cliente corporativo: quién controla los archivos y los registros, dónde se encuentran y quién responde cuando el agente comete un error.
Para un proveedor extranjero de IA, esa demostración condiciona la elección de la entidad más que el coste de la licencia. Una sociedad que solo revende desde el extranjero un servicio alojado tiene una huella distinta a la de una que instala el agente dentro de la red de un cliente y mantiene ingenieros in situ.
Qué cambia un agente de IA con la PDPL de los EAU
Un asistente de chat ve lo que escribe un usuario. Un agente ve mucho más. Para fijar una reunión, conciliar una factura o redactar un informe, necesita acceso a buzones de correo, unidades compartidas, herramientas de contabilidad y, en ocasiones, credenciales. Cada uno de esos lugares alberga datos personales.
La PDPL federal considera incluido en su ámbito de aplicación el tratamiento de datos personales, total o parcialmente, mediante sistemas electrónicos. La ley entró en vigor el 2 de enero de 2022. En general, vincula el tratamiento al consentimiento del titular de los datos, con excepciones tasadas, y reconoce a las personas el derecho a solicitar correcciones y a restringir o detener el tratamiento. También establece normas para la transferencia transfronteriza de datos personales con fines de tratamiento, que es la disposición que debe leer con detenimiento un proveedor que ejecute modelos fuera de los UAE.
La consecuencia práctica es que un cliente corporativo de los UAE pedirá al proveedor que indique por escrito qué puede leer el agente, qué conserva, si los prompts y los resultados se utilizan para mejorar el modelo y qué subencargados del tratamiento acceden a los datos. Un fundador que no pueda responder a esas preguntas perderá la operación antes de que llegue a plantearse la cuestión de la licencia.
El Data Office se creó en virtud del Federal Decree-Law No. 44 of 2021 y depende del Gabinete de los UAE. Entre sus funciones figuran la elaboración de la política de protección de datos y la emisión de directrices, por lo que la posición sobre los detalles de aplicación puede cambiar. Consulte las directrices vigentes antes de firmar un contrato de alojamiento.
Alojado, en nube privada o en instalaciones propias: la elección que determina la entidad
La entrega alojada es la más ligera. El proveedor ejecuta el agente desde su propia infraestructura y el cliente inicia sesión. La sociedad de los UAE puede ser poco más que una entidad de ventas y soporte, pero la cuestión de la transferencia de datos se plantea con la máxima crudeza, porque los datos del cliente salen del país por diseño.
La entrega en nube privada sitúa una instancia dedicada en una región de nube que el cliente aprueba. El proveedor sigue operándola, por lo que sigue tratando los datos del cliente, y el contrato debe reflejarlo.
La entrega en las instalaciones del cliente (on-premises) coloca el software dentro de las dependencias del cliente. Las preocupaciones sobre la transferencia transfronteriza desaparecen respecto de los datos almacenados, pero las sesiones de soporte remoto pueden reintroducirlas de inmediato. Un ingeniero de soporte de otro país que se conecta al servidor de un cliente está accediendo a datos de los UAE desde el extranjero.
Muchos proveedores chinos de software corporativo ofrecen las tres modalidades. Deberían recoger cada una en un anexo independiente del contrato marco, con sus propias condiciones de tratamiento de datos, en lugar de un único documento que pretenda abarcar todos los supuestos.
Clientes de sanidad, finanzas y administración pública
Los sectores que más gastan en automatización de flujos de trabajo son también los que tienen normas propias. Un cliente del ámbito sanitario aporta la Federal Law No. 2 of 2019 sobre el uso de las tecnologías de la información y la comunicación en los ámbitos de la salud, que el Gobierno de los UAE describe como aplicable también en las free zones. Los bancos y las aseguradoras responden ante sus propios supervisores y trasladarán al proveedor sus condiciones de externalización. Las entidades públicas compran mediante sus propios procedimientos.
Nada de esto significa que el proveedor necesite una licencia propia. Significa que el equipo de cumplimiento del cliente incluirá condiciones en el contrato, y que el proveedor necesita una entidad local que pueda firmarlas, contratar el seguro y recibir la notificación de una reclamación. Una sucursal meramente nominal que remite todas las cuestiones a una matriz en el extranjero suele quedarse bloqueada en el proceso de compras.
Un proveedor que venda únicamente a empresas privadas no reguladas, como comercios minoristas o empresas de logística, tiene un camino más ligero. Indíquelo en el material de ventas y deje los clientes sectoriales para una segunda fase.
Responsabilidad por lo que hace el agente
Un agente que envía un correo electrónico, mueve un archivo o presenta un formulario actúa en nombre del cliente. Si actúa de forma incorrecta, el cliente acudirá al contrato. La ley de delitos informáticos de los UAE, el Federal Decree-Law No. 34 of 2021, abarca los delitos cometidos mediante tecnologías de la información y redes, y un proveedor cuyo agente dispone de credenciales permanentes debería diseñar su sistema como si un investigador pudiera leer algún día sus registros.
Tres decisiones de diseño tienen peso jurídico y conviene resolverlas antes de la constitución:
- Qué acciones puede realizar el agente sin aprobación humana y cuáles requieren aprobación previa.
- Durante cuánto tiempo se conservan las credenciales y si el cliente puede revocarlas de inmediato.
- Quién es titular de los registros y si el proveedor puede utilizarlos para entrenar o ajustar modelos.
Un umbral de aprobación claro es más fácil de aceptar para el equipo de riesgos de un cliente que una afirmación de plena autonomía.
Elegir una vía en EAU para un proveedor de IA
Una sociedad mainland permite contratar directamente con empresas y compradores públicos de los UAE, razón por la que los vendedores de software corporativo suelen empezar por ahí. Las constituciones en free zone convienen a equipos cuya actividad principal es el desarrollo o el soporte remoto, aunque cada zona fija sus propias condiciones y la autoridad debe confirmar qué puede hacer una sociedad desde sus instalaciones. Una entidad del DIFC hace entrar en juego la DIFC Data Protection Law, lo que importa si la base de clientes se encuentra allí.
La comparación depende de dónde están los clientes, dónde se encuentran los ingenieros y si la sociedad dispondrá de equipos físicos. Un fundador que esté valorando qué jurisdicción se adapta al modelo de negocio debería llevar respuestas a esos tres puntos. La situación de residencia del propio equipo también importa, ya que los visados del equipo fundador dependen de la licencia elegida. Consulte cómo funciona Velarozone si desea ver cómo es el proceso de asesoramiento antes de comprometerse.
Los bancos plantearán las mismas preguntas que los clientes: quién es el titular de la sociedad, quién la financia, de dónde procederá el dinero y por qué se necesita una entidad en los UAE. Un proveedor con un cliente piloto firmado y un diagrama claro del flujo de datos responde a estas preguntas más rápido que uno que solo tiene un certificado de constitución y un sitio web.
En resumen
Qué tomar de esto
- Doubao Work se describe en su propia página como una forma de trabajar en la que el usuario indica a Doubao lo que debe hacer y el agente se ocupa de la tarea, de modo que el producto actúa sobre los sistemas de un cliente.
- La PDPL federal se aplica al tratamiento electrónico de datos personales dentro o fuera de los UAE, de modo que un proveedor que aloje los datos en el extranjero no queda fuera de su alcance.
- El UAE Data Office es el regulador federal de datos. El DIFC tiene su propia Data Protection Law (DIFC Law No. 5 of 2020).
- Los clientes del sector sanitario incorporan una ley federal distinta sobre las TIC en los ámbitos de la salud, la Ley Federal n.º 2 de 2019.
- La prestación alojada, en nube privada y en las instalaciones del cliente requiere cada una un contrato diferente y una combinación distinta de personal local.
- ¿Se aplica la PDPL si nuestros modelos se ejecutan en China y nunca tocan servidores de los UAE?
- El ámbito de la ley se extiende al tratamiento dentro o fuera de los UAE, tal como lo expresa la página de protección de datos del Gobierno de los UAE. Si usted trata datos personales de personas en los UAE, cuente con que la ley se aplicará. Las normas de transferencia son la parte que conviene estudiar, y las condiciones deben leerse en la propia ley y en la orientación vigente de la Data Office, en lugar de darlas por supuestas.
- ¿Necesitamos una licencia para vender un agente de IA en los UAE?
- Vender software no es en sí mismo una actividad financiera o sanitaria sujeta a licencia. Lo que el agente hace para el cliente sí puede serlo. Un agente que realiza pagos, gestiona historiales de pacientes o presta asesoramiento profesional puede situar al cliente, y en ocasiones al proveedor, bajo un supervisor sectorial. Deje por escrito lo que el producto hará y lo que no hará, y después compruebe cada función frente a la autoridad correspondiente.
- ¿Puede la misma sociedad prestar servicio a clientes dentro del DIFC?
- El DIFC tiene su propia Ley de Protección de Datos (Ley del DIFC n.º 5 de 2020), distinta de la PDPL federal. Un proveedor que atienda tanto a clientes onshore como del DIFC puede necesitar cláusulas contractuales que reflejen dos regímenes. Recabe asesoramiento jurídico sobre cómo se aplican a sus flujos de datos concretos.
- ¿Qué debemos presentar a un banco de los UAE?
- La titularidad y la financiación, un cliente identificado o una cartera de ventas en curso, y una breve explicación de por qué existe la sociedad de los UAE. Incluya el resumen del flujo de datos del producto, ya que los equipos de cumplimiento de los bancos entienden mejor un mapa de datos que una presentación comercial. Esto mejora el expediente; no garantiza una cuenta.
Fuentes
De dónde proviene esto
Información general extraída del CBUAE Rulebook, incluida la Retail Payment Services and Card Schemes Regulation (C 15/2021), y de la Resolución del Consejo de Ministros n.º (134) de 2025 tal como se ha publicado; no constituye asesoramiento jurídico ni fiscal. Las normas y las directrices cambian, por lo que confirme el texto vigente y los requisitos propios de cada entidad antes de presentar su solicitud.