Blog
OpenRouter y Puertas de AI Multi-Modelo: Estructuración de una Plataforma de Enrutamiento de IA en los EAU
La respuesta corta
Una pasarela de IA multimodelo como OpenRouter, una única API delante de muchos modelos con enrutamiento y mecanismos de respaldo, puede operarse desde una sociedad de los Emiratos Árabes Unidos (UAE) como software. Vender el uso mediante crédito prepago es distinto: el Reglamento de Instalaciones de Valor Almacenado del Banco Central de los Emiratos Árabes Unidos (CBUAE) exige una licencia previa para emitir una instalación de valor almacenado, salvo que sea aplicable una exención. Además, los prompts pueden contener datos personales, por lo que el Decreto-Ley Federal n.º 45 de 2021 se aplica a la pasarela en cualquier caso.
El Decreto-Ley Federal n.º 45 de 2021, la Ley de Protección de Datos Personales, se aplica a los datos personales tratados total o parcialmente por sistemas electrónicos, dentro o fuera de los Emiratos Árabes Unidos (UAE). Entró en vigor el 2 de enero de 2022. El prompt de un cliente puede contener nombres, direcciones de correo electrónico o datos de cuenta, de modo que la ley alcanza a su pasarela desde el momento en que enruta ese tráfico.
El hecho que determina la estructura es quién custodia el dinero del cliente. Si los clientes recargan un saldo con usted y lo consumen al utilizar los modelos, es posible que esté emitiendo una instalación de valor almacenado. El reglamento del Banco Central de los Emiratos Árabes Unidos (CBUAE) exige que ese saldo prepagado (float) se mantenga en cuentas segregadas en bancos autorizados, separado de los fondos propios del emisor, y el CBUAE y su banco lo examinarán antes de examinar su software.
Qué hace realmente una pasarela de enrutamiento y dónde se sitúa la exposición legal
La documentación de OpenRouter describe el producto con claridad. Un único endpoint, `/api/v1/chat/completions`, da acceso a cientos de modelos. Puede utilizarse desde el SDK de OpenAI como sustituto directo. Las solicitudes se enrutan a la opción más rentable, y las alternativas de respaldo se activan automáticamente. Los clientes Business y Enterprise pueden usar un endpoint independiente de la región de la UE con modelos aptos para la UE.
Para un fundador en los UAE, tres de esas características se traducen en obligaciones. El enrutamiento implica que usted elige qué proveedor ve el prompt de un cliente, de modo que usted decide adónde van los datos personales. Las alternativas de respaldo implican que un prompt enviado a un proveedor puede reenviarse a otro cuando el primero falla, por lo que su descripción del flujo de datos debe cubrir la ruta de respaldo y no solo la primera opción. El endpoint regional muestra lo que le pedirán los grandes clientes: una forma de mantener el tráfico dentro de una geografía determinada.
Una pasarela que indica a sus clientes que «sus prompts nunca salen de la región X» debe poder demostrarlo también para la ruta de respaldo. Eso exige un mapa de datos que enumere todos los proveedores y regiones a los que puede llegar un prompt, mantenido al día con el contrato firmado con cada uno de ellos.
Créditos prepago y normas del Banco Central sobre valor almacenado
El software que cobra una cuota mensual es sencillo. Una pasarela que vende uso de modelos por adelantado no lo es, porque el cliente le paga a usted primero y usted paga a los proveedores después. En ese intervalo usted tiene su dinero.
El criterio es la definición del Banco Central. Una instalación de valor almacenado es aquella en la que un cliente paga dinero a un emisor a cambio del almacenamiento de ese valor y del compromiso del emisor de suministrar bienes o servicios, o de realizar pagos, cuando se utilice ese valor. Emitir u operar una en los Emiratos Árabes Unidos (UAE) requiere una licencia previa del CBUAE, salvo en el caso de una instalación de finalidad única en la que el propio emisor suministra los bienes o servicios. El Banco Central también puede eximir las instalaciones utilizables únicamente con el emisor o con proveedores que tengan un acuerdo con él. Una vía de exención se aplica solo mientras el saldo prepagado (float) se mantenga en AED 500.000 o menos y los clientes sean 100 o menos, y exige una prueba en el sandbox de la FinTech Office del CBUAE. Si el crédito que adquiere el uso de modelos de un tercero cuenta como servicio propio del emisor es una cuestión que corresponde resolver al CBUAE, no algo que deba darse por supuesto. Un emisor autorizado necesita un capital desembolsado de al menos AED 15.000.000. Debe mantener el saldo prepagado (float), es decir, los fondos prepagados de los clientes, en cuentas segregadas en bancos autorizados, separado de sus propios fondos. Diseñe el producto de crédito de forma que la respuesta sea deliberada, y plantéelo al CBUAE y a su banco antes del lanzamiento.
Un adquirente de tarjetas querrá saber si el saldo es reembolsable, si solo puede gastarse en su servicio y si se ha consultado a CBUAE. La guía de pasarelas de pago y adquirentes comerciales explica cómo analiza un procesador a un negocio que cobra pagos recurrentes con tarjeta por un saldo digital.
Lo que sus proveedores le permiten prometer
Una pasarela solo puede trasladar lo que permiten sus proveedores de origen. Las condiciones de los proveedores varían en cuatro puntos que importan a un revendedor:
- Si el uso puede revenderse en absoluto, y bajo qué marca.
- Si los prompts o los resultados pueden almacenarse en caché o conservarse.
- Si el proveedor conserva los datos de los clientes o entrena con ellos, y si existe una opción de exclusión.
- Si el proveedor puede modificar precios, límites de uso o disponibilidad de modelos sin previo aviso.
La documentación de OpenRouter no describe una política de conservación de datos en su página principal y remite a páginas distintas para el tratamiento de datos. Eso es habitual: la respuesta está en las condiciones del proveedor, no en la descripción del producto. Lea cada contrato de origen y deje por escrito lo que puede ofrecer con honestidad. Si un proveedor conserva los prompts y otro no, una única frase dirigida al cliente que prometa «sin conservación» es falsa.
Lo mismo se aplica a la disponibilidad (uptime). Puede ofrecer alternativas de respaldo. No puede garantizar que todos los modelos permanezcan disponibles, porque usted no controla los modelos. Formule los niveles de servicio en torno a su propia plataforma e indique la dependencia de los proveedores.
Datos personales y la UAE Data Office
El Federal Decree-Law No. 45 of 2021 entró en vigor el 2 de enero de 2022. Según el resumen del Gobierno de los EAU, abarca los datos personales tratados total o parcialmente mediante sistemas electrónicos, dentro o fuera de los EAU, exige con carácter general el consentimiento del titular de los datos para su tratamiento, otorga a las personas derechos a rectificar los datos y a restringir o detener su tratamiento, y establece requisitos para la transferencia y el intercambio transfronterizos de datos personales. La UAE Data Office, adscrita al Consejo de Ministros (Cabinet), es el regulador federal de datos.
En el caso de una pasarela, las consecuencias prácticas son las siguientes:
- Es probable que actúe como encargado del tratamiento para sus clientes, por lo que su contrato con cada cliente debe indicarlo y describir lo que usted hace con los datos.
- Enviar un prompt a un proveedor en el extranjero es una transferencia transfronteriza que debe quedar recogida en sus registros y en las condiciones aplicables a sus clientes.
- Las entidades de free zone y de centros financieros pueden estar sujetas a sus propias leyes de protección de datos (el DIFC tiene una ley de protección de datos independiente), así que compruebe qué régimen conlleva la zona que haya elegido.
Los clientes corporativos de sectores regulados pueden añadir sus propias exigencias de localización de datos. Solicítelas durante el proceso comercial, no después de firmar el contrato.
Elegir la entidad: mainland, free zone o zona tecnológica
Una pasarela exclusivamente de software, con un equipo reducido y clientes en todo el mundo, suele encajar en una sociedad de free zone con una licencia tecnológica o comercial. Una pasarela cuyos principales clientes son empresas de los Emiratos Árabes Unidos (UAE), o que quiere contratar directamente con compradores vinculados a la Administración, puede preferir una licencia de mainland. Ninguna de las dos opciones elimina la cuestión del crédito: el Reglamento de Instalaciones de Valor Almacenado define el Estado como los Emiratos Árabes Unidos excluidas las Financial Free Zones, de modo que una sociedad ordinaria de free zone o de mainland que venda crédito prepago se encuentra dentro del ámbito que cubre. La guía para elegir entre free zone y mainland expone las ventajas e inconvenientes en cuanto a ubicación de los clientes, instalaciones y visados.
Si además aloja modelos abiertos en su propia infraestructura, las cuestiones operativas se acercan a las de un negocio de nube, que se tratan en la guía sobre proveedores de servicios gestionados en la nube. Si entrena o ajusta modelos usted mismo, la guía sobre empresas de modelos fundacionales se acerca más a su situación. Antes de decidir, un fundador puede ver cómo funciona Velarozone cuando evalúa conjuntamente el diseño del crédito, los flujos de datos y la entidad.
En resumen
Qué tomar de esto
- La promesa central de una empresa de pasarela es un único punto de acceso, muchos modelos. La propia documentación de OpenRouter describe un único endpoint de chat completions, el enrutamiento hacia la opción más rentable y alternativas de respaldo automáticas.
- Vender el uso mediante crédito prepago puede convertirle en emisor de una instalación de valor almacenado, lo que requiere una licencia previa del CBUAE salvo que exista exención. Una suscripción mensual de software no almacena por adelantado valor del cliente.
- Los prompts enviados a través de su plataforma pueden contener datos personales, lo que implica la aplicación del Federal Decree-Law No. 45 of 2021 y de la UAE Data Office.
- Los proveedores de modelos fijan las condiciones de reventa, almacenamiento en caché y conservación de datos; su contrato con el cliente solo puede prometer lo que sus proveedores permitan.
- Los compradores corporativos le preguntarán dónde se tratan los datos y qué subencargados del tratamiento tienen acceso a ellos antes de preguntar por el precio.
- ¿Necesitamos una licencia para revender el acceso a modelos?
- Una actividad de licencia de software por sí sola puede no cubrir la reventa de uso mediante crédito prepago. Si los clientes pagan por adelantado un valor almacenado, el Reglamento de Instalaciones de Valor Almacenado del CBUAE exige una licencia previa, salvo que la instalación sea de finalidad única o que el Banco Central la exima. Resuelva primero el diseño del crédito y plantee después la cuestión al CBUAE y a su banco.
- ¿Se aplica el Federal Decree-Law No. 45 of 2021 si nuestros servidores están fuera de los EAU?
- El resumen del Gobierno de los EAU indica que la ley se aplica al tratamiento electrónico de datos personales, dentro o fuera de los EAU. Si usted tiene clientes en los EAU o una entidad en los EAU que gestiona sus prompts, considere que es aplicable y solicite asesoramiento sobre los detalles.
- ¿Podemos prometer a los clientes que sus datos no se utilizan para el entrenamiento?
- Solo si todos los proveedores de origen a los que usted enruta le dan ese compromiso por escrito. Si unos lo hacen y otros no, ofrezca controles de enrutamiento que permitan al cliente excluir a los demás, y describa la situación por proveedor.
- ¿Podemos garantizar la disponibilidad de los modelos?
- No. Puede describir la disponibilidad de su propia plataforma y su comportamiento de respaldo. La disponibilidad de los modelos de terceros depende de los proveedores.
Fuentes
De dónde proviene esto
Información general extraída del CBUAE Rulebook, incluida la Retail Payment Services and Card Schemes Regulation (C 15/2021), y de la Resolución del Consejo de Ministros n.º (134) de 2025 tal como se ha publicado; no constituye asesoramiento jurídico ni fiscal. Las normas y las directrices cambian, por lo que confirme el texto vigente y los requisitos propios de cada entidad antes de presentar su solicitud.
