Estudios de Desarrollo de IA en Python: Cuando los Servicios se Convierten en un Negocio de Software o Datos en los Emiratos Árabes Unidos

Pensemos en dos estudios con los mismos cinco ingenieros. El primero desarrolla un motor de recomendaciones para un minorista, entrega el repositorio y da su conformidad en la aceptación. El segundo aloja ese mismo motor, ingiere cada noche los registros de clientes del minorista y factura mensualmente.

El primero vende trabajo y un entregable. El segundo custodia datos personales ajenos y es responsable de mantenerlos seguros. Conforme al artículo 8 del Decreto-Ley Federal n.º 45 de 2021, el encargado debe trabajar dentro del alcance, la finalidad y los tipos de datos que fije el contrato del cliente, llevar un registro de lo que trata y suprimir los datos cuando termine el tratamiento o cuando se devuelvan. El artículo 9 añade que debe informar al cliente en cuanto tenga conocimiento de una violación de seguridad. La ley abarca el tratamiento realizado total o parcialmente mediante sistemas electrónicos, dentro o fuera de los UAE, de modo que un estudio con servidores en el extranjero no queda fuera de ella por ese solo hecho.

Por eso la elección del modelo de negocio precede a la elección de la zona. Una descripción de la licencia redactada como «desarrollo de software» o «consultoría informática» encaja con el primer estudio. El segundo necesita que la descripción, los contratos y el anexo de datos se correspondan con lo que realmente hace.

El Gobierno de los Emiratos Árabes Unidos describe la UAE Data Office como un organismo adscrito al Consejo de Ministros que actúa como regulador federal de datos. Entre sus responsabilidades se incluyen la elaboración de políticas y legislación, la aprobación de normas para la supervisión de la Ley de Protección de Datos Personales, la tramitación de reclamaciones y la emisión de directrices de aplicación.

La ley prohíbe tratar datos personales sin el consentimiento del titular, con excepciones enumeradas como el interés público y las reclamaciones legales. El artículo 5 añade que los datos deben recogerse con una finalidad específica y clara y no tratarse después de forma incompatible. Para un estudio de IA, esto determina lo que puede hacer con los datos de entrenamiento. Si un cliente entrega registros de sus clientes para ajustar un modelo, pregunte qué aceptaron esos clientes y si el contrato permite reutilizarlos para otros clientes. El artículo 6 permite al titular retirar su consentimiento, de modo que el contrato debe indicar también qué hace el estudio con los datos cuando eso ocurre.

La ley federal no se aplica a las sociedades de las free zones que tienen su propia legislación sobre datos personales (artículo 2). La página del Gobierno de los UAE sobre protección de datos menciona uno de esos regímenes, la DIFC Data Protection Law, DIFC Law No. 5 of 2020. Un estudio establecido en el DIFC debe redactar sus condiciones de privacidad conforme a esa ley. Un estudio establecido en cualquier otra free zone debe comprobar si la zona tiene su propia legislación de datos antes de dar por descartada la ley federal.

Los fundadores tienden a tratar la propiedad intelectual como un asunto de inversores. Para un estudio es un asunto operativo.

Si contratistas escriben código, formalice la cesión por escrito. Conforme al Decreto-Ley Federal n.º 38 de 2021, la cesión o la licencia de derechos patrimoniales solo surte efecto por escrito, y debe indicar el derecho, la finalidad, la duración y el lugar (artículo 9). Los derechos morales no pueden cederse (artículo 5). La misma ley atribuye a la persona por cuenta de la cual se realiza una obra la titularidad de esta, salvo que las partes acuerden otra cosa por escrito (artículo 28), de modo que el silencio en un contrato de cliente favorece al cliente. Si un proyecto genera un componente reutilizable, indique en el contrato si el estudio se lo queda. Un cliente que pagó por un trabajo a medida y luego lo encuentra dentro del producto de un competidor no seguirá siendo cliente.

Las herramientas propias del estudio deben mantenerse separadas de los entregables para clientes desde el principio. Lleve un registro de lo que se desarrolló para quién y de lo que ya existía. Los inversores y los adquirentes lo examinan durante la diligencia debida, y nada en la estructura societaria lo corrige después.

Una empresa mainland puede contratar directamente con empresas de los Emiratos Árabes Unidos y con clientes vinculados al Gobierno, lo que conviene para proyectos destinados a clientes locales. Una empresa free zone puede convenir a un estudio cuyos clientes están en su mayoría fuera de los Emiratos Árabes Unidos o en la misma zona. Una entidad de un centro financiero tiene sentido sobre todo si sus clientes son empresas reguladas que prefieren esa jurisdicción.

La combinación de clientes del estudio decide esto más que el precio. Un estudio cuyos ingresos proceden a partes iguales de proyectos locales y de suscripciones en el extranjero quizá quiera comprobar si una sola empresa puede atender ambos antes de dividirse en dos.

Si contrata ingenieros en los UAE, la vía del visado de residencia forma parte de la misma decisión. Si la entrega la realiza un centro de ingeniería en el extranjero, la sociedad de los UAE que firma el contrato conserva las obligaciones de encargado de los artículos 8 y 9, por lo que necesita las personas y los sistemas para seguir las instrucciones del cliente, llevar el registro del tratamiento y notificar las violaciones de seguridad. Velarozone parte de quién firma el contrato con el cliente y quién ejecuta el trabajo, tal como se describe en cómo funciona Velarozone.

Las guías relacionadas abarcan el otro extremo del sector: crear una empresa de modelos fundacionales o de IA generativa, operar una plataforma de agentes de IA para sectores regulados o prestar un servicio gestionado en la nube. Un estudio que se adentra en cualquiera de ellos asume obligaciones que van más allá de la entrega de proyectos, como los compromisos de disponibilidad o las normas sectoriales trasladadas por los clientes.

Conviene desconfiar de prometer una responsabilidad ilimitada por lo que genere un modelo de terceros. Limite la responsabilidad en el contrato, defina las pruebas de aceptación e indique quién responde cuando los propios datos del cliente son la causa de un mal resultado.