Estableciendo una plataforma de agentes de IA para industrias reguladas en los EAU

La prueba es la actividad que el agente está autorizado a realizar, no el sector al que se vende. Un agente que redacta un informe de crédito para que lo firme un oficial de préstamos es distinto de uno que aprueba el préstamo; un agente que señala una operación sospechosa es distinto de uno que la ejecuta. Cuando el agente pasa del apoyo a la ejecución de una actividad con licencia, el regulador de esa actividad decide la vía: el CBUAE para banca, préstamos y actividades de pago; la CMA para el negocio de valores y materias primas en el territorio continental; la DFSA para los servicios financieros prestados desde el DIFC; la FSRA para los servicios financieros prestados desde el ADGM; y la VARA para las actividades de activos virtuales realizadas en Dubái fuera del DIFC. Una plataforma que atiende a varios de estos clientes a la vez (un banco en el territorio continental, un fondo en el DIFC, una bolsa bajo la VARA) suele responder ante más de un regulador, no ante una licencia que los cubra a todos. Los fundadores que construyen para clientes de activos virtuales deben tratar la vía de constitución ante la VARA como un camino aparte del desarrollo fintech convencional, porque los dos reguladores evalúan cosas distintas. Para el asesoramiento de inversión automatizado, la guía del robo-asesor explica la prueba entre asesoramiento y discrecionalidad.

Antes de que entre en juego cualquier regulador sectorial se aplican dos deberes. El Decreto-Ley Federal n.º 45 de 2021 sobre la Protección de Datos Personales, en vigor desde el 2 de enero de 2022, prohíbe tratar datos personales sin el consentimiento del titular salvo en casos limitados, y eso se aplica a todo lo que el agente recoja, almacene o comparta, aunque la plataforma nunca necesite una licencia financiera o de activos virtuales. La Oficina de Datos de los EAU actúa como regulador federal de datos. Por separado, el Consejo de Ciberseguridad de los EAU fija la postura nacional de ciberseguridad que se espera de los sistemas que manejan datos sensibles o críticos, categoría en la que probablemente se incluya a un agente con acceso permanente a registros de clientes, historiales de salud o infraestructuras de pago. Ambos deberes se vinculan con lo que el sistema toca realmente, no con su categoría de licencia ni con una descripción del producto como «solo software». Para una estructura que origina o mantiene préstamos mediante un SPV, la guía de crédito privado y titulización explica qué regulador autoriza cada función.

Un banco que abre una cuenta, o un cliente regulado que incorpora la plataforma, está evaluando los permisos del agente, no su discurso comercial. Antes de que comience esa conversación, esté preparado para presentar una matriz de permisos de herramientas (qué puede invocar el agente y bajo qué condición), un mapa de flujo de datos y conservación, el umbral de aprobación humana para cada clase de acción y el modo en que se detectan y revierten los errores. La preparación de la cuenta bancaria para este tipo de plataforma depende de que esos cuatro documentos sean coherentes entre sí y con el contrato del cliente, no del tamaño de la presentación comercial. Una discrepancia entre lo que el material de ventas afirma que hace el agente y lo que la matriz de permisos realmente permite es la forma más rápida de bloquear tanto una revisión bancaria como el proceso de compras de un cliente regulado.

La entidad que firma el contrato con el cliente debe ser la que cuenta con la función de cumplimiento, no una sociedad pantalla con poco personal mientras el trabajo real se realiza en otra parte del grupo. Cuando la actividad subyacente está regulada, el regulador esperará una persona responsable de cumplimiento designada y que supere el test de idoneidad (fit and proper) antes de autorizar el negocio: el cargo concreto y el test varían según el regulador y se confirman con la solicitud vigente, no se publican aquí como una lista fija. Los grupos que atienden tanto a clientes regulados por el DIFC o el ADGM como a clientes onshore suelen necesitar entidades distintas para cada uno, porque la DFSA, la FSRA y las normas societarias onshore de los Emiratos Árabes Unidos no son intercambiables. Este es el momento en que suele convenir configurar adecuadamente una estructura de propiedad regulada o compleja, en lugar de añadirla a posteriori cuando el primer cliente regulado la solicite.

El coste se construye por capas y no como una única cifra principal (la entidad, cualquier autorización sectorial y las funciones de cumplimiento mencionadas llevan cada una su propio coste), y los honorarios de servicio de Velarozone por reunir todo ello se detallan de forma pormenorizada en la carta de encargo; consulte cómo funciona Velarozone.

Una vez fijados el regulador y el modelo operativo, la constitución viene después y no antes: una entidad en el DIFC o el ADGM si la actividad se sitúa dentro del perímetro de ese centro financiero, una entidad mainland o en una free zone si no es así. Las obligaciones de registro y presentación del impuesto sobre sociedades ante la Federal Tax Authority (FTA) se aplican a la entidad operativa con independencia de la vía elegida, y las renovaciones de licencia, los cupos de visados y cualquier autorización sectorial suelen renovarse en ciclos anuales distintos que conviene controlar conjuntamente, y no como una ocurrencia tardía una vez que el negocio ya está en marcha. Para la mecánica de la constitución en sí, consulte la constitución de empresas en los Emiratos Árabes Unidos paso a paso.