Cómo establecer una empresa de seguridad, evaluación o auditoría de modelos de IA en los EAU

La autoridad de licencias (un Department of Economy and Tourism de mainland o una autoridad de free zone) decide si la sociedad existe y bajo qué actividad comercial puede describirse. Esa autoridad no somete a prueba ni aprueba la calidad de una evaluación de IA.

Junto a la licencia existen dos perímetros distintos. La legislación de protección de datos de los UAE regula cómo puede la sociedad recoger, tratar, almacenar y transferir los datos personales que lleguen a ella durante un encargo: datos de entrenamiento de modelos, registros de clientes o resultados que contengan información personal. Cuando las pruebas de la sociedad implican sondear activamente un sistema en producción en busca de vulnerabilidades, ese trabajo queda comprendido en las normas de ciberseguridad y de acceso no autorizado, de modo que realizar pruebas sin la autorización escrita del propietario del sistema no es una zona gris que pueda resolverse con una descripción de licencia segura de sí misma.

La UAE Telecommunications and Digital Government Regulatory Authority (TDRA) regula las infraestructuras de telecomunicaciones y de gobierno digital; cuando una evaluación afecte a servicios regulados de TIC o de telecomunicaciones, consulte directamente a la TDRA si le son aplicables sus normas antes de describir ese trabajo en la licencia. El UAE Cyber Security Council fija la estrategia nacional de ciberseguridad y coordina la política entre sectores; es el organismo al que dirigirse para saber cómo afecta la política nacional de riesgo cibernético a un negocio de pruebas o de aseguramiento, y no una ventanilla de licencias de uso diario. Trate a ambos como autoridades con las que confirmar directamente, no como una respuesta cerrada que esta guía pueda dar por adelantado.

La UAE Strategy for Artificial Intelligence 2031 fija la orientación federal para la adopción y la gobernanza de la IA; es un documento de política, no un régimen de licencias, por lo que no crea por sí misma una categoría de aprobación a la que una sociedad de evaluación pueda acogerse. Los requisitos prácticos que sí vinculan al negocio se encuentran en la legislación de protección de datos de los UAE: cómo se tratan los datos personales, con qué base jurídica, durante cuánto tiempo se conservan y qué ocurre con ellos una vez finalizado un encargo. Construya la respuesta sobre el tratamiento de datos a partir de la propia fuente oficial de protección de datos y no de una plantilla genérica de política de privacidad, porque un evaluador que recibe datos de entrenamiento, instrucciones o resultados que contengan información personal es un encargado del tratamiento por derecho propio mientras conserve esos datos.

Cuando la evaluación implique probar activamente un sistema en producción, obtenga y conserve en el expediente el alcance y la autorización por escrito del cliente antes de empezar el trabajo. Ese documento es también lo primero que pedirá ver un banco, una aseguradora o una contraparte.

Los bancos y los clientes corporativos preguntarán qué datos toca la empresa, quién es titular de los resultados de las pruebas y si las afirmaciones de la empresa sobre independencia o certificación pueden acreditarse mediante un contrato y no con una frase de marketing. Una orden de trabajo firmada que describa la metodología de evaluación, su alcance y sus limitaciones es la prueba individual más sólida del dosier.

Prepare antes del alta:

El trabajo sobre la preparación de la cuenta bancaria corporativa expone cómo se elabora ese dosier de pruebas y se concilia con el modelo financiero antes de que lo vea un banco. El coste se construye por capas, y los honorarios propios de Velarozone se detallan en la carta de encargo en lugar de publicarse como una cifra destacada; cómo trabaja Velarozone expone el planteamiento.

Decida, antes de la constitución, si la empresa emite dictámenes, puntuaciones o atestaciones en su propio nombre, o si solo apoya las pruebas internas de un cliente. La primera función conlleva una exposición a responsabilidad profesional que la segunda no tiene, y las aseguradoras tarifican ambas de forma muy distinta. Designe quién dentro de la empresa responde de la aprobación de cualquier informe que llegue al consejo, al regulador o al auditor de un cliente, y conserve en el expediente la competencia y la situación de conflicto de intereses de esa persona, y no solo en un currículum.

Cuando una matriz extranjera es titular de la metodología de evaluación, de la acreditación o de la marca, y la entidad de los Emiratos Árabes Unidos presta el servicio a nivel local, la cadena de titularidad y de licencias entre ambas exige el mismo cuidado que cualquier franquicia de servicios técnicos; véase configuración de titularidad regulada y compleja. Un plan de negocio y documentación de apoyo por escrito es donde se atan la metodología, las funciones y el presupuesto antes de que los vea un banco o un inversor.

Los evaluadores especializados y los probadores de seguridad que no sean nacionales de los Emiratos Árabes Unidos ni del CCG necesitan sus propios visados de residencia, vinculados a la entidad licenciada; confirme el cupo y la categoría de visados con la autoridad de licencias antes de cerrar los planes de contratación. Los entornos de prueba seguros y los datos de clientes alojados en suelo de los Emiratos Árabes Unidos plantean cuestiones de residencia y eliminación de datos que deben resolverse una sola vez, por escrito, y aplicarse de forma coherente en lugar de decidirse de nuevo con cada cliente. Las renovaciones de licencias y cualquier confirmación sectorial siguen sus propios ciclos; haga su seguimiento por separado de las fechas de inicio y fin de cada encargo de un cliente.