Cómo establecer una empresa de identidad digital, biometría o autenticación en los EAU

Verificar una foto de pasaporte, conciliar una cara en vivo, emitir una credencial reutilizable y realizar una autenticación continua son funciones diferentes, y una descripción de actividad comercial en una licencia comercial no distingue entre ellas. El ICP es la autoridad federal que emite el Emirates ID y mantiene el registro biométrico de la población; una empresa que comprueba la identidad de un usuario contra ese sistema, o contra una credencial construida sobre él, está tocando la infraestructura de identidad federal incluso si sus propios servidores nunca almacenan un modelo. La TDRA regula la infraestructura de telecomunicaciones y gobierno digital, y una empresa que se conecta con, apoya o depende de un esquema de identidad digital del gobierno se sienta más cerca de esa competencia que una que vende un producto de verificación autónomo a clientes privados.

Los datos biométricos son datos personales en el momento en que identifican a una persona, por lo que la ley de protección de datos de los Emiratos Árabes Unidos se aplica a ellos junto con cualquier otro perímetro que el modelo de negocio suscite, ya sea que la empresa se denomine a sí misma proveedor de tecnología, plataforma o servicio. La guía de privacidad, consentimiento y gobernanza de datos expone el lado del manejo de datos con más detalle; esta guía se queda con el modelo de identidad y autenticación en sí.

El Decreto-Ley Federal n.º 45 de 2021 sobre datos personales entró en vigor el 2 de enero de 2022 y prohíbe el tratamiento sin el consentimiento del titular, salvo en casos limitados como la protección de un interés público. La UAE Data Office actúa como regulador federal de datos. Las categorías de licencia y los códigos de actividad por parte de ICP y TDRA deben consultarse en su texto oficial vigente antes de presentar la solicitud.

Cuatro modelos son comunes, y cada uno coloca la responsabilidad en un lugar diferente.

En los dos primeros casos, la sociedad de los EAU suele ser la parte que realiza la comparación, por lo que la cuestión de la protección de datos es la más delicada y la cuestión de la TDRA solo surge si interviene un esquema gubernamental. En el tercero y el cuarto, la sociedad puede ser una parte usuaria (relying party) de la credencial de otro, pero los contratos deben seguir mostrando quién almacena la plantilla, quién soporta la pérdida en caso de coincidencia falsa y quién responde ante el interesado. Una plataforma que se presenta como una capa tecnológica mientras una entidad del grupo conserva el almacén biométrico sigue respondiendo a la misma pregunta, del mismo modo que una empresa de datos sintéticos o de entrenamiento de modelos tiene que decir qué parte entrena con qué datos.

Escriba la respuesta como una transacción, no como un diagrama: siga una verificación desde el momento en que un usuario presenta un documento o una cara hasta que el resultado llegue al cliente, y nombre quién almacena el modelo, quién emite el resultado y quién es responsable si es erróneo.

Los bancos, clientes empresariales e inversores buscan más allá de la descripción de la actividad hacia la tecnología: quién posee el modelo de conciliación, de dónde provienen los datos de entrenamiento y si las afirmaciones de precisión pueden ser evidenciadas en lugar de declaradas.

Espere preguntas sobre:

Un paquete de evidencia coherente se construye a partir de documentos fuente, no de una presentación, y planes de negocio y documentación es donde ese paquete se ensambla en el orden en que lo lee un equipo de diligencia. Cuando la propia cuenta es el obstáculo, preparación de cuentas bancarias corporativas reconcilia el expediente que recibe el banco con lo que realmente hace el negocio.

Una empresa que almacena y compara datos biométricos necesita personas que puedan realizar pruebas de seguridad, establecer límites de retención y asumir la respuesta cuando se desafía una coincidencia, no solo una demostración de tecnología.

Todo activo valioso debería estar en manos de un titular designado: el modelo de comparación, el formato de la credencial, el contrato con el cliente y el conjunto de datos. Cuando una matriz extranjera mantiene el modelo central o el almacén biométrico fuera de los EAU, el acuerdo intragrupo debería cubrir el alcance, el acceso, la responsabilidad y la resolución. Cuando la propia titularidad es escalonada, con fondos de inversores, una matriz extranjera o varios niveles de participación, la vía de estructura de titularidad regulada y compleja está concebida para esa estructura, y muchos proveedores de identidad venden a clientes de fintech cuyo propio proceso de alta plantea las mismas preguntas a su vez.