Cómo estructurar una empresa de modelo-fundación o IA generativa en los EAU

No existe un regulador específico de IA que licencie a una empresa de modelos fundacionales o de IA generativa en los EAU. El registro comercial sigue la misma vía que el de cualquier otra empresa tecnológica: la constitución de una sociedad en la mainland a través de la autoridad licenciante de la mainland correspondiente, o una estructura en una free zone. Lo que cambia el panorama es aquello con lo que el modelo entra realmente en contacto. Los datos personales utilizados en el entrenamiento, el ajuste fino o la inferencia hacen entrar en juego la legislación federal de protección de datos de los EAU. La infraestructura que se califica como crítica hace entrar en juego los estándares del Cyber Security Council. Y si las salidas del modelo alimentan un sector regulado (orientación sanitaria, recomendaciones financieras, contenidos de medios), el regulador propio de ese sector se suma a la prueba de perímetro, además de la licencia comercial. La autoridad licenciante decide que la sociedad puede operar; no decide que pueda tratar los datos con los que quiere entrenar, ni que su infraestructura cumpla las expectativas de ciberseguridad.

La legislación federal de protección de datos de los EAU rige cómo se recogen, utilizan y transfieren los datos personales una vez que entran en un flujo de entrenamiento o de ajuste fino, y las obligaciones recaen sobre el propio tratamiento, no sobre la etiqueta de IA del producto. Un modelo entrenado, siquiera en parte, con datos personales necesita una base jurídica documentada para ese tratamiento, y una posición sobre cualquier transferencia de esos datos fuera de los EAU, antes de que el conjunto de datos se ponga en uso, ya se denomine el producto modelo fundacional, ajuste fino o envoltorio de API. Por separado, el Cyber Security Council fija la estrategia nacional de ciberseguridad y los estándares que se aplican cuando la infraestructura de cómputo o de alojamiento se considera parte de los sistemas críticos de los EAU. Una empresa de IA generativa que explote su propia infraestructura de entrenamiento o inferencia a una escala significativa debe esperar que se la mida conforme a esos estándares, y no con arreglo a una política informática interna genérica, y no debe dar por supuesto que las certificaciones propias de un proveedor de nube cierren esa cuestión por ella.

Los bancos y los adquirentes de pagos que evalúan el riesgo de una empresa de IA miran más allá de la licencia, hacia los contratos que la sustentan: a quién se factura el cómputo, cómo se cobran en la práctica los ingresos por API o suscripción y si la entidad que firma los contratos con los clientes es la misma que ostenta el modelo y los derechos sobre los datos. Una sociedad holding titular de los pesos, junto a una sociedad operativa que factura a los clientes, es una configuración habitual cuando un modelo pasa de prototipo a generar ingresos, pero cada una necesita sus propios contratos, su mandato bancario y su posición en materia de precios de transferencia, y no una cuenta compartida que haga las veces de ambas. La apertura de cuenta avanza con mayor rapidez cuando la ficha del modelo, el registro de derechos sobre los conjuntos de datos y los contratos de cómputo están listos antes de iniciar la conversación con el banco, que es el trabajo previo que subyace a la preparación para la cuenta bancaria corporativa. El coste se construye aquí por capas y no como una cifra única, ya que los contratos de cómputo y la plantilla de ingenieros suelen superar con creces cualquier tasa oficial; los honorarios de servicio de Velarozone se detallan por conceptos en la carta de encargo; véase cómo trabaja Velarozone para comprender cómo se expone esa estructura por capas.

Todo aquel que contribuya a un modelo (fundadores, empleados, contratistas y los mantenedores de código abierto cuyo código o pesos se hayan integrado) necesita una cesión de propiedad intelectual o una licencia documentada antes de que el modelo pueda tratarse como un activo de la empresa y no como uno en disputa. Cuando el entrenamiento ha utilizado datos personales, alguien dentro de la empresa tiene que responder de la posición en materia de protección de datos, incluso en un equipo reducido en el que esa persona desempeñe también otra función. Las estructuras de grupo que separan una entidad titular de la propiedad intelectual de una sociedad operativa, o que incorporan inversores de más de una jurisdicción, se enmarcan en las estructuras societarias reguladas y de titularidad compleja, y la cadena de titularidad debe documentarse del mismo modo que el propio modelo, mediante planes de negocio y documentación que un banco o un cliente empresarial pueda leer y en la que pueda confiar.

Una vez constituida la entidad, la licencia se conecta con pasos operativos que la etiqueta de IA no modifica. La capacidad de visados está vinculada a la establishment card y debe cubrir al personal de ingeniería, seguridad y cumplimiento que realmente gestiona el modelo, no una plantilla meramente nominal. Se exige un domicilio registrado con independencia de que el cómputo se encuentre en suelo de los EAU o con un proveedor de nube extranjero. El registro a efectos del impuesto sobre sociedades ante la Federal Tax Authority (FTA) sigue las mismas normas federales que cualquier otra sociedad de los EAU; no existe una categoría específica de IA. La renovación es también el momento de volver a comprobar la posición en materia de protección de datos y de propiedad intelectual, porque un modelo reentrenado, objeto de nuevos ajustes finos o abierto a nuevos clientes desde la última renovación puede haber salido del perímetro registrado en el momento de la constitución.