Blog
ChatGPT, Claude, Gemini et GLM : créer une société d'applications d'IA aux EAU
La réponse courte
Une société des UAE qui s'appuie sur ChatGPT, Claude, Gemini ou GLM loue sa capacité de base mais conserve les obligations relatives aux données que ses clients lui transmettent. Le Federal Decree Law No. 45 of 2021, supervisé par le UAE Data Office, s'applique aux responsables du traitement et aux sous-traitants établis aux UAE, ainsi qu'aux acteurs étrangers qui traitent des données de personnes se trouvant aux UAE. Il ne s'applique pas aux sociétés de free zone qui ont leur propre loi sur les données personnelles, comme celles du DIFC. La question qui détermine le plus souvent la voie à suivre est de savoir si le produit se contente d'assister un utilisateur ou s'il prend en charge une décision dans un secteur réglementé tel que la banque, la santé ou le droit.
Un assistant de rédaction pour des équipes marketing et un outil qui filtre des demandes de prêt peuvent partager une même base de code et nécessiter pourtant des périmètres entièrement différents, car le second prend des décisions que les personnes peuvent contester.
La société doit être constituée autour de ce qu'elle contractera, détiendra et contrôlera. Qui signe avec les clients, qui détient le compte auprès du fournisseur, où se trouvent les prompts et les sorties, et qui répond lorsqu'un modèle se trompe : ce sont les faits sur lesquels une banque, un investisseur et une autorité de délivrance des licences poseront des questions. Comment fonctionne Velarozone repose sur la fixation de ces faits avant tout dépôt de dossier.
Ce que les conditions des fournisseurs décident avant la société
Lisez les conditions du fournisseur comme si elles faisaient partie de la spécification de votre propre produit, car pour vos clients, c'est le cas.
Les conditions de l'API Gemini de Google tracent une ligne nette entre usage payant et usage gratuit. Pour les services gratuits, Google peut utiliser les contenus soumis et les réponses pour améliorer ses produits, et des relecteurs humains peuvent lire et annoter les entrées et les sorties après leur dissociation du compte, de la clé d'API et du projet Cloud. Les conditions déconseillent de soumettre à ces services des informations sensibles, confidentielles ou personnelles. Pour les services payants, Google indique qu'il n'utilise ni les prompts ni les réponses pour améliorer ses produits, et qu'il les consigne pendant une durée limitée afin de détecter les abus et de satisfaire aux obligations légales de divulgation. Une start-up qui réalise un prototype avec une offre gratuite et de vrais documents clients a déjà pris une décision en matière de données, que quelqu'un l'ait consignée par écrit ou non.
Les mêmes conditions exigent que les utilisateurs de l'API aient 18 ans ou plus et interdisent les clients d'API destinés à des personnes de moins de 18 ans, ou susceptibles d'être utilisés par elles. Elles interdisent également d'utiliser le service pour développer des modèles concurrents, ainsi que la rétro-ingénierie ou l'extraction de composants du modèle. Cela compte si votre feuille de route prévoit de distiller des sorties dans votre propre modèle, ce que certains fondateurs considèrent comme l'objet même de l'activité.
GLM provient de la plateforme BigModel de Zhipu AI et ChatGPT d'OpenAI. Chacun a ses propres conditions commerciales, et chacune doit être lue sous les quatre mêmes angles : l'utilisation des données, l'âge minimum, les limites à un usage concurrent, et ce qu'il advient de votre service si une politique change. Une architecture multi-fournisseurs couvre ce risque. Elle multiplie aussi les conditions avec lesquelles les contrats de vos clients doivent rester cohérents.
Le retrait d'un modèle est un problème contractuel
La documentation des modèles d'Anthropic montre à quel point la durée de vie d'une dépendance à un modèle peut être courte. Elle indique Claude Sonnet 5.5 et Haiku 5.5 avec un retrait « pas avant » le 28 septembre 2027 et le 7 octobre 2027, tandis que des modèles plus anciens, tels que Sonnet 5 et Sonnet 4.6, figurent déjà dans une liste de modèles hérités. Elle précise aussi qu'Amazon Bedrock et Google Cloud fixent leurs propres dates de cycle de vie pour les modèles qu'ils hébergent, et elle répertorie les mêmes modèles sur l'API Claude, Amazon Bedrock, Google Cloud, Microsoft Foundry et Claude Platform on AWS.
Deux conséquences en découlent pour une société des Émirats arabes unis. Un contrat client qui promet un modèle nommé pour une durée déterminée est une promesse que le fournisseur peut rendre intenable ; les descriptions de service devraient donc énoncer des résultats et se réserver le droit de substitution. Et la voie cloud que vous choisissez détermine qui fixe la date de retrait et où le traitement a lieu, ce qui rejoint directement la question des données traitée ci-dessous.
Quelle loi sur les données personnelles s'applique à l'application
La page du gouvernement des Émirats arabes unis consacrée à la protection des données mentionne le Federal Decree Law No. 45 of 2021 sur la protection des données personnelles, en vigueur depuis le 2 janvier 2022. Il interdit le traitement de données personnelles sans le consentement de la personne concernée, sauf dans les cas énumérés, impose aux sociétés détenant des données personnelles de les sécuriser, donne aux personnes concernées le droit de faire corriger leurs données et de restreindre ou de faire cesser le traitement, et fixe des exigences pour le transfert et le partage transfrontaliers. La page décrit l'UAE Data Office, créé en vertu du Federal Decree Law No. 44 of 2021, comme le régulateur fédéral chargé de la politique, des normes, des systèmes de réclamation et des orientations de mise en œuvre. Elle mentionne également la DIFC Data Protection Law (DIFC Law No. 5 of 2020) aux côtés de la loi fédérale.
Pour une application d'IA, le travail pratique consiste à établir une cartographie. Quels champs de données clients parviennent au fournisseur du modèle, dans quelle région ils sont traités, quels sous-traitants y accèdent, et quel consentement couvre chaque étape. Une société dont les clients se trouvent dans le DIFC peut être soumise à la loi de la free zone en plus de la loi fédérale ; le choix de licence n'est donc pas neutre ici. La page fédérale n'explique pas comment les deux s'articulent, de sorte que ce point appelle une analyse spécialisée sur les faits concrets.
Quand le produit entre dans un secteur réglementé
Un outil qui rédige un texte soumis à l'approbation d'une personne n'est pas dans la même position qu'un outil qui émet des recommandations ou exécute des transactions. Le critère est la fonction. La loi fédérale sur les données personnelles s'efface lorsqu'une législation distincte protège les données personnelles de santé ou les données personnelles bancaires et de crédit (article 2(2)(e) et (f)), et elle ne s'applique pas aux entités gouvernementales (article 2(2)(b)) ; ces clients apportent donc leurs propres règles. Si l'application éclaire des décisions de crédit, traite des informations sur des patients, livre des conclusions juridiques ou est utilisée par une entité gouvernementale, les règles sectorielles du client remontent jusque dans votre contrat par le biais de droits d'audit, d'exigences de localisation des données et de clauses de responsabilité, même si vous ne détenez vous-même aucune licence.
Consignez par écrit l'étape de revue humaine et la personne qui l'effectue. L'article 18 de la loi fédérale permet à une personne de s'opposer à une décision automatisée produisant à son égard un effet juridique ou défavorable, sauf si elle repose sur un contrat, une obligation légale ou son consentement préalable, et il impose au responsable du traitement d'associer un humain à la revue de ces décisions sur demande. Les banques et les acheteurs d'entreprise demandent la même étape lors de la due diligence, et c'est la preuve la plus claire que le produit assiste plutôt qu'il ne décide.
Choisir la voie à suivre pour l'entité
Une société mainland directement titulaire d'une licence comme une société free-zone peuvent exercer des activités de logiciels et de technologie, et une entité d'un centre financier peut convenir à un fondateur dont les clients sont situés dans ce centre. Le choix dépend généralement de la localisation des clients, de la nécessité ou non de visas de résidence parrainés par l'entité pour le personnel, et de l'exigence éventuelle d'un client quant aux tribunaux et aux règles de données d'une juridiction particulière.
La question structurelle la plus utile est celle de l'emplacement de la propriété intellectuelle. Si les prompts, les jeux d'évaluation et les configurations affinées ont été conçus par des prestataires ou par une société mère étrangère, des cessions devraient être en place avant que la société des Émirats arabes unis ne soit présentée à une banque ou à un investisseur comme leur propriétaire.
En bref
Que retenir de cela
- Le droit des données personnelles suit le client, non le serveur : le Decree Law 45 of 2021 atteint les données de personnes se trouvant aux UAE même lorsque le responsable du traitement ou le fournisseur du modèle est établi à l'étranger, sauf si une loi de free zone telle que celle du DIFC s'applique à la place.
- Les conditions des fournisseurs diffèrent quant à la possibilité d'utiliser les prompts des clients pour améliorer les modèles du fournisseur, et cette différence dépend souvent du caractère payant ou non de l'offre.
- Les modèles sont retirés selon des calendriers publiés ; les contrats clients ne devraient donc pas désigner un modèle précis comme une caractéristique permanente.
- Vendre à la finance, à la santé, au juridique ou à l'administration fait généralement intervenir un régulateur sectoriel auquel l'éditeur de logiciels n'échappe pas.
- Les prompts, les workflows et les configurations affinées exigent une chaîne de documents attestant leur propriété, surtout lorsque des prestataires les ont conçus.
- Les sociétés mainland comme les sociétés free-zone peuvent exercer cette activité ; la voie d'entité compte donc moins que les contrats qu'elle signe.
- Recourir à un fournisseur de modèle étranger signifie-t-il que la société ne possède rien ?
- Non, mais la propriété est plus étroite que ne le supposent les fondateurs. La société peut détenir son code, ses prompts, ses workflows, ses données d'évaluation et ses relations clients. Elle ne détient pas le modèle, et elle accepte telles quelles les conditions d'utilisation du fournisseur, y compris les limites relatives à la création de modèles concurrents.
- Les prompts des clients doivent-ils rester aux Émirats arabes unis ?
- Pas en tant que règle générale. La loi fédérale autorise le transfert à l'étranger vers les juridictions que le UAE Data Office a approuvées comme offrant une protection adéquate (article 22). À défaut, elle autorise le transfert pour des motifs listés, tels qu'un contrat obligeant le destinataire à respecter les normes de la loi, le consentement explicite de la personne, ou la nécessité d'exécuter un contrat avec la personne (article 23). Les clients du secteur public et de la finance peuvent imposer une localisation par contrat ; la réponse est donc souvent fixée par le client plutôt que par la loi.
- Une offre gratuite est-elle acceptable pour les premiers projets pilotes avec des clients ?
- Selon les conditions de Google, une utilisation gratuite peut alimenter l'amélioration des produits et un examen humain, et ces conditions déconseillent de soumettre des informations sensibles ou personnelles. Les projets pilotes utilisant des données réelles de clients devraient s'appuyer sur des conditions payantes, avec la position relative aux données convenue par écrit.
- Que doit prévoir le contrat client concernant les changements de modèle ?
- Décrivez le service par son résultat, réservez le droit de modifier ou de remplacer les modèles sous-jacents, et indiquez qui supporte l'indisponibilité lorsqu'un fournisseur retire ou restreint un modèle. Les calendriers de retrait sont publiés ; un contrat qui les ignore n'a donc aucune excuse.
Sources
D'où cela vient
Informations générales tirées du CBUAE Rulebook, notamment la Retail Payment Services and Card Schemes Regulation (C 15/2021), et de la Cabinet Resolution No. (134) of 2025 telle que publiée, et ne constituant pas un conseil juridique ou fiscal. Les règles et les orientations évoluent ; vérifiez donc le texte en vigueur et les exigences propres à chaque établissement avant de soumettre votre demande.