Blog
Doubao Work : Comment les entreprises chinoises d'IA peuvent établir des opérations aux Émirats arabes unis
La réponse courte
Doubao Work est un produit chinois conçu autour d'un agent qui reçoit une tâche d'un utilisateur et l'exécute, plutôt que d'un chatbot qui se contente de répondre. Une société qui vend ce type de produit à des clients des Émirats arabes unis est régie en premier lieu par la loi fédérale sur la protection des données personnelles, le Décret-loi fédéral n° 45 de 2021, dont le UAE Data Office assure la supervision en tant qu'autorité fédérale de régulation des données. Le critère qui détermine le plus souvent la voie à suivre est de savoir si l'agent lira, conservera ou exploitera les données personnelles de personnes se trouvant aux Émirats arabes unis, et où ce traitement a physiquement lieu.
Le droit des données n'empêche pas la constitution d'une société. Il détermine ce que la société doit être en mesure de démontrer à son premier client entreprise : qui contrôle les fichiers et les journaux, où ils sont hébergés, et qui répond lorsque l'agent commet une erreur.
Pour un éditeur d'IA étranger, cette démonstration pèse davantage sur le choix de l'entité que le coût de la licence. Une société qui se limite à revendre depuis l'étranger un service hébergé n'a pas la même empreinte que celle qui installe l'agent dans le réseau d'un client et maintient des ingénieurs sur site.
Ce que change un agent IA au regard de la PDPL des EAU
Un assistant conversationnel voit ce que l'utilisateur saisit. Un agent voit beaucoup plus. Pour fixer une réunion, rapprocher une facture ou rédiger un rapport, il a besoin d'accéder à des messageries, des lecteurs partagés, des outils comptables et parfois à des identifiants. Chacun de ces éléments est un lieu où résident des données personnelles.
La PDPL fédérale considère que le traitement de données personnelles, en tout ou en partie par des systèmes électroniques, entre dans son champ d'application. La loi est entrée en vigueur le 2 janvier 2022. Elle subordonne en général le traitement au consentement du propriétaire des données, sous réserve d'exceptions énumérées, et reconnaît aux personnes le droit de demander des corrections ainsi que de restreindre ou de faire cesser le traitement. Elle fixe aussi des règles pour le transfert transfrontalier de données personnelles à des fins de traitement, disposition qu'un éditeur exécutant ses modèles en dehors des Émirats arabes unis doit lire attentivement.
La conséquence pratique est qu'un client entreprise émirati demandera à l'éditeur d'indiquer par écrit ce que l'agent peut lire, ce qu'il conserve, si les prompts et les résultats servent à améliorer le modèle, et quels sous-traitants ultérieurs accèdent aux données. Un fondateur qui ne peut pas répondre à ces questions perdra l'affaire avant même que la question de la licence ne se pose.
Le Data Office a été créé en vertu du Décret-loi fédéral n° 44 de 2021 et relève du Conseil des ministres des Émirats arabes unis. Ses attributions comprennent l'élaboration de la politique de protection des données et la publication de recommandations ; la position sur les modalités de mise en œuvre peut donc évoluer. Vérifiez les recommandations en vigueur avant de signer un contrat d'hébergement.
Hébergé, cloud privé ou sur site : le choix qui détermine l'entité
La livraison en mode hébergé est la plus légère. L'éditeur exécute l'agent depuis sa propre infrastructure et le client se connecte. La société émiratie peut n'être guère plus qu'une entité de vente et de support, mais la question du transfert de données y est la plus aiguë, car les données du client quittent le pays par construction.
La livraison en cloud privé place une instance dédiée dans une région cloud approuvée par le client. L'éditeur continue de l'exploiter ; il traite donc toujours les données du client, et le contrat doit le préciser.
La livraison sur site (on-premises) installe le logiciel dans les locaux du client. Les préoccupations liées au transfert transfrontalier disparaissent pour les données stockées, mais les sessions de support à distance peuvent les faire réapparaître aussitôt. Un ingénieur de support situé dans un autre pays qui se connecte au serveur d'un client accède à des données émiratis depuis l'étranger.
De nombreux éditeurs chinois de logiciels d'entreprise proposent les trois modes. Ils devraient rédiger chacun d'eux comme une annexe distincte du contrat-cadre, avec ses propres conditions de traitement des données, plutôt qu'un document unique cherchant à couvrir tous les cas.
Clients de la santé, de la finance et des administrations publiques
Les secteurs qui dépensent le plus en automatisation des flux de travail sont aussi ceux qui ont leurs propres règles. Un client du secteur de la santé fait entrer en jeu la Loi fédérale n° 2 de 2019 sur l'utilisation des technologies de l'information et de la communication dans les domaines de la santé, que le gouvernement des Émirats arabes unis décrit comme s'appliquant également dans les free zones. Les banques et les assureurs répondent à leurs propres autorités de contrôle et répercuteront sur l'éditeur leurs conditions d'externalisation. Les entités gouvernementales achètent selon leurs propres procédures.
Rien de tout cela ne signifie que l'éditeur ait besoin d'une licence propre. Cela signifie que l'équipe de conformité du client posera des conditions dans le contrat, et que l'éditeur a besoin d'une entité locale capable de les signer, de souscrire l'assurance et de recevoir une assignation en cas de réclamation. Une succursale de façade qui renvoie chaque question à une société mère étrangère tend à s'enliser dans les achats.
Un éditeur qui ne vend qu'à des sociétés privées non réglementées, telles que des distributeurs ou des entreprises de logistique, a un parcours plus léger. Indiquez-le dans les supports commerciaux et réservez les clients sectoriels à une seconde phase.
Responsabilité des actions de l'agent
Un agent qui envoie un e-mail, déplace un fichier ou soumet un formulaire agit au nom du client. S'il agit à tort, le client se tournera vers le contrat. La loi des Émirats arabes unis sur la cybercriminalité, le Décret-loi fédéral n° 34 de 2021, couvre les infractions commises au moyen des technologies de l'information et des réseaux, et un éditeur dont l'agent dispose d'identifiants permanents devrait concevoir son système comme si ses journaux pouvaient un jour être lus par un enquêteur.
Trois choix de conception ont une portée juridique et gagnent à être arrêtés avant la constitution de la société :
- Quelles actions l'agent peut accomplir sans l'approbation d'un humain, et lesquelles nécessitent une approbation préalable.
- Pendant combien de temps les identifiants sont conservés, et si le client peut les révoquer immédiatement.
- Qui est propriétaire des journaux, et si l'éditeur peut les utiliser pour entraîner ou ajuster des modèles.
Un seuil d'approbation clair est plus facile à faire accepter par l'équipe de gestion des risques d'un client que l'affirmation d'une autonomie totale.
Choisir une voie d'implantation aux EAU pour un éditeur d'IA
Une société mainland permet de contracter directement avec des entreprises émiraties et des acheteurs publics, ce qui explique que les vendeurs de logiciels d'entreprise commencent souvent par là. Les structures en free zone conviennent aux équipes dont l'activité principale est le développement ou le support à distance, bien que chaque zone fixe ses propres conditions et que l'autorité doive confirmer ce qu'une société peut faire depuis ses locaux. Une entité DIFC fait entrer en jeu la DIFC Data Protection Law, ce qui importe si la clientèle s'y trouve.
La comparaison dépend de l'emplacement des clients, de celui des ingénieurs, et de la détention éventuelle de matériel par la société. Un fondateur qui cherche la juridiction qui convient au modèle économique devrait apporter des réponses à ces trois points. Le statut de résidence de l'équipe compte aussi, puisque les visas de l'équipe fondatrice dépendent de la licence choisie. Découvrez comment fonctionne Velarozone si vous souhaitez voir à quoi ressemble le processus de conseil avant de vous engager.
Les banques poseront les mêmes questions que les clients : qui détient la société, qui la finance, d'où viendront les fonds et pourquoi une entité émiratie est nécessaire. Un éditeur disposant d'un client pilote signé et d'un schéma clair des flux de données y répond plus vite que celui qui n'a qu'un certificat de constitution et un site web.
En bref
Que retenir de cela
- Doubao Work est décrit sur sa propre page comme un mode de travail dans lequel l'utilisateur dit à Doubao ce qu'il faut faire et où l'agent prend la tâche en charge ; le produit agit donc sur les systèmes d'un client.
- La PDPL fédérale s'applique au traitement électronique de données personnelles à l'intérieur comme à l'extérieur des Émirats arabes unis ; un éditeur qui héberge à l'étranger n'échappe donc pas à son champ d'application.
- Le UAE Data Office est le régulateur fédéral des données. Le DIFC dispose de sa propre Data Protection Law (DIFC Law No. 5 of 2020).
- Les clients du secteur de la santé font intervenir une loi fédérale distincte sur les TIC dans les domaines de la santé, la loi fédérale no 2 de 2019.
- Une livraison hébergée, en cloud privé ou sur site (on-premises) exige chacune un contrat différent et une combinaison différente de personnel local.
- La PDPL s'applique-t-elle si nos modèles s'exécutent en Chine et n'accèdent jamais à des serveurs des UAE ?
- Le champ d'application de la loi s'étend aux traitements effectués à l'intérieur ou à l'extérieur des UAE, comme l'indique la page du gouvernement des UAE consacrée à la protection des données. Si vous traitez les données personnelles de personnes se trouvant aux UAE, partez du principe qu'elle s'applique. Les règles de transfert sont la partie à étudier, et il convient de lire les conditions dans la loi et dans les orientations actuelles du Data Office plutôt que de les présumer.
- Avons-nous besoin d'une licence pour vendre un agent d'IA aux UAE ?
- Vendre un logiciel n'est pas en soi une activité financière ou de santé soumise à licence. Ce que l'agent fait pour le client peut l'être. Un agent qui effectue des paiements, traite des dossiers de patients ou donne des conseils professionnels peut placer le client, et parfois le fournisseur, sous la supervision d'un régulateur sectoriel. Consignez par écrit ce que le produit fera et ne fera pas, puis vérifiez chaque fonction auprès de l'autorité compétente.
- La même société peut-elle servir des clients au sein du DIFC ?
- Le DIFC dispose de sa propre Data Protection Law (DIFC Law No. 5 of 2020), distincte de la PDPL fédérale. Un fournisseur qui sert à la fois des clients onshore et des clients du DIFC peut avoir besoin de clauses contractuelles reflétant deux régimes. Demandez un avis juridique sur la manière dont ils s'appliquent à vos flux de données spécifiques.
- Que devons-nous présenter à une banque des UAE ?
- L'actionnariat et le financement, un client nommé ou un portefeuille de prospects en cours, et une brève explication des raisons d'être de la société aux UAE. Joignez la synthèse des flux de données du produit, car les équipes de conformité des banques comprennent mieux une cartographie des données qu'une présentation commerciale. Cela améliore le dossier ; cela ne garantit pas l'ouverture d'un compte.
Sources
D'où cela vient
Informations générales tirées du CBUAE Rulebook, notamment la Retail Payment Services and Card Schemes Regulation (C 15/2021), et de la Cabinet Resolution No. (134) of 2025 telle que publiée, et ne constituant pas un conseil juridique ou fiscal. Les règles et les orientations évoluent ; vérifiez donc le texte en vigueur et les exigences propres à chaque établissement avant de soumettre votre demande.