Blog
Studios de développement AI Python : Quand les services deviennent une entreprise de logiciels ou de données aux Émirats Arabes Unis
La réponse courte
Un studio qui écrit du Python et développe des fonctionnalités d'IA pour des clients, puis leur remet le code, peut s'établir aux Émirats arabes unis comme une société de services ordinaire. Dès lors qu'il héberge un produit, stocke les données clients d'un client ou exécute des automatisations pour le compte du client, il devient sous-traitant de données à caractère personnel au titre du Federal Decree Law No. 45 of 2021, la Personal Data Protection Law. Le UAE Data Office fait office de régulateur fédéral des données, et les sociétés des free zones disposant de leur propre loi sur les données, telles que le DIFC, échappent à la loi fédérale.
La plupart des studios commencent par remettre du code, puis en viennent à l'héberger. Leurs contrats, leur assurance et la description de leur licence décrivent généralement encore la simple remise. L'Article 8 de la loi sur les données attend d'un sous-traitant qu'il agisse selon les instructions du client et qu'il efface les données à la fin du traitement, ce qu'un contrat de remise ne prévoit pas.
Livrer du code ou exploiter un système
Prenons deux studios employant les mêmes cinq ingénieurs. Le premier développe un moteur de recommandation pour un détaillant, livre le dépôt de code et valide à la réception. Le second héberge le même moteur, ingère chaque nuit les fichiers clients du détaillant et facture mensuellement.
Le premier vend du travail et un livrable. Le second détient les données à caractère personnel d'autrui et est responsable de leur sécurité. En vertu de l'Article 8 du Federal Decree Law No. 45 of 2021, un sous-traitant doit agir dans les limites du périmètre, de la finalité et des types de données fixés par le contrat du client, tenir un registre de ce qu'il traite, et effacer les données à la fin du traitement ou lorsqu'elles sont restituées. L'Article 9 ajoute qu'il doit en informer le client dès qu'il a connaissance d'une violation. La loi couvre le traitement effectué en tout ou partie par des systèmes électroniques, à l'intérieur comme à l'extérieur des Émirats arabes unis ; un studio dont les serveurs se trouvent à l'étranger n'échappe donc pas à la loi de ce seul fait.
C'est pourquoi le choix du modèle économique précède le choix de la zone. Une description de licence rédigée comme « software development » ou « IT consultancy » convient au premier studio. Le second a besoin que la description, les contrats et l'annexe relative aux données correspondent à ce qu'il fait réellement.
Qui réglemente les données que votre studio traite
Le UAE Government décrit le UAE Data Office comme rattaché au Cabinet et agissant en tant que régulateur fédéral des données. Ses responsabilités comprennent l'élaboration de politiques et de textes législatifs, l'approbation de normes de contrôle de la Personal Data Protection Law, le traitement des plaintes et la publication de lignes directrices de mise en œuvre.
La loi interdit de traiter des données à caractère personnel sans le consentement de la personne concernée, sauf exceptions listées telles que l'intérêt public et les actions en justice. L'Article 5 ajoute que les données doivent être collectées pour une finalité précise et claire et ne pas être traitées ultérieurement d'une manière incompatible. Pour un studio d'IA, cela détermine ce qu'il peut faire des données d'entraînement. Si un client remet des fichiers clients pour affiner un modèle, demandez à quoi ces clients ont consenti et si le contrat autorise leur réutilisation pour d'autres clients. L'Article 6 permet à la personne concernée de retirer son consentement ; le contrat doit donc aussi préciser ce que fait le studio des données dans ce cas.
La loi fédérale ne s'applique pas aux sociétés des free zones qui disposent de leur propre législation sur les données à caractère personnel (Article 2). La page du gouvernement des Émirats arabes unis consacrée à la protection des données cite un tel régime, la DIFC Data Protection Law, le DIFC Law No. 5 of 2020. Un studio établi au DIFC doit rédiger ses conditions de confidentialité conformément à cette loi. Un studio situé dans une autre free zone doit vérifier si celle-ci dispose de sa propre législation sur les données avant de supposer que la loi fédérale ne s'applique pas.
La propriété intellectuelle est l'autre moitié du sujet
Les fondateurs tendent à considérer la propriété intellectuelle comme un sujet d'investisseurs. Pour un studio, c'est un sujet opérationnel.
Si des prestataires écrivent du code, formalisez le transfert par écrit. En vertu du Federal Decree-Law No. 38 of 2021, un transfert ou une licence de droits patrimoniaux ne prend effet que par écrit, et doit indiquer le droit, la finalité, la durée et le lieu (Article 9). Les droits moraux ne peuvent pas être cédés (Article 5). La même loi attribue à une personne l'œuvre réalisée pour son compte, sauf accord écrit contraire entre les parties (Article 28) ; le silence d'un contrat client joue donc en faveur du client. Si un projet produit un composant réutilisable, précisez dans le contrat si le studio le conserve. Un client qui a payé un travail sur mesure et le retrouve plus tard dans le produit d'un concurrent ne restera pas client.
Les outils propres au studio doivent être séparés des livrables des clients dès le départ. Tenez un registre de ce qui a été développé pour qui, et de ce qui préexistait. Les investisseurs et les acquéreurs examinent ce point lors des vérifications préalables, et rien dans la structure sociétaire ne le corrige après coup.
Choisir la voie à suivre pour l'entité
Une société mainland peut contracter directement avec des entreprises des UAE et des clients liés à l'État, ce qui convient aux projets réalisés pour des clients locaux. Une société free-zone peut convenir à un studio dont les clients sont pour la plupart situés hors des UAE ou dans la même zone. Une entité d'un centre financier a surtout du sens si vos clients sont des sociétés réglementées qui préfèrent cette juridiction.
Le mix de clientèle du studio en décide davantage que le prix. Un studio dont le chiffre d'affaires provient pour moitié de projets locaux et pour moitié d'abonnements à l'étranger peut vouloir vérifier si une seule société peut servir les deux avant de se scinder en deux.
Si vous recrutez des ingénieurs aux Émirats arabes unis, la voie du visa de résident fait partie de la même décision. Si la livraison est assurée par un centre d'ingénierie à l'étranger, la société émiratie qui signe le contrat conserve les obligations de sous-traitant des Articles 8 et 9 ; elle doit donc disposer des personnes et des systèmes nécessaires pour suivre les instructions du client, tenir le registre de traitement et signaler les violations. Velarozone part de la question de savoir qui signe le contrat client et qui exécute le travail, comme décrit dans comment fonctionne Velarozone.
Services, produit et agents au sein d'un même groupe
Les guides associés couvrent l'autre extrémité du spectre du secteur : créer une société de modèles de fondation ou d'IA générative, exploiter une plateforme d'agents d'IA pour les secteurs réglementés ou fournir un service cloud managé. Un studio qui s'engage dans l'une de ces voies assume des obligations qui dépassent la livraison de projets, telles que des engagements de disponibilité ou des règles sectorielles répercutées par les clients.
Méfiez-vous des promesses de responsabilité illimitée pour ce que produit un modèle tiers. Plafonnez la responsabilité dans le contrat, définissez les tests de réception et précisez qui est responsable lorsque les propres données d'un client sont à l'origine d'un mauvais résultat.
En bref
Que retenir de cela
- Les travaux par projet et les produits hébergés exigent des contrats différents, même lorsque les mêmes ingénieurs construisent les deux.
- La loi fédérale sur les données personnelles s'applique au traitement effectué au moyen de systèmes électroniques, à l'intérieur comme à l'extérieur des Émirats arabes unis.
- Le consentement est le socle du traitement des données à caractère personnel, et les données collectées pour une finalité ne peuvent pas être traitées ultérieurement d'une manière incompatible.
- Une société établie au DIFC relève de la DIFC Law No. 5 of 2020 plutôt que du régime de la loi fédérale.
- La question de savoir à qui appartient le code réutilisable est une décision commerciale à trancher avant la première facture.
- Un studio de développement logiciel a-t-il besoin d'une licence spéciale pour des travaux d'IA ?
- Pas sur la seule base de la technologie. L'activité de la licence doit décrire ce que fait la société, par exemple le développement de logiciels, le conseil en informatique ou le traitement de données. Ce qui change la situation, ce sont les données et le secteur du client. Les données de santé personnelles ainsi que les données bancaires et de crédit, qui ont leur propre législation, sont exclues de la loi fédérale sur les données (article 2) ; un studio qui développe pour une clinique ou une banque doit donc vérifier les règles de ce secteur, comme la loi fédérale n° 2 de 2019 sur les TIC dans le domaine de la santé.
- La loi des Émirats arabes unis sur les données s'applique-t-elle à un studio qui héberge des données en dehors des Émirats arabes unis ?
- Selon le résumé du gouvernement des Émirats arabes unis, la loi fédérale s'applique aux traitements effectués en tout ou en partie par des systèmes électroniques, à l'intérieur comme à l'extérieur des UAE. Le transfert de données personnelles hors des UAE exige une base légale. L'article 22 autorise le transfert vers un pays dont la législation offre une protection adéquate, dans les cas approuvés par le UAE Data Office. L'article 23 prévoit d'autres fondements, tels qu'un contrat engageant la société étrangère à respecter les mesures de la loi ou le consentement explicite de la personne concernée. L'hébergement offshore exige donc un fondement documenté.
- Pouvons-nous réutiliser le code d'un client pour d'autres clients ?
- Seulement si le contrat le prévoit par écrit. En vertu de l'article 28 du Federal Decree-Law No. 38 of 2021, une œuvre réalisée pour le compte d'autrui est attribuée à cette personne, sauf accord écrit contraire. En vertu de l'article 9, toute cession ou licence de droits doit être écrite et préciser le droit concerné, la finalité, la durée et le lieu. Dressez la liste des composants que le studio conserve et rédigez une licence pour chacun.
- Vaut-il mieux piloter la livraison depuis les Émirats arabes unis ou depuis un centre à l'étranger ?
- L'une ou l'autre option peut convenir. La société des UAE qui signe le contrat client répond devant le client et, si elle détient des données personnelles, devant la Personal Data Protection Law. Ses obligations de l'article 8 relatives aux instructions, aux registres et à l'effacement, ainsi que son obligation de l'article 9 de notifier les violations de données, restent les siennes même si un centre situé à l'étranger écrit le code ; le contrat intragroupe doit donc répercuter ces mêmes obligations. Un délégué à la protection des données, lorsque la loi en exige un, peut être situé à l'intérieur ou à l'extérieur des UAE (article 10).
Sources
D'où cela vient
Informations générales tirées du CBUAE Rulebook, notamment la Retail Payment Services and Card Schemes Regulation (C 15/2021), et de la Cabinet Resolution No. (134) of 2025 telle que publiée, et ne constituant pas un conseil juridique ou fiscal. Les règles et les orientations évoluent ; vérifiez donc le texte en vigueur et les exigences propres à chaque établissement avant de soumettre votre demande.