Mise en place d'une plateforme d'agent IA pour des secteurs réglementés aux Émirats arabes unis

Le critère est l'activité que l'agent est autorisé à exercer, et non le secteur auquel il est vendu. Un agent qui rédige une note de crédit qu'un chargé de prêts signera diffère de celui qui approuve le prêt ; un agent qui signale une opération suspecte diffère de celui qui la passe. Dès que l'agent passe du soutien à l'exécution d'une activité autorisée, le régulateur de cette activité détermine la voie : la CBUAE pour les activités bancaires, de prêt et de paiement ; la CMA pour les activités de valeurs mobilières et de matières premières en zone continentale ; la DFSA pour les services financiers exercés depuis le DIFC ; la FSRA pour les services financiers exercés depuis l'ADGM ; et la VARA pour les activités d'actifs virtuels exercées à Dubaï en dehors du DIFC. Une plateforme qui sert plusieurs de ces clients à la fois (une banque de la zone continentale, un fonds du DIFC, une plateforme d'échange sous la VARA) répond généralement à plus d'un régulateur, et non à une seule licence qui couvrirait tous les cas. Les fondateurs qui construisent pour des clients d'actifs virtuels doivent traiter la voie d'installation VARA comme un parcours distinct d'un projet fintech classique, car les deux régulateurs vérifient des choses différentes. Pour le conseil en investissement automatisé, le guide du robo-conseiller explique la frontière entre conseil et gestion discrétionnaire.

Deux obligations s'appliquent avant même qu'un régulateur sectoriel n'entre en jeu. Le décret-loi fédéral n° 45 de 2021 relatif à la protection des données personnelles, en vigueur depuis le 2 janvier 2022, interdit de traiter des données personnelles sans le consentement de leur titulaire, sauf cas limités, et cela vaut pour tout ce que l'agent collecte, stocke ou partage, même si la plateforme n'a jamais besoin d'une licence financière ou d'une licence d'actifs virtuels. Le Bureau des données des Émirats fait office de régulateur fédéral des données. Par ailleurs, le Conseil de cybersécurité des Émirats fixe la posture nationale de cybersécurité attendue des systèmes qui traitent des données sensibles ou critiques, ce qu'un agent disposant d'un accès permanent aux dossiers clients, aux dossiers de santé ou aux circuits de paiement sera probablement considéré être. Les deux obligations tiennent à ce que le système touche réellement, et non à sa catégorie de licence ou à une description du produit comme « simple logiciel ». Pour une structure qui octroie ou détient des prêts par l'intermédiaire d'une SPV, le guide du crédit privé et de la titrisation explique quel régulateur autorise chaque fonction.

Une banque qui ouvre un compte, ou un client réglementé qui intègre la plateforme, souscrit aux autorisations de l'agent, et non à son argumentaire. Avant que cette discussion ne commence, soyez prêt à présenter une matrice des autorisations d'outils (ce que l'agent peut appeler, et à quelle condition), une cartographie des flux de données et de leur conservation, le seuil d'approbation humaine pour chaque catégorie d'actions, ainsi que la manière dont les erreurs sont détectées et corrigées. La préparation à l'ouverture d'un compte bancaire pour ce type de plateforme dépend de la cohérence de ces quatre documents entre eux et avec le contrat client, et non de la taille de la présentation commerciale. Un décalage entre ce que la documentation commerciale affirme que l'agent fait et ce que la matrice des autorisations lui permet réellement est le moyen le plus rapide de bloquer à la fois l'examen d'une banque et le processus d'achat d'un client réglementé.

L'entité qui signe le contrat client doit être celle qui détient la fonction de conformité, et non une coquille faiblement dotée en personnel, le travail réel étant mené ailleurs dans le groupe. Lorsque l'activité sous-jacente est réglementée, le régulateur attendra qu'une personne responsable de la conformité, nommée et répondant aux critères d'honorabilité et de compétence (fit and proper), soit désignée avant d'autoriser l'activité : le rôle précis et le test varient selon le régulateur et sont confirmés au regard de la demande en cours, et non publiés ici sous forme de liste figée. Les groupes qui servent à la fois des clients réglementés par le DIFC ou l'ADGM et des clients onshore ont généralement besoin d'entités distinctes pour chacun, car les règles de la DFSA, de la FSRA et celles applicables aux sociétés onshore des Émirats arabes unis ne sont pas interchangeables. C'est le moment où il vaut généralement mieux mettre en place correctement une structure d'actionnariat réglementée ou complexe, plutôt que de la greffer après que le premier client réglementé l'a demandée.

Le coût se construit par couches plutôt qu'en un seul chiffre global (l'entité, toute autorisation sectorielle et les fonctions de conformité mentionnées ci-dessus ont chacune leur propre coût), et les honoraires de service Velarozone pour assembler le tout sont détaillés dans la lettre de mission ; voir comment fonctionne Velarozone.

Une fois le régulateur et le modèle opérationnel arrêtés, la constitution suit plutôt qu'elle ne précède : une entité DIFC ou ADGM si l'activité relève du périmètre de ce centre financier, une entité mainland ou en free zone dans le cas contraire. Les obligations d'immatriculation et de déclaration en matière d'impôt sur les sociétés auprès de la Federal Tax Authority (FTA) s'appliquent à l'entité exploitante, quelle que soit la voie choisie, et les renouvellements de licence, les quotas de visas et toute autorisation sectorielle se renouvellent généralement selon des cycles annuels distincts qu'il faut suivre ensemble, et non après coup une fois l'activité lancée. Pour les modalités de la constitution elle-même, voir la constitution d'une société aux Émirats arabes unis étape par étape.