Comment créer une entreprise de sécurité, d'évaluation ou d'audit de modèle d'IA aux Émirats arabes unis

L'autorité de délivrance de licences (un Department of Economy and Tourism de mainland ou une autorité de free zone) décide si la société existe et sous quelle activité commerciale elle peut se décrire. Cette autorité ne teste pas et n'approuve pas la qualité d'une évaluation d'IA.

Deux périmètres distincts s'ajoutent à la licence. Le droit des Émirats arabes unis (UAE) relatif à la protection des données régit la manière dont la société peut collecter, traiter, conserver et transférer les données personnelles qui lui parviennent au cours d'une mission : données d'entraînement de modèles, dossiers de clients, ou résultats contenant des informations personnelles. Lorsque les tests de la société consistent à sonder activement un système en production pour y déceler des failles, ce travail relève des règles de cybersécurité et d'accès non autorisé ; tester sans l'autorisation écrite du propriétaire du système n'est donc pas une zone grise à résoudre par une description de licence assurée.

La UAE Telecommunications and Digital Government Regulatory Authority (TDRA) réglemente les infrastructures de télécommunications et de gouvernement numérique ; lorsqu'une évaluation touche des services TIC ou de télécommunications réglementés, demandez directement à la TDRA si ses règles s'appliquent avant de décrire ce travail sur la licence. Le UAE Cyber Security Council fixe la stratégie nationale de cybersécurité et coordonne la politique entre les secteurs ; c'est l'organisme auquel s'adresser pour savoir comment la politique nationale de cyber-risque affecte une activité de test ou d'assurance, plutôt qu'un guichet de délivrance de licences au quotidien. Considérez les deux comme des autorités à interroger directement, et non comme une réponse arrêtée que ce guide pourrait donner à l'avance.

La UAE Strategy for Artificial Intelligence 2031 fixe l'orientation fédérale en matière d'adoption et de gouvernance de l'IA ; c'est un document de politique publique, et non un régime de délivrance de licences, de sorte qu'il ne crée pas en lui-même de catégorie d'approbation à laquelle une société d'évaluation pourrait candidater. Les exigences pratiques qui s'imposent réellement à l'activité relèvent du droit des Émirats arabes unis (UAE) relatif à la protection des données : la manière dont les données personnelles sont traitées, sur quelle base juridique, pendant combien de temps elles sont conservées, et ce qu'il en advient à la fin d'une mission. Construisez la réponse relative au traitement des données à partir de la source officielle de protection des données elle-même, et non d'un modèle générique de politique de confidentialité, car un évaluateur qui reçoit des données d'entraînement, des prompts ou des résultats contenant des informations personnelles est un sous-traitant à part entière aussi longtemps qu'il détient ces données.

Lorsque l'évaluation implique de tester activement un système en production, obtenez et versez au dossier le périmètre et l'autorisation écrits du client avant le début du travail, et conservez-les. Ce document est aussi ce qu'une banque, un assureur ou une contrepartie demandera à voir en premier.

Les banques et les grands clients demanderont quelles données la société manipule, à qui appartiennent les constats des tests, et si les affirmations de la société sur son indépendance ou sa certification peuvent être démontrées par un contrat plutôt que par une formule marketing. Un cahier des charges signé décrivant la méthodologie d'évaluation, son périmètre et ses limites est la pièce la plus solide du dossier.

À préparer avant l'ouverture du compte :

Le travail sur la préparation du compte bancaire d'entreprise expose comment ce dossier de preuves est constitué et rapproché du modèle financier avant que la banque ne le voie. Le coût se construit par couches, et les honoraires propres de Velarozone sont détaillés dans la lettre de mission plutôt que publiés comme un chiffre mis en avant ; comment fonctionne Velarozone expose la démarche.

Décidez, avant la constitution, si la société émet des avis, des notations ou des attestations en son propre nom, ou si elle se borne à soutenir les tests internes d'un client. Le premier rôle entraîne une exposition à la responsabilité professionnelle que le second n'a pas, et les assureurs tarifient les deux très différemment. Désignez qui, au sein de la société, répond de la validation de tout rapport destiné au conseil d'administration, au régulateur ou à l'auditeur d'un client, et conservez au dossier la compétence et la situation de conflit d'intérêts de cette personne, et pas seulement dans un CV.

Lorsqu'une société mère étrangère détient la méthodologie d'évaluation, l'accréditation ou la marque, et que l'entité des Émirats arabes unis fournit le service localement, la chaîne de détention et de licences entre les deux exige le même soin que n'importe quelle franchise de services techniques ; voir montage de détention réglementée et complexe. Un plan d'affaires et une documentation d'appui rédigés sont l'endroit où la méthodologie, les rôles et le budget sont reliés avant qu'une banque ou un investisseur ne les voie.

Les évaluateurs spécialisés et les testeurs de sécurité qui ne sont pas ressortissants des Émirats arabes unis ou du CCG ont besoin de leurs propres visas de résidence, rattachés à l'entité titulaire de la licence ; confirmez le quota et la catégorie de visas auprès de l'autorité de licences avant de figer les plans de recrutement. Les environnements de test sécurisés et les données de clients hébergées sur le sol des Émirats arabes unis soulèvent des questions de résidence et de suppression des données, auxquelles il faut répondre une fois, par écrit, et qu'il faut appliquer de manière cohérente plutôt que de trancher à nouveau pour chaque client. Les renouvellements de licence et les éventuelles confirmations sectorielles suivent leurs propres cycles ; suivez-les séparément des dates de début et de fin de chaque mission client.