Comment structurer une société de modèle fondation ou d'IA générative aux Émirats Arabes Unis

Aucun régulateur dédié à l'IA ne délivre de licence à une société UAE de modèles de fondation ou d'IA générative. L'immatriculation commerciale suit la même voie que pour toute autre entreprise technologique : la création d'une société mainland auprès de l'autorité de licence mainland compétente, ou une structure en free zone. Ce qui change la donne, c'est ce que le modèle touche réellement. Les données personnelles utilisées pour l'entraînement, le fine-tuning ou l'inférence font entrer la loi fédérale des UAE sur la protection des données dans le champ. Une infrastructure qualifiée de critique y fait entrer les normes du Cyber Security Council. Et si les sorties du modèle alimentent un secteur réglementé (conseils de santé, recommandations financières, contenus médiatiques), le régulateur propre à ce secteur s'ajoute au test de périmètre, en plus de la licence commerciale. L'autorité de licence décide que la société peut exercer son activité ; elle ne décide pas que la société peut traiter les données sur lesquelles elle veut entraîner son modèle, ni que son infrastructure satisfait aux exigences de cybersécurité.

La loi fédérale des UAE sur la protection des données régit la manière dont les données personnelles sont collectées, utilisées et transférées dès lors qu'elles entrent dans une chaîne d'entraînement ou de fine-tuning, et les obligations s'attachent au traitement lui-même, et non à l'étiquette d'IA du produit. Un modèle entraîné, même en partie, sur des données personnelles exige une base légale documentée pour ce traitement, ainsi qu'une position sur tout transfert de ces données hors des UAE, avant que le jeu de données ne soit utilisé, que le produit soit appelé modèle de fondation, fine-tuning ou enveloppe d'API. Par ailleurs, le Cyber Security Council fixe la stratégie et les normes nationales de cybersécurité qui s'appliquent dès lors que l'infrastructure de calcul ou d'hébergement est considérée comme faisant partie des systèmes critiques des UAE. Une société d'IA générative qui exploite sa propre infrastructure d'entraînement ou d'inférence à une échelle significative doit s'attendre à être évaluée au regard de ces normes, et non d'une politique informatique interne générique, et ne doit pas supposer que les certifications propres d'un fournisseur de cloud règlent cette question à sa place.

Les banques et les acquéreurs de paiement qui évaluent une société d'IA regardent au-delà de la licence, vers les contrats qui la sous-tendent : à qui la puissance de calcul est facturée, comment les revenus d'API ou d'abonnement sont effectivement encaissés, et si l'entité qui signe les contrats clients est la même que celle qui détient le modèle et les droits sur les données. Une société holding qui détient les poids, aux côtés d'une société d'exploitation qui facture les clients, est courante dès qu'un modèle passe du prototype au revenu, mais chacune a besoin de ses propres contrats, de son propre mandat bancaire et de sa propre position en matière de prix de transfert, et non d'un compte partagé tenant lieu de l'un et de l'autre. L'ouverture de compte avance plus vite lorsque la fiche du modèle, le registre des droits sur les jeux de données et les contrats de calcul sont prêts avant le début de la discussion avec la banque, ce qui constitue le travail préparatoire de la préparation au compte bancaire d'entreprise. Le coût se construit ici par couches plutôt que sous la forme d'un chiffre unique, puisque les contrats de calcul et les effectifs d'ingénierie éclipsent généralement tout frais d'administration ; les honoraires de service Velarozone sont détaillés dans la lettre de mission ; voir comment fonctionne Velarozone pour la présentation de cette décomposition.

Chaque contributeur à un modèle (fondateurs, salariés, prestataires, et tout mainteneur open source dont le code ou les poids ont été intégrés) doit faire l'objet d'une cession de propriété intellectuelle ou d'une licence documentée avant que le modèle puisse être traité comme un actif de la société plutôt que comme un actif contesté. Lorsque l'entraînement a utilisé des données personnelles, quelqu'un au sein de la société doit être responsable de la position en matière de protection des données, même dans une petite équipe où cette personne exerce aussi une autre fonction. Les structures de groupe qui séparent une entité détentrice de la propriété intellectuelle d'une société d'exploitation, ou qui font entrer des investisseurs dans plus d'une juridiction, relèvent des structures à actionnariat réglementé et complexe, et la chaîne de propriété doit être documentée de la même manière que le modèle lui-même, au moyen de plans d'affaires et de documents qu'une banque ou un client grand compte peut lire et sur lesquels il peut s'appuyer.

Une fois l'entité constituée, la licence se rattache à des étapes opérationnelles que l'étiquette d'IA ne modifie pas. La capacité de visas est liée à l'establishment card et doit couvrir les ingénieurs, le personnel chargé de la sécurité et de la conformité qui exploitent réellement le modèle, et pas seulement un effectif théorique. Une adresse enregistrée est requise, que le calcul soit situé sur le sol des UAE ou chez un fournisseur de cloud étranger. L'enregistrement à l'impôt sur les sociétés auprès de la Federal Tax Authority (FTA) suit les mêmes règles fédérales que pour toute autre société des UAE ; il n'existe pas de catégorie IA distincte. Le renouvellement est aussi le moment de revérifier la position en matière de protection des données et de propriété intellectuelle, car un modèle réentraîné, affiné davantage ou ouvert à de nouveaux clients depuis le dernier renouvellement peut être sorti du périmètre enregistré lors de la constitution.