Mise en place d'une société d'hébergement d'IA souveraine ou privée aux Émirats Arabes Unis

Aucune catégorie de licence aux Émirats ne s'appelle « hébergement d'IA souverain ». La licence commerciale vient du Département de l'économie et du tourisme (DET) de la zone continentale ou de l'autorité de zone franche compétente, au titre de l'activité commerciale qui convient. Ce qui place l'activité sous une surveillance supplémentaire, c'est le détail de ce qui est promis, et non l'étiquette de la licence. Un service qui détient ou traite des données personnelles relève des règles émiriennes de protection des données et de transfert transfrontalier ; un service dont l'infrastructure ou le rôle réseau dépasse la fourniture cloud ordinaire peut relever de la compétence de l'Autorité de régulation des télécommunications et du gouvernement numérique (TDRA) ; et chaque prestataire doit maintenir sa posture de sécurité selon les normes que publie le Conseil de cybersécurité des Émirats, qu'une certification précise soit ou non obligatoire pour le modèle choisi. La vente à des acheteurs publics ou de secteurs réglementés peut ajouter des conditions d'habilitation de sécurité ou d'achat fixées par l'acheteur, et non par une loi générale. Une société qui vend des capteurs et des logiciels à des exploitations agricoles est traitée dans le guide de l'agritech.

La protection des données dépend de la question de savoir si l'entreprise stocke ou traite des données personnelles sur ses systèmes ; dans ce cas, le cadre fédéral de protection des données impose des obligations de sécurité, de consentement et de transfert transfrontalier, quel que soit l'emplacement du matériel, de sorte que « les données ne quittent jamais les Émirats » est un engagement de conception, et non une règle juridique par défaut. La frontière entre télécoms et cloud ne repose pas sur une liste de contrôle publiée : la TDRA régule les activités de télécommunications et de gouvernement numérique, mais la nécessité d'un échange distinct avec la TDRA pour un modèle d'hébergement dépend de ce qu'il contrôle sur le plan opérationnel. Le Conseil de cybersécurité fixe la stratégie nationale de cybersécurité et une orientation d'accréditation à laquelle les prestataires doivent s'aligner, sans nommer une certification que tout hébergeur d'IA doit détenir. Traitez chacun de ces points comme une question à poser au régulateur ou à un conseil juridique, et non comme une case cochée par la constitution de la société. Pour une société qui entraîne ses propres modèles, le guide des sociétés d'IA générative traite de la licence, des coûts et de la propriété des données d'entraînement et des poids.

Quatre modèles opérationnels couvrent l'essentiel de ce secteur : l'hébergement dédié mono-locataire, une appliance privée sur le site du client, un cloud souverain géré avec exploitation locale, ou un modèle hybride réparti entre l'infrastructure du client et celle du prestataire. Lorsque plusieurs d'entre eux s'appliquent, une société unique tient rarement la route. Les prêteurs et les clients de référence souhaitent souvent que l'entité propriétaire des actifs soit cloisonnée du risque commercial, et une entité distincte pour la contractualisation avec les clients est courante. C'est la configuration traitée dans la mise en place de structures à actionnariat réglementé et complexe : un propriétaire d'actifs, un exploitant et parfois une entité contractante, chacun justifiant sa place.

L'entité qui signe le contrat client doit s'appuyer sur de vraies personnes derrière l'affirmation de souveraineté, et non sur une simple adresse enregistrée. Les effectifs locaux et un modèle d'accès privilégié (qui peut administrer l'environnement, depuis où, avec quelle journalisation) sont ce qu'une banque, un prêteur ou un acheteur grand compte demande à voir nommément, ainsi que la personne qui porte la responsabilité si le modèle se comporte de façon inattendue ou si le service est interrompu. Le contrôle des clés de chiffrement, et la question de savoir si les poids de modèles sont dédiés, partagés ou détenus par le client, sont des choix commerciaux qui, une fois inscrits dans un contrat, deviennent des faits que l'entreprise doit disposer des effectifs nécessaires pour soutenir.

Ce sont les banques, les prêteurs et les clients d'ancrage qui garantissent le projet, pas la licence commerciale. Avant que le travail de préparation bancaire ne commence, soyez prêt à présenter un schéma des flux de données et des contrôles d'accès, le registre des sous-traitants, une feuille de route d'assurance sécurité, et une annexe contractuelle précisant les contrôles de résidence réellement vendus. Lorsque le matériel ou la capacité énergétique sont financés par emprunt plutôt que par du capital libéré, les prêteurs voudront aussi que les preuves d'origine des fonds soient testées tôt, et non au moment du tirage. Le récit relatif au site, le récit relatif au financement et le récit relatif au client doivent se recouper dans le plan d'affaires, le modèle financier et le dossier bancaire ; cette cohérence élimine les questions évitables, mais ne garantit ni un compte, ni un financement, ni une approbation.

Le coût ici dépend du site, de l'énergie, du matériel et des personnes derrière l'affirmation de souveraineté, et non de l'entité elle-même ; il n'existe donc pas de chiffre global unique qui ait un sens. Les honoraires de service Velarozone sont détaillés dans la lettre de mission ; voir comment fonctionne Velarozone pour les différentes composantes d'un budget de constitution complet.

L'erreur la plus coûteuse reste de comparer les frais de constitution. Comparez plutôt des parcours complets : le coût de la première année et du renouvellement, les dépendances en matière d'approbation, et le coût d'une restructuration une fois le matériel installé en baie et un engagement de souveraineté déjà signé.

L'enregistrement est l'étape rapide et rarement la contrainte. Ce qui suit a sa propre séquence (confirmation du site et des utilités, achats, intégration auprès des prêteurs, tests de sécurité, puis lancement), chacune avec un délai que la date de la licence ne reflète pas. Les locaux et la capacité en matière d'immigration doivent correspondre aux effectifs et au modèle d'accès privilégié effectivement promis : une affirmation de souveraineté reposant sur des administrateurs nommément désignés et basés aux UAE exige des visas et des bureaux dimensionnés pour cette équipe. Après le lancement : renouvellement de la licence, déclarations auprès de la Federal Tax Authority (FTA), toute position vis-à-vis de la TDRA ou en matière de protection des données à réexaminer si la clientèle évolue, hausses de loyer, et le cycle d'assurance de sécurité qu'une affirmation de souveraineté doit continuer à démontrer, et non simplement affirmer une fois.