Blog
ChatGPT, Claude, Gemini e GLM: costituire in UAE una società di applicazioni IA
La risposta breve
Una società degli UAE che si basa su ChatGPT, Claude, Gemini o GLM prende in affitto la propria capacità di base ma conserva gli obblighi sui dati per ciò che i clienti vi inviano. Il Federal Decree Law No. 45 of 2021, sotto la supervisione dello UAE Data Office, si applica ai titolari e ai responsabili del trattamento negli UAE e a quelli esteri che trattano dati di persone negli UAE. Non si applica alle società in free zone dotate di una propria legge sui dati personali, come quelle del DIFC. La questione che più spesso determina il percorso è se il prodotto si limiti ad assistere un utente o si sostituisca a una decisione in un settore regolamentato come quello bancario, sanitario o legale.
Un assistente di scrittura per team marketing e uno strumento che valuta le richieste di prestito possono condividere la stessa base di codice e richiedere comunque perimetri completamente diversi, perché il secondo prende decisioni che le persone possono contestare.
La società dovrebbe essere costituita in funzione di ciò che contrattualizzerà, deterrà e controllerà. Chi firma con i clienti, chi detiene l'account presso il fornitore, dove si trovano prompt e output e chi risponde quando un modello sbaglia sono i fatti su cui una banca, un investitore e un'autorità competente al rilascio delle licenze faranno domande. Come funziona Velarozone è costruito attorno alla definizione di questi fatti prima di qualsiasi deposito di pratiche.
Che cosa stabiliscono i termini dei provider prima della società
Legga i termini del fornitore come se fossero parte della specifica del Suo prodotto, perché per i Suoi clienti lo sono.
I termini dell'API Gemini di Google tracciano una linea netta tra utilizzo a pagamento e utilizzo gratuito. Per i servizi gratuiti, Google può utilizzare i contenuti inviati e le risposte per migliorare i propri prodotti, e revisori umani possono leggere e annotare input e output dopo che questi sono stati scollegati dall'account, dalla chiave API e dal progetto Cloud. I termini sconsigliano di inviare a tali servizi informazioni sensibili, riservate o personali. Per i servizi a pagamento, Google dichiara di non utilizzare i prompt o le risposte per migliorare i propri prodotti e di conservarne i log per un periodo limitato, al fine di rilevare usi illeciti e di adempiere agli obblighi di divulgazione previsti dalla legge. Una startup che realizza un prototipo con un piano gratuito utilizzando documenti reali dei clienti ha già preso una decisione sui dati, che qualcuno l'abbia messa per iscritto o meno.
Gli stessi termini richiedono che gli utenti dell'API abbiano almeno 18 anni e vietano client API rivolti a persone di età inferiore a 18 anni o ai quali tali persone possano verosimilmente accedere. Vietano inoltre di utilizzare il servizio per sviluppare modelli concorrenti, nonché il reverse engineering o l'estrazione di componenti del modello. Ciò è rilevante se la Sua roadmap prevede di distillare gli output in un modello proprio, cosa che alcuni fondatori considerano lo scopo stesso dell'attività.
GLM proviene dalla piattaforma BigModel di Zhipu AI e ChatGPT da OpenAI. Ciascuno ha le proprie condizioni commerciali, e ciascuno dovrebbe essere esaminato con riferimento agli stessi quattro aspetti: uso dei dati, età minima, limiti all'uso concorrente e cosa accade al Suo servizio se una policy cambia. Un'architettura multi-provider attenua tale rischio. Moltiplica però anche le condizioni con cui devono restare coerenti i contratti con i Suoi clienti.
Il ritiro dei modelli è un problema contrattuale
La documentazione sui modelli di Anthropic mostra quanto possa essere breve la vita di una dipendenza da un modello. Elenca Claude Sonnet 5.5 e Haiku 5.5 con un ritiro "non prima del" 28 settembre 2027 e del 7 ottobre 2027, mentre modelli precedenti come Sonnet 5 e Sonnet 4.6 figurano già in un elenco legacy. Precisa inoltre che Amazon Bedrock e Google Cloud stabiliscono date di ciclo di vita proprie per i modelli che ospitano, ed elenca gli stessi modelli su Claude API, Amazon Bedrock, Google Cloud, Microsoft Foundry e Claude Platform on AWS.
Per una società negli UAE ne derivano due conseguenze. Un contratto con un cliente che promette un modello determinato per una durata fissa è una promessa che il fornitore può rendere vana; le descrizioni del servizio dovrebbero quindi indicare i risultati e riservare il diritto di sostituzione. Inoltre, la via cloud che sceglie determina chi stabilisce la data di ritiro e dove avviene il trattamento, aspetto che incide direttamente sulla questione dei dati trattata di seguito.
Quale legge sui dati personali si applica all'applicazione
La pagina del governo degli UAE sulla protezione dei dati individua il Federal Decree Law No. 45 of 2021 sulla protezione dei dati personali, in vigore dal 2 gennaio 2022. Esso vieta il trattamento dei dati personali senza il consenso del titolare, salvo i casi elencati, impone alle società che detengono dati personali di proteggerli, riconosce ai titolari il diritto di rettificare i dati e di limitare o interrompere il trattamento, e stabilisce requisiti per il trasferimento transfrontaliero e la condivisione. La pagina descrive lo UAE Data Office, istituito ai sensi del Federal Decree Law No. 44 of 2021, come l'autorità federale di regolamentazione responsabile di politiche, standard, sistemi di gestione dei reclami e linee guida attuative. Elenca inoltre il DIFC Data Protection Law (DIFC Law No. 5 of 2020) accanto alla legge federale.
Per un'applicazione di intelligenza artificiale, il lavoro pratico consiste in una mappatura. Quali campi dei clienti raggiungono il fornitore del modello, in quale regione vengono trattati, quali subresponsabili del trattamento (subprocessor) li gestiscono e quale consenso copre ciascuna fase. Una società con clienti all'interno del DIFC potrebbe essere soggetta alla normativa della free zone oltre a quella federale, quindi la scelta della licenza non è neutra a questo riguardo. La pagina federale non spiega come le due interagiscano, pertanto questo punto richiede la valutazione di uno specialista sui fatti concreti.
Dove il prodotto entra in un settore regolamentato
Uno strumento che redige testi per l'approvazione di una persona si trova in una posizione diversa da uno che emette raccomandazioni o esegue transazioni. Il criterio è la funzione. La legge federale sui dati personali si fa da parte dove una legislazione separata tutela i dati sanitari personali o i dati bancari e creditizi personali (Article 2(2)(e) e (f)), e non si applica agli enti governativi (Article 2(2)(b)), perciò quei clienti portano con sé le proprie regole. Se l'applicazione orienta decisioni di credito, tratta informazioni sui pazienti, fornisce conclusioni giuridiche o è usata da un ente governativo, le regole di settore del cliente si ripercuotono sul vostro contratto tramite diritti di audit, richieste di localizzazione dei dati e clausole di responsabilità, anche quando voi non detenete alcuna licenza.
Mettete per iscritto la fase di revisione umana e chi la svolge. L'Article 18 della legge federale consente a una persona di opporsi a una decisione automatizzata che produca un effetto giuridico o pregiudizievole nei suoi confronti, salvo che si fondi su un contratto, su un obbligo di legge o sul suo previo consenso, e impone al titolare del trattamento di includere una persona nella revisione di tali decisioni su richiesta. Le banche e gli acquirenti enterprise chiedono la stessa fase nella due diligence, ed è la prova più chiara che il prodotto assiste e non decide.
Scegliere il percorso societario
Sia una società mainland con licenza diretta sia una società free-zone possono svolgere attività di software e tecnologia, e un'entità di un centro finanziario può essere adatta a un fondatore i cui clienti si trovano all'interno di quel centro. La scelta dipende di norma da dove si trovano i clienti, dalla necessità che il personale ottenga visti di residenza sponsorizzati dall'entità e dalla eventualità che un cliente pretenda i tribunali e le norme sui dati di una particolare giurisdizione.
La questione strutturale più utile è dove si colloca la proprietà intellettuale. Se prompt, set di valutazione e configurazioni di fine-tuning sono stati realizzati da collaboratori esterni o da una capogruppo estera, le cessioni dovrebbero essere formalizzate prima che la società degli UAE venga presentata a una banca o a un investitore come loro titolare.
In breve
Cosa trarre da questo
- La normativa sui dati personali segue il cliente, non il server: il Decree Law 45 of 2021 riguarda i dati di persone negli UAE anche quando il titolare del trattamento o il fornitore del modello si trova all'estero, salvo che si applichi invece una legge di una free zone come quella del DIFC.
- I termini dei fornitori divergono sulla possibilità di utilizzare i prompt dei clienti per migliorare i modelli del fornitore, e la differenza dipende spesso dal fatto che si paghi o meno.
- I modelli vengono ritirati secondo calendari pubblicati; i contratti con i clienti non dovrebbero quindi indicare un singolo modello come funzionalità permanente.
- Vendere a settori come finanza, sanità, legale o pubblica amministrazione comporta di solito l'intervento di un'autorità di settore a cui il fornitore del software non si sottrae.
- Prompt, flussi di lavoro e configurazioni di fine-tuning richiedono una documentazione che attesti la titolarità, in particolare quando sono stati realizzati da collaboratori esterni.
- Sia le società mainland sia quelle free-zone possono svolgere questa attività; la scelta del veicolo societario conta quindi meno dei contratti che esso sottoscrive.
- Utilizzare un fornitore estero di modelli significa che la società non possiede nulla?
- No, ma la titolarità è più circoscritta di quanto i fondatori ritengano. La società può essere titolare del proprio codice, dei prompt, dei flussi di lavoro, dei dati di valutazione e dei rapporti con i clienti. Non è titolare del modello e deve accettare così come sono i termini d'uso del fornitore, compresi i limiti alla creazione di modelli concorrenti.
- I prompt dei clienti devono rimanere negli UAE?
- Non come regola generale. La legge federale consente il trasferimento all'estero verso giurisdizioni che lo UAE Data Office ha approvato come dotate di protezione adeguata (Article 22). In caso contrario lo consente per i motivi elencati, come un contratto che vincoli il destinatario agli standard della legge, il consenso esplicito della persona o la necessità di eseguire un contratto con la persona (Article 23). I clienti governativi e finanziari possono imporre la localizzazione per contratto, perciò la risposta è spesso stabilita dal cliente, non dalla legge.
- Un piano gratuito è accettabile per i primi progetti pilota con i clienti?
- Secondo i termini di Google, l'uso gratuito può alimentare il miglioramento del prodotto e la revisione umana, e i termini sconsigliano di inviare informazioni sensibili o personali. I progetti pilota con dati reali dei clienti dovrebbero essere condotti con termini a pagamento, con il regime dei dati concordato per iscritto.
- Che cosa dovrebbe prevedere il contratto con il cliente in merito alle modifiche dei modelli?
- Descrivere il servizio in termini di risultato, riservarsi il diritto di modificare o sostituire i modelli sottostanti e indicare chi sopporta i tempi di inattività quando un fornitore ritira o limita un modello. I calendari di ritiro sono pubblicati, perciò un contratto che li ignora non ha giustificazioni.
Fonti
Da dove proviene questo
Informazioni di carattere generale tratte dal CBUAE Rulebook, compresa la Retail Payment Services and Card Schemes Regulation (C 15/2021), e dalla Cabinet Resolution No. (134) of 2025 come pubblicata; non costituiscono consulenza legale o fiscale. Norme e orientamenti cambiano: prima dell'invio verifichi il testo vigente e i requisiti propri di ciascun istituto.