Blog
Doubao Work: Come le aziende cinesi di AI aziendale possono stabilire operazioni negli UAE
La risposta breve
Doubao Work è un prodotto cinese costruito attorno a un agente che riceve un compito da un utente e lo esegue, anziché un chatbot che si limita a rispondere. Un'azienda che vende questo tipo di prodotto a clienti negli Emirati Arabi Uniti è disciplinata in primo luogo dalla legge federale sulla protezione dei dati personali, il Decreto-Legge Federale n. 45 del 2021, di cui la UAE Data Office è autorità di vigilanza in qualità di regolatore federale dei dati. Il fatto che più spesso decide il percorso è se l'agente leggerà, conserverà o agirà sui dati personali di persone negli Emirati Arabi Uniti, e dove avviene fisicamente tale trattamento.
La normativa sui dati non impedisce la costituzione di una società. Stabilisce che cosa la società deve essere in grado di dimostrare al suo primo cliente enterprise: chi controlla i file e i log, dove si trovano e chi risponde quando l'agente commette un errore.
Per un fornitore estero di AI, tale prova incide sulla scelta dell'entità più di quanto faccia il costo della licenza. Una società che si limita a rivendere dall'estero un servizio in hosting ha una presenza operativa diversa da una che installa l'agente all'interno della rete di un cliente e mantiene ingegneri in sede.
Cosa cambia un agente IA ai sensi del PDPL degli EAU
Un assistente chat vede ciò che l'utente digita. Un agente vede molto di più. Per fissare una riunione, riconciliare una fattura o redigere una relazione, ha bisogno di accedere a caselle di posta, unità condivise, strumenti contabili e talvolta a credenziali. Ciascuno di questi è un luogo in cui risiedono dati personali.
La PDPL federale include nel proprio ambito di applicazione il trattamento di dati personali effettuato, in tutto o in parte, tramite sistemi elettronici. La legge è entrata in vigore il 2 gennaio 2022. In generale collega il trattamento al consenso del proprietario dei dati, con eccezioni elencate, e riconosce alle persone il diritto di chiedere correzioni e di limitare o interrompere il trattamento. Stabilisce inoltre regole per il trasferimento transfrontaliero di dati personali ai fini del trattamento, ovvero la disposizione che un fornitore che esegue modelli al di fuori degli UAE deve leggere con attenzione.
La conseguenza pratica è che un cliente enterprise negli UAE chiederà al fornitore di indicare per iscritto che cosa l'agente può leggere, che cosa conserva, se prompt e output vengono usati per migliorare il modello e quali sub-responsabili del trattamento accedono ai dati. Un fondatore che non sa rispondere a queste domande perderà la commessa prima ancora che si ponga la questione della licenza.
Il Data Office è stato istituito ai sensi del Decreto-legge federale n. 44 del 2021 e fa capo al Consiglio dei Ministri degli UAE. Tra le sue competenze rientrano la redazione della politica in materia di protezione dei dati e l'emanazione di linee guida, per cui la posizione sui dettagli attuativi può cambiare. Verifichi le linee guida vigenti prima di firmare un contratto di hosting.
In hosting, private cloud o on-premises: la scelta che determina l'entità
L'erogazione in hosting è la più leggera. Il fornitore esegue l'agente dalla propria infrastruttura e il cliente effettua l'accesso. La società negli UAE può essere poco più di un'entità di vendita e assistenza, ma la questione del trasferimento dei dati è qui più acuta, perché i dati del cliente lasciano il Paese per impostazione.
L'erogazione in private cloud colloca un'istanza dedicata in una regione cloud approvata dal cliente. Il fornitore continua a gestirla, quindi continua a trattare i dati del cliente, e il contratto deve dirlo.
L'erogazione on-premises colloca il software all'interno dell'infrastruttura del cliente. Le preoccupazioni sul trasferimento transfrontaliero vengono meno per i dati archiviati, ma le sessioni di assistenza da remoto possono riproporle subito. Un tecnico di supporto in un altro Paese che si collega al server di un cliente accede a dati degli UAE dall'estero.
Molti fornitori cinesi di software enterprise offrono tutte e tre le modalità. Dovrebbero formularle ciascuna come allegato distinto del contratto quadro, con condizioni proprie di gestione dei dati, anziché in un unico documento che tenti di coprire ogni caso.
Clienti della sanità, della finanza e della pubblica amministrazione
I settori che spendono di più in automazione dei flussi di lavoro sono anche quelli con regole proprie. Un cliente del settore sanitario porta con sé la Legge federale n. 2 del 2019 sull'uso delle tecnologie dell'informazione e della comunicazione nei settori della salute, che il governo degli UAE descrive come applicabile anche nelle free zones. Banche e compagnie assicurative rispondono alle proprie autorità di vigilanza e trasferiranno al fornitore le proprie condizioni in materia di esternalizzazione. Gli enti governativi acquistano secondo procedure proprie.
Nulla di ciò significa che il fornitore abbia bisogno di una licenza propria. Significa che il team di compliance del cliente inserirà condizioni nel contratto, e il fornitore ha bisogno di un'entità locale in grado di sottoscriverle, di stipulare l'assicurazione e di ricevere la notifica di un'azione legale. Una succursale priva di sostanza che rinvia ogni questione a una capogruppo all'estero tende a bloccarsi nella fase di acquisto.
Un fornitore che vende solo a società private non regolamentate, come rivenditori al dettaglio o aziende logistiche, ha un percorso più leggero. Lo dichiari nel materiale commerciale e riservi i clienti dei settori regolamentati a una seconda fase.
Responsabilità per ciò che fa l'agente
Un agente che invia un'e-mail, sposta un file o presenta un modulo agisce in nome del cliente. Se agisce in modo errato, il cliente farà riferimento al contratto. La legge degli UAE sui reati informatici, il Decreto-legge federale n. 34 del 2021, disciplina i reati commessi tramite tecnologie dell'informazione e reti, e un fornitore il cui agente dispone di credenziali permanenti dovrebbe progettare come se i propri log potessero un giorno essere letti da un investigatore.
Tre scelte di progettazione hanno rilievo giuridico e conviene definirle prima della costituzione:
- Quali azioni l'agente può compiere senza l'approvazione di una persona e quali richiedono un'approvazione preventiva.
- Per quanto tempo le credenziali vengono conservate e se il cliente può revocarle immediatamente.
- A chi appartengono i log e se il fornitore può utilizzarli per addestrare o affinare i modelli.
Una soglia di approvazione chiara è più facile da accettare per il team di gestione del rischio di un cliente rispetto all'affermazione di una piena autonomia.
Scegliere un percorso negli UAE per un fornitore di AI
Una società mainland consente di contrattare direttamente con imprese e committenti governativi degli UAE, motivo per cui i venditori di software enterprise spesso iniziano da lì. Gli assetti in free-zone si adattano a team la cui attività principale è lo sviluppo o l'assistenza da remoto, sebbene ogni zona stabilisca condizioni proprie e l'autorità debba confermare che cosa una società possa fare dai propri locali. Un'entità DIFC fa entrare in gioco la DIFC Data Protection Law, che rileva se la base clienti si trova lì.
Il confronto dipende da dove si trovano i clienti, da dove operano gli ingegneri e dal fatto che la società detenga o meno hardware. Un fondatore che valuta quale giurisdizione si adatti al modello di business dovrebbe presentarsi con risposte a questi tre punti. Conta anche lo status di residenza del team, poiché i visti per il team fondatore dipendono dalla licenza scelta. Legga come funziona Velarozone se desidera vedere come si svolge il processo con il consulente prima di impegnarsi.
Le banche porranno le stesse domande dei clienti: chi possiede la società, chi la finanzia, da dove proverranno i fondi e perché sia necessaria un'entità negli UAE. Un fornitore con un cliente pilota che ha firmato e un diagramma chiaro dei flussi di dati risponde a queste domande più rapidamente di uno che dispone solo di un certificato di costituzione e di un sito web.
In breve
Cosa trarre da questo
- Doubao Work è descritto nella propria pagina come un modo di lavorare in cui l'utente dice a Doubao che cosa fare e l'agente si occupa dell'attività, per cui il prodotto agisce sui sistemi di un cliente.
- La PDPL federale si applica al trattamento elettronico di dati personali all'interno o all'esterno degli UAE, quindi un fornitore che effettua l'hosting all'estero non è al di fuori del suo raggio d'azione.
- L'UAE Data Office è l'autorità federale per i dati. Il DIFC ha una propria Data Protection Law (DIFC Law No. 5 of 2020).
- I clienti del settore sanitario introducono una legge federale distinta sulle ICT nei settori della salute, la Legge federale n. 2 del 2019.
- Le modalità di erogazione in hosting, in private cloud e on-premises richiedono ciascuna un contratto diverso e un diverso mix di personale locale.
- Il PDPL si applica se i nostri modelli funzionano in Cina e non toccano mai server UAE?
- L'ambito di applicazione della legge si estende al trattamento all'interno o all'esterno degli UAE, come indicato dalla pagina del governo degli UAE dedicata alla protezione dei dati. Se Lei tratta dati personali di persone che si trovano negli UAE, preveda che la legge si applichi. Le regole sul trasferimento sono la parte da studiare, e le condizioni vanno lette nella legge e nelle indicazioni aggiornate del Data Office anziché date per scontate.
- Abbiamo bisogno di una licenza per vendere un agente di IA negli UAE?
- La vendita di software non è di per sé un'attività finanziaria o sanitaria soggetta a licenza. Può esserlo ciò che l'agente fa per il cliente. Un agente che effettua pagamenti, gestisce cartelle cliniche dei pazienti o fornisce consulenza professionale può collocare il cliente, e talvolta il fornitore, sotto un'autorità di vigilanza di settore. Metta per iscritto ciò che il prodotto farà e non farà, poi verifichi ciascuna funzione rispetto all'autorità competente.
- La stessa società può servire clienti all'interno del DIFC?
- Il DIFC ha una propria Data Protection Law (DIFC Law No. 5 of 2020), distinta dal PDPL federale. Un fornitore che serve clienti sia onshore sia del DIFC può aver bisogno di clausole contrattuali che rispecchino due regimi. Si rivolga a un consulente legale per sapere come si applicano ai Suoi specifici flussi di dati.
- Che cosa dovremmo mostrare a una banca degli UAE?
- Titolarità e finanziamento, un cliente o una pipeline indicati per nome, e una breve spiegazione del perché esista la società UAE. Includa il riepilogo dei flussi di dati del prodotto, poiché i team di compliance delle banche comprendono una mappa dei dati meglio di una presentazione commerciale. Ciò migliora il fascicolo; non garantisce un conto.
Fonti
Da dove proviene questo
Informazioni di carattere generale tratte dal CBUAE Rulebook, compresa la Retail Payment Services and Card Schemes Regulation (C 15/2021), e dalla Cabinet Resolution No. (134) of 2025 come pubblicata; non costituiscono consulenza legale o fiscale. Norme e orientamenti cambiano: prima dell'invio verifichi il testo vigente e i requisiti propri di ciascun istituto.