Blog
OpenRouter e Gateways AI Multi-Model: Strutturare una Piattaforma di Instradamento AI negli Emirati Arabi Uniti
La risposta breve
Un gateway AI multi-modello come OpenRouter, ossia un'unica API davanti a molti modelli con instradamento e meccanismi di fallback, può essere gestito da una società degli UAE come software. Vendere l'utilizzo tramite credito prepagato è diverso: lo Stored Value Facilities Regulation della Banca centrale degli UAE (Central Bank of the UAE, CBUAE) richiede una licenza preventiva per emettere uno stored value facility, salvo che si applichi un'esenzione. I prompt possono inoltre contenere dati personali, perciò il Federal Decree-Law No. 45 of 2021 si applica comunque al gateway.
Il Federal Decree-Law No. 45 of 2021, la Personal Data Protection Law, si applica ai dati personali trattati in tutto o in parte con sistemi elettronici, all'interno o all'esterno degli UAE. È entrato in vigore il 2 gennaio 2022. Il prompt di un cliente può contenere nomi, indirizzi email o dati di account, quindi la legge raggiunge il vostro gateway non appena questo instrada quel traffico.
Il fatto che determina la struttura è chi detiene il denaro del cliente. Se i clienti ricaricano un saldo presso di voi e lo utilizzano a fronte dell'uso dei modelli, potreste emettere uno stored value facility. Il regolamento della Central Bank of the UAE (CBUAE) richiede che tale float sia depositato su conti segregati presso banche autorizzate, separato dai fondi propri dell'emittente, e la CBUAE e la vostra banca valuteranno questo aspetto prima ancora del vostro software.
Che cosa fa davvero un gateway di routing e dove si colloca l'esposizione legale
La documentazione di OpenRouter descrive il prodotto in modo semplice. Un unico endpoint, `/api/v1/chat/completions`, dà accesso a centinaia di modelli. Può essere usato dall'SDK di OpenAI come sostituto diretto. Le richieste sono instradate verso l'opzione più conveniente in termini di costo, e i fallback avvengono automaticamente. I clienti Business ed Enterprise possono usare un endpoint separato della regione UE con modelli idonei per l'UE.
Per un fondatore negli UAE, tre di queste funzionalità si traducono in obblighi. L'instradamento significa che Lei sceglie quale fornitore vede il prompt di un cliente, quindi decide dove vanno i dati personali. I fallback significano che un prompt inviato a un fornitore può essere reinviato a un altro quando il primo fallisce, quindi la Sua descrizione dei flussi di dati deve coprire il percorso di fallback e non solo la prima scelta. L'endpoint regionale mostra che cosa Le chiederanno i grandi clienti: un modo per mantenere il traffico all'interno di un'area geografica dichiarata.
Un gateway che dichiara ai clienti "i vostri prompt non lasciano mai la regione X" deve poterlo dimostrare anche per il percorso di fallback. Ciò significa una mappa dei dati che elenchi ogni fornitore e ogni regione che un prompt può raggiungere, mantenuta allineata al contratto firmato con ciascuno di essi.
Crediti prepagati e norme della Banca Centrale sugli strumenti a valore memorizzato
Il software che addebita un canone mensile è semplice. Un gateway che vende l'utilizzo dei modelli in anticipo non lo è, perché il cliente paga Lei per primo e Lei paga i fornitori più tardi. Nell'intervallo Lei detiene il loro denaro.
Il criterio è la definizione della Banca centrale. Uno stored value facility è uno strumento in cui un cliente versa denaro a un emittente in cambio della custodia di tale valore e dell'impegno dell'emittente a fornire beni o servizi, o a effettuare pagamenti, quando il valore viene utilizzato. Emettere o gestire uno stored value facility negli UAE richiede una licenza preventiva della CBUAE, salvo il caso di uno strumento a finalità unica in cui sia l'emittente stesso a fornire i beni o i servizi. La Banca centrale può inoltre esentare gli strumenti utilizzabili solo presso l'emittente o presso fornitori che abbiano un accordo con esso. Una via di esenzione si applica solo finché il float resta pari o inferiore a AED 500,000 e i clienti sono 100 o meno, e richiede una sperimentazione nella sandbox del CBUAE FinTech Office. Stabilire se il credito che acquista l'utilizzo di modelli di terzi conti come servizio proprio dell'emittente è una questione da porre alla CBUAE, non qualcosa da dare per scontato. Un emittente autorizzato deve avere un capitale versato di almeno AED 15,000,000. Deve detenere il float, cioè i fondi prepagati dei clienti, su conti segregati presso banche autorizzate, separati dai propri fondi. Progettate il prodotto di credito in modo che la risposta sia deliberata, e sottoponetelo alla CBUAE e alla vostra banca prima del lancio.
Un acquirer di carte vorrà sapere se il saldo è rimborsabile, se può essere speso solo per il Suo servizio e se CBUAE è stata consultata. La guida ai payment gateway e ai merchant acquirer spiega come un processore valuti un'attività che incassa pagamenti ricorrenti con carta a fronte di un saldo digitale.
Ciò che i suoi fornitori le consentono di promettere
Un gateway può trasmettere solo ciò che i suoi fornitori a monte consentono. I termini dei fornitori variano su quattro punti rilevanti per un rivenditore:
- Se l'utilizzo possa essere rivenduto in assoluto, e con quale marchio.
- Se i prompt o gli output possano essere memorizzati nella cache o conservati.
- Se il fornitore conservi i dati dei clienti o li usi per l'addestramento, e se esista la possibilità di opt-out.
- Se il fornitore possa modificare prezzi, limiti di frequenza o disponibilità dei modelli senza preavviso.
La documentazione di OpenRouter non descrive una policy di conservazione dei dati nella pagina principale e rimanda a pagine separate per il trattamento dei dati. È tipico: la risposta si trova nei termini del fornitore, non nella descrizione del prodotto. Legga ciascun contratto a monte e metta per iscritto ciò che può offrire con onestà. Se un fornitore conserva i prompt e un altro no, una singola frase rivolta al cliente che prometta «nessuna conservazione» è falsa.
La stessa logica vale per l'uptime. Può offrire i fallback. Non può garantire che ogni modello resti disponibile, perché non controlla i modelli. Formuli i livelli di servizio in riferimento alla Sua piattaforma e indichi la dipendenza dai fornitori.
Dati personali e UAE Data Office
Il Federal Decree-Law No. 45 of 2021 è entrato in vigore il 2 gennaio 2022. Secondo la sintesi del Governo degli UAE, esso riguarda i dati personali trattati interamente o parzialmente con sistemi elettronici, all'interno o all'esterno degli UAE, richiede in genere il consenso del proprietario dei dati per il trattamento, riconosce alle persone il diritto di rettificare i dati e di limitare o interrompere il trattamento, e stabilisce requisiti per il trasferimento e la condivisione transfrontaliera dei dati personali. L'UAE Data Office, collegato al Consiglio dei Ministri (Cabinet), è l'autorità federale per i dati.
Per un gateway, le conseguenze pratiche sono le seguenti:
- È probabile che agiate come responsabile del trattamento per i vostri clienti, quindi il contratto con ciascun cliente deve indicarlo e descrivere ciò che fate con i dati.
- Instradare un prompt verso un fornitore estero è un trasferimento transfrontaliero che dovrebbe essere riportato nei vostri registri e nelle condizioni applicate ai clienti.
- Le entità delle free zone e dei centri finanziari possono essere soggette a proprie leggi sui dati (il DIFC ha una legge separata sulla protezione dei dati), quindi verificate quale regime comporta la zona che avete scelto.
I clienti enterprise nei settori regolamentati possono aggiungere proprie richieste di localizzazione dei dati. Chiedetele nel corso del processo di vendita, non dopo la firma del contratto.
Scegliere l'entità: mainland, free zone o una zona tecnologica
Un gateway esclusivamente software, con un piccolo team e clienti in tutto il mondo, si adatta spesso a una società in free zone con una licenza tecnologica o commerciale. Un gateway i cui principali clienti sono imprese degli UAE, o che intende contrattare direttamente con acquirenti collegati al governo, può preferire una licenza mainland. Nessuna delle due scelte elimina la questione del credito: lo Stored Value Facilities Regulation definisce lo Stato come gli UAE esclusi i Financial Free Zones, quindi una normale società in free zone o mainland che vende credito prepagato rientra nell'ambito da esso coperto. La guida alla scelta tra free zone e mainland illustra i compromessi in termini di ubicazione dei clienti, locali e visti.
Se ospitate anche modelli aperti sulla vostra infrastruttura, le questioni operative si spostano verso un'attività cloud, trattata nella guida al cloud managed service provider. Se addestrate o perfezionate modelli in proprio, la guida alla società di foundation model è più vicina alla vostra posizione. Prima di scegliere, un fondatore può vedere come funziona Velarozone quando valuta insieme progettazione del credito, flussi di dati ed entità.
In breve
Cosa trarre da questo
- La promessa centrale di una società gateway è un unico endpoint, molti modelli. La documentazione di OpenRouter descrive un unico endpoint di chat completions, l'instradamento verso l'opzione più conveniente in termini di costi e fallback automatici.
- Vendere l'utilizzo tramite credito prepagato può renderVi l'emittente di uno stored value facility, che richiede una licenza preventiva della CBUAE salvo esenzione. Un abbonamento software mensile non custodisce anticipatamente valore del cliente.
- I prompt instradati attraverso la vostra piattaforma possono contenere dati personali, il che richiama il Federal Decree-Law No. 45 of 2021 e l'UAE Data Office.
- I fornitori di modelli stabiliscono le condizioni su rivendita, caching e conservazione dei dati; il vostro contratto con i clienti può promettere soltanto ciò che i vostri fornitori consentono.
- Gli acquirenti enterprise chiederanno dove vengono trattati i dati e quali sub-responsabili del trattamento li vedono prima di chiedere il prezzo.
- Serve una licenza per rivendere l'accesso ai modelli?
- Una sola attività di licenza software può non coprire la rivendita dell'utilizzo tramite credito prepagato. Se i clienti pagano in anticipo per un valore custodito, lo Stored Value Facilities Regulation della CBUAE richiede una licenza preventiva, salvo che lo strumento sia a finalità unica o la Banca centrale lo esenti. Definite prima la struttura del credito, poi sottoponete la questione alla CBUAE e alla vostra banca.
- Il Federal Decree-Law No. 45 of 2021 si applica se i nostri server si trovano fuori dagli UAE?
- La sintesi del Governo degli UAE afferma che la legge si applica al trattamento elettronico di dati personali all'interno o all'esterno degli UAE. Se avete clienti negli UAE o un'entità negli UAE che gestisce i loro prompt, consideratela applicabile e richiedete una consulenza sui dettagli.
- Possiamo promettere ai clienti che i loro dati non vengono usati per l'addestramento?
- Solo se ogni fornitore a monte verso cui instradate vi dà tale impegno per iscritto. Se alcuni lo danno e altri no, offrite controlli di instradamento che consentano al cliente di escludere gli altri, e descrivete la situazione fornitore per fornitore.
- Possiamo garantire la disponibilità operativa (uptime) dei modelli?
- No. Potete descrivere l'uptime della vostra piattaforma e il comportamento del vostro fallback. La disponibilità dei modelli di terzi dipende dai fornitori.
Fonti
Da dove proviene questo
Informazioni di carattere generale tratte dal CBUAE Rulebook, compresa la Retail Payment Services and Card Schemes Regulation (C 15/2021), e dalla Cabinet Resolution No. (134) of 2025 come pubblicata; non costituiscono consulenza legale o fiscale. Norme e orientamenti cambiano: prima dell'invio verifichi il testo vigente e i requisiti propri di ciascun istituto.