Studi di sviluppo AI in Python: Quando i servizi diventano un business di software o dati negli UAE

Si considerino due studi con gli stessi cinque ingegneri. Il primo sviluppa un motore di raccomandazione per un rivenditore, consegna il repository e firma al collaudo. Il secondo ospita lo stesso motore, acquisisce ogni notte i dati dei clienti del rivenditore e fattura mensilmente.

La prima attività consiste nel vendere lavoro e un prodotto consegnabile. La seconda comporta la detenzione di dati personali altrui e la responsabilità di mantenerli al sicuro. Ai sensi dell'Articolo 8 del Decreto-legge federale n. 45 del 2021, il responsabile deve operare entro l'ambito, la finalità e le tipologie di dati stabiliti dal contratto del cliente, tenere un registro di ciò che tratta e cancellare i dati alla fine del trattamento o quando vengono restituiti. L'Articolo 9 aggiunge che deve informare il cliente non appena viene a conoscenza di una violazione. La legge riguarda il trattamento effettuato in tutto o in parte con sistemi elettronici, all'interno o all'esterno degli UAE, quindi uno studio con server all'estero non si sottrae ad essa per questo solo fatto.

Per questo la scelta del modello di business precede la scelta della zona. Una descrizione della licenza redatta come "sviluppo software" o "consulenza IT" si adatta al primo studio. Il secondo ha bisogno che la descrizione, i contratti e l'allegato sui dati corrispondano a ciò che fa effettivamente.

Il Governo degli UAE descrive lo UAE Data Office come un ente affiliato al Consiglio dei Ministri (Cabinet) e operante come autorità federale per i dati. Tra le sue responsabilità rientrano la stesura di politiche e normative, l'approvazione di standard per il monitoraggio della Personal Data Protection Law, la gestione dei reclami e l'emanazione di linee guida attuative.

La legge vieta il trattamento di dati personali senza il consenso dell'interessato, con eccezioni elencate quali l'interesse pubblico e le azioni legali. L'Articolo 5 aggiunge che i dati devono essere raccolti per una finalità specifica e chiara e non essere successivamente trattati in modo incompatibile. Per uno studio di intelligenza artificiale, questo stabilisce che cosa può fare con i dati di addestramento. Se un cliente consegna archivi di clienti per perfezionare un modello, chieda a che cosa quei clienti abbiano acconsentito e se il contratto consenta il riutilizzo per altri clienti. L'Articolo 6 consente all'interessato di revocare il consenso, quindi il contratto dovrebbe indicare anche che cosa fa lo studio dei dati quando ciò accade.

La legge federale non si applica alle società delle free zone che dispongono di una propria normativa sui dati personali (Articolo 2). La pagina del Governo degli UAE sulla protezione dei dati elenca un regime di questo tipo, la DIFC Data Protection Law, la DIFC Law No. 5 of 2020. Uno studio stabilito nel DIFC dovrebbe redigere le proprie condizioni sulla privacy in conformità a tale legge. Uno studio in qualsiasi altra free zone dovrebbe verificare se la zona disponga di una propria normativa sui dati prima di presumere che la legge federale non si applichi.

I fondatori tendono a considerare la proprietà intellettuale un tema per gli investitori. Per uno studio è un tema operativo.

Se a scrivere il codice sono collaboratori esterni, metta il trasferimento per iscritto. Ai sensi del Decreto-legge federale n. 38 del 2021, il trasferimento o la licenza dei diritti patrimoniali produce effetti solo se effettuato per iscritto, e deve indicare il diritto, la finalità, la durata e il luogo (Articolo 9). I diritti morali non possono essere ceduti (Articolo 5). La stessa legge attribuisce a una persona l'opera realizzata per suo conto, salvo diverso accordo scritto tra le parti (Articolo 28), per cui il silenzio in un contratto con il cliente favorisce il cliente. Se un progetto produce un componente riutilizzabile, indichi nel contratto se lo studio lo conserva. Un cliente che ha pagato per un lavoro su misura e scopre poi di ritrovarlo nel prodotto di un concorrente non resterà cliente.

Gli strumenti propri dello studio vanno tenuti separati fin dall'inizio dai prodotti consegnati ai clienti. Conservi un registro di ciò che è stato sviluppato per chi e di ciò che era preesistente. Investitori e acquirenti lo esaminano durante la due diligence e nulla nella struttura societaria lo sistema a posteriori.

Una società mainland può contrattare direttamente con imprese degli UAE e clienti collegati al governo, il che si adatta ai progetti per clienti locali. Una società free-zone può essere adatta a uno studio i cui clienti si trovano per lo più fuori dagli UAE o nella stessa zona. Un'entità di un centro finanziario ha senso soprattutto se i Suoi clienti sono imprese regolamentate che preferiscono quella giurisdizione.

A determinarlo è la composizione della clientela dello studio più che il prezzo. Uno studio i cui ricavi derivano per metà da progetti locali e per metà da abbonamenti esteri potrebbe voler verificare se una sola società possa servire entrambi prima di dividersi in due.

Se assume ingegneri negli UAE, la via del visto di residenza fa parte della stessa decisione. Se la consegna è affidata a un centro di ingegneria all'estero, la società degli UAE che firma il contratto mantiene gli obblighi del responsabile del trattamento di cui agli Articoli 8 e 9, e deve quindi disporre delle persone e dei sistemi per seguire le istruzioni del cliente, tenere il registro dei trattamenti e segnalare le violazioni. Velarozone parte da chi firma il contratto con il cliente e da chi esegue il lavoro, come descritto in come funziona Velarozone.

Le guide correlate trattano l'altra estremità del settore: costituire una società di foundation model o di IA generativa, gestire una piattaforma di agenti IA per i settori regolamentati, oppure offrire un servizio gestito in cloud. Uno studio che si sposta verso una di queste attività assume obblighi ulteriori rispetto alla consegna dei progetti, come impegni di disponibilità del servizio o regole di settore trasferite dai clienti.

Diffidi dal promettere una responsabilità illimitata per ciò che produce un modello di terzi. Limiti la responsabilità nel contratto, definisca i test di accettazione e indichi chi risponde quando sono i dati del cliente stesso la causa di un risultato scadente.