Impostazione di una piattaforma di agente AI per settori regolamentati negli Emirati Arabi Uniti

Il criterio è l'attività che l'agente è autorizzato a svolgere, non il settore in cui viene venduto. Un agente che redige una nota di credito che un funzionario deve firmare è diverso da uno che approva il prestito; un agente che segnala un'operazione sospetta è diverso da uno che la esegue. Quando l'agente passa dal supporto all'esecuzione di un'attività soggetta a licenza, la via è decisa dall'ente regolatore di quell'attività: la CBUAE per le attività bancarie, di credito e di pagamento; la CMA per le attività su titoli e merci sul territorio; la DFSA per i servizi finanziari svolti dal DIFC; la FSRA per i servizi finanziari svolti dall'ADGM; e la VARA per le attività in beni virtuali svolte a Dubai fuori dal DIFC. Una piattaforma che serve più di questi clienti insieme (una banca sulla terraferma, un fondo nel DIFC, una borsa sotto la VARA) risponde di solito a più di un ente regolatore, non a un'unica licenza che li copra tutti. I fondatori che sviluppano per clienti di beni virtuali dovrebbero trattare la via di costituzione VARA come un percorso separato da una costruzione fintech convenzionale, perché i due enti regolatori verificano cose diverse. Per la consulenza automatizzata sugli investimenti, la guida ai robo adviser spiega il criterio tra consulenza e discrezionalità.

Due obblighi si applicano prima che entri in gioco qualsiasi ente regolatore di settore. Il Decreto Legge Federale n. 45 del 2021 sulla protezione dei dati personali, in vigore dal 2 gennaio 2022, vieta il trattamento dei dati personali senza il consenso del titolare tranne in casi limitati, e ciò vale per tutto ciò che l'agente raccoglie, conserva o condivide, anche se la piattaforma non ha mai bisogno di una licenza finanziaria o per beni virtuali. L'Ufficio Dati degli Emirati opera come ente regolatore federale dei dati. Inoltre il Consiglio per la Sicurezza Informatica degli Emirati stabilisce il livello nazionale di cibersicurezza atteso dai sistemi che trattano dati sensibili o critici, e un agente con accesso permanente ad archivi di clienti, cartelle sanitarie o infrastrutture di pagamento verrà probabilmente trattato come tale. Entrambi gli obblighi riguardano ciò che il sistema tocca effettivamente, non la sua categoria di licenza né una descrizione del prodotto come «semplice software». Per una struttura che origina o detiene prestiti tramite una SPV, la guida al credito privato e alla cartolarizzazione spiega quale ente regolatore autorizza ciascuna funzione.

Una banca che apre un conto, o un cliente regolamentato che adotta la piattaforma, valuta le autorizzazioni dell'agente, non la sua presentazione commerciale. Prima che quella conversazione inizi, occorre essere pronti a mostrare una matrice delle autorizzazioni degli strumenti (che cosa l'agente può richiamare e a quale condizione), una mappa dei flussi di dati e della conservazione, la soglia di approvazione umana per ciascuna categoria di azione e le modalità con cui gli errori vengono individuati e annullati. La preparazione al conto bancario per questo tipo di piattaforma dipende dalla coerenza di questi quattro documenti tra loro e con il contratto con il cliente, non dalle dimensioni della presentazione per gli investitori. Una discrepanza tra ciò che il materiale commerciale dichiara che l'agente fa e ciò che la matrice delle autorizzazioni effettivamente consente è il modo più rapido per bloccare sia la revisione bancaria sia il processo di acquisto di un cliente regolamentato.

L'entità che firma il contratto con il cliente dovrebbe essere quella che detiene la funzione di compliance, non una società di comodo con personale ridotto mentre il lavoro vero si svolge altrove nel gruppo. Dove l'attività sottostante è regolamentata, l'autorità di vigilanza si aspetta una persona responsabile della compliance designata e in possesso dei requisiti di idoneità e correttezza (fit and proper) prima di autorizzare l'attività: il ruolo specifico e i requisiti variano a seconda dell'autorità di vigilanza e vanno verificati sulla domanda effettiva, non sono pubblicati qui come elenco fisso. I gruppi che servono sia clienti regolamentati dal DIFC o dall'ADGM sia clienti onshore hanno di norma bisogno di entità distinte per ciascun ambito, perché le regole della DFSA, della FSRA e quelle societarie onshore degli Emirati non sono intercambiabili. È a questo punto che di solito conviene impostare correttamente una struttura societaria regolamentata o complessa, anziché aggiungerla dopo che il primo cliente regolamentato la richiede.

Il costo si compone di più livelli e non di una singola cifra complessiva (l'entità, eventuali autorizzazioni di settore e i ruoli di compliance sopra indicati comportano ciascuno un proprio costo) e l'onorario di servizio Velarozone per mettere insieme il tutto è dettagliato nella lettera di incarico; si veda come funziona Velarozone.

Una volta definiti l'autorità di vigilanza e il modello operativo, la costituzione viene di conseguenza e non la precede: un'entità nel DIFC o nell'ADGM se l'attività rientra nel perimetro di quel centro finanziario, un'entità mainland o in una free zone in caso contrario. Gli obblighi di registrazione e di dichiarazione ai fini dell'imposta sulle società verso la Federal Tax Authority (FTA) si applicano all'entità operativa a prescindere dal percorso scelto, e i rinnovi delle licenze, le quote di visti e qualsiasi autorizzazione di settore si rinnovano di norma con cicli annuali distinti che vanno monitorati insieme, non come ripensamento una volta che l'attività è avviata. Per gli aspetti meccanici della costituzione, si veda la costituzione di una società negli Emirati passo dopo passo.