Come avviare un'azienda di sicurezza AI, valutazione o audit di modelli negli UAE

L'autorità di licenza (un Department of Economy and Tourism mainland o un'autorità di free zone) decide se la società esiste e con quale attività commerciale possa descriversi. Tale autorità non verifica né approva la qualità di una valutazione dell'intelligenza artificiale.

Accanto alla licenza si collocano due perimetri distinti. La normativa degli UAE sulla protezione dei dati disciplina il modo in cui la società può raccogliere, trattare, conservare e trasferire i dati personali che le pervengono nel corso di un incarico: dati di addestramento dei modelli, anagrafiche dei clienti oppure output che contengono informazioni personali. Quando il collaudo comporta la ricerca attiva di vulnerabilità in un sistema in produzione, tale attività rientra nelle norme sulla cybersicurezza e sull'accesso non autorizzato; collaudare senza l'autorizzazione scritta del titolare del sistema non è quindi una zona grigia da risolvere con una descrizione della licenza formulata con sicurezza.

La UAE Telecommunications and Digital Government Regulatory Authority (TDRA) regola le infrastrutture di telecomunicazioni e di governo digitale; quando una valutazione riguarda servizi ICT o di telecomunicazioni regolamentati, è opportuno chiedere direttamente alla TDRA se le sue norme si applichino prima di descrivere tale attività sulla licenza. L'UAE Cyber Security Council definisce la strategia nazionale di cybersicurezza e coordina le politiche tra i settori; è l'organismo cui rivolgersi per capire come la politica nazionale sul rischio cibernetico incida su un'attività di collaudo o di assurance, e non uno sportello di licenza ordinario. Entrambe vanno trattate come autorità con cui confrontarsi direttamente, non come una risposta definita che questa guida possa fornire in anticipo.

La UAE Strategy for Artificial Intelligence 2031 fissa l'orientamento federale per l'adozione e la governance dell'IA; è un documento di indirizzo, non un regime di licenza, e non crea quindi di per sé una categoria di approvazione cui una società di valutazione possa presentare domanda. I requisiti pratici che vincolano effettivamente l'attività si trovano nella normativa degli UAE sulla protezione dei dati: come i dati personali vengono trattati, su quale base giuridica, per quanto tempo vengono conservati e che cosa ne accade al termine di un incarico. La risposta sul trattamento dei dati va costruita a partire dalla fonte ufficiale in materia di protezione dei dati, non da un modello generico di informativa sulla privacy, perché un valutatore che riceve dati di addestramento, prompt o output contenenti informazioni personali è esso stesso un responsabile del trattamento per tutto il tempo in cui conserva tali dati.

Quando la valutazione comporta il test attivo di un sistema in produzione, ottenga e conservi agli atti l'ambito e l'autorizzazione scritti del cliente prima dell'inizio del lavoro. Quel documento è anche ciò che una banca, un assicuratore o una controparte chiederà di vedere per primo.

Le banche e i grandi clienti aziendali chiederanno quali dati la società tocca, a chi appartengono i risultati dei test e se le affermazioni della società sull'indipendenza o sulla certificazione possono essere dimostrate da un contratto e non da uno slogan di marketing. Un capitolato di lavoro firmato che descriva la metodologia di valutazione, il suo ambito e i suoi limiti è la prova singola più solida del fascicolo.

Da preparare prima dell'apertura del conto:

Il lavoro sulla preparazione del conto bancario aziendale illustra come tale fascicolo di prove viene assemblato e riconciliato con il modello finanziario prima che la banca lo esamini. Il costo si costruisce a strati, e l'onorario proprio di Velarozone è dettagliato nella lettera di incarico anziché essere pubblicato come cifra in evidenza; come lavora Velarozone illustra l'impostazione.

Decida, prima della costituzione, se la società emette pareri, punteggi o attestazioni in proprio nome o se si limita a supportare i test interni di un cliente. Il primo ruolo comporta un'esposizione alla responsabilità professionale che il secondo non ha, e gli assicuratori li prezzano in modo molto diverso. Individui chi all'interno della società risponde dell'approvazione di qualsiasi rapporto destinato al consiglio di amministrazione, all'autorità o al revisore di un cliente, e conservi agli atti la competenza e la situazione di conflitto di interessi di quella persona, non soltanto in un curriculum.

Quando una capogruppo estera detiene la metodologia di valutazione, l'accreditamento o il marchio e l'entità degli Emirati Arabi Uniti eroga il servizio a livello locale, la catena di proprietà e di licenze tra le due richiede la stessa cura di qualsiasi franchising di servizi tecnici; si veda impostazione di strutture proprietarie regolamentate e complesse. Un piano aziendale e documentazione di supporto redatti per iscritto sono il luogo in cui metodologia, ruoli e budget vengono legati prima che li esamini una banca o un investitore.

I valutatori specializzati e i tester di sicurezza che non sono cittadini degli Emirati Arabi Uniti o del CCG hanno bisogno di propri visti di residenza, collegati all'entità titolare della licenza; confermi quota e categoria dei visti con l'autorità di licenza prima di consolidare i piani di assunzione. Gli ambienti di test sicuri e i dati dei clienti conservati sul suolo degli Emirati Arabi Uniti sollevano questioni di residenza e di cancellazione dei dati a cui rispondere una sola volta, per iscritto, e da applicare in modo coerente anziché ridecidere per ogni cliente. I rinnovi delle licenze e le eventuali conferme settoriali seguono cicli propri; li segua separatamente dalle date di inizio e di fine di ciascun incarico del cliente.