Come strutturare una compagnia di Foundation-Model o Generative-AI negli Emirati Arabi Uniti

Non esiste un regolatore dell'IA dedicato che autorizzi una società di foundation model o di IA generativa negli UAE. La registrazione commerciale segue lo stesso percorso di qualsiasi altra impresa tecnologica: la costituzione di una società mainland presso la competente autorità di licenza mainland, oppure una struttura in free zone. Ciò che cambia il quadro è ciò che il modello effettivamente tocca. I dati personali utilizzati per l'addestramento, il fine-tuning o l'inferenza fanno rientrare nell'ambito la normativa federale degli UAE in materia di protezione dei dati. Un'infrastruttura qualificabile come critica fa rientrare nell'ambito gli standard del Cyber Security Council. E se gli output del modello alimentano un settore regolamentato (indicazioni sanitarie, raccomandazioni finanziarie, contenuti mediatici), il regolatore proprio di quel settore si aggiunge alla verifica del perimetro, oltre alla licenza commerciale. L'autorità di licenza stabilisce che la società può operare; non stabilisce che la società possa trattare i dati su cui intende addestrarsi, né che la sua infrastruttura soddisfi le aspettative in materia di cybersicurezza.

La normativa federale degli UAE in materia di protezione dei dati disciplina il modo in cui i dati personali vengono raccolti, utilizzati e trasferiti una volta entrati in una pipeline di addestramento o di fine-tuning, e gli obblighi si collegano al trattamento in sé, non all'etichetta di IA del prodotto. Un modello addestrato anche solo in parte su dati personali richiede una base giuridica documentata per quel trattamento, e una posizione su qualsiasi trasferimento di tali dati al di fuori degli UAE, prima che il dataset venga utilizzato, che il prodotto sia chiamato foundation model, fine-tune o API wrapper. Separatamente, il Cyber Security Council definisce la strategia nazionale di cybersicurezza e gli standard che si applicano quando l'infrastruttura di calcolo o di hosting è considerata parte dei sistemi critici degli UAE. Una società di IA generativa che gestisce la propria infrastruttura di addestramento o di inferenza su scala significativa deve aspettarsi di essere valutata rispetto a tali standard, non rispetto a una generica policy IT interna, e non deve presumere che le certificazioni del proprio fornitore cloud chiudano la questione per suo conto.

Le banche e gli acquirer di pagamenti che valutano una società di IA guardano oltre la licenza, ai contratti che vi stanno dietro: a chi viene fatturata la capacità di calcolo, come vengono effettivamente incassati i ricavi da API o abbonamenti, e se l'entità che sottoscrive i contratti con i clienti coincide con quella che detiene il modello e i diritti sui dati. Una holding che possiede i pesi, affiancata da una società operativa che fattura ai clienti, è una soluzione frequente quando un modello passa dal prototipo ai ricavi, ma ciascuna ha bisogno di propri contratti, del proprio mandato bancario e di una propria posizione in materia di transfer pricing, non di un conto condiviso che faccia le veci di entrambe. L'apertura del conto procede più rapidamente quando la scheda del modello, il registro dei diritti sui dataset e i contratti di calcolo sono pronti prima che inizi il confronto con la banca, ed è il lavoro preparatorio alla base della preparazione al conto bancario aziendale. Il costo qui si compone a strati e non in una cifra unica, poiché i contratti di calcolo e il personale di ingegneria superano tipicamente di molto qualsiasi onere dell'autorità; l'onorario di servizio Velarozone è indicato analiticamente nella lettera di incarico; si veda come funziona Velarozone per il modo in cui tale struttura a strati è esposta.

Ogni contributore a un modello (fondatori, dipendenti, collaboratori e qualsiasi maintainer open source il cui codice o i cui pesi siano stati integrati) ha bisogno di una cessione di proprietà intellettuale o di una licenza documentata prima che il modello possa essere trattato come un asset della società anziché come un asset contestato. Dove l'addestramento ha utilizzato dati personali, qualcuno all'interno della società deve rispondere della posizione in materia di protezione dei dati, anche in un piccolo team in cui tale persona ricopre un altro ruolo. Le strutture di gruppo che separano un'entità titolare della proprietà intellettuale da una società operativa, o che coinvolgono investitori in più di una giurisdizione, rientrano tra le strutture proprietarie regolamentate e complesse, e la catena proprietaria va documentata allo stesso modo del modello stesso, attraverso business plan e documentazione che una banca o un cliente enterprise possa leggere e sulla quale possa fare affidamento.

Una volta costituita l'entità, la licenza si collega a passaggi operativi che l'etichetta di IA non modifica. La capacità di visti è legata alla establishment card e deve coprire il personale di ingegneria, sicurezza e conformità che effettivamente gestisce il modello, non un organico solo nominale. È richiesto un indirizzo registrato indipendentemente dal fatto che la capacità di calcolo si trovi sul suolo degli UAE o presso un fornitore cloud estero. La registrazione all'imposta sulle società presso la Federal Tax Authority (FTA) segue le stesse regole federali di qualsiasi altra società degli UAE; non esiste una categoria separata per l'IA. Il rinnovo è anche il momento in cui riverificare la posizione in materia di protezione dei dati e di proprietà intellettuale, poiché un modello riaddestrato, ulteriormente perfezionato o aperto a nuovi clienti dall'ultimo rinnovo potrebbe essere uscito dal perimetro registrato al momento della costituzione.