Impostazione di una società di hosting AI sovrana o privata negli Emirati Arabi Uniti

Nessuna categoria di licenza negli Emirati si chiama «hosting di IA sovrana». La licenza commerciale proviene dal Dipartimento dell'Economia e del Turismo (DET) della terraferma o dall'autorità di zona franca competente, sotto l'attività commerciale che meglio si adatta. Ciò che porta l'operazione sotto una vigilanza ulteriore è il dettaglio di ciò che viene promesso, non l'etichetta della licenza. Un servizio che conserva o tratta dati personali rientra nelle norme degli Emirati sulla protezione dei dati e sul trasferimento transfrontaliero; uno la cui infrastruttura o il cui ruolo di rete vanno oltre la normale erogazione di servizi cloud può rientrare nelle competenze della Telecommunications and Digital Government Regulatory Authority (TDRA); e ogni fornitore deve mantenere il proprio livello di sicurezza rispetto agli standard pubblicati dal Consiglio per la Sicurezza Informatica degli Emirati, che una certificazione specifica sia obbligatoria o meno per il modello scelto. Vendere a clienti governativi o di settori regolamentati può aggiungere condizioni di autorizzazione di sicurezza o di appalto fissate dal cliente, non da una legge generale. Un'azienda che vende sensori e software alle aziende agricole è trattata nella guida all'agritech.

La protezione dei dati dipende dal fatto che l'impresa conservi o tratti dati personali sui propri sistemi; in tal caso il quadro federale sulla protezione dei dati degli Emirati impone obblighi di sicurezza, consenso e trasferimento transfrontaliero a prescindere da dove si trovi l'hardware, quindi «i dati non lasciano mai gli Emirati» è un impegno di progettazione, non un'impostazione legale predefinita. Il confine tra telecomunicazioni e cloud non è un'unica lista di controllo pubblicata: la TDRA regola le attività di telecomunicazione e di governo digitale, ma se un modello di hosting richieda un confronto distinto con la TDRA dipende da ciò che controlla a livello operativo. Il Consiglio per la Sicurezza Informatica fissa la strategia nazionale di cibersicurezza e un indirizzo di accreditamento a cui i fornitori devono allinearsi, senza indicare una certificazione che ogni host di IA debba possedere. Tratta ciascun punto come una domanda per l'ente regolatore o per un consulente legale, non come una casella spuntata con la costituzione. Per una società che addestra i propri modelli, la guida alle società di IA generativa tratta la licenza, i costi e la titolarità dei dati di addestramento e dei pesi.

Quattro modelli operativi coprono la maggior parte di questo settore: hosting dedicato single-tenant, un appliance privato presso la sede del cliente, un cloud sovrano gestito con operatività locale, oppure un modello ibrido ripartito tra l'infrastruttura del cliente e quella del fornitore. Quando ne ricorre più di uno, una sola società raramente regge. I finanziatori e i clienti di riferimento spesso vogliono che l'entità proprietaria degli asset sia separata dal rischio operativo, ed è frequente una distinta entità che stipula i contratti con i clienti. È la struttura trattata nell'ambito della costituzione di strutture con assetti proprietari regolamentati e complessi: un titolare degli asset, un operatore e talvolta un'entità contraente, ciascuno con una propria ragion d'essere.

L'entità che sottoscrive il contratto con il cliente ha bisogno di persone reali a sostegno della dichiarazione di sovranità, non di un semplice indirizzo registrato. Personale locale e un modello di accesso privilegiato (chi può amministrare l'ambiente, da dove, con quale registrazione) sono ciò che una banca, un finanziatore o un acquirente enterprise chiede di vedere indicato nominativamente, insieme a chi risponde se il modello si comporta in modo inatteso o il servizio viene interrotto. Il controllo delle chiavi di cifratura, e il fatto che i pesi del modello siano dedicati, condivisi o di proprietà del cliente, sono scelte commerciali che, una volta inserite in un contratto, diventano fatti che l'impresa deve essere organizzata per sostenere.

Le banche, i finanziatori e i clienti principali valutano il progetto, non la licenza commerciale. Prima che inizi il lavoro di preparazione bancaria, occorre essere pronti a mostrare un diagramma dei flussi di dati e dei controlli di accesso, il registro dei subprocessor, una roadmap di garanzia della sicurezza e un allegato contrattuale che indichi i controlli di residenza effettivamente venduti. Quando l'hardware o la capacità energetica sono finanziati tramite debito piuttosto che con capitale versato, i finanziatori vorranno anche che le prove dell'origine dei fondi siano verificate anticipatamente, non al momento dell'erogazione. La narrazione relativa al sito, quella relativa al finanziamento e quella relativa al cliente devono coincidere tra il business plan, il modello finanziario e il fascicolo bancario; la coerenza elimina domande evitabili, anche se non garantisce di per sé un conto, un finanziamento o un'approvazione.

Il costo in questo ambito è determinato dal sito, dall'energia, dall'hardware e dalle persone a sostegno della dichiarazione di sovranità, non dall'entità societaria, per cui non esiste un'unica cifra complessiva significativa. L'onorario di Velarozone è dettagliato nella lettera di incarico; si veda come funziona Velarozone per i livelli che compongono un budget completo di costituzione.

L'errore più costoso resta il confronto tra i soli costi di costituzione. Confrontare invece i percorsi completi: il costo del primo anno e del rinnovo, le dipendenze dalle approvazioni e il costo di una ristrutturazione una volta che l'hardware è già installato e un impegno di sovranità è già stato firmato.

La registrazione è la parte rapida e raramente costituisce il vincolo. Ciò che segue ha una propria sequenza (conferma del sito e delle utenze, approvvigionamento, onboarding dei finanziatori, test di sicurezza, quindi il lancio), ciascuna fase con tempi di attesa che la data della licenza non riflette. I locali e la capacità in materia di immigrazione devono corrispondere al modello di personale e di accesso privilegiato effettivamente promesso: una dichiarazione di sovranità basata su amministratori nominativi residenti negli UAE richiede visti e spazi di ufficio dimensionati per quel team. Dopo il lancio: rinnovo della licenza, adempimenti verso la Federal Tax Authority (FTA), qualsiasi posizione verso la TDRA o in materia di protezione dei dati da riesaminare se la base clienti cambia, adeguamenti dei canoni di locazione, e il ciclo di verifica della sicurezza che una dichiarazione di sovranità deve continuare a documentare, non limitarsi ad affermare una tantum.