ブログ
ChatGPT・Claude・Gemini・GLM：UAE で AI アプリケーション会社を設立する
短い回答
ChatGPT、Claude、Gemini、GLMの上に構築するUAE企業は、中核となる能力を借りていますが、顧客がそれを通じて送信するデータについては、データに関する義務を負い続けます。UAEデータ事務局(UAE Data Office)が監督する連邦法令第45号(2021年)は、UAE国内の管理者および処理者、ならびにUAE国内の人々のデータを扱う外国の管理者および処理者に適用されます。DIFCのように独自の個人データ法を有するフリーゾーンの会社には適用されません。進むべき経路を最も多く左右する問いは、その製品が単にユーザーを支援するだけなのか、それとも銀行、医療、法務といった規制対象分野における判断を代行するのかという点です。
マーケティングチーム向けのライティングアシスタントと、融資申込みを審査するツールは、同じコードベースを共有していても、まったく異なる境界設計が必要になります。後者は、人が異議を申し立て得る判断を行うためです。
会社は、何を契約し、何を保有し、何を管理するかを軸に設計すべきです。顧客と誰が署名するのか、提供者のアカウントを誰が保有するのか、プロンプトと出力がどこに置かれるのか、モデルが誤ったときに誰が責任を負うのかは、銀行・投資家・ライセンス発行当局が尋ねる事実です。Velarozone の進め方は、いかなる申請よりも前にこれらの事実を固めることを軸に作られています。
会社よりも先に提供者の利用条件が決めること
提供者の利用条件は、御社自身の製品仕様の一部であるかのようにお読みください。御社の顧客にとっては、まさにそうだからです。
Google の Gemini API 利用条件は、有料利用と無料利用の間に明確な線を引いています。無料サービスでは、Google は送信されたコンテンツと応答を自社製品の改善に使用することがあり、人間のレビュー担当者は、入力と出力がアカウント、API キー、Cloud プロジェクトから切り離された後に、それらを読み、注釈を付けることがあります。条件は、これらのサービスに機微な情報、機密情報、個人情報を送信しないよう勧めています。有料サービスについては、Google はプロンプトや応答を自社製品の改善に使用せず、不正利用の検知と法的開示要件の充足のために限られた期間だけログに記録すると述べています。無料枠で実際の顧客書類を使ってプロトタイプを作るスタートアップは、誰かがそれを文書にしたかどうかにかかわらず、すでにデータに関する判断を下しています。
同じ条件は、API ユーザーが 18 歳以上であることを求め、18 歳未満を対象とする、またはそうした人々がアクセスするおそれのある API クライアントを禁止しています。また、競合するモデルを開発するためにサービスを使用すること、およびリバースエンジニアリングやモデルの構成要素の抽出も禁止しています。ロードマップに出力を自社モデルへ蒸留することが含まれている場合、これは重要です。一部の創業者は、それを事業の核心と捉えています。
GLM は Zhipu AI の BigModel プラットフォーム、ChatGPT は OpenAI が提供しています。それぞれ独自の商業条件があり、同じ四点について確認すべきです。データの利用、最低年齢、競合利用の制限、そしてポリシーが変更された場合にご自身のサービスがどうなるか、です。マルチプロバイダー設計はこのリスクをヘッジします。同時に、顧客契約が整合性を保たなければならない条件の数も増やします。
モデルの廃止は契約上の問題である
Anthropic のモデル文書は、モデルへの依存の寿命がいかに短くなり得るかを示しています。そこでは Claude Sonnet 5.5 と Haiku 5.5 の廃止が、それぞれ 2027 年 9 月 28 日と 2027 年 10 月 7 日「より前ではない」とされ、一方で Sonnet 5 や Sonnet 4.6 のような以前のモデルはすでにレガシー一覧に載っています。また、Amazon Bedrock と Google Cloud は、自らがホストするモデルについて独自のライフサイクル日付を設定すること、そして同じモデルが Claude API、Amazon Bedrock、Google Cloud、Microsoft Foundry、Claude Platform on AWS にわたって掲載されていることも述べられています。
UAE の会社にとって、ここから二つのことが導かれます。固定期間にわたり特定のモデルを約束する顧客契約は、提供者が反故にし得る約束ですので、サービスの記述は成果を示し、代替の権利を留保すべきです。また、選択するクラウド経路は、廃止日を誰が決めるか、処理がどこで行われるかを変え、それは以下のデータの問題に直結します。
アプリケーションに適用される個人データ保護法
UAE 政府のデータ保護ページは、2022年1月2日から施行されている個人データ保護に関する2021年連邦法令第45号を挙げています。同法は、列挙された場合を除き、所有者の同意なく個人データを処理することを禁じ、個人データを保有する企業にその安全管理を義務付け、所有者にデータの訂正および処理の制限または停止を求める権利を与え、越境移転および共有に関する要件を定めています。同ページは、2021年連邦法令第44号に基づいて設立された UAE データ事務局(UAE Data Office)を、政策、基準、苦情処理システムおよび実施ガイダンスを所管する連邦規制当局として説明しています。また、連邦法と並べて DIFC データ保護法(DIFC法2020年第5号)も挙げています。
AI アプリケーションにとって、実務上の作業は一枚のマップを作ることです。どの顧客フィールドがモデルプロバイダーに届くのか、どの地域で処理されるのか、どの再委託先(subprocessor)がそれに関与するのか、そして各段階をどの同意がカバーしているのか、を整理します。DIFC 内に顧客を持つ会社は、連邦法に加えてフリーゾーンの法律の適用を受ける可能性があるため、ライセンスの選択はこの点で中立ではありません。連邦のページは両者がどのように相互作用するかを説明していないため、この点は実際の事実関係に基づく専門家の判断が必要です。
製品が規制業種に踏み込む場面
人が承認するための文章を作成するツールは、提案を発行したり取引を実行したりするものとは、位置付けが異なります。判断基準は機能です。連邦個人データ法は、個人の健康データまたは個人の銀行・信用データを保護する別の法令がある場合には後退し(第2条(2)(e)および(f))、政府機関には適用されません(第2条(2)(b))。そのため、これらの顧客は自らの規則を持ち込みます。そのアプリケーションが与信判断に影響を与える場合、患者情報を扱う場合、法的結論を示す場合、または政府機関によって使用される場合、御社自身がライセンスを保有していなくても、顧客の業種規則は、監査権、データローカライゼーションの要求、責任条項を通じて御社の契約に及びます。
人による確認の手順と、その実施者を文書化してください。連邦法第18条は、法的効果または不利益な効果を生じる自動化された判断について、それが契約、法的要請または事前の同意に基づくものでない限り、本人が異議を申し立てることを認めており、請求があった場合には、管理者に対し、そのような判断の見直しに人を関与させることを求めています。銀行や企業の買い手もデューデリジェンスで同じ手順を求めており、これは製品が判断するのではなく支援するものであることを示す最も明確な証拠です。
事業体の設立ルートを選ぶ
直接ライセンスを受けたメインランド（mainland）会社もフリーゾーン（free zone）会社も、ソフトウェアおよびテクノロジー関連の活動を行うことができ、顧客が金融センター内にいる創業者には、金融センター内の事業体が適している場合があります。選択は通常、顧客がどこにいるか、従業員に事業体がスポンサーとなる居住ビザが必要かどうか、そして特定の法域の裁判所やデータ規則を顧客が求めるかどうかによって決まります。
より有益な構造上の問いは、知的財産がどこに置かれるかです。プロンプト、評価セット、ファインチューニング済みの設定が、請負業者や海外の親会社によって作られた場合は、UAE の会社をその所有者として銀行や投資家に示す前に、権利の譲渡を整えておくべきです。
要約すると
これから何を持ち帰るべきか
- 個人データ法は、サーバーではなく顧客に従います。管理者やモデルプロバイダーが国外にいる場合でも、DIFCのようなフリーゾーン法が代わりに適用される場合を除き、2021年の法令第45号はUAE国内の人々のデータに及びます。
- 提供者の利用条件は、顧客のプロンプトを提供者のモデル改善に使用できるかどうかが異なり、その違いは多くの場合、費用を支払うかどうかによります。
- モデルは公表されたスケジュールに従って廃止されるため、顧客契約は特定の一つのモデルを恒久的な機能として明記すべきではありません。
- 金融、医療、法務、政府向けに販売すると、通常、ソフトウェアベンダーが免れない業種規制当局が関わってきます。
- プロンプト、ワークフロー、ファインチューニング済みの設定には、特に請負業者が作成した場合、所有権を示す書類上の記録が必要です。
- メインランド（mainland）の会社もフリーゾーン（free zone）の会社も、この事業を営むことができるため、事業体の経路は、締結する契約ほど重要ではありません。
- 海外のモデル提供者を使うと、会社は何も所有しないことになるのでしょうか。
- いいえ。ただし、所有の範囲は創業者が想定するより狭いものです。会社は、自社のコード、プロンプト、ワークフロー、評価データ、顧客との関係を所有できます。モデルは所有しておらず、競合モデルの構築に対する制限を含め、提供者の利用条件をそのまま受け入れます。
- 顧客のプロンプトは UAE 国内にとどめる必要がありますか。
- 一律の規則としてはそうではありません。連邦法は、UAEデータ事務局が適切な保護水準にあると承認した法域への国外移転を認めています(第22条)。それ以外の場合は、受領者に同法の基準を遵守させる契約、本人の明示的な同意、または本人との契約の履行に必要であることといった、列挙された根拠に基づく移転を認めています(第23条)。政府系および金融系の顧客は、契約によってローカライゼーションを課すことがあるため、答えは法令ではなく顧客によって決まることが多くあります。
- 初期の顧客向けパイロットに無料枠を使ってもよいですか。
- Google の条件では、無料利用は製品改善と人間によるレビューに使われることがあり、条件は機微な情報や個人情報の送信を勧めていません。実際の顧客データを使うパイロットは、有料の条件で実施し、データの取扱いを書面で合意すべきです。
- 顧客契約では、モデルの変更についてどのように定めるべきですか。
- サービスを成果で記述し、基盤となるモデルを変更・置換する権利を留保し、提供者がモデルを廃止または制限した場合のダウンタイムを誰が負担するかを定めてください。廃止スケジュールは公表されているため、それを無視する契約に弁解の余地はありません。
CBUAE Rulebookから引用した一般的な情報であり、Retail Payment Services and Card Schemes Regulation (C 15/2021)および公表されている2025年内閣決議第(134)号を含みます。法務または税務上の助言ではありません。規則やガイダンスは変更されるため、提出前に最新の条文と各機関独自の要件をご確認ください。