ブログ
Doubao Work: 中国のエンタープライズAI企業がUAEで事業を設立する方法
短い回答
Doubao Workは、ユーザーからタスクを受けて実行するエージェントを中心に作られた中国発の製品であり、回答するだけのチャットボットではありません。この種の製品をUAEの顧客に販売する企業は、まず連邦個人データ保護法（2021年連邦政令法第45号）の適用を受け、同法は連邦データ規制当局としてUAE Data Officeが監督しています。ルートを決める要因として最も多いのは、エージェントがUAE国内の個人データを読み取り、保存し、またはそれに基づいて行動するかどうか、そしてその処理が物理的にどこで行われるかです。
データ法は会社の設立そのものを妨げるわけではありません。最初の法人顧客に対して会社が何を証明できなければならないかを定めるものです。つまり、誰がファイルとログを管理するのか、それらはどこにあるのか、エージェントが誤りを犯したときに誰が責任を負うのか、という点です。
外国のAIベンダーにとって、この証明はライセンス料よりも法人形態の選択を大きく左右します。海外でホストされたサービスを再販するだけの会社と、顧客のネットワーク内にエージェントを導入して技術者を現場に常駐させる会社とでは、拠点の姿が異なります。
AIエージェントがUAE個人データ保護法（PDPL）に与える影響
チャットアシスタントが見るのは、ユーザーが入力した内容です。エージェントははるかに多くを見ます。会議の予約、請求書の照合、レポートの下書きを行うには、メールボックス、共有ドライブ、会計ツール、場合によっては認証情報へのアクセスが必要です。これらのいずれにも個人データが存在します。
連邦個人データ保護法（PDPL）は、電子システムを通じて全部または一部が行われる個人データの処理を適用範囲としています。同法は2022年1月2日に施行されました。一般に、処理をデータ主体の同意に結び付け、列挙された例外を設けており、個人に訂正を求める権利と、処理の制限または停止を求める権利を与えています。また、処理のための個人データの越境移転に関する規則も定めており、UAE国外でモデルを稼働させるベンダーは、この規定を注意深く読む必要があります。
実務上の結果として、UAEの法人顧客はベンダーに対し、エージェントが何を読み取れるか、何を保持するか、プロンプトや出力がモデルの改善に使われるか、どの再委託先処理者がデータに触れるかを書面で示すよう求めます。これらの質問に答えられない創業者は、ライセンスの問題が出る前に契約を失います。
UAE Data Officeは2021年連邦政令法第44号に基づいて設置され、UAE内閣に属しています。その権限にはデータ保護政策の起草とガイダンスの発行が含まれるため、運用の細部に関する立場は変わり得ます。ホスティング契約に署名する前に、最新のガイダンスを確認してください。
ホスティング型、プライベートクラウド、オンプレミス：法人形態を左右する選択
ホスティング型の提供は最も軽い形態です。ベンダーが自社のインフラからエージェントを稼働させ、顧客がログインします。UAEの会社は販売・サポート拠点にとどまることもありますが、顧客データが設計上国外に出るため、データ移転の問題が最も先鋭になります。
プライベートクラウドでの提供は、顧客が承認したクラウドリージョンに専用インスタンスを置きます。運用は引き続きベンダーが行うため、ベンダーは顧客のデータを処理し続けることになり、契約にその旨を記載する必要があります。
オンプレミスでの提供は、ソフトウェアを顧客の施設内に置きます。保存データについては越境移転の懸念がなくなりますが、リモートサポートのセッションがそれをすぐに呼び戻すことがあります。別の国にいるサポート技術者が顧客のサーバーに接続すれば、国外からUAEのデータにアクセスしていることになります。
中国の企業向けソフトウェアベンダーの多くは、3つすべてを提供しています。すべてのケースをカバーしようとする1つの文書ではなく、それぞれを基本契約の別個の付属書とし、独自のデータ取扱条件を定めるべきです。
医療・金融・政府系の顧客
ワークフロー自動化に最も多く支出する業種は、独自の規則を持つ業種でもあります。医療分野の顧客は、医療分野における情報通信技術の利用に関する2019年連邦法第2号を伴います。UAE政府はこの法律がフリーゾーン（free zone）にも適用されると説明しています。銀行や保険会社は各自の監督当局に責任を負い、アウトソーシングの条件をベンダーに課します。政府機関は独自の手続で調達を行います。
これは、ベンダー自身に独自のライセンスが必要だという意味ではありません。顧客のコンプライアンス部門が契約に条件を盛り込み、ベンダーにはそれに署名し、保険を保有し、請求を送達される現地法人が必要になるという意味です。あらゆる質問を海外の親会社に回す薄い支店は、調達の段階で行き詰まりがちです。
小売業や物流会社のような、規制対象外の民間企業にのみ販売するベンダーは、より軽い道筋をたどれます。そのことを営業資料に明記し、規制業種の顧客は第2段階に回してください。
エージェントの行為に対する責任
メールを送信し、ファイルを移動し、フォームを提出するエージェントは、顧客の名前で行動します。誤った行動をすれば、顧客は契約を参照します。UAEのサイバー犯罪法（2021年連邦政令法第34号）は、情報技術およびネットワークを通じて行われる犯罪を対象としており、常時有効な認証情報をエージェントに与えるベンダーは、そのログがいつか捜査官に読まれ得るものとして設計すべきです。
3つの設計上の選択は法的な重みを持ち、会社設立の前に決めておく価値があります。
- 人間の承認なしにエージェントが実行できる行動と、事前の承認が必要な行動。
- 認証情報をどれだけの期間保持するか、そして顧客が直ちに取り消せるかどうか。
- ログの所有者は誰か、そしてベンダーがモデルの学習や調整にそれを使用できるかどうか。
明確な承認の閾値は、完全自律を謳うよりも、顧客のリスク部門に受け入れられやすいものです。
AIベンダーのUAE設立ルートの選び方
メインランド（mainland）の会社は、UAEの企業や政府系の調達担当者と直接契約でき、企業向けソフトウェアの販売者がここから始めることが多い理由です。フリーゾーン（free zone）での設立は、主な活動が開発やリモートサポートであるチームに向いていますが、各ゾーンが独自の条件を定めており、会社がその拠点から何を行えるかは当局に確認する必要があります。DIFCの法人にはDIFCデータ保護法が適用されるため、顧客基盤がそこにある場合は重要です。
比較は、顧客がどこにいるか、技術者がどこに拠点を置くか、会社がハードウェアを保有するかどうかによって決まります。どの法域が事業モデルに適しているかを検討する創業者は、この3点への回答を用意しておくべきです。チーム自身の居住資格も重要で、創業チームのビザは選択したライセンスに左右されるためです。コミットする前にアドバイザーのプロセスがどのようなものか知りたい場合は、Velarozoneの仕組みをご覧ください。
銀行は顧客と同じ質問をします。会社の所有者は誰か、誰が資金を出しているか、資金はどこから来るのか、なぜUAEの法人が必要なのか。署名済みのパイロット顧客と明確なデータフロー図を持つベンダーは、設立証明書とウェブサイトだけのベンダーよりも早く答えられます。
要約すると
これから何を持ち帰るべきか
- Doubao Workは、専用ページで、ユーザーがDoubaoに何をすべきかを伝え、エージェントがタスクを処理する働き方として説明されており、製品は顧客のシステム上で動作します。
- 連邦PDPLは、UAE国内外での個人データの電子的処理に適用されるため、海外でホスティングするベンダーもその対象外ではありません。
- UAE Data Officeは連邦データ規制当局です。DIFCには独自のデータ保護法（2020年DIFC法第5号）があります。
- 医療分野の顧客は、医療分野の情報通信技術に関する別個の連邦法、2019年連邦法第2号を伴います。
- ホスティング型、プライベートクラウド、オンプレミスの各提供形態は、それぞれ異なる契約と、異なる現地スタッフの構成を必要とします。
- 当社のモデルが中国で稼働し、UAEのサーバーに一切触れない場合でも、PDPLは適用されますか。
- 法律の適用範囲は、UAE政府のデータ保護ページが述べるとおり、UAE国内外での処理に及びます。UAE国内の個人の個人データを処理する場合は、適用されるものとして計画してください。移転規則は検討すべき部分であり、条件は想定ではなく、法律とUAE Data Officeの最新のガイダンスから読み取る必要があります。
- UAEでAIエージェントを販売するにはライセンスが必要ですか。
- ソフトウェアの販売自体は、免許を要する金融活動や医療活動ではありません。ただし、エージェントが顧客のために行うことはそれに該当し得ます。支払いを行う、患者記録を扱う、専門的助言を行うエージェントは、顧客を、場合によってはベンダーも、業種別の監督当局の下に置く可能性があります。製品が行うことと行わないことを書き出し、各機能を関連する当局に照らして確認してください。
- 同じ会社がDIFC内の顧客にサービスを提供できますか。
- DIFCには独自のデータ保護法（2020年DIFC法第5号）があり、連邦PDPLとは別です。DIFC外とDIFC内の両方の顧客にサービスを提供するベンダーには、2つの制度を反映した契約条件が必要になる場合があります。それらが貴社の具体的なデータフローにどう適用されるかについては、法的助言を受けてください。
- UAEの銀行には何を示すべきですか。
- 所有と資金の状況、名前の挙がった顧客またはパイプライン、そしてUAEの会社が存在する理由の簡単な説明です。製品のデータフロー概要も含めてください。銀行のコンプライアンス部門は、ピッチ資料よりもデータマップのほうをよく理解するためです。これにより書類は改善されますが、口座開設は保証されません。
情報源
これがどこから来たか
CBUAE Rulebookから引用した一般的な情報であり、Retail Payment Services and Card Schemes Regulation (C 15/2021)および公表されている2025年内閣決議第(134)号を含みます。法務または税務上の助言ではありません。規則やガイダンスは変更されるため、提出前に最新の条文と各機関独自の要件をご確認ください。