ガイド
UAEにおける規制産業向けAIエージェントプラットフォームの設立
短い回答
UAEのAIエージェントプラットフォームにライセンスが必要かどうかは、マーケティング上の「AI」という語ではなく、エージェントが何を行う権限を与えられているかによって決まります。エージェントが支払いを開始し、与信を供与し、取引を執行し、またはバーチャル資産の取引を決済する場合は、その基礎となる活動について管轄権を持つ規制当局が、適用される認可を判断します。その規制当局とは、UAE中央銀行(CBUAE)、資本市場庁(CMA、旧証券商品庁(Securities and Commodities Authority)を2026年1月1日に再編した、連邦レベルのオンショア市場規制当局)、DIFCのドバイ金融サービス庁(DFSA)、ADGMの金融サービス規制庁(FSRA)、またはドバイのバーチャル資産規制庁(VARA)のいずれかです。エージェントが、人が承認するための草案作成、フラグ付け、または推奨のみを行う場合、運営会社にはUAEのデータ保護およびサイバーセキュリティ上の義務が引き続き課されますが、金融またはバーチャル資産のライセンスは不要です。ルートを決める最も重要な事実は、エージェントの行為が効力を生じる前に、人が承認するかどうかです。
どの規制当局が判断し、どのテストによるか
判断基準は、販売先の業種ではなく、エージェントが実行を認められている活動です。融資担当者が署名するための与信メモを作成するエージェントは、融資を承認するエージェントとは異なります。疑わしい取引を指摘するエージェントは、取引を実行するエージェントとは異なります。エージェントが支援から、ライセンスを要する活動の実行へと踏み込んだ時点で、その活動の規制当局がルートを決めます。銀行、融資、決済活動はCBUAE、本土の証券・商品取引業務はCMA、DIFCから行う金融サービスはDFSA、ADGMから行う金融サービスはFSRA、DIFC以外のドバイで行う仮想資産活動はVARAです。複数の顧客を同時に抱えるプラットフォーム(本土の銀行、DIFCのファンド、VARAの下の取引所など)は、通常、そのすべてを一つにカバーするライセンスではなく、複数の規制当局に対応することになります。仮想資産の顧客向けに構築する創業者は、VARA設立ルートを、従来型のフィンテック構築とは別の道筋として扱うべきです。2つの規制当局は異なる点を審査するからです。自動化された投資助言については、ロボアドバイザーのガイドが、助言と裁量運用の区別を説明しています。
ライセンスの有無にかかわらず、データ保護・サイバーセキュリティ規則が既に求める事項
分野別の規制当局が関わる前に、2つの義務が適用されます。2022年1月2日から施行されている、個人データ保護に関する2021年連邦法令第45号は、限られた場合を除き、所有者の同意なしに個人データを処理することを禁じています。これは、プラットフォームが金融ライセンスや仮想資産ライセンスを必要としない場合でも、エージェントが収集、保管、共有するすべてに適用されます。UAEデータ局が連邦のデータ規制当局として機能します。これとは別に、UAEサイバーセキュリティ評議会は、機微データや重要データを扱うシステムに求められる国家のサイバーセキュリティ体制を定めています。顧客記録、健康ファイル、決済基盤に常時アクセスできるエージェントは、その対象と見なされる可能性が高いです。どちらの義務も、システムが実際に触れる対象に付随するのであり、ライセンス区分や、製品を「単なるソフトウェア」とする説明には左右されません。SPVを通じて融資を組成または保有する構造については、プライベートクレジットと証券化のガイドが、各機能をどの規制当局が認可するかを説明しています。
銀行や規制対象の顧客がエージェントの権限をどう評価するか
口座を開設する銀行、またはプラットフォームを導入する規制対象の顧客が審査するのは、エージェントに付与された権限であり、そのセールストークではありません。その協議が始まる前に、次の4点を提示できるよう準備しておくべきです。ツール権限マトリクス(エージェントが何を呼び出せるか、どのような条件下か)、データフローおよび保存期間のマップ、行為の種類ごとの人間による承認の閾値、そして誤りをどのように検知し是正するかです。この種のプラットフォームの銀行口座開設準備は、これら4つの文書が相互に、また顧客との契約と整合しているかどうかにかかっており、ピッチデッキの規模にはかかっていません。エージェントが行うと営業資料が主張する内容と、権限マトリクスが実際に許容する内容との食い違いは、銀行の審査と規制対象顧客の調達手続の双方を最も速く停滞させる要因です。
所有構造、実体、事業に必要な役割
顧客契約に署名する法人は、グループ内の別の場所に実務を置いた人員の薄い器ではなく、コンプライアンス機能を保有する法人であるべきです。対象となる活動が規制されている場合、規制当局は、事業を認可する前に、適格性審査(fit and proper)を通過したコンプライアンス責任者を指名するよう求めます。具体的な役職や審査基準は規制当局ごとに異なり、実際の申請に照らして確認するものであり、ここでは固定的な一覧として公開しません。DIFCまたはADGMの規制対象クライアントと国内のクライアントの双方にサービスを提供するグループは、通常、それぞれ別の法人を必要とします。DFSA、FSRAおよび国内のUAE会社法令は互換性がないためです。最初の規制対象顧客から求められてから後付けで対応するよりも、規制対象または複雑な所有構造を適切に整えておく価値があるのは、まさにこの段階です。
規制対象のAIエージェントプラットフォームでよくある失敗
- 自律的な意思決定システムを、規制上の議論を避けるために「単なるソフトウェア」と説明すること。
- アクションごとにアクセス範囲を絞るのではなく、必要となりうるあらゆるシステムに対してエージェントに常時有効な認証情報を与えること。
- エージェントが何を行い、誰がそれを承認したかについての恒久的なログを保存しないこと。これはインシデント発生後に規制当局や銀行が最初に求めるものです。
- 保有するライセンスが実際には付与しない、コンプライアンス上または専門的な成果(「規制当局承認済み」「銀行水準」など)を訴求すること。
- 人間による承認を実質的な管理ではなく単なるチェック項目として扱い、誰もそのアクションを検討していないにもかかわらず、記録上は承認済みとなってしまうこと。
費用は単一の総額ではなく、層ごとに積み上げられます(法人、業種別の認可、上記のコンプライアンス担当者の配置は、それぞれに費用がかかります)。これらをまとめるためのVelarozone サービス料は、業務委託契約書に明細として記載されます。Velarozoneの仕組みもご覧ください。
事業体、ビザ、税務がライセンス判断とどう関わるか
規制当局と事業運営モデルが固まれば、法人設立は先行するのではなく、その後に続きます。活動がその金融センターの管轄内にある場合はDIFCまたはADGMの法人を、そうでない場合はメインランドまたはフリーゾーン (free zone) の法人を設立します。連邦税務庁(FTA)の法人税の登録および申告義務は、どのルートを選択しても運営法人に適用されます。また、トレードライセンスの更新、ビザ枠、業種別の認可は、通常それぞれ別の年次サイクルで更新されるため、事業開始後に後回しにするのではなく、まとめて管理する必要があります。設立手続の詳細については、UAEの法人設立手順をご覧ください。
