ガイド
UAEにおけるAI安全性、評価またはモデル監査会社の設立方法
公開済み
短い回答
UAEのいかなる当局も、「AI監査」を事業活動としてライセンス付与することはありません。商業ライセンスを付与するのは、メインランドまたはフリーゾーンのライセンス当局です。会社がクライアントのデータをどのように扱ってよいかは、個人データに関する2021年連邦法令第45号によって規律されており、連邦規制当局であるUAEデータ局(UAE Data Office)が監督します。稼働中のシステムを試験する場合には、サイバーセキュリティに関する規則も加わります。ルートは、会社が顧客や規制当局が依拠する独立した保証を提供するのか、それともクライアント自身の権限の下で社内試験を行うだけなのかによって決まります。
誰が何を決めるか、ギャップはどこにあるか
ライセンス当局(メインランドの経済観光局またはフリーゾーン当局)は、会社が存在するかどうか、およびどの商業活動の下で自らを表示できるかを決定します。その当局が、AI評価の品質を試験または承認することはありません。
ライセンスとは別に、二つの領域があります。UAEのデータ保護法は、案件の過程で会社に届く個人データ(モデルの学習データ、顧客記録、個人情報を含む出力)を会社がどのように収集、処理、保管、移転できるかを規律します。会社の試験が稼働中のシステムの脆弱性を能動的に探ることを含む場合、その業務はサイバーセキュリティおよび不正アクセスに関する規則の範囲内にあるため、システム所有者の書面による許可なしに行う試験は、自信を持ってライセンスの記述を選べば解決できるグレーゾーンではありません。
UAE電気通信・デジタル政府規制庁(TDRA)は、電気通信およびデジタル政府のインフラを規制しています。評価が規制対象のICTまたは電気通信サービスに及ぶ場合は、その業務をライセンスに記載する前に、TDRAの規則が適用されるかどうかをTDRAに直接確認してください。UAEサイバーセキュリティ評議会(UAE Cyber Security Council)は国家サイバーセキュリティ戦略を策定し、分野横断で政策を調整します。国家のサイバーリスク政策が試験または保証事業にどう影響するかについては、日常的なライセンス窓口ではなく、この機関に相談すべきです。いずれも、本ガイドが事前に確定的な答えを示せるものではなく、直接確認すべき当局として扱ってください。
規制機関が実際に求める要件
UAE人工知能戦略2031(UAE Strategy for Artificial Intelligence 2031)は、AIの導入とガバナンスに関する連邦の方向性を示しています。これは政策文書であって、ライセンス制度ではないため、評価会社が申請すべき承認区分を自ら創設するものではありません。事業を実際に拘束する要件は、UAEのデータ保護法にあります。個人データをどのように処理するか、どのような法的根拠に基づくか、どれだけの期間保管するか、案件の終了後にそのデータをどう扱うかです。データの取扱いに関する回答は、一般的なプライバシーポリシーのひな形ではなく、公式のデータ保護の情報源そのものから組み立ててください。個人情報を含む学習データ、プロンプト、出力を受け取る評価会社は、そのデータを保持している間、それ自体が処理者(processor)となるためです。
評価に本番システムの能動的なテストが含まれる場合は、作業の開始前に、クライアントの書面による範囲と権限を記録として保管し、保持してください。この文書は、銀行、保険会社、または取引相手が最初に提示を求めるものでもあります。
資金の流れと銀行が確認するポイント
銀行や法人の取引先は、会社がどのようなデータに触れるのか、テスト結果の所有者は誰か、そして独立性や認証に関する会社の主張を、マーケティング上の文言ではなく契約によって裏付けられるかどうかを尋ねます。評価方法、その範囲、およびその限界を記載した署名済みの作業範囲書(statement of work)は、資料一式のなかで最も強力な単独の証拠です。
口座開設の前に準備するもの:
- 評価方法とその明示された限界を記した書面。
- 代表的な作業範囲書(statement of work)とサンプルレポート。
- クライアントから受領したあらゆるものに適用される、データアクセス、セキュリティ、削除の管理策。
- 評価者の能力を示す証拠、および利益相反の管理方法。
法人銀行口座の開設準備に関する業務では、銀行が目にする前に、この証拠一式をどのように組み立て、財務モデルと照合するかを示します。費用は層状に構成されており、Velarozone サービス料は見出し金額として公表されるのではなく、業務委託契約書に明細として記載されます。このアプローチについては、Velarozoneの仕組みで説明しています。
所有、役職、意見書に署名する人
会社設立の前に、会社が自らの名義で意見書、スコア、または認証(アテステーション)を発行するのか、それともクライアントの社内テストを支援するだけなのかを決定してください。前者の役割には、後者にはない専門家責任のリスクが伴い、保険会社は両者をまったく異なる価格で評価します。取引先の取締役会、規制当局、または監査人に提出されるあらゆるレポートの承認について、社内で誰が責任を負うのかを明確にし、その人物の能力と利益相反の状況を、履歴書だけでなく記録として保管してください。
外国の親会社が評価方法、認定、またはブランドを保有し、UAEの法人が現地でサービスを提供する場合、両者の間の所有およびライセンスの連鎖には、技術サービスのフランチャイズと同様の注意が必要です。規制対象かつ複雑な所有構造の設立をご覧ください。書面の事業計画および関連書類は、銀行や投資家が目にする前に、評価方法、役割、予算を結びつける場です。
よくある失敗
- 社内テストを独立した認証として宣伝すること。
- クライアントの書面による権限を記録に残さずに、本番システムをテストすること。
- 文書化された法的根拠なしに、取引先のプロンプトや出力を用いて学習すること、またはそれらを保持すること。
- 評価方法とその限界を記録せずに、リスクスコアまたは意見書を発行すること。
- 商業ライセンスがデータ保護とサイバーテストの問題に答えるものと想定すること。実際にはどちらにも答えていません。
ライセンス取得後の運営
UAEまたはGCCの国民ではない専門の評価者およびセキュリティテスターには、ライセンスを受けた法人に紐づく本人名義の居住ビザが必要です。採用計画が固まる前に、ビザの枠と区分をライセンス発行当局に確認してください。安全なテスト環境と、UAE国内に保管されるクライアントのデータは、データの所在と削除に関する問題を生じさせます。これらはクライアントごとに判断し直すのではなく、一度、書面で回答し、一貫して適用すべきです。ライセンスの更新と業種固有の確認は、それぞれ独自のサイクルで進みます。個々のクライアントとの業務委託の開始日および終了日とは別に追跡してください。
