ガイド
UAEでファウンデーションモデルまたは生成AI会社を構築する方法
短い回答
基盤モデル企業や生成AI企業の多くにとって、トレードライセンス(business licence)自体はDubai Department of Economy and Tourism(DET)またはフリーゾーン(free zone)当局から発行されるものであり、その部分の手続きは定型的です。より時間がかかるのは、学習データとモデルの重みの所有権を確定させることであり、これは会社法ではなくUAE連邦データ保護法の下で扱われる問題だからです。運用方法を最も左右する単一の要因は、個人データがモデルの学習またはファインチューニングに使用されたかどうか、そしてその処理が誰のライセンスの下で行われたかです。
規制の適用範囲と判断主体
UAEの基盤モデルまたは生成AI企業にライセンスを付与する専用のAI規制当局は存在しません。商業登記は、他のテクノロジー事業と同じ経路で行います。つまり、該当するメインランドの許認可当局を通じてメインランド会社を設立するか、フリーゾーンの構造を利用します。状況を変えるのは、そのモデルが実際に何に関わるかです。学習、ファインチューニング、推論に用いられる個人データがあれば、UAE連邦データ保護法の適用範囲に入ります。重要インフラに該当するインフラがあれば、サイバーセキュリティ評議会の基準の適用範囲に入ります。さらに、モデルの出力が規制対象の分野(健康に関する助言、金融上の推奨、メディアコンテンツ)に使われる場合は、商業ライセンスに加えて、その分野の規制当局も境界線の確認に加わります。ライセンス当局が判断するのは会社が事業を行えるかどうかであり、学習に使いたいデータを処理してよいか、あるいはインフラがサイバーセキュリティ上の期待を満たしているかを判断するものではありません。
データ・サイバーセキュリティ規則が実際に求める要件
UAE連邦データ保護法は、個人データが学習またはファインチューニングのパイプラインに入った後の収集、使用、移転のあり方を規律しており、その義務は製品に付けられたAIという呼称ではなく、処理そのものに適用されます。個人データを一部でも用いて学習したモデルには、その処理についての文書化された適法性の根拠と、データのUAE国外への移転についての見解が、データセットを使用する前に必要です。製品が基盤モデル、ファインチューン、APIラッパーのいずれと呼ばれるかは関係ありません。これとは別に、サイバーセキュリティ評議会は、計算資源やホスティングのインフラがUAEの重要システムの一部として扱われる場合に適用される国家サイバーセキュリティ戦略と基準を定めています。自社の学習用または推論用インフラを相当な規模で運用する生成AI企業は、一般的な社内IT方針ではなく、これらの基準に照らして評価されることを想定すべきであり、クラウド事業者自身の認証によってその問題が解消されるとは考えるべきではありません。
コンピュート、知的財産、そして資金が構造内をどう動くか
AI企業の決済アクワイアラーによる審査を行う銀行は、ライセンスだけでなく、その背後にある契約を確認します。計算資源の費用が誰に請求されるか、APIまたはサブスクリプションの収益が実際にどのように回収されるか、顧客契約に署名する事業体が、モデルとデータの権利を保有する事業体と同一かどうかです。モデルがプロトタイプから収益化の段階に移ると、ウェイトを保有する持株会社と、顧客に請求する事業会社を並べる構成が一般的になりますが、それぞれに独自の契約、銀行の署名権限、移転価格上の立場が必要であり、両方の代わりを務める共用口座では足りません。モデルカード、データセット権利の台帳、計算資源の契約を銀行との協議が始まる前に整えておくと、口座開設は円滑に進みます。これが法人銀行口座の開設準備の土台となる作業です。ここでの費用は単一の金額ではなく、層状に構成されます。計算資源の契約とエンジニアの人件費が、通常、行政手数料をはるかに上回るためです。Velarozone 自身のサービス料は業務委託契約書に明細として記載されます。その層構造の示し方については、Velarozone の仕組みをご覧ください。
所有権、役割、そして規制当局や銀行が確認したい人物
モデルに関わるすべての貢献者(創業者、従業員、契約者、そしてコードやウェイトが統合されたオープンソースのメンテナー)について、モデルを係争のある資産ではなく会社の資産として扱えるようにするには、文書化された知的財産の譲渡またはライセンスが必要です。個人データを用いて学習した場合は、少人数のチームで当該担当者が他の役割を兼ねていても、社内の誰かがデータ保護上の立場について責任を負わなければなりません。知的財産を保有する事業体と事業会社を分離するグループ構造や、複数の法域にまたがって投資家を迎える構造は、規制対象または複雑な所有構造の設立に該当します。所有関係の連鎖も、モデル自体と同様に、銀行や法人顧客が読んで信頼できる事業計画書および関連書類として文書化する必要があります。
AI企業の組織設計でよくある失敗
- ある会社がブランドと顧客契約は保有しているものの、モデルの重みは保有していない、という事態が起こり得ます。なぜなら、その重みを学習させた業務委託先が知的財産を一度も譲渡していなかったためです。
- 学習データに、創業者の前職から持ち込まれた個人データ、あるいは当該処理について文書化された適法な根拠なしに収集(スクレイピング)された個人データが含まれていた、という事態もあります。
- 顧客との契約が、上流モデルのライセンスにおける精度や安全性に関する主張をそのまま繰り返しているものの、その会社自身では実際には保証できない、という場合もあります。
- 生成AIツールが、医療や金融などの規制対象分野に導入される際、その分野の規制機関がその出力を規制対象サービスとして扱うかどうかを確認しないまま展開される、という事態もあります。
トレードライセンス取得から稼働中のモデル運用まで：ビザ、施設、更新
事業体を設立した後は、ライセンスはAIという呼称によって変わることのない運営上の手続きと結びつきます。ビザの枠は設立カード(establishment card)に紐づいており、名目上の人数ではなく、モデルを実際に運用するエンジニア、安全性、コンプライアンスの担当者をカバーできるものでなければなりません。計算資源がUAE国内にあるか海外のクラウド事業者のもとにあるかにかかわらず、登録住所は必要です。連邦税務庁(FTA)での法人税登録は、他のUAE企業と同じ連邦の規則に従い、AI専用の区分はありません。更新は、データ保護と知的財産の立場を再確認する時期でもあります。前回の更新以降に、再学習やさらなるファインチューニングが行われたモデルや、新規顧客に開放されたモデルは、設立時に記録された境界線の外に出ている可能性があるためです。
