블로그
ChatGPT, Claude, Gemini, GLM: UAE AI 애플리케이션 법인설립
간단한 답변
ChatGPT, Claude, Gemini 또는 GLM 위에 구축하는 UAE 회사는 핵심 기능을 빌려 쓰지만, 고객이 이를 통해 전송하는 데이터에 대한 의무는 그대로 집니다. UAE Data Office가 감독하는 2021년 연방 법령 제45호는 UAE 내 컨트롤러와 프로세서, 그리고 UAE 내 개인의 데이터를 처리하는 외국 컨트롤러와 프로세서에 적용됩니다. 이 법은 DIFC와 같이 자체 개인정보 보호법을 가진 프리존 회사에는 적용되지 않습니다. 경로를 가장 자주 결정짓는 질문은, 제품이 사용자를 보조하는 데 그치는지, 아니면 은행, 의료, 법률 같은 규제 분야에서 의사결정을 대신하는지 여부입니다.
마케팅 팀을 위한 글쓰기 보조 도구와 대출 신청을 심사하는 도구는 코드베이스를 공유할 수 있어도, 두 번째 도구는 사람들이 이의를 제기할 수 있는 결정을 내리기 때문에 완전히 다른 규제 범위가 필요합니다.
회사는 무엇을 계약하고, 무엇을 보유하며, 무엇을 통제할 것인지를 중심으로 설립해야 합니다. 누가 고객과 계약에 서명하는지, 누가 제공자 계정을 보유하는지, 프롬프트와 출력이 어디에 저장되는지, 모델이 잘못된 결과를 내놓을 때 누가 책임지는지는 은행, 투자자, 인허가 당국이 묻게 될 사실입니다. Velarozone의 진행 방식은 어떤 신고보다 먼저 이러한 사실을 확정하는 데 맞추어 구성되어 있습니다.
회사보다 먼저 제공자 약관이 결정하는 것
제공자의 약관을 귀사 제품 사양의 일부인 것처럼 읽으십시오. 귀사의 고객에게는 실제로 그렇기 때문입니다.
Google의 Gemini API 약관은 유료 사용과 무료 사용 사이에 분명한 선을 긋습니다. 무료 서비스의 경우 Google은 제출된 콘텐츠와 응답을 자사 제품 개선에 사용할 수 있으며, 사람 검토자는 입력과 출력이 계정, API 키, Cloud 프로젝트와 분리된 후에 이를 읽고 주석을 달 수 있습니다. 약관은 이러한 서비스에 민감한 정보, 기밀 정보 또는 개인정보를 제출하지 말 것을 권고합니다. 유료 서비스의 경우 Google은 프롬프트나 응답을 자사 제품 개선에 사용하지 않으며, 오용을 탐지하고 법적 공개 요건을 충족하기 위해 제한된 기간 동안만 이를 로그로 기록한다고 밝히고 있습니다. 무료 등급에서 실제 고객 문서로 프로토타입을 만드는 스타트업은 누군가 이를 문서로 남겼든 아니든 이미 데이터에 관한 결정을 내린 것입니다.
같은 약관은 API 사용자가 만 18세 이상일 것을 요구하며, 18세 미만을 대상으로 하거나 이들이 접근할 가능성이 있는 API 클라이언트를 금지합니다. 또한 경쟁 모델을 개발하기 위해 서비스를 사용하는 것과 리버스 엔지니어링 또는 모델 구성 요소의 추출을 금지합니다. 로드맵에 출력을 자체 모델로 증류하는 것이 포함되어 있다면 이 점이 중요하며, 일부 창업자는 이를 사업의 핵심으로 여깁니다.
GLM은 Zhipu AI의 BigModel 플랫폼에서, ChatGPT는 OpenAI에서 제공합니다. 각각 고유한 상업 약관이 있으며, 데이터 사용, 최소 연령, 경쟁 목적 사용 제한, 정책이 변경될 경우 귀사의 서비스가 어떻게 되는지라는 동일한 네 가지 사항을 기준으로 검토해야 합니다. 멀티 프로바이더 설계는 이러한 위험을 분산합니다. 동시에 고객 계약이 일관성을 유지해야 하는 약관의 수도 늘어납니다.
모델 종료는 계약상의 문제입니다
Anthropic의 모델 문서는 모델 의존성의 수명이 얼마나 짧을 수 있는지를 보여 줍니다. 문서에는 Claude Sonnet 5.5와 Haiku 5.5의 종료 시점이 각각 2027년 9월 28일과 2027년 10월 7일 “이전은 아님”으로 기재되어 있으며, Sonnet 5와 Sonnet 4.6 같은 이전 모델은 이미 레거시 목록에 올라 있습니다. 또한 Amazon Bedrock과 Google Cloud는 자신들이 호스팅하는 모델에 대해 고유한 수명 주기 날짜를 정하고 있으며, 동일한 모델이 Claude API, Amazon Bedrock, Google Cloud, Microsoft Foundry, Claude Platform on AWS 전반에 걸쳐 나열되어 있다고 밝히고 있습니다.
UAE 회사에는 여기서 두 가지가 도출됩니다. 지정된 모델을 일정 기간 약속하는 고객 계약은 제공자가 무너뜨릴 수 있는 약속이므로, 서비스 설명은 결과를 기술하고 대체할 권리를 유보해야 합니다. 그리고 선택하는 클라우드 경로는 종료일을 누가 정하는지와 처리가 어디서 이루어지는지를 바꾸며, 이는 아래의 데이터 문제와 직결됩니다.
애플리케이션에 적용되는 개인정보 보호법
UAE 정부의 데이터 보호 페이지는 2022년 1월 2일부터 시행 중인 개인정보 보호에 관한 2021년 연방 법령 제45호를 소개합니다. 이 법령은 열거된 경우를 제외하고 정보 주체의 동의 없이 개인정보를 처리하는 것을 금지하고, 개인정보를 보유한 회사에 이를 안전하게 보호할 것을 요구하며, 정보 주체에게 정보를 정정하고 처리를 제한하거나 중지할 권리를 부여하고, 국외 이전 및 공유에 대한 요건을 정하고 있습니다. 해당 페이지는 2021년 연방 법령 제44호에 따라 설립된 UAE Data Office를 정책, 표준, 민원 시스템 및 이행 지침을 담당하는 연방 규제기관으로 설명합니다. 또한 연방법과 함께 DIFC 데이터 보호법(2020년 DIFC 법률 제5호)도 나열하고 있습니다.
AI 애플리케이션의 경우 실무 작업은 하나의 지도를 만드는 일입니다. 어떤 고객 필드가 모델 제공업체에 전달되는지, 어느 지역에서 처리되는지, 어떤 하위 처리자(subprocessor)가 이를 다루는지, 각 단계에 어떤 동의가 적용되는지를 파악해야 합니다. DIFC 내에 고객이 있는 회사는 연방법과 더불어 프리존(free zone) 법률의 적용을 받을 수 있으므로, 라이선스 선택은 이 점에서 중립적이지 않습니다. 연방 페이지는 두 법률이 어떻게 상호작용하는지 설명하지 않으므로, 이 부분은 실제 사실관계에 대한 전문가의 검토가 필요합니다.
제품이 규제 분야로 넘어가는 지점
사람이 승인할 문안을 작성하는 도구는 권고를 내리거나 거래를 실행하는 도구와 위치가 다릅니다. 기준은 기능입니다. 연방 개인정보 보호법은 개인 건강 데이터나 개인 은행 및 신용 데이터를 별도 법령이 보호하는 경우에는 물러나며(제2조 제2항 (e)호 및 (f)호), 정부 기관에는 적용되지 않으므로(제2조 제2항 (b)호) 해당 고객은 자체 규칙을 가져옵니다. 해당 애플리케이션이 신용 결정에 정보를 제공하거나, 환자 정보를 처리하거나, 법적 결론을 제시하거나, 정부 기관이 사용하는 경우, 귀사가 직접 라이선스를 보유하지 않더라도 고객의 업종 규칙이 감사권, 데이터 현지화 요구, 책임 조항을 통해 귀사의 계약에까지 미칩니다.
사람이 검토하는 단계와 이를 수행하는 주체를 문서로 기록하십시오. 연방법 제18조는 계약, 법적 요건 또는 사전 동의에 근거한 경우를 제외하고, 법적 효과나 불리한 영향을 미치는 자동화된 결정에 대해 개인이 이의를 제기할 수 있도록 하며, 컨트롤러가 요청 시 해당 결정의 검토에 사람을 참여시킬 것을 요구합니다. 은행과 기업 구매자도 실사 과정에서 같은 단계를 요구하며, 이는 제품이 결정하는 것이 아니라 보조한다는 점을 보여주는 가장 명확한 증거입니다.
법인 설립 경로 선택하기
직접 라이선스를 받은 메인랜드(mainland) 회사와 프리존(free zone) 회사 모두 소프트웨어 및 기술 활동을 영위할 수 있으며, 고객이 금융 센터 내에 있는 창업자에게는 해당 센터의 법인이 적합할 수 있습니다. 선택은 대개 고객이 어디에 있는지, 직원에게 법인이 후원하는 거주 비자가 필요한지, 그리고 특정 관할 구역의 법원과 데이터 규칙을 고객이 고집하는지에 달려 있습니다.
더 유용한 구조적 질문은 지식재산이 어디에 있는가입니다. 프롬프트, 평가 세트, 미세 조정된 구성을 외주 업체나 해외 모회사가 만들었다면, UAE 회사를 그 소유자로서 은행이나 투자자에게 제시하기 전에 권리 양도가 갖추어져 있어야 합니다.
요약하자면
이로부터 무엇을 취해야 하는가
- 개인정보 보호법은 서버가 아니라 고객을 따릅니다. 2021년 연방 법령 제45호는 컨트롤러나 모델 공급자가 해외에 있더라도, DIFC 법과 같은 프리존 법률이 대신 적용되는 경우가 아니라면 UAE 내 개인의 데이터에 미칩니다.
- 제공자의 약관은 고객의 프롬프트를 제공자의 모델 개선에 사용할 수 있는지에 따라 다르며, 그 차이는 흔히 요금을 지불하는지 여부에 달려 있습니다.
- 모델은 공표된 일정에 따라 종료되므로, 고객 계약에서 하나의 모델을 영구적인 기능으로 명시해서는 안 됩니다.
- 금융, 의료, 법률 또는 정부 분야에 판매하면 대개 소프트웨어 공급업체가 피할 수 없는 업종별 규제 기관이 관여하게 됩니다.
- 프롬프트, 워크플로, 미세 조정된 구성에는 특히 외주 업체가 만든 경우 소유권을 입증하는 문서 기록이 필요합니다.
- 메인랜드(mainland) 회사와 프리존(free zone) 회사 모두 이 사업을 운영할 수 있으므로, 법인 경로는 법인이 체결하는 계약보다 덜 중요합니다.
- 해외 모델 제공자를 사용하면 회사가 아무것도 소유하지 못한다는 뜻인가요?
- 아닙니다. 다만 소유 범위는 창업자가 가정하는 것보다 좁습니다. 회사는 자사의 코드, 프롬프트, 워크플로, 평가 데이터, 고객 관계를 소유할 수 있습니다. 모델은 소유하지 않으며, 경쟁 모델 구축에 대한 제한을 포함한 제공자의 이용 약관을 있는 그대로 받아들입니다.
- 고객의 프롬프트는 UAE 안에 머물러야 하나요?
- 일률적인 규칙은 아닙니다. 연방법은 UAE Data Office가 적정한 보호 수준을 갖춘 것으로 승인한 관할 구역(jurisdiction)으로의 해외 이전을 허용합니다(제22조). 그 밖의 경우에는 수령인이 법의 기준을 따르도록 하는 계약, 본인의 명시적 동의, 본인과의 계약 이행을 위한 필요성 등 열거된 사유에 따라 이전을 허용합니다(제23조). 정부 및 금융 고객은 계약으로 현지화를 요구할 수 있으므로, 답은 법령이 아니라 고객이 정하는 경우가 많습니다.
- 초기 고객 시범 운영에 무료 등급을 써도 되나요?
- Google의 약관에 따르면 무료 사용은 제품 개선과 사람의 검토에 쓰일 수 있으며, 약관은 민감한 정보나 개인정보를 제출하지 말 것을 권고합니다. 실제 고객 데이터를 사용하는 시범 운영은 유료 약관에 따라 진행하고 데이터 처리 입장을 서면으로 합의해야 합니다.
- 고객 계약은 모델 변경에 관해 무엇을 정해야 하나요?
- 서비스를 결과 중심으로 기술하고, 기반 모델을 변경하거나 교체할 권리를 유보하며, 제공자가 모델을 종료하거나 제한할 때 서비스 중단을 누가 부담하는지 명시하십시오. 종료 일정은 공표되어 있으므로 이를 무시하는 계약에는 변명의 여지가 없습니다.
CBUAE Rulebook에서 발췌한 일반 정보이며, Retail Payment Services and Card Schemes Regulation (C 15/2021)과 공표된 2025년 내각 결의 제(134)호를 포함하고, 법률 또는 세무 자문이 아닙니다. 규칙과 지침은 변경되므로 제출 전에 현행 본문과 각 기관 고유의 요건을 확인하십시오.