블로그
Doubao Work: 중국 기업-AI 회사가 UAE에서 운영을 설정하는 방법
간단한 답변
Doubao Work는 사용자에게서 작업을 받아 수행하는 에이전트를 중심으로 만들어진 중국 제품이며, 답변만 하는 챗봇이 아닙니다. 이런 종류의 제품을 UAE 고객에게 판매하는 회사는 먼저 연방 개인정보 보호법인 2021년 연방 법령 제45호의 적용을 받으며, 이 법은 연방 데이터 규제기관인 UAE Data Office가 감독합니다. 경로를 가장 자주 결정하는 사실은 에이전트가 UAE 내 사람들의 개인정보를 읽거나 저장하거나 그에 기반해 행동하는지 여부, 그리고 그 처리가 물리적으로 어디에서 이루어지는지입니다.
데이터 법은 회사 설립을 막지 않습니다. 이 법은 회사가 첫 기업 고객에게 무엇을 입증할 수 있어야 하는지를 정합니다. 누가 파일과 로그를 통제하는지, 그것들이 어디에 있는지, 에이전트가 실수했을 때 누가 책임지는지입니다.
외국 AI 공급업체에게 이러한 입증은 라이선스 비용보다 법인 형태 선택에 더 큰 영향을 줍니다. 해외에서 호스팅되는 서비스를 재판매하기만 하는 회사는 고객의 네트워크 안에 에이전트를 설치하고 엔지니어를 현장에 상주시키는 회사와 사업 기반이 다릅니다.
AI 에이전트가 UAE 개인정보보호법(PDPL)에 미치는 변화
채팅 어시스턴트는 사용자가 입력한 내용만 봅니다. 에이전트는 훨씬 더 많은 것을 봅니다. 회의를 잡고, 청구서를 대사하고, 보고서 초안을 작성하려면 메일함, 공유 드라이브, 회계 도구, 때로는 인증 정보에 접근해야 합니다. 이들 각각이 개인정보가 존재하는 장소입니다.
연방 개인정보 보호법(PDPL)은 전자 시스템을 통해 전부 또는 일부 이루어지는 개인정보 처리를 적용 범위에 포함시킵니다. 이 법은 2022년 1월 2일에 시행되었습니다. 일반적으로 처리를 정보 주체의 동의와 연계하며 열거된 예외를 두고, 개인에게 정정을 요구하고 처리를 제한하거나 중단할 권리를 부여합니다. 또한 처리를 위한 개인정보의 국외 이전 규칙도 정하고 있으며, UAE 밖에서 모델을 운영하는 공급업체가 면밀히 읽어야 할 조항입니다.
실무적 결과로, UAE의 기업 고객은 공급업체에게 에이전트가 무엇을 읽을 수 있는지, 무엇을 보관하는지, 프롬프트와 출력이 모델 개선에 사용되는지, 어떤 재수탁처리자가 데이터에 접근하는지를 서면으로 밝히도록 요구할 것입니다. 이 질문에 답하지 못하는 창업자는 라이선스 문제가 나오기도 전에 계약을 잃게 됩니다.
UAE Data Office는 2021년 연방 법령 제44호에 따라 설립되었으며 UAE 내각 소속입니다. 그 권한에는 데이터 보호 정책 초안 작성과 지침 발행이 포함되므로 시행 세부 사항에 대한 입장은 바뀔 수 있습니다. 호스팅 계약에 서명하기 전에 현행 지침을 확인하십시오.
호스팅형, 프라이빗 클라우드, 온프레미스: 법인 형태를 좌우하는 선택
호스팅형 제공이 가장 가볍습니다. 공급업체가 자사 인프라에서 에이전트를 운영하고 고객은 로그인합니다. UAE 회사는 영업 및 지원 법인에 그칠 수 있지만, 고객 데이터가 설계상 국외로 나가기 때문에 데이터 이전 문제가 가장 첨예합니다.
프라이빗 클라우드 제공은 고객이 승인한 클라우드 리전에 전용 인스턴스를 둡니다. 운영은 여전히 공급업체가 하므로 공급업체가 여전히 고객의 데이터를 처리하며, 계약에 이를 명시해야 합니다.
온프레미스 제공은 소프트웨어를 고객의 시설 안에 둡니다. 저장된 데이터에 대한 국경 간 이전 우려는 사라지지만, 원격 지원 세션이 이를 곧바로 되살릴 수 있습니다. 다른 나라의 지원 엔지니어가 고객의 서버에 접속하면 국외에서 UAE 데이터에 접근하는 것입니다.
많은 중국 기업용 소프트웨어 공급업체가 세 가지를 모두 제공합니다. 모든 경우를 포괄하려는 하나의 문서가 아니라, 각각을 기본 계약의 별도 부속서로 작성하여 고유한 데이터 취급 조건을 두어야 합니다.
의료, 금융, 정부 고객
워크플로 자동화에 가장 많이 지출하는 업종은 자체 규칙을 가진 업종이기도 합니다. 의료 고객은 의료 분야의 정보통신기술 사용에 관한 2019년 연방법 제2호를 함께 가져오며, UAE 정부는 이 법이 프리존(free zone)에도 적용된다고 설명합니다. 은행과 보험사는 각자의 감독기관에 책임을 지며 아웃소싱 조건을 공급업체에 전가할 것입니다. 정부 기관은 자체 절차에 따라 구매합니다.
이 중 어느 것도 공급업체에게 자체 라이선스가 필요하다는 뜻은 아닙니다. 고객의 컴플라이언스 팀이 계약에 조건을 넣을 것이며, 공급업체에게는 이를 서명하고, 보험을 가입하고, 청구를 송달받을 수 있는 현지 법인이 필요하다는 뜻입니다. 모든 질문을 해외 모회사에 떠넘기는 얇은 지사는 조달 단계에서 막히기 쉽습니다.
소매업체나 물류 회사 같은 규제 대상이 아닌 민간 기업에만 판매하는 공급업체는 더 가벼운 경로를 갖습니다. 이를 영업 자료에 명시하고, 규제 업종 고객은 2단계로 미루십시오.
에이전트의 행위에 대한 책임
이메일을 보내거나 파일을 옮기거나 양식을 제출하는 에이전트는 고객의 이름으로 행동합니다. 잘못 행동하면 고객은 계약을 살펴볼 것입니다. UAE 사이버범죄법인 2021년 연방 법령 제34호는 정보기술과 네트워크를 통해 저질러진 범죄를 다루며, 에이전트에게 상시 인증 정보가 부여된 공급업체는 언젠가 수사관이 로그를 읽을 수 있다는 전제로 설계해야 합니다.
세 가지 설계 선택은 법적 비중이 있으며 법인 설립 전에 정해 두는 것이 좋습니다.
- 사람의 승인 없이 에이전트가 수행할 수 있는 작업과 사전 승인이 필요한 작업.
- 인증 정보를 얼마나 오래 보관하는지, 그리고 고객이 즉시 철회할 수 있는지 여부.
- 로그의 소유자가 누구인지, 그리고 공급업체가 모델 학습이나 조정에 이를 사용할 수 있는지 여부.
명확한 승인 기준은 완전 자율성을 내세우는 것보다 고객의 위험 관리 팀이 받아들이기 쉽습니다.
AI 공급업체를 위한 UAE 법인설립 경로 선택
메인랜드(mainland) 회사는 UAE 기업 및 정부 구매자와 직접 계약할 수 있으며, 기업용 소프트웨어 판매업체가 흔히 여기서 시작하는 이유입니다. 프리존(free zone) 설립은 주된 활동이 개발이나 원격 지원인 팀에 적합하지만, 각 구역이 자체 조건을 정하며 회사가 해당 사무실에서 무엇을 할 수 있는지는 당국이 확인해야 합니다. DIFC 법인은 DIFC 데이터 보호법의 적용을 받게 되며, 고객 기반이 그곳에 있다면 중요합니다.
비교는 고객이 어디에 있는지, 엔지니어가 어디에 앉아 있는지, 회사가 하드웨어를 보유할지에 따라 달라집니다. 어느 관할 구역이 사업 모델에 맞는지 검토하는 창업자는 이 세 가지에 대한 답을 가져와야 합니다. 팀 자체의 거주 신분도 중요한데, 창업 팀의 비자가 선택한 라이선스에 달려 있기 때문입니다. 약속하기 전에 어드바이저 절차가 어떤 모습인지 보고 싶다면 Velarozone의 운영 방식 읽어 보십시오.
은행은 고객과 같은 질문을 할 것입니다. 누가 회사를 소유하는지, 누가 자금을 대는지, 돈이 어디서 오는지, 왜 UAE 법인이 필요한지입니다. 서명된 파일럿 고객과 명확한 데이터 흐름도를 갖춘 공급업체는 설립 증서와 웹사이트만 있는 업체보다 더 빨리 답할 수 있습니다.
요약하자면
이로부터 무엇을 취해야 하는가
- Doubao Work는 자체 페이지에서 사용자가 Doubao에게 할 일을 말하면 에이전트가 작업을 처리하는 업무 방식으로 설명되며, 따라서 이 제품은 고객의 시스템에서 동작합니다.
- 연방 PDPL은 UAE 안팎에서 이루어지는 개인정보의 전자적 처리에 적용되므로, 해외에서 호스팅하는 공급업체도 그 적용 범위 밖에 있지 않습니다.
- UAE Data Office는 연방 데이터 규제기관입니다. DIFC에는 자체 데이터 보호법(2020년 DIFC 법 제5호)이 있습니다.
- 의료 고객은 의료 분야 ICT에 관한 별도의 연방법, 즉 2019년 연방법 제2호를 가져옵니다.
- 호스팅형, 프라이빗 클라우드, 온프레미스 제공은 각각 서로 다른 계약과 서로 다른 현지 인력 구성이 필요합니다.
- 저희 모델이 중국에서 실행되고 UAE 서버에는 전혀 닿지 않는다면 PDPL이 적용됩니까?
- UAE 정부의 데이터 보호 페이지가 밝히듯, 이 법의 범위는 UAE 안팎의 처리로 확장됩니다. UAE 내 사람들의 개인정보를 처리한다면 적용된다고 보고 계획하십시오. 이전 규칙이 살펴봐야 할 부분이며, 조건은 가정할 것이 아니라 법률과 UAE Data Office의 현행 지침에서 확인해야 합니다.
- UAE에서 AI 에이전트를 판매하려면 라이선스가 필요합니까?
- 소프트웨어 판매 자체는 허가를 받아야 하는 금융 또는 의료 활동이 아닙니다. 그러나 에이전트가 고객을 위해 하는 일은 그럴 수 있습니다. 결제를 수행하거나 환자 기록을 다루거나 전문적인 조언을 하는 에이전트는 고객을, 때로는 공급업체까지도 업종별 감독기관의 관할 아래 둘 수 있습니다. 제품이 하는 일과 하지 않는 일을 적어 두고, 각 기능을 관련 당국에 대조하여 확인하십시오.
- 같은 회사가 DIFC 내부의 고객에게 서비스를 제공할 수 있습니까?
- DIFC에는 연방 PDPL과 별개인 자체 데이터 보호법(2020년 DIFC 법 제5호)이 있습니다. DIFC 외부와 DIFC 내부 고객 모두에게 서비스를 제공하는 공급업체는 두 제도를 반영한 계약 조건이 필요할 수 있습니다. 이 법들이 귀사의 구체적인 데이터 흐름에 어떻게 적용되는지에 대해 법률 자문을 받으십시오.
- UAE 은행에 무엇을 보여 주어야 합니까?
- 소유 및 자금 구조, 이름이 명시된 고객 또는 영업 파이프라인, 그리고 UAE 회사가 존재하는 이유에 대한 짧은 설명입니다. 은행의 컴플라이언스 팀은 피치 덱보다 데이터 맵을 더 잘 이해하므로 제품의 데이터 흐름 요약을 포함하십시오. 이는 서류를 개선하지만 계좌 개설을 보장하지는 않습니다.
출처
이 정보의 출처
CBUAE Rulebook에서 발췌한 일반 정보이며, Retail Payment Services and Card Schemes Regulation (C 15/2021)과 공표된 2025년 내각 결의 제(134)호를 포함하고, 법률 또는 세무 자문이 아닙니다. 규칙과 지침은 변경되므로 제출 전에 현행 본문과 각 기관 고유의 요건을 확인하십시오.