가이드
UAE 규제 산업을 위한 AI 에이전트 플랫폼 구축
간단한 답변
UAE의 AI 에이전트 플랫폼에 라이선스가 필요한지는 마케팅 문구에 "AI"가 들어가는지가 아니라 에이전트가 무엇을 수행할 권한이 있는지에 따라 달라집니다. 결제를 개시하거나, 신용을 제공하거나, 거래를 실행하거나, 가상자산 거래를 결제하는 경우에는 해당 기초 활동에 대한 관할 규제기관이 적용되는 인가를 결정합니다. 그 규제기관은 UAE 중앙은행(Central Bank of the UAE, CBUAE), 자본시장청(Capital Market Authority, CMA, 2026년 1월 1일 구 증권상품청(Securities and Commodities Authority)에서 재편된 연방 역내 시장 규제기관), DIFC의 두바이 금융서비스청(Dubai Financial Services Authority, DFSA), ADGM의 금융서비스규제청(Financial Services Regulatory Authority, FSRA), 또는 두바이의 가상자산규제청(Virtual Assets Regulatory Authority, VARA)입니다. 에이전트가 사람의 승인을 위해 초안을 작성하거나, 표시하거나, 추천만 한다면 운영 회사는 여전히 UAE의 데이터 보호 및 사이버보안 의무를 지지만, 금융 또는 가상자산 라이선스는 필요하지 않습니다. 경로를 가장 자주 결정하는 사실은 에이전트의 행위가 효력을 갖기 전에 사람이 승인하는지 여부입니다.
결정 당국과 그 판단 기준
기준은 에이전트가 판매되는 분야가 아니라 에이전트가 수행하도록 승인된 활동입니다. 대출 담당자가 서명할 신용 메모를 작성하는 에이전트는 대출을 승인하는 에이전트와 다릅니다. 의심스러운 거래를 표시하는 에이전트는 그 거래를 실행하는 에이전트와 다릅니다. 에이전트가 지원에서 라이선스 대상 활동의 실행으로 넘어가면, 그 활동의 규제기관이 경로를 정합니다. 은행, 대출, 결제 활동은 CBUAE, 본토의 증권 및 상품 사업은 CMA, DIFC에서 이루어지는 금융 서비스는 DFSA, ADGM에서 이루어지는 금융 서비스는 FSRA, DIFC 밖 두바이에서 이루어지는 가상자산 활동은 VARA입니다. 이들 고객 여럿을 동시에 상대하는 플랫폼(본토의 은행, DIFC의 펀드, VARA 관할의 거래소)은 보통 모두를 포괄하는 하나의 라이선스가 아니라 둘 이상의 규제기관에 응답합니다. 가상자산 고객을 위해 구축하는 창업자는 두 규제기관이 서로 다른 것을 심사하므로 VARA 설립 경로를 일반적인 핀테크 구축과 별도의 트랙으로 다뤄야 합니다. 자동화된 투자 자문에 대해서는 로보 어드바이저 가이드가 자문과 재량 운용을 구분하는 기준을 설명합니다.
라이선스 여부와 관계없이 데이터 보호 및 사이버보안 규정이 이미 요구하는 사항
분야별 규제기관이 관여하기 전에 두 가지 의무가 적용됩니다. 2022년 1월 2일부터 시행 중인 개인정보 보호에 관한 2021년 연방 법령 제45호는 제한적인 경우를 제외하고 정보 주체의 동의 없이 개인정보를 처리하는 것을 금지하며, 이는 플랫폼에 금융 또는 가상자산 라이선스가 필요 없더라도 에이전트가 수집, 저장, 공유하는 모든 정보에 적용됩니다. UAE 데이터 사무국이 연방 데이터 규제기관 역할을 합니다. 별도로, UAE 사이버 보안 위원회는 민감하거나 중요한 데이터를 다루는 시스템에 기대되는 국가 사이버 보안 수준을 정하며, 고객 기록, 건강 파일, 결제 인프라에 상시 접근 권한이 있는 에이전트는 이에 해당할 가능성이 큽니다. 두 의무 모두 시스템이 실제로 접하는 것에 따라 적용되며, 라이선스 범주나 제품을 “그저 소프트웨어”라고 설명하는 것과는 무관합니다. SPV를 통해 대출을 시작하거나 보유하는 구조에 대해서는 사모 신용 및 증권화 가이드가 각 기능을 어떤 규제기관이 승인하는지 설명합니다.
은행과 규제 대상 고객이 에이전트의 권한을 어떻게 해석하는지
계좌를 개설하는 은행이나 플랫폼을 도입하는 규제 대상 고객은 에이전트의 홍보 내용이 아니라 에이전트의 권한을 심사합니다. 그 논의가 시작되기 전에 도구 권한 매트릭스(에이전트가 호출할 수 있는 대상과 그 조건), 데이터 흐름 및 보존 맵, 조치 유형별 사람의 승인 기준, 오류를 탐지하고 되돌리는 방법을 제시할 수 있도록 준비해야 합니다. 이러한 플랫폼의 은행 계좌 개설 준비는 투자 설명 자료의 규모가 아니라, 이 네 가지 문서가 서로 일치하고 고객 계약과도 일치하는지에 달려 있습니다. 영업 자료에서 에이전트가 한다고 주장하는 내용과 권한 매트릭스가 실제로 허용하는 내용이 어긋나는 것은 은행 심사와 규제 대상 고객의 조달 절차를 모두 지연시키는 가장 빠른 길입니다.
소유권, 경제적 실질 및 사업에 필요한 역할
고객 계약에 서명하는 법인은 그룹 내 다른 곳에서 실제 업무가 이루어지는 인력이 부족한 껍데기 법인이 아니라 컴플라이언스 기능을 보유한 법인이어야 합니다. 기초 활동이 규제 대상인 경우, 규제기관은 사업을 인가하기 전에 적격성과 적합성(fit-and-proper)을 갖춘 컴플라이언스 책임자를 지정하도록 요구할 것입니다. 구체적인 직책과 심사 기준은 규제기관마다 다르며 고정된 목록으로 게시하지 않고 실제 신청 시점에 확인합니다. DIFC 또는 ADGM의 규제를 받는 고객과 메인랜드 고객을 모두 상대하는 그룹은 DFSA, FSRA 및 UAE 메인랜드 회사 규정이 서로 호환되지 않기 때문에 일반적으로 각각 별도의 법인이 필요합니다. 첫 번째 규제 대상 고객이 요구한 뒤에 덧붙이기보다 규제 대상 또는 복잡한 소유 구조를 제대로 갖추는 것이 바람직한 시점이 바로 이때입니다.
규제 대상 AI 에이전트 플랫폼에서 흔히 발생하는 문제
- 규제 관련 논의를 피하기 위해 자율 의사결정 시스템을 "단지 소프트웨어"라고 설명하는 것입니다.
- 접근 권한을 조치별로 범위를 정하는 대신, 에이전트에게 필요할 수 있는 모든 시스템에 대한 상시 자격 증명을 부여하는 것입니다.
- 에이전트가 무엇을 했고 누가 이를 승인했는지에 대한 지속적인 로그를 보존하지 않는 것으로, 이는 사고 발생 후 규제기관이나 은행이 가장 먼저 요구하는 사항입니다.
- 보유한 라이선스가 실제로 부여하지 않는 컴플라이언스 또는 전문성 성과("규제기관 승인", "은행 수준")를 내세워 마케팅하는 경우.
- 사람의 승인을 실질적인 통제 절차가 아니라 단순한 체크박스처럼 취급하여, 실제로 누구도 그 조치를 검토하지 않았는데도 기록상으로는 승인된 것으로 나타나는 것.
비용은 하나의 대표 금액이 아니라 여러 층으로 구성됩니다(법인, 분야별 인가, 위에서 언급한 컴플라이언스 직책에 각각 별도의 비용이 듭니다). 이를 구성하는 데 대한 Velarozone 서비스 요금(Velarozone service fee)은 용역 계약서(engagement letter)에 항목별로 명시됩니다. Velarozone의 업무 방식을 참고하십시오.
법인, 비자, 세금이 라이선스 결정과 어떻게 맞물리는지
규제기관과 운영 모델이 확정되고 나면 설립은 앞서지 않고 뒤따릅니다. 활동이 금융 센터의 관할 범위 안에 있다면 DIFC 또는 ADGM 법인을, 그렇지 않다면 메인랜드(mainland) 또는 프리존(free zone) 법인을 설립합니다. 어떤 경로를 선택하든 Federal Tax Authority(FTA)의 법인세 등록 및 신고 의무는 운영 법인에 적용됩니다. 또한 라이선스 갱신, 비자 쿼터, 분야별 인가는 대개 각기 다른 연간 주기로 갱신되므로 사업 개시 후에 뒤늦게 챙기지 말고 함께 관리해야 합니다. 설립 절차 자체에 대해서는 UAE 사업체 설립 단계별 안내를 참고하십시오.
