가이드
UAE에서 AI 안전, 평가 또는 모델 감사 회사 설립하는 방법
게시됨
간단한 답변
UAE의 어느 당국도 "AI 감사"를 하나의 활동으로 라이선스하지 않습니다. 상업 라이선스는 메인랜드 또는 프리존의 라이선스 당국이 부여합니다. 회사가 고객 데이터로 무엇을 할 수 있는지는 개인정보에 관한 2021년 연방 법령 제45호(Federal Decree Law No. 45 of 2021)가 규율하며, 연방 규제기관인 UAE 데이터청(UAE Data Office)이 이를 감독합니다. 실제 운영 중인 시스템을 시험하는 경우 사이버보안 규정이 추가로 적용됩니다. 경로는 회사가 고객이나 규제기관이 신뢰하는 독립적 보증을 제공하는지, 아니면 고객 자신의 권한 아래에서 내부 시험만 수행하는지에 따라 달라집니다.
누가 무엇을 결정하며 공백은 어디에 있는가
라이선스 당국(메인랜드의 경제관광부 또는 프리존 당국)은 회사가 존재하는지, 그리고 회사가 어떤 상업 활동 아래에서 스스로를 설명할 수 있는지를 결정합니다. 그 당국은 AI 평가의 품질을 시험하거나 승인하지 않습니다.
라이선스 옆에는 두 개의 별도 범위가 있습니다. UAE 데이터 보호법은 회사가 업무 수행 중 접하게 되는 개인정보, 즉 모델 학습 데이터, 고객 기록 또는 개인정보가 담긴 산출물을 수집, 처리, 저장, 이전할 수 있는 방식을 규율합니다. 회사의 시험이 실제 운영 중인 시스템의 취약점을 능동적으로 탐색하는 것을 수반하는 경우, 그 업무는 사이버보안 및 무단 접근 규정의 범위 안에 있으므로, 시스템 소유자의 서면 승인 없이 시험하는 것은 자신 있는 라이선스 설명으로 해결할 수 있는 회색 지대가 아닙니다.
UAE 통신 및 디지털정부 규제청(TDRA)은 통신 및 디지털정부 인프라를 규제합니다. 평가가 규제 대상 ICT 또는 통신 서비스에 관련되는 경우, 그 업무를 라이선스에 기재하기 전에 TDRA의 규정이 적용되는지 TDRA에 직접 문의하십시오. UAE 사이버보안위원회(UAE Cyber Security Council)는 국가 사이버보안 전략을 수립하고 부문 전반에 걸친 정책을 조율합니다. 일상적인 라이선스 담당 창구가 아니라, 국가 사이버 위험 정책이 시험 또는 보증 사업에 어떤 영향을 미치는지를 문의해야 하는 기관입니다. 두 기관 모두 이 안내서가 미리 확정된 답을 줄 수 있는 대상이 아니라 직접 확인해야 할 당국으로 취급하십시오.
규제기관이 실제로 요구하는 것
UAE 인공지능 전략 2031(UAE Strategy for Artificial Intelligence 2031)은 AI 도입과 거버넌스에 관한 연방 차원의 방향을 제시합니다. 이는 정책 문서이지 라이선스 제도가 아니므로, 평가 회사가 신청할 수 있는 승인 범주를 그 자체로 만들어 내지는 않습니다. 사업을 실제로 구속하는 실무 요건은 UAE 데이터 보호법에 있습니다. 개인정보를 어떻게 처리하는지, 어떤 법적 근거에 따르는지, 얼마나 오래 보관하는지, 업무가 끝난 뒤 어떻게 되는지입니다. 데이터 처리에 대한 답변은 일반적인 개인정보 처리방침 템플릿이 아니라 공식 데이터 보호 출처 자체를 바탕으로 작성하십시오. 개인정보가 담긴 학습 데이터, 프롬프트 또는 산출물을 받는 평가 회사는 해당 데이터를 보유하는 동안 그 자체로 처리자이기 때문입니다.
평가에 운영 중인 시스템의 능동적 테스트가 포함되는 경우, 작업을 시작하기 전에 고객의 서면 범위와 권한을 기록으로 확보하고 보관하십시오. 이 문서는 은행, 보험사 또는 거래 상대방이 가장 먼저 보여 달라고 요청하는 문서이기도 합니다.
자금이 이동하는 방식과 은행이 확인하는 사항
은행과 기업 거래처는 회사가 어떤 데이터를 다루는지, 테스트 결과를 누가 소유하는지, 그리고 독립성이나 인증에 관한 회사의 주장을 마케팅 문구가 아닌 계약으로 입증할 수 있는지를 물을 것입니다. 평가 방법론, 범위 및 한계를 기술한 서명된 작업 명세서(statement of work)는 서류 일체에서 가장 강력한 단일 증거입니다.
계좌 개설 전에 준비할 것:
- 평가 방법론과 그 명시된 한계를 서면으로 작성한 것
- 대표적인 작업 명세서(statement of work)와 샘플 보고서
- 고객으로부터 받은 모든 것에 적용되는 데이터 접근, 보안 및 삭제 통제
- 평가자의 역량과 이해 상충을 관리하는 방법에 대한 증빙
법인 은행 계좌 개설 준비 업무는 은행이 보기 전에 이 증빙 자료 묶음을 어떻게 조립하고 재무 모델과 대조하는지를 설명합니다. 비용은 여러 층으로 구성되며, Velarozone 서비스 요금은 대표 금액으로 게시되지 않고 용역 계약서에 항목별로 명시됩니다. 접근 방식은 Velarozone의 업무 방식에서 설명합니다.
소유 구조, 역할, 의견서에 서명하는 사람
법인 설립 전에, 회사가 자기 이름으로 의견서, 점수 또는 인증을 발급하는지, 아니면 고객의 내부 테스트를 지원하기만 하는지 결정하십시오. 전자의 역할에는 후자에는 없는 전문가 책임 위험이 따르며, 보험사는 둘을 매우 다르게 평가합니다. 거래처의 이사회, 규제 당국 또는 감사인에게 제출되는 모든 보고서의 승인에 대해 회사 내에서 누가 책임을 지는지 지정하고, 그 사람의 역량과 이해 상충 상황을 이력서에만 두지 말고 기록으로 보관하십시오.
외국 모회사가 평가 방법론, 인증 또는 브랜드를 보유하고 UAE 법인이 현지에서 서비스를 제공하는 경우, 둘 사이의 소유 및 라이선스 연결 고리에는 모든 기술 서비스 프랜차이즈와 같은 수준의 주의가 필요합니다. 규제 대상 및 복잡한 소유 구조 설립을 참조하십시오. 서면 사업 계획서 및 증빙 서류는 은행이나 투자자가 보기 전에 방법론, 역할 및 예산을 하나로 묶는 자리입니다.
흔히 잘못되는 지점
- 내부 테스트를 독립적인 인증으로 홍보하는 것.
- 고객의 서면 권한을 기록으로 확보하지 않은 채 운영 중인 시스템을 테스트하는 것.
- 문서화된 법적 근거 없이 거래처의 프롬프트나 출력물로 학습하거나 이를 보관하는 것.
- 방법론과 그 한계를 기록하지 않고 위험 점수나 의견서를 발급하는 것.
- 상업 라이선스가 데이터 보호와 사이버 테스트 문제에 답한다고 가정하는 것. 실제로는 어느 쪽에도 답하지 않습니다.
라이선스 취득 후 운영
UAE 또는 GCC 국민이 아닌 전문 평가자와 보안 테스터에게는 라이선스를 받은 법인에 연결된 본인 명의의 거주 비자가 필요합니다. 채용 계획이 확정되기 전에 비자 쿼터와 범주를 라이선스 발급 당국에 확인하십시오. 안전한 테스트 환경과 UAE 영토 내에 보관되는 고객 데이터는 데이터 소재지와 삭제에 관한 문제를 제기하며, 이는 고객마다 새로 결정하지 말고 한 번, 서면으로 답하고 일관되게 적용해야 합니다. 라이선스 갱신과 업종별 확인 사항은 각자의 주기로 진행되므로, 개별 고객 업무의 시작일 및 종료일과 별도로 추적하십시오.
