가이드
UAE에서 재단 모델 또는 생성 AI 회사를 구조화하는 방법
간단한 답변
대부분의 파운데이션 모델 및 생성형 AI 기업의 경우, 트레이드 라이선스 자체는 Dubai Department of Economy and Tourism (DET) 또는 프리존(free zone) 당국에서 발급되며, 이 부분은 일상적인 절차입니다. 더 오래 걸리는 부분은 학습 데이터와 모델 가중치를 누가 소유하는지를 정리하는 일인데, 이는 회사법이 아니라 UAE 연방 데이터 보호법의 적용을 받는 문제이기 때문입니다. 운영 경로를 가장 자주 결정짓는 단일 요소는 모델을 학습시키거나 파인튜닝(fine-tuning)하는 데 개인 데이터가 사용되었는지 여부와, 그 처리가 누구의 라이선스 하에 이루어졌는지입니다.
규제 범위와 결정 주체
UAE의 파운데이션 모델 또는 생성형 AI 기업에 라이선스를 부여하는 전담 AI 규제기관은 없습니다. 상업 등록은 다른 기술 기업과 동일한 경로로 진행됩니다. 해당 메인랜드(mainland) 라이선스 당국을 통한 메인랜드(mainland) 회사 설립 또는 프리존(free zone) 구조를 이용합니다. 상황을 바꾸는 것은 모델이 실제로 무엇을 다루는가입니다. 학습, 파인튜닝 또는 추론에 사용되는 개인정보는 UAE 연방 데이터 보호법의 적용 범위에 들어옵니다. 핵심 인프라에 해당하는 인프라는 사이버보안위원회의 기준 적용 범위에 들어옵니다. 모델의 출력물이 규제 대상 분야(건강 안내, 금융 추천, 미디어 콘텐츠)에 활용된다면, 상업 라이선스에 더해 해당 분야 자체의 규제기관도 심사 범위에 추가됩니다. 라이선스 당국은 회사가 영업할 수 있는지를 결정할 뿐, 회사가 학습에 쓰고자 하는 데이터를 처리해도 되는지, 또는 인프라가 사이버보안 기대 수준을 충족하는지를 결정하지 않습니다.
데이터 및 사이버보안 규정이 실제로 요구하는 사항
UAE 연방 데이터 보호법은 개인정보가 학습 또는 파인튜닝 파이프라인에 들어온 이후 어떻게 수집, 이용, 이전되는지를 규율하며, 그 의무는 제품에 붙은 AI라는 명칭이 아니라 처리 행위 자체에 적용됩니다. 개인정보를 일부라도 학습에 사용한 모델은 그 처리에 대한 문서화된 적법 근거와 해당 정보의 UAE 국외 이전에 대한 입장이 있어야 하며, 이는 데이터셋을 사용하기 전에 갖추어야 합니다. 제품이 파운데이션 모델이든, 파인튜닝 모델이든, API 래퍼이든 마찬가지입니다. 별도로 사이버보안위원회는 컴퓨팅 또는 호스팅 인프라가 UAE 핵심 시스템의 일부로 취급되는 경우에 적용되는 국가 사이버보안 전략과 기준을 정합니다. 의미 있는 규모로 자체 학습 또는 추론 인프라를 운영하는 생성형 AI 기업은 일반적인 내부 IT 정책이 아니라 해당 기준에 따라 평가받을 것으로 예상해야 하며, 클라우드 제공업체 자체의 인증이 그 문제를 대신 해결해 준다고 가정해서는 안 됩니다.
구조 안에서 컴퓨팅 자원, IP 및 자금이 이동하는 방식
AI 기업을 심사하는 은행과 결제 대행사(acquirer)는 라이선스 너머에 있는 계약을 살펴봅니다. 컴퓨팅 비용이 누구에게 청구되는지, API 또는 구독 매출이 실제로 어떻게 수금되는지, 그리고 고객 계약에 서명하는 법인이 모델과 데이터 권리를 보유한 법인과 동일한지 여부입니다. 가중치를 보유하는 지주회사와 고객에게 청구하는 운영 회사를 나란히 두는 구조는 모델이 프로토타입에서 매출 단계로 넘어갈 때 흔히 나타나지만, 각 법인은 두 법인을 하나의 계좌로 대신하는 것이 아니라 자체 계약, 은행 서명 권한, 이전가격 입장을 갖추어야 합니다. 은행과의 협의가 시작되기 전에 모델 카드, 데이터셋 권리 대장, 컴퓨팅 계약이 준비되어 있으면 계좌 개설이 더 빠르게 진행되며, 이것이 법인 은행 계좌 개설 준비의 기초 작업입니다. 이 분야의 비용은 하나의 금액이 아니라 여러 층으로 구성됩니다. 컴퓨팅 계약과 엔지니어링 인건비가 일반적으로 정부 수수료를 크게 웃돌기 때문입니다. Velarozone의 자체 요금은 용역 계약서(engagement letter)에 항목별로 기재되며, 그 층별 구성이 어떻게 제시되는지는 Velarozone 운영 방식에서 확인하실 수 있습니다.
소유 구조, 역할 및 규제기관이나 은행이 확인하려는 인력
모델에 기여한 모든 사람(창업자, 직원, 계약자, 그리고 코드나 가중치가 병합된 오픈소스 관리자)은 모델이 분쟁 대상이 아니라 회사 자산으로 취급되려면 먼저 문서화된 지식재산 양도 또는 라이선스를 갖추어야 합니다. 학습에 개인정보를 사용한 경우, 소규모 팀에서 그 사람이 다른 직책을 겸하더라도 회사 내부의 누군가가 데이터 보호 입장에 대한 책임을 져야 합니다. 지식재산 보유 법인과 운영 회사를 분리하거나 둘 이상의 관할 구역(jurisdiction)에서 투자자를 유치하는 그룹 구조는 규제 대상 및 복합 소유 구조에 해당하며, 소유 구조는 모델 자체를 문서화하는 것과 같은 방식으로, 은행이나 기업 고객이 읽고 신뢰할 수 있는 사업 계획서 및 문서 작성을 통해 기록해야 합니다.
AI 기업 구조 설계에서 발생하는 문제
- 회사가 브랜드와 고객 계약은 보유하지만 모델 가중치는 보유하지 못하는 경우가 있는데, 그 가중치를 학습시킨 계약자들이 지적재산권을 양도한 적이 없기 때문입니다.
- 학습 데이터에 창업자의 이전 고용주로부터 가져온 개인 데이터가 포함되어 있거나, 그 처리에 대한 문서화된 적법한 근거 없이 스크래핑된 데이터가 포함되어 있는 경우입니다.
- 고객 계약서가 상류 모델 라이선스가 주장하는 정확성 또는 안전성에 관한 내용을 그대로 반복하지만, 회사가 실제로는 그 주장을 스스로 보증할 수 없는 경우입니다.
- 생성형 AI 도구가 건강이나 금융과 같은 규제 대상 업종에 도입되는데, 그 분야의 규제 기관이 해당 결과물을 통제 대상 서비스로 취급하는지 확인하지 않은 경우입니다.
라이선스 취득부터 모델 가동까지: 비자, 사업장 및 갱신
법인이 설립되면 라이선스는 AI라는 명칭과 무관한 운영 단계로 이어집니다. 비자 쿼터는 설립 카드(establishment card)와 연결되며, 형식적인 인원수가 아니라 실제로 모델을 운영하는 엔지니어링, 안전, 컴플라이언스 인력을 충당할 수 있어야 합니다. 컴퓨팅이 UAE 내에 있든 해외 클라우드 제공업체에 있든 등록 주소는 필요합니다. 연방세무청의 법인세 등록(FTA)은 다른 UAE 회사와 동일한 연방 규정을 따르며, 별도의 AI 범주는 없습니다. 갱신은 데이터 보호 및 지식재산 입장을 다시 확인하는 시점이기도 합니다. 지난 갱신 이후 모델을 재학습하거나 추가로 파인튜닝하거나 신규 고객에게 개방했다면 설립 당시 기록된 범위를 벗어났을 수 있기 때문입니다.
