Blog
Doubao Work: Hoe Chinese Enterprise-AI Bedrijven UAE-activiteiten Kunnen Voorzien
Het korte antwoord
Doubao Work is een Chinees product dat is gebouwd rond een agent die een taak van een gebruiker overneemt en uitvoert, in plaats van een chatbot die alleen antwoord geeft. Een bedrijf dat een dergelijk product aan klanten in de UAE verkoopt, valt in de eerste plaats onder de federale wet op de bescherming van persoonsgegevens, Federal Decree-Law No. 45 of 2021, waarop het UAE Data Office toezicht houdt als federale gegevensregulator. Het feit dat het vaakst bepalend is voor de route, is of de agent de persoonsgegevens van personen in de UAE zal lezen, opslaan of daarmee handelingen zal verrichten, en waar die verwerking fysiek plaatsvindt.
De wetgeving inzake gegevens verhindert niet dat een bedrijf wordt opgericht. Zij bepaalt wat het bedrijf aan zijn eerste zakelijke klant moet kunnen aantonen: wie de bestanden en logbestanden beheert, waar zij zich bevinden en wie verantwoordelijk is wanneer de agent een fout maakt.
Voor een buitenlandse AI-aanbieder bepaalt dat bewijs de keuze van entiteit meer dan de kosten van de licentie. Een bedrijf dat alleen een gehoste dienst vanuit het buitenland doorverkoopt, heeft een andere voetafdruk dan een bedrijf dat de agent binnen het netwerk van een klant installeert en ingenieurs ter plaatse houdt.
Wat een AI-agent verandert onder de UAE PDPL
Een chatassistent ziet wat een gebruiker typt. Een agent ziet veel meer. Om een afspraak te boeken, een factuur af te stemmen of een rapport op te stellen heeft hij toegang nodig tot mailboxen, gedeelde drives, boekhoudtools en soms inloggegevens. Op elk van die plekken staan persoonsgegevens.
De federale PDPL beschouwt de verwerking van persoonsgegevens, geheel of gedeeltelijk via elektronische systemen, als vallend binnen haar toepassingsgebied. De wet is op 2 januari 2022 in werking getreden. Zij koppelt verwerking in het algemeen aan de toestemming van de eigenaar van de gegevens, met opgesomde uitzonderingen, en geeft personen het recht om correcties te vragen en om de verwerking te beperken of te stoppen. Zij bevat ook regels voor de grensoverschrijdende doorgifte van persoonsgegevens voor verwerking. Dat is de bepaling die een leverancier die modellen buiten de UAE draait nauwkeurig moet lezen.
Het praktische gevolg is dat een enterprise-klant in de UAE de leverancier zal vragen schriftelijk aan te geven wat de agent kan lezen, wat hij bewaart, of prompts en output worden gebruikt om het model te verbeteren en welke subverwerkers de gegevens inzien. Een oprichter die deze vragen niet kan beantwoorden, verliest de order voordat de vraag over de handelslicentie zich voordoet.
Het Data Office is ingesteld krachtens Federal Decree-Law No. 44 of 2021 en valt onder het kabinet van de UAE. Tot zijn taken behoort het opstellen van beleid inzake gegevensbescherming en het uitvaardigen van richtlijnen, dus het standpunt over uitvoeringsdetails kan veranderen. Raadpleeg de actuele richtlijnen voordat u een hostingcontract ondertekent.
Gehost, private cloud of on-premises: de keuze die de entiteit bepaalt
Gehoste levering is de lichtste vorm. De leverancier draait de agent vanuit zijn eigen infrastructuur en de klant logt in. De onderneming in de UAE is mogelijk weinig meer dan een verkoop- en supportentiteit, maar de vraag over gegevensdoorgifte is dan het scherpst, omdat klantgegevens het land van meet af aan verlaten.
Bij levering via een private cloud wordt een dedicated instantie geplaatst in een cloudregio die de klant goedkeurt. De leverancier beheert die instantie nog steeds, dus verwerkt de leverancier nog steeds de gegevens van de klant, en dat moet in het contract staan.
Bij levering on-premises staat de software binnen de muren van de klant. Zorgen over grensoverschrijdende doorgifte vervallen voor de opgeslagen gegevens, maar sessies voor ondersteuning op afstand kunnen ze direct terugbrengen. Een supportengineer in een ander land die verbinding maakt met de server van een klant, benadert UAE-gegevens vanuit het buitenland.
Veel Chinese leveranciers van enterprise-software bieden alle drie de vormen aan. Zij moeten elke vorm als afzonderlijke bijlage in de raamovereenkomst opnemen, met eigen voorwaarden voor gegevensverwerking, in plaats van in 茅茅n document dat elk geval probeert te dekken.
Klanten in de zorg, de financi毛le sector en de overheid
De sectoren die het meest uitgeven aan workflowautomatisering, hebben ook hun eigen regels. Een klant in de gezondheidssector brengt Federal Law No. 2 of 2019 inzake het gebruik van informatie- en communicatietechnologie op gezondheidsgebieden mee, waarvan de regering van de UAE aangeeft dat deze ook van toepassing is in free zones. Banken en verzekeraars leggen verantwoording af aan hun eigen toezichthouders en zullen hun voorwaarden voor uitbesteding aan de leverancier doorgeven. Overheidsinstanties kopen in via hun eigen procedures.
Niets hiervan betekent dat de leverancier een eigen handelslicentie nodig heeft. Het betekent dat het compliance-team van de klant voorwaarden in het contract zal opnemen en dat de leverancier een lokale entiteit nodig heeft die deze kan ondertekenen, de verzekering kan afsluiten en een vordering kan ontvangen. Een dun filiaal dat elke vraag doorschuift naar een moederbedrijf in het buitenland loopt vaak vast in de inkoopprocedure.
Een leverancier die uitsluitend verkoopt aan particuliere, niet-gereguleerde bedrijven, zoals retailers of logistieke ondernemingen, heeft een lichter traject. Vermeld dat in het verkoopmateriaal en bewaar sectorklanten voor een tweede fase.
Verantwoordelijkheid voor wat de agent doet
Een agent die een e-mail verstuurt, een bestand verplaatst of een formulier indient, handelt in naam van de klant. Als hij verkeerd handelt, zal de klant naar het contract kijken. De UAE-wet inzake cybercriminaliteit, Federal Decree-Law No. 34 of 2021, bestrijkt strafbare feiten die via informatietechnologie en netwerken worden gepleegd, en een leverancier wiens agent permanente inloggegevens krijgt, moet ontwerpen alsof zijn logs op een dag door een onderzoeker kunnen worden gelezen.
Drie ontwerpkeuzes hebben juridisch gewicht en kunnen het best v贸贸r de oprichting worden vastgelegd:
- Welke handelingen de agent mag verrichten zonder dat een mens ze goedkeurt, en welke eerst goedkeuring vereisen.
- Hoe lang inloggegevens worden bewaard en of de klant ze onmiddellijk kan intrekken.
- Wie eigenaar is van de logs en of de leverancier ze mag gebruiken om modellen te trainen of af te stemmen.
Een duidelijke goedkeuringsdrempel is voor het risicoteam van een klant gemakkelijker te accepteren dan de bewering van volledige autonomie.
Een route in de VAE kiezen voor een AI-leverancier
Een mainland-onderneming maakt directe contractsluiting met bedrijven en overheidsafnemers in de UAE mogelijk, en daarom beginnen verkopers van enterprise-software daar vaak. Opzetten in een free zone passen bij teams wier hoofdactiviteit ontwikkeling of ondersteuning op afstand is, hoewel elke zone eigen voorwaarden stelt en de autoriteit moet bevestigen wat een onderneming vanuit haar locatie mag doen. Een DIFC-entiteit brengt de DIFC Data Protection Law in beeld, wat van belang is als het klantenbestand daar gevestigd is.
De vergelijking draait om waar de klanten zijn, waar de engineers zitten en of de onderneming hardware zal aanhouden. Een oprichter die overweegt welke jurisdictie bij het bedrijfsmodel past, moet antwoorden op die drie punten paraat hebben. Ook de verblijfsstatus van het team zelf is van belang, aangezien visa voor het oprichtingsteam afhangen van de gekozen handelslicentie. Lees hoe Velarozone werkt als u wilt zien hoe het adviestraject eruitziet voordat u zich verbindt.
Banken zullen dezelfde vragen stellen als klanten: wie de eigenaar van de onderneming is, wie haar financiert, waar het geld vandaan komt en waarom een entiteit in de UAE nodig is. Een leverancier met een ondertekende pilotklant en een duidelijk gegevensstroomdiagram beantwoordt deze sneller dan een leverancier met een oprichtingscertificaat en een website.
Kort samengevat
Wat hiervan te leren
- Doubao Work wordt op de eigen pagina beschreven als een manier van werken waarbij de gebruiker Doubao vertelt wat er moet gebeuren en de agent de taak afhandelt, zodat het product handelt binnen de systemen van een klant.
- De federale PDPL is van toepassing op elektronische verwerking van persoonsgegevens binnen of buiten de UAE, dus een leverancier die in het buitenland host, valt niet buiten haar bereik.
- Het UAE Data Office is de federale toezichthouder voor gegevens. Het DIFC heeft een eigen Data Protection Law (DIFC Law No. 5 of 2020).
- Klanten in de gezondheidszorg brengen een afzonderlijke federale wet over ICT op gezondheidsgebieden mee, Federal Law No. 2 of 2019.
- Gehoste levering, levering via een private cloud en levering on-premises vereisen elk een ander contract en een andere mix van lokaal personeel.
- Is de PDPL van toepassing als onze modellen in China draaien en nooit UAE-servers raken?
- Het toepassingsgebied van de wet strekt zich uit tot verwerking binnen of buiten de UAE, zoals de gegevensbeschermingspagina van de UAE-overheid het formuleert. Als u persoonsgegevens verwerkt van personen in de UAE, houd er dan rekening mee dat de wet van toepassing is. De regels voor doorgifte zijn het onderdeel dat u moet bestuderen, en de voorwaarden moeten worden gelezen in de wet en in de actuele richtlijnen van het Data Office in plaats van te worden verondersteld.
- Hebben we een licentie nodig om een AI-agent in de UAE te verkopen?
- Het verkopen van software is op zichzelf geen gelicentieerde financi毛le of gezondheidszorgactiviteit. Wat de agent voor de klant doet, kan dat wel zijn. Een agent die betalingen uitvoert, pati毛ntgegevens verwerkt of professioneel advies geeft, kan de klant, en soms ook de leverancier, onder een sectortoezichthouder brengen. Leg vast wat het product wel en niet zal doen en toets vervolgens elke functie aan de relevante autoriteit.
- Kan hetzelfde bedrijf klanten binnen het DIFC bedienen?
- Het DIFC heeft een eigen Data Protection Law (DIFC Law No. 5 of 2020), los van de federale PDPL. Een leverancier die zowel onshore- als DIFC-klanten bedient, heeft mogelijk contractvoorwaarden nodig die twee regimes weerspiegelen. Win juridisch advies in over hoe deze van toepassing zijn op uw specifieke gegevensstromen.
- Wat moeten we aan een UAE-bank laten zien?
- Eigendom en financiering, een met naam genoemde klant of pipeline, en een korte toelichting waarom de UAE-vennootschap bestaat. Voeg het overzicht van de gegevensstromen van het product toe, aangezien compliance-teams bij banken een datamap beter begrijpen dan een pitchdeck. Dit verbetert de documentatie; het is geen garantie voor een rekening.
Bronnen
Waar dit vandaan komt
Algemene informatie op basis van het CBUAE Rulebook, waaronder de Retail Payment Services and Card Schemes Regulation (C 15/2021), en Cabinet Resolution No. (134) of 2025 zoals gepubliceerd; dit is geen juridisch of fiscaal advies. Regels en richtlijnen veranderen, dus controleer de actuele tekst en de eigen vereisten van elke instelling voordat u indient.