Blog
OpenRouter en Multi-Model AI Gateways: Structureren van een AI Routing Platform in de VAE
Het korte antwoord
Een multi-model AI-gateway zoals OpenRouter, één API voor veel modellen met routing en fallbacks, kan als software vanuit een UAE-bedrijf worden geëxploiteerd. Het verkopen van gebruik op basis van vooruitbetaald tegoed is iets anders: de Stored Value Facilities Regulation van de Central Bank of the UAE (CBUAE) vereist een voorafgaande licentie om een stored value facility uit te geven, tenzij een vrijstelling geldt. Prompts kunnen ook persoonsgegevens bevatten, dus Federal Decree-Law No. 45 of 2021 is hoe dan ook van toepassing op de gateway.
Federal Decree-Law No. 45 of 2021, de Personal Data Protection Law, is van toepassing op persoonsgegevens die geheel of gedeeltelijk door elektronische systemen worden verwerkt, binnen of buiten de UAE. De wet is op 2 januari 2022 in werking getreden. De prompt van een klant kan namen, e-mailadressen of accountgegevens bevatten, dus de wet raakt uw gateway zodra die dat verkeer routeert.
Het feit dat de structuur bepaalt, is wie het geld van de klant beheert. Als klanten een saldo bij u opwaarderen en dat afboeken tegen modelgebruik, geeft u mogelijk een stored value facility uit. De regelgeving van de Central Bank of the UAE (CBUAE) vereist dat die float op afgescheiden rekeningen bij gelicentieerde banken wordt aangehouden, los van de eigen middelen van de uitgever, en CBUAE en uw bank zullen daarnaar kijken voordat zij naar uw software kijken.
Wat een routinggateway feitelijk doet, en waar de juridische blootstelling ligt
De documentatie van OpenRouter beschrijft het product helder. Eén endpoint, `/api/v1/chat/completions`, geeft toegang tot honderden modellen. Het kan vanuit de OpenAI SDK worden gebruikt als drop-in-vervanging. Verzoeken worden gerouteerd naar de meest kosteneffectieve optie en fallbacks verlopen automatisch. Business- en Enterprise-klanten kunnen een apart endpoint in de EU-regio gebruiken met voor de EU geschikte modellen.
Voor een oprichter in de UAE vertalen drie van die kenmerken zich in verplichtingen. Routering betekent dat u kiest welke aanbieder de prompt van een klant te zien krijgt, dus u bepaalt waar persoonsgegevens naartoe gaan. Fallbacks betekenen dat een prompt die naar de ene aanbieder is gestuurd opnieuw naar een andere kan worden gestuurd wanneer de eerste uitvalt, dus uw beschrijving van de gegevensstromen moet het fallbackpad omvatten en niet alleen de eerste keuze. Het regionale endpoint laat zien waarom grote klanten bij u zullen aandringen: een manier om verkeer binnen een vermelde geografie te houden.
Een gateway die klanten vertelt "uw prompts verlaten regio X nooit" moet dat ook voor het fallback-pad kunnen aantonen. Dat vereist een datakaart met elke aanbieder en regio die een prompt kan bereiken, die gelijke tred houdt met de met elk van hen gesloten overeenkomst.
Prepaidtegoed en de stored value-regels van de Centrale Bank
Software waarvoor een maandelijkse vergoeding wordt gerekend, is eenvoudig. Een gateway die modelgebruik vooraf verkoopt is dat niet, omdat de klant eerst aan u betaalt en u de aanbieders later betaalt. In die tussenperiode houdt u hun geld aan.
De toets is de definitie van de Central Bank. Een stored value facility is een voorziening waarbij een klant geld betaalt aan een uitgever in ruil voor het bewaren van die waarde en een toezegging dat de uitgever goederen of diensten levert, of betalingen verricht, wanneer de waarde wordt gebruikt. Het uitgeven of exploiteren daarvan in de UAE vereist een voorafgaande CBUAE-licentie, behalve voor een voorziening voor één doel waarbij de uitgever zelf de goederen of diensten levert. De Central Bank kan ook voorzieningen vrijstellen die alleen bij de uitgever zelf of bij leveranciers met wie deze een overeenkomst heeft, kunnen worden gebruikt. Eén vrijstellingsroute geldt alleen zolang de float maximaal AED 500.000 bedraagt en het aantal klanten maximaal 100, en vereist een proef in de sandbox van het CBUAE FinTech Office. Of tegoed waarmee modelgebruik van een derde wordt gekocht, als eigen dienst van de uitgever telt, is een vraag voor CBUAE en niet iets om aan te nemen. Een gelicentieerde uitgever heeft een gestort kapitaal van ten minste AED 15.000.000 nodig. De uitgever moet de float, dat wil zeggen de vooruitbetaalde middelen van de klanten, aanhouden op afgescheiden rekeningen bij gelicentieerde banken, los van de eigen middelen. Ontwerp het tegoedproduct zo dat het antwoord een bewuste keuze is, en leg het vóór de lancering voor aan CBUAE en uw bank.
Een card acquirer zal willen weten of het saldo terugbetaalbaar is, of het alleen aan uw dienst kan worden besteed en of CBUAE is geraadpleegd. De gids over payment gateways en merchant acquirers legt uit hoe een verwerker aankijkt tegen een onderneming die terugkerende kaartbetalingen voor een digitaal saldo ontvangt.
Wat uw leveranciers u toestaan toe te zeggen
Een gateway kan alleen doorgeven wat zijn upstream-aanbieders toestaan. De voorwaarden van aanbieders verschillen op vier punten die voor een reseller van belang zijn:
- Of gebruik uberhaupt mag worden doorverkocht, en onder welke merknaam.
- Of prompts of outputs in de cache mogen worden geplaatst of opgeslagen.
- Of de aanbieder klantgegevens bewaart of er modellen mee traint, en of er een opt-out bestaat.
- Of de aanbieder prijzen, rate limits of modelbeschikbaarheid zonder voorafgaande kennisgeving mag wijzigen.
De documentatie van OpenRouter beschrijft op de hoofdpagina geen beleid voor gegevensbewaring en verwijst voor gegevensverwerking naar aparte pagina's. Dat is typisch: het antwoord staat in de voorwaarden van de aanbieder, niet in de productbeschrijving. Lees elk upstream-contract en schrijf op wat u naar waarheid kunt bieden. Als de ene aanbieder prompts bewaart en een andere niet, is één klantgerichte zin die "geen bewaring" belooft onjuist.
Dezelfde logica geldt voor uptime. U kunt fallbacks bieden. U kunt niet garanderen dat elk model beschikbaar blijft, omdat u de modellen niet beheert. Formuleer serviceniveaus rond uw eigen platform en benoem de afhankelijkheid van leveranciers.
Persoonsgegevens en het UAE Data Office
Federal Decree-Law No. 45 of 2021 is op 2 januari 2022 in werking getreden. Volgens de samenvatting van de UAE-overheid heeft het betrekking op persoonsgegevens die geheel of gedeeltelijk door elektronische systemen worden verwerkt, binnen of buiten de UAE, vereist het in het algemeen de toestemming van de eigenaar van de gegevens voor verwerking, geeft het personen het recht om gegevens te corrigeren en om verwerking te beperken of te stoppen, en stelt het eisen aan de doorgifte en het delen van persoonsgegevens over grenzen heen. Het UAE Data Office, verbonden aan het kabinet, is de federale gegevenstoezichthouder.
Voor een gateway zijn de praktische gevolgen:
- U treedt waarschijnlijk op als verwerker voor uw klanten. Uw contract met elke klant moet dat dus vermelden en beschrijven wat u met de gegevens doet.
- Het doorsturen van een prompt naar een aanbieder in het buitenland is een grensoverschrijdende doorgifte die moet worden opgenomen in uw registers en in uw klantvoorwaarden.
- Entiteiten in free zones en financiële centra kunnen onder hun eigen gegevenswetgeving vallen (het DIFC heeft een afzonderlijke wet op gegevensbescherming). Controleer daarom welk regime de door u gekozen zone met zich meebrengt.
Enterprise-klanten in gereguleerde sectoren kunnen daar eigen lokalisatie-eisen aan toevoegen. Vraag hiernaar tijdens het verkoopproces en niet pas nadat het contract is ondertekend.
De entiteit kiezen: mainland, free zone of een technologiezone
Een gateway die alleen uit software bestaat, met een klein team en klanten over de hele wereld, past vaak bij een free-zone bedrijf met een technologie- of commerciële licentie. Een gateway waarvan de belangrijkste klanten UAE-bedrijven zijn, of die rechtstreeks wil contracteren met aan de overheid gelieerde kopers, geeft mogelijk de voorkeur aan een mainland-licentie. Geen van beide keuzes neemt de tegoedvraag weg: de Stored Value Facilities Regulation definieert de State als de UAE met uitzondering van de Financial Free Zones, dus een gewoon free-zone- of mainland-bedrijf dat vooruitbetaald tegoed verkoopt, valt binnen het gebied dat de regeling bestrijkt. De gids over de keuze tussen free zone en mainland zet de afwegingen op een rij voor klantlocatie, kantoorruimte en visa.
Als u ook open modellen op uw eigen infrastructuur host, verschuiven de operationele vragen richting een cloudbedrijf, zoals behandeld in de gids over cloud managed service providers. Als u zelf modellen traint of fine-tunet, staat de gids over foundation model-bedrijven dichter bij uw situatie. Voordat een oprichter kiest, kan hij zien hoe Velarozone werkt wanneer het tegoedontwerp, de gegevensstromen en de entiteit samen worden beoordeeld.
Kort samengevat
Wat hiervan te leren
- De kernbelofte van een gatewaybedrijf is één endpoint, vele modellen. De eigen documentatie van OpenRouter beschrijft één chat completions-endpoint, routering naar de meest kosteneffectieve optie en automatische fallbacks.
- Het verkopen van gebruik op basis van vooruitbetaald tegoed kan u tot uitgever van een stored value facility maken, wat een voorafgaande CBUAE-licentie vereist, tenzij een vrijstelling geldt. Een maandelijks softwareabonnement slaat geen klantwaarde vooraf op.
- Prompts die via uw platform worden gerouteerd kunnen persoonsgegevens bevatten. Daarmee komen Federal Decree-Law No. 45 of 2021 en het UAE Data Office in beeld.
- Modelaanbieders bepalen de voorwaarden voor doorverkoop, caching en gegevensbewaring. Uw klantcontract kan alleen beloven wat uw leveranciers toestaan.
- Enterprise-kopers vragen eerst waar gegevens worden verwerkt en welke subverwerkers ze te zien krijgen, en pas daarna naar de prijs.
- Hebben wij een licentie nodig om toegang tot modellen door te verkopen?
- Een softwarelicentie-activiteit alleen dekt mogelijk niet het doorverkopen van gebruik op basis van vooruitbetaald tegoed. Als klanten vooraf betalen voor opgeslagen waarde, vereist de Stored Value Facilities Regulation van CBUAE een voorafgaande licentie, tenzij de voorziening een enkel doel heeft of de Central Bank een vrijstelling verleent. Leg eerst het tegoedontwerp vast en leg de vraag daarna voor aan CBUAE en uw bank.
- Is Federal Decree-Law No. 45 of 2021 van toepassing als onze servers buiten de VAE staan?
- Volgens de samenvatting van de overheid van de VAE is de wet van toepassing op de elektronische verwerking van persoonsgegevens, zowel binnen als buiten de VAE. Als u klanten in de VAE hebt, of een entiteit in de VAE die hun prompts verwerkt, kunt u de wet als van toepassing beschouwen en over de details advies inwinnen.
- Kunnen wij klanten beloven dat hun gegevens niet voor training worden gebruikt?
- Alleen als elke upstream-aanbieder naar wie u routeert u die toezegging schriftelijk geeft. Als sommige aanbieders dat wel doen en andere niet, bied dan routeringsinstellingen aan waarmee de klant de overige aanbieders kan uitsluiten, en beschrijf de situatie per aanbieder.
- Kunnen wij de beschikbaarheid van modellen garanderen?
- Nee. U kunt de uptime van uw eigen platform en uw fallbackgedrag beschrijven. De beschikbaarheid van modellen van derden hangt af van de aanbieders.
Bronnen
Waar dit vandaan komt
Algemene informatie op basis van het CBUAE Rulebook, waaronder de Retail Payment Services and Card Schemes Regulation (C 15/2021), en Cabinet Resolution No. (134) of 2025 zoals gepubliceerd; dit is geen juridisch of fiscaal advies. Regels en richtlijnen veranderen, dus controleer de actuele tekst en de eigen vereisten van elke instelling voordat u indient.