Python AI-ontwikkelingstudios: Wanneer diensten een software- of databedrijf worden in de VAE

Neem twee studio's met dezelfde vijf ingenieurs. De eerste bouwt een aanbevelingsengine voor een retailer, levert de repository op en tekent bij acceptatie voor akkoord. De tweede host dezelfde engine, verwerkt elke nacht de klantgegevens van de retailer en factureert maandelijks.

De eerste verkoopt arbeid en een resultaat. De tweede bewaart de persoonsgegevens van een ander en is verantwoordelijk voor het veilig houden ervan. Op grond van artikel 8 van Federal Decree Law No. 45 of 2021 moet een verwerker werken binnen de reikwijdte, het doel en de soorten gegevens die het contract van de cliënt vastlegt, een register bijhouden van wat hij verwerkt, en de gegevens wissen wanneer de verwerking eindigt of de gegevens worden teruggegeven. Artikel 9 voegt toe dat hij de cliënt moet informeren zodra hij kennis krijgt van een inbreuk. De wet bestrijkt verwerking die geheel of gedeeltelijk via elektronische systemen plaatsvindt, binnen of buiten de UAE, dus een studio met servers in het buitenland onttrekt zich daar niet aan op grond van dat feit.

Daarom gaat de keuze van het bedrijfsmodel vooraf aan de keuze van de zone. Een licentieomschrijving als "softwareontwikkeling" of "IT-advies" past bij de eerste studio. De tweede heeft een omschrijving, contracten en een gegevensbijlage nodig die overeenkomen met wat zij daadwerkelijk doet.

De UAE-overheid beschrijft het UAE Data Office als verbonden aan het Kabinet en optredend als federale gegevensregulator. Tot de verantwoordelijkheden behoren het opstellen van beleid en wetgeving, het goedkeuren van normen voor het toezicht op de Personal Data Protection Law, het afhandelen van klachten en het uitvaardigen van richtlijnen voor de uitvoering.

De wet verbiedt het verwerken van persoonsgegevens zonder toestemming van de eigenaar, met opgesomde uitzonderingen zoals algemeen belang en rechtsvorderingen. Artikel 5 voegt toe dat gegevens moeten worden verzameld voor een specifiek, duidelijk doel en later niet op een onverenigbare wijze mogen worden verwerkt. Voor een AI-studio bepaalt dit wat zij met trainingsdata mag doen. Als een cliënt klantgegevens aanlevert om een model te finetunen, vraag dan waarmee die klanten hebben ingestemd en of het contract hergebruik bij andere cliënten toestaat. Artikel 6 geeft de eigenaar het recht zijn toestemming in te trekken, dus het contract moet ook vastleggen wat de studio dan met de gegevens doet.

De federale wet is niet van toepassing op ondernemingen in free zones die eigen wetgeving inzake persoonsgegevens hebben (artikel 2). De pagina van de overheid van de UAE over gegevensbescherming noemt één zo'n regime, de DIFC Data Protection Law, DIFC Law No. 5 of 2020. Een studio die in het DIFC is gevestigd, moet haar privacyvoorwaarden op die wet afstemmen. Een studio in een andere free zone moet nagaan of de zone eigen datawetgeving heeft voordat zij ervan uitgaat dat de federale wet buiten beeld blijft.

Oprichters beschouwen IP vaak als een onderwerp voor investeerders. Voor een studio is het een operationeel onderwerp.

Als contractanten code schrijven, leg de overdracht dan schriftelijk vast. Op grond van Federal Decree-Law No. 38 of 2021 werkt een overdracht of licentie van economische rechten alleen schriftelijk, en daarin moeten het recht, het doel, de duur en de plaats worden vermeld (artikel 9). Morele rechten kunnen niet worden overgedragen (artikel 5). Dezelfde wet kent een werk dat voor een ander is gemaakt aan die ander toe, tenzij partijen schriftelijk anders overeenkomen (artikel 28), dus stilzwijgen in een klantcontract werkt in het voordeel van de cliënt. Als een project een herbruikbaar onderdeel oplevert, leg dan in het contract vast of de studio het behoudt. Een cliënt die voor maatwerk heeft betaald en het later aantreft in het product van een concurrent, blijft geen cliënt.

De eigen tooling van de studio moet vanaf het begin gescheiden worden gehouden van wat aan cliënten wordt opgeleverd. Houd een overzicht bij van wat voor wie is gebouwd en wat al bestond. Investeerders en overnemende partijen onderzoeken dit tijdens de due diligence, en niets in de bedrijfsstructuur herstelt dit achteraf.

Een mainland-vennootschap kan rechtstreeks contracteren met bedrijven in de UAE en met cliënten die aan de overheid verbonden zijn, wat geschikt is voor projectwerk voor lokale klanten. Een free-zone-vennootschap kan geschikt zijn voor een studio waarvan de cliënten grotendeels buiten de UAE of in dezelfde zone zitten. Een entiteit in een financieel centrum is vooral zinvol als uw cliënten gereguleerde ondernemingen zijn die de voorkeur geven aan die jurisdictie.

De samenstelling van de klantenkring van de studio bepaalt dit meer dan de prijs. Een studio waarvan de omzet voor de helft uit lokaal projectwerk en voor de helft uit buitenlandse abonnementen bestaat, wil mogelijk eerst nagaan of één vennootschap beide kan bedienen voordat zij zich in tweeën splitst.

Als u ingenieurs in de UAE aanneemt, maakt de verblijfsvisum-route deel uit van dezelfde beslissing. Als de levering wordt verzorgd door een engineeringcentrum in het buitenland, behoudt de UAE-onderneming die het contract ondertekent de verplichtingen als verwerker uit de artikelen 8 en 9. Zij heeft dus de mensen en systemen nodig om instructies van cliënten op te volgen, het verwerkingsregister bij te houden en inbreuken te melden. Velarozone gaat uit van wie het cliëntcontract ondertekent en wie het werk uitvoert, zoals beschreven in hoe Velarozone werkt.

De gerelateerde gidsen behandelen het andere uiteinde van de sector: het opzetten van een foundationmodel- of generatieve-AI-bedrijf, het exploiteren van een AI-agentplatform voor gereguleerde sectoren of het draaien van een beheerde clouddienst. Een studio die een van deze richtingen op gaat, krijgt te maken met verplichtingen die verder gaan dan projectlevering, zoals beschikbaarheidsgaranties of sectorregels die door cliënten worden doorgegeven.

Wees voorzichtig met het beloven van onbeperkte verantwoordelijkheid voor wat een model van een derde partij genereert. Beperk de aansprakelijkheid in het contract, definieer acceptatietests en bepaal wie verantwoordelijk is wanneer de eigen gegevens van een cliënt de oorzaak zijn van een slecht resultaat.