Een AI-agentplatform opzetten voor gereguleerde sectoren in de VAE

De toets is de activiteit die de agent mag uitvoeren, niet de sector waaraan hij wordt verkocht. Een agent die een kredietmemo opstelt dat een kredietadviseur ondertekent, is iets anders dan een agent die de lening goedkeurt; een agent die een verdachte transactie signaleert, is iets anders dan een agent die haar uitvoert. Zodra de agent van ondersteuning overgaat op de uitvoering van een gelicentieerde activiteit, bepaalt de toezichthouder voor die activiteit de route: de CBUAE voor bank-, krediet- en betalingsactiviteiten; de CMA voor effecten- en grondstoffenzaken op het vasteland; de DFSA voor financiële diensten vanuit het DIFC; de FSRA voor financiële diensten vanuit het ADGM; en VARA voor activiteiten met virtuele activa in Dubai buiten het DIFC. Een platform dat meerdere van deze klanten tegelijk bedient (een bank op het vasteland, een fonds in het DIFC, een beurs onder VARA) legt meestal verantwoording af aan meer dan één toezichthouder, niet aan één licentie die alles dekt. Oprichters die voor klanten met virtuele activa bouwen, moeten de VARA-route behandelen als een apart spoor naast een conventionele fintech-opzet, omdat de twee toezichthouders verschillende dingen toetsen. Voor geautomatiseerd beleggingsadvies legt de gids over roboadviseurs de toets tussen advies en discretionair beheer uit.

Twee verplichtingen gelden nog voordat een sectortoezichthouder in beeld komt. Federaal Decreetwet nr. 45 van 2021 inzake de bescherming van persoonsgegevens, van kracht sinds 2 januari 2022, verbiedt het verwerken van persoonsgegevens zonder toestemming van de eigenaar, behalve in beperkte gevallen, en dat geldt voor alles wat de agent verzamelt, opslaat of deelt, ook als het platform nooit een financiële of licentie voor virtuele activa nodig heeft. Het Databureau van de VAE treedt op als federale gegevenstoezichthouder. Daarnaast stelt de Raad voor Cyberveiligheid van de VAE het nationale cyberveiligheidsniveau vast dat wordt verwacht van systemen die gevoelige of kritieke gegevens verwerken, en een agent met permanente toegang tot klantdossiers, gezondheidsbestanden of betaalinfrastructuur wordt daar waarschijnlijk toe gerekend. Beide verplichtingen hangen af van wat het systeem werkelijk raakt, niet van de licentiecategorie of van een omschrijving van het product als “gewoon software”. Voor een structuur die leningen via een SPV initieert of aanhoudt, legt de gids over private krediet en securitisatie uit welke toezichthouder elke functie machtigt.

Een bank die een rekening opent, of een gereguleerde klant die het platform in gebruik neemt, beoordeelt de bevoegdheden van de agent, niet de pitch. Voordat dat gesprek begint, moet u kunnen tonen: een matrix met toolbevoegdheden (wat de agent kan aanroepen en onder welke voorwaarde), een overzicht van gegevensstromen en bewaartermijnen, de drempel voor menselijke goedkeuring per actieklasse, en hoe fouten worden opgespoord en teruggedraaid. De bankrekeningreadiness van een dergelijk platform hangt ervan af of die vier documenten onderling en met het klantcontract consistent zijn, niet van de omvang van de pitchdeck. Een verschil tussen wat het verkoopmateriaal beweert dat de agent doet en wat de bevoegdhedenmatrix daadwerkelijk toestaat, is de snelste manier om zowel een bankbeoordeling als de inkoopprocedure van een gereguleerde klant te laten vastlopen.

De entiteit die het klantcontract ondertekent, moet de entiteit zijn die de compliancefunctie bezit, en niet een schaars bemande lege huls terwijl het eigenlijke werk elders in de groep plaatsvindt. Waar de onderliggende activiteit gereguleerd is, verwacht de toezichthouder een benoemde, geschikte en betrouwbare (fit-and-proper) verantwoordelijke voor compliance voordat deze de onderneming autoriseert: de specifieke rol en toets verschillen per toezichthouder en worden getoetst aan de actuele aanvraag, en worden hier niet als vaste lijst gepubliceerd. Groepen die zowel klanten bedienen die onder DIFC of ADGM vallen als onshore klanten hebben doorgaans aparte entiteiten nodig voor elk, omdat de regels van DFSA, FSRA en onshore UAE-vennootschappen niet uitwisselbaar zijn. Dit is het moment waarop een gereguleerde of complexe eigendomsstructuur meestal beter meteen goed kan worden opgezet dan achteraf wordt aangebouwd zodra de eerste gereguleerde klant erom vraagt.

De kosten bestaan uit lagen en niet uit één kopbedrag (de entiteit, elke sectorautorisatie en de hierboven genoemde compliancerollen hebben elk hun eigen kosten), en de Velarozone-servicevergoeding voor het samenstellen daarvan wordt gespecificeerd in de opdrachtbevestiging; zie hoe Velarozone werkt.

Zodra de toezichthouder en het operationele model vaststaan, volgt de oprichting en loopt deze niet voorop: een DIFC- of ADGM-entiteit als de activiteit binnen de grenzen van dat financiële centrum valt, een mainland- of free zone-entiteit als dat niet zo is. De verplichtingen voor registratie en aangifte voor vennootschapsbelasting bij de Federal Tax Authority (FTA) gelden voor de operationele entiteit, ongeacht welke route wordt gekozen, en handelslicentieverlengingen, visumquota en eventuele sectorautorisaties worden doorgaans op afzonderlijke jaarlijkse cycli verlengd, die samen moeten worden bijgehouden en niet pas achteraf nadat het bedrijf draait. Voor de oprichtingsmechanica zelf, zie oprichting van een onderneming in de UAE stap voor stap.