Hoe een AI-veiligheid-, evaluatie- of modelauditbedrijf in de UAE op te zetten

De licentieverlenende autoriteit (een mainland Department of Economy and Tourism of een free zone-autoriteit) beslist of het bedrijf bestaat en onder welke commerciële activiteit het zich mag omschrijven. Die autoriteit test of keurt de kwaliteit van een AI-evaluatie niet goed.

Naast de licentie bestaan twee afzonderlijke werkterreinen. De UAE-wetgeving inzake gegevensbescherming regelt hoe het bedrijf persoonsgegevens mag verzamelen, verwerken, opslaan en doorgeven die tijdens een opdracht bij het bedrijf terechtkomen: trainingsgegevens van modellen, klantgegevens of uitvoer die persoonlijke informatie bevat. Wanneer het testen van het bedrijf inhoudt dat een live-systeem actief op zwakke plekken wordt onderzocht, valt dat werk binnen de regels inzake cyberbeveiliging en onbevoegde toegang, dus testen zonder schriftelijke toestemming van de systeemeigenaar is geen grijs gebied dat kan worden opgelost met een zelfverzekerde omschrijving van de licentie.

De UAE Telecommunications and Digital Government Regulatory Authority (TDRA) reguleert de infrastructuur voor telecommunicatie en digitale overheid; wanneer een evaluatie gereguleerde ICT- of telecomdiensten raakt, vraag dan rechtstreeks aan TDRA of haar regels van toepassing zijn voordat dat werk op de licentie wordt omschreven. De UAE Cyber Security Council stelt de nationale cyberbeveiligingsstrategie vast en coördineert het beleid over sectoren heen; het is het orgaan om te benaderen over de vraag hoe nationaal cyberrisicobeleid een test- of zekerheidsbedrijf beïnvloedt, en geen loket voor de dagelijkse licentieverlening. Beschouw beide als autoriteiten waarbij rechtstreeks moet worden nagevraagd, en niet als een afgerond antwoord dat deze gids vooraf kan geven.

De UAE Strategy for Artificial Intelligence 2031 bepaalt de federale richting voor de invoering en het bestuur van AI; het is een beleidsdocument en geen licentiestelsel, dus het creëert zelf geen goedkeuringscategorie waarvoor een evaluatiebedrijf een aanvraag kan indienen. De praktische vereisten die het bedrijf wel binden, liggen in de UAE-wetgeving inzake gegevensbescherming: hoe persoonsgegevens worden verwerkt, op welke rechtsgrond, hoe lang ze worden bewaard en wat ermee gebeurt zodra een opdracht eindigt. Bouw het antwoord over gegevensverwerking op uit de officiële bron over gegevensbescherming zelf, en niet uit een generiek privacybeleidssjabloon, omdat een evaluator die trainingsgegevens, prompts of uitvoer met persoonsgegevens ontvangt, een verwerker in eigen recht is zolang hij die gegevens in bezit heeft.

Wanneer de evaluatie het actief testen van een productiesysteem omvat, zorg dan dat de schriftelijke reikwijdte en machtiging van de cliënt in het dossier zitten voordat het werk begint, en bewaar die. Dat document is ook wat een bank, verzekeraar of tegenpartij als eerste zal willen zien.

Banken en zakelijke klanten zullen vragen welke gegevens de onderneming raakt, van wie de testbevindingen zijn en of de beweringen van de onderneming over onafhankelijkheid of certificering kunnen worden aangetoond met een contract in plaats van een marketingzin. Een ondertekende werkomschrijving die de evaluatiemethodologie, de reikwijdte en de beperkingen beschrijft, is het sterkste afzonderlijke bewijsstuk in het dossier.

Bereid voor vóór de onboarding:

Het werk aan gereedheid van de zakelijke bankrekening zet uiteen hoe dat bewijsdossier wordt samengesteld en afgestemd op het financiële model voordat een bank het ziet. De kosten worden in lagen opgebouwd, en de eigen vergoeding van Velarozone wordt gespecificeerd in de opdrachtbevestiging in plaats van als kopcijfer te worden gepubliceerd; hoe Velarozone werkt zet de aanpak uiteen.

Beslis vóór de oprichting of de onderneming in eigen naam oordelen, scores of attestaties afgeeft, of alleen de interne tests van een cliënt ondersteunt. De eerste rol brengt een blootstelling aan beroepsaansprakelijkheid met zich mee die de tweede niet heeft, en verzekeraars prijzen beide heel verschillend. Wijs aan wie binnen de onderneming verantwoordelijk is voor de goedkeuring van elk rapport dat naar de raad van bestuur, de toezichthouder of de accountant van een klant gaat, en bewaar de bekwaamheid en de belangenconflictpositie van die persoon in het dossier, niet alleen in een cv.

Wanneer een buitenlandse moedermaatschappij de evaluatiemethodologie, accreditatie of het merk bezit en de entiteit in de Verenigde Arabische Emiraten de dienst lokaal levert, vraagt de keten van eigendom en licenties tussen beide dezelfde zorg als elke franchise van technische diensten; zie opzet van gereguleerd en complex eigendom. Een schriftelijk businessplan en ondersteunende documentatie is de plek waar de methodologie, de rollen en het budget aan elkaar worden verbonden voordat een bank of investeerder ze ziet.

Gespecialiseerde evaluatoren en beveiligingstesters die geen onderdaan zijn van de Verenigde Arabische Emiraten of van de GCC hebben eigen verblijfsvisa nodig, gekoppeld aan de gelicentieerde entiteit; bevestig de visumquota en -categorie bij de licentieautoriteit voordat de wervingsplannen vastliggen. Beveiligde testomgevingen en cliëntgegevens die op Emiratisch grondgebied worden bewaard, roepen vragen op over gegevenslokalisatie en verwijdering, die eenmaal schriftelijk moeten worden beantwoord en consistent moeten worden toegepast in plaats van per cliënt opnieuw te worden besloten. Licentieverlengingen en eventuele sectorspecifieke bevestigingen lopen volgens eigen cycli; houd ze afzonderlijk bij van de eigen begin- en einddatum van elke opdracht van een cliënt.