Hoe een foundation-model of generative-AI bedrijf te structureren in de VAE

Er bestaat geen specifieke AI-toezichthouder die een foundation-model- of generatieve-AI-onderneming in de UAE een licentie verleent. De commerciële registratie verloopt via dezelfde route als bij elk ander technologiebedrijf: een mainland-vennootschap oprichten via de betreffende licentieautoriteit van de mainland, of een free zone-structuur. Wat het beeld verandert, is waar het model daadwerkelijk mee in aanraking komt. Persoonsgegevens die worden gebruikt bij training, fine-tuning of inferentie brengen de federale UAE-wetgeving inzake gegevensbescherming in beeld. Infrastructuur die als kritiek kwalificeert, brengt de normen van de Cyber Security Council in beeld. En als de output van het model een gereguleerde sector voedt (gezondheidsadvies, financiële aanbevelingen, mediacontent), komt de eigen toezichthouder van die sector bovenop de commerciële licentie in de perimetertoets terecht. De licentieverlenende autoriteit bepaalt dat de onderneming mag handelen; zij bepaalt niet dat de onderneming de gegevens mag verwerken waarop zij wil trainen, of dat haar infrastructuur aan de cyberbeveiligingsverwachtingen voldoet.

De federale UAE-wetgeving inzake gegevensbescherming bepaalt hoe persoonsgegevens worden verzameld, gebruikt en doorgegeven zodra zij een trainings- of fine-tuningpijplijn binnenkomen, en de verplichtingen hechten aan de verwerking zelf, niet aan het AI-label op het product. Een model dat zelfs maar gedeeltelijk op persoonsgegevens is getraind, heeft een gedocumenteerde rechtsgrond voor die verwerking nodig, en een standpunt over elke doorgifte van die gegevens buiten de UAE, voordat de dataset in gebruik wordt genomen, of het product nu een foundation model, een fine-tune of een API-wrapper heet. Daarnaast stelt de Cyber Security Council de nationale cyberbeveiligingsstrategie en normen vast die van toepassing zijn zodra reken- of hostinginfrastructuur wordt beschouwd als onderdeel van kritieke systemen van de UAE. Een generatieve-AI-onderneming die op betekenisvolle schaal haar eigen trainings- of inferentie-infrastructuur draait, moet verwachten aan die normen te worden getoetst, niet aan een generiek intern IT-beleid, en moet er niet van uitgaan dat de eigen certificeringen van een cloudaanbieder die vraag namens haar afdoen.

Banken en betalingsacquirers die een AI-onderneming beoordelen kijken verder dan de licentie naar de contracten erachter: aan wie de rekenkracht wordt gefactureerd, hoe API- of abonnementsinkomsten daadwerkelijk worden geïnd, en of de entiteit die de klantcontracten ondertekent dezelfde is als die het model en de gegevensrechten bezit. Een holdingmaatschappij die de gewichten bezit, naast een operationele maatschappij die klanten factureert, komt veel voor zodra een model van prototype naar omzet gaat, maar elk heeft eigen contracten, een eigen bankmandaat en een eigen transfer-pricingpositie nodig, geen gedeelde rekening die voor beide dient. Het openen van een rekening verloopt sneller wanneer de modelkaart, het register van datasetrechten en de rekencontracten klaar zijn voordat het gesprek met de bank begint, en dat is het voorbereidende werk achter gereedheid voor een zakelijke bankrekening. De kosten worden hier in lagen opgebouwd en zijn geen enkel bedrag, aangezien rekencontracten en engineeringpersoneel doorgaans elke overheidsvergoeding ver overtreffen; de eigen vergoeding van Velarozone wordt gespecificeerd in de opdrachtbevestiging; zie hoe Velarozone werkt voor hoe die gelaagdheid is opgezet.

Elke bijdrager aan een model (oprichters, medewerkers, contractanten en eventuele open-sourcemaintainers wier code of gewichten zijn samengevoegd) heeft een gedocumenteerde IP-overdracht of licentie nodig voordat het model als bedrijfsactief kan worden beschouwd in plaats van als een betwist bezit. Waar bij de training persoonsgegevens zijn gebruikt, moet iemand binnen de onderneming verantwoordelijk zijn voor de gegevensbeschermingspositie, ook in een klein team waarin die persoon nog een andere rol heeft. Groepsstructuren die een IP-houdende entiteit scheiden van een operationele maatschappij, of die investeerders uit meer dan één jurisdictie betrekken, vallen onder gereguleerde en complexe eigendomsstructuren, en de eigendomsketen moet net zo worden gedocumenteerd als het model zelf, via bedrijfsplannen en documentatie die een bank of zakelijke klant kan lezen en waarop zij kan vertrouwen.

Zodra de entiteit is gevormd, is de licentie gekoppeld aan operationele stappen die het AI-label niet verandert. De visumcapaciteit is gekoppeld aan de establishment card en moet de engineering-, veiligheids- en compliancemedewerkers dekken die het model daadwerkelijk laten draaien, niet slechts een fictieve personeelsomvang. Een geregistreerd adres is vereist, ongeacht of de rekenkracht zich op UAE-bodem bevindt of bij een buitenlandse cloudaanbieder. Registratie voor vennootschapsbelasting bij de Federal Tax Authority (FTA) volgt dezelfde federale regels als bij elke andere UAE-vennootschap; er is geen aparte AI-categorie. De verlenging is ook het moment om de gegevensbeschermings- en IP-positie opnieuw te toetsen, omdat een model dat sinds de laatste verlenging opnieuw is getraind, verder is gefinetuned of voor nieuwe klanten is opengesteld, mogelijk buiten de bij de oprichting vastgelegde perimeter is gevallen.