Gids
RegTech-, KYC- en AML-platform in de VAE: regels voor uitbesteding
Het korte antwoord
Een RegTech-, KYC- of AML-platform heeft doorgaans geen eigen, specifieke licentie als zodanig. Het bedrijf registreert zich op de gewone manier, via het Dubai Department of Economy and Tourism (DET), een free zone of een autoriteit voor een financiële free zone. De afnemer verandert het beeld. Zodra een gelicentieerde financiële instelling voor haar AML/CFT-controles op het platform vertrouwt, beschouwt de eigen toezichthouder van die instelling de regeling als uitbesteding en houdt zij de instelling, en niet de leverancier, daarvoor verantwoordelijk. Die toezichthouder kan de Central Bank of the UAE (CBUAE), de Dubai Financial Services Authority (DFSA, DIFC), de Financial Services Regulatory Authority (FSRA, ADGM), de Capital Market Authority (CMA, voorheen de Securities and Commodities Authority) of de Virtual Assets Regulatory Authority (VARA, Dubai) zijn. De vraag die de route bepaalt, is of het platform alleen software levert of ook zelf de beslissing neemt: een alert afsluiten, een dossier afhandelen, een melding indienen.
Wie beslist, en waarop de reikwijdte draait
Er bestaat geen enkele UAE-toezichthouder die een "RegTech-licentie" afgeeft. De commerciële activiteit valt onder het DET of een free zone. Het regelgevende zwaartepunt ligt bij de autoriteit die toezicht houdt op de afnemer: een bank of wisselkantoor valt onder de CBUAE, een DIFC-onderneming onder de DFSA, een ADGM-onderneming onder de FSRA, een kapitaalmarktonderneming onder de CMA, een aanbieder van diensten voor virtuele activa onder VARA. Elk van hen verwacht dat de gelicentieerde entiteit due diligence uitvoert op elke uitbestede functie en auditrechten over de aanbieder behoudt. Het platform is zelden de gereguleerde partij; het contract waarmee de afnemer ervoor verantwoordelijk wordt gemaakt, is wat deze toezichthouders uiteindelijk zullen opvragen.
Los daarvan, en ongeacht welke financiële toezichthouder van toepassing is, omvat de federale Personal Data Protection Law de verwerking van persoonsgegevens "geheel of gedeeltelijk via elektronische systemen, binnen of buiten het land." Deze verbiedt verwerking zonder toestemming van de eigenaar, met beperkte uitzonderingen, en geeft personen het recht om correctie of beperking van de verwerking van hun gegevens te vragen. Een platform dat paspoorten, selfies of transactiegeschiedenissen verwerkt, verwerkt persoonsgegevens onder deze wet, hoe het ook is gelicentieerd.
Wat het complianceteam van een koper daadwerkelijk controleert
Inkoop-due-diligence, niet oprichting, is waar RegTech-verkoop vastloopt. Een gereguleerde koper wil zien:
- Waar de onderliggende gegevens vandaan komen en of het platform duurzame rechten heeft om deze te gebruiken
- Of een persoon betwiste dossiers beoordeelt, of het model alleen beslist
- Waar gegevens worden gehost en waar ondersteunend personeel zich bevindt
- Hoe valse positieven en modelwijzigingen worden gemeten en gelogd
- Wat er met een dossier gebeurt wanneer de eigen toezichthouder van de koper erom vraagt
De Cyber Security Council van de VAE voert een vijfjarige National Cybersecurity Strategy uit, goedgekeurd in 2025, en een National Cyber Security Accreditation Program, een certificeringstraject voor het standaardiseren van cybersecuritypraktijken. Geen van beide is een verplichte poort voor elke leverancier, maar de beveiligingsbeoordeling van een afnemer vraagt steeds vaker waar een platform staat ten opzichte van dat programma, met name voor alles dat biometrische gegevens raakt.
Hoe geld en aansprakelijkheid door het product bewegen
De eigen bankrekening van een RegTech-bedrijf is meestal de eerste bankvraag, en de meest eenvoudige: de onderneming heeft een operationele rekening nodig zoals elk softwarebedrijf, en het dossier dat een bank wil zien ziet er hetzelfde uit (eigendom, herkomst van de middelen van de oprichters en een duidelijke beschrijving van wat het product met klantgegevens doet). Door vroeg aan de gereedheid voor een bankrekening te werken, voorkomt u dat de rekening het laatste is wat vlak voor de lancering wordt geregeld.
Dat verandert zodra het product niet langer pure software is. Dezelfde vragen die bepalen wie geld ontvangt of beheert bij een fintech, gelden ook hier: een tool die klantgeld beheert, een betaling initieert of krediet verstrekt, is een andere gereguleerde activiteit, en geen enkele gereedheid voor een bankrekening maakt van een commerciële licentie een toestemming om dat te doen. Houd de twee vragen gescheiden: kan dit bedrijf bankieren, en komt het, in plaats van zijn afnemer, ooit aan klantgeld. Het tweede punt vereist, waar het zich voordoet, een eigen vergunning of sponsor.
Eigendom, substantie en de rollen die een koper controleert
Groepsstructuur kan de technologie, het intellectuele eigendom en elke gelicentieerde functie in afzonderlijke entiteiten onderbrengen, mits elke entiteit een echte rol heeft. Het juridische team van een koper zal vragen wie het model en de gegevenspijplijn bezit, wie op het contract wordt genoemd, en wie aansprakelijk is als een screeningresultaat onjuist is. Waar eigendom over meer dan één jurisdictie verdeeld is, werk dit uit als gereguleerd en complex eigendom voordat een due-diligenceteam het toetst. De schriftelijke onderbouwing hoort in het onderliggende businessplan, niet pas samengesteld nadat de vraag is gesteld.
Wat er vaak misgaat
- Gegevens scrapen of kopen zonder een duurzaam recht om ze te gebruiken voor screening
- De tool beschrijven als iets dat een klant "compliant" maakt, in plaats van iets dat een beslissing ondersteunt die de klant nog steeds zelf neemt
- Biometrische gegevens gebruiken zonder eerst de toestemmings- en doelvereisten van de gegevensbeschermingswet te hebben doorgewerkt
- Een offshore beoordelingsteam of subverwerker buiten het contract en buiten het due-diligencedossier van de koper houden
Opstartkosten vergelijken is de meest voorkomende vroege fout. De kosten die ertoe doen, zijn de volledige route: de entiteit, elke gegevenslicentiëring en beveiligingsborging die een koper vereist, en wat het kost om later een beheerde beoordelingslaag toe te voegen als alleen software niet genoeg blijkt te zijn. Velarozone prijst die volledige stack in plaats van een opstartcijfer, en zet haar eigen vergoeding uiteen zoals hoe Velarozone werkt beschrijft.
