Een soevereine of particuliere AI-hostingbedrijf opzetten in de VAE

Er bestaat geen licentiecategorie in de VAE die “soevereine AI-hosting” heet. De handelslicentie komt van het Departement voor Economie en Toerisme (DET) op het vasteland of van de betrokken autoriteit van de vrije zone, onder de commerciële activiteit die past. Wat de activiteit onder extra toezicht brengt, is de inhoud van wat wordt beloofd, niet het licentielabel. Een dienst die persoonsgegevens bewaart of verwerkt, valt onder de regels van de VAE voor gegevensbescherming en grensoverschrijdende doorgifte; een dienst waarvan de infrastructuur of netwerkrol verder gaat dan gewone clouddienstverlening kan onder het gezag van de Regelgevende Autoriteit voor Telecommunicatie en Digitale Overheid (TDRA) vallen; en van elke aanbieder wordt verwacht dat hij zijn beveiligingsniveau afstemt op de normen die de Raad voor Cyberveiligheid van de VAE publiceert, ongeacht of een specifieke certificering verplicht is voor het gekozen model. Verkopen aan overheden of aan kopers in gereguleerde sectoren kan veiligheidsmachtigingen of aanbestedingsvoorwaarden meebrengen die de koper stelt, niet een algemene wet. Een bedrijf dat sensoren en software aan boerderijen verkoopt, wordt behandeld in de gids over agritech.

Gegevensbescherming hangt af van de vraag of het bedrijf persoonsgegevens op zijn systemen opslaat of verwerkt; waar dat zo is, brengt het federale kader voor gegevensbescherming van de VAE verplichtingen voor beveiliging, toestemming en grensoverschrijdende doorgifte mee, ongeacht waar de hardware staat, dus “de gegevens verlaten de VAE nooit” is een ontwerpbelofte, geen wettelijke standaard. De grens tussen telecom en cloud is geen enkele gepubliceerde checklist: de TDRA reguleert telecom- en digitale overheidsactiviteiten, maar of een hostingmodel aparte betrokkenheid van de TDRA nodig heeft, hangt af van wat het operationeel beheert. De Raad voor Cyberveiligheid stelt de nationale cyberveiligheidsstrategie vast en een accreditatierichting waarop aanbieders zich geacht worden af te stemmen, zonder één certificering te noemen die elke AI-host moet bezitten. Behandel elk van deze als een vraag voor de toezichthouder of een jurist, niet als een vakje dat met de oprichting is afgevinkt. Voor een bedrijf dat eigen modellen traint, behandelt de gids over generatieve AI-bedrijven de licentie, de kosten en wie de trainingsgegevens en gewichten bezit.

Vier operationele modellen dekken het grootste deel van deze sector: dedicated single-tenant hosting, een private appliance op de locatie van de klant, een beheerde soevereine cloud met lokale operaties, of een hybride verdeling over de infrastructuur van klant en aanbieder. Waar er meer dan één van toepassing is, houdt één enkele vennootschap zelden stand. Financiers en ankerklanten willen vaak dat de entiteit die de activa bezit, wordt afgeschermd van het handelsrisico, en een afzonderlijke entiteit die de klantcontracten sluit is gebruikelijk. Dat is de opzet die wordt behandeld onder gereguleerde en complexe eigendomsstructuren: een eigenaar van de activa, een operator en soms een contracterende entiteit, die elk hun bestaansrecht hebben.

De entiteit die het klantcontract ondertekent, heeft echte mensen nodig achter de soevereiniteitsclaim, niet een geregistreerd adres. Lokale bemensing en een model voor bevoorrechte toegang (wie de omgeving mag beheren, van waar, onder welke logging) zijn wat een bank, financier of zakelijke afnemer met naam en toenaam wil zien, samen met wie aansprakelijk is als het model zich onverwacht gedraagt of de dienst wordt onderbroken. Controle over encryptiesleutels, en de vraag of modelgewichten dedicated, gedeeld of eigendom van de klant zijn, zijn commerciële keuzes die, eenmaal in een contract vastgelegd, feiten worden waarvoor de onderneming bemand moet zijn.

Banken, kredietverstrekkers en ankerklanten beoordelen het project, niet de handelslicentie. Voordat het werk voor bankgereedheid begint, moet u klaar zijn om een diagram van gegevensstromen en toegangscontrole te laten zien, het register van subverwerkers, een roadmap voor beveiligingsborging, en een contractschema waarin de daadwerkelijk verkochte residency-controls staan vermeld. Waar hardware- of stroomcapaciteit wordt gefinancierd in plaats van bekostigd uit gestort kapitaal, zullen kredietverstrekkers ook willen dat bewijs van bron van middelen vroeg wordt getoetst, niet pas bij opname. Het verhaal over de locatie, het verhaal over de financiering en het verhaal over de klant moeten overeenkomen in het businessplan, het financiële model en het bankdossier; consistentie voorkomt vermijdbare vragen, maar garandeert geen rekening, financiering of goedkeuring.

De kosten hier worden bepaald door locatie, stroom, hardware en de mensen achter de soevereiniteitsclaim, niet door de entiteit, dus is er geen enkel betekenisvol totaalcijfer. De vergoeding van Velarozone is gespecificeerd in de opdrachtbevestiging; zie hoe Velarozone werkt voor de lagen achter een volledig opzetbudget.

De duurste fout is nog altijd het vergelijken van oprichtingskosten. Vergelijk in plaats daarvan volledige routes: de kosten van het eerste jaar en van verlenging, afhankelijkheden bij goedkeuring, en de kosten van herstructurering zodra de hardware is geplaatst en een soevereiniteitstoezegging al is ondertekend.

De registratie is het snelle deel en zelden de beperkende factor. Wat volgt heeft een eigen volgorde (bevestiging van locatie en nutsvoorzieningen, inkoop, onboarding bij financiers, beveiligingstests, daarna de lancering), elk met een doorlooptijd die de licentiedatum niet weerspiegelt. Panden en visumcapaciteit moeten aansluiten bij het daadwerkelijk beloofde bemannings- en bevoorrechte-toegangsmodel: een soevereiniteitsclaim die steunt op met naam genoemde beheerders in de UAE vraagt om visa en kantoorruimte die voor dat team zijn afgestemd. Na de lancering: verlenging van de licentie, indieningen bij de Federal Tax Authority (FTA), elke TDRA- of gegevensbeschermingspositie die moet worden herzien als het klantenbestand verandert, huurverhogingen, en de beveiligingsborgingscyclus die een soevereiniteitsclaim voortdurend moet kunnen aantonen, niet slechts eenmalig beweren.