Doubao Work: Jak chińskie firmy zajmujące się AI mogą zakładać działalność w ZEA

Asystent czatu widzi tylko to, co wpisuje użytkownik. Agent widzi znacznie więcej. Aby umówić spotkanie, uzgodnić fakturę lub przygotować raport, potrzebuje dostępu do skrzynek pocztowych, dysków współdzielonych, narzędzi księgowych, a czasem także do danych uwierzytelniających. W każdym z tych miejsc przechowywane są dane osobowe.

Federalna ustawa PDPL obejmuje swoim zakresem przetwarzanie danych osobowych w całości lub w części za pośrednictwem systemów elektronicznych. Ustawa weszła w życie 2 stycznia 2022 r. Co do zasady uzależnia przetwarzanie od zgody właściciela danych, z wymienionymi wyjątkami, oraz przyznaje osobom fizycznym prawo do żądania sprostowania danych oraz ograniczenia lub zaprzestania przetwarzania. Ustanawia również zasady przekazywania danych osobowych za granicę w celu przetwarzania. Jest to przepis, który dostawca uruchamiający modele poza ZEA powinien przeczytać szczególnie uważnie.

Praktyczny skutek jest taki, że korporacyjny klient w ZEA poprosi dostawcę o wskazanie na piśmie, co agent może odczytywać, co przechowuje, czy polecenia i wyniki są wykorzystywane do ulepszania modelu oraz które podmioty podprzetwarzające mają dostęp do danych. Założyciel, który nie potrafi odpowiedzieć na te pytania, straci kontrakt, zanim pojawi się kwestia licencji.

Data Office została utworzona na podstawie Federal Decree-Law No. 44 of 2021 i podlega Radzie Ministrów ZEA. Do jej zadań należy m.in. opracowywanie polityki ochrony danych i wydawanie wytycznych, dlatego stanowisko w sprawie szczegółów wdrożenia może się zmieniać. Przed podpisaniem umowy hostingowej proszę sprawdzić aktualne wytyczne.

Model hostowany jest najlżejszy. Dostawca uruchamia agenta z własnej infrastruktury, a klient się loguje. Spółka w ZEA może być w niewielkim stopniu czymś więcej niż podmiotem sprzedażowym i wsparcia, ale kwestia transferu danych jest tu najbardziej istotna, ponieważ dane klienta z założenia opuszczają kraj.

Model private-cloud umieszcza dedykowaną instancję w regionie chmury zatwierdzonym przez klienta. Dostawca nadal ją obsługuje, więc nadal przetwarza dane klienta, a umowa musi to jasno przewidywać.

Model on-premises umieszcza oprogramowanie w obrębie siedziby klienta. Obawy dotyczące transferu transgranicznego odpadają w odniesieniu do przechowywanych danych, ale zdalne sesje wsparcia mogą je natychmiast przywrócić. Inżynier wsparcia w innym kraju, który łączy się z serwerem klienta, uzyskuje dostęp do danych z ZEA z zagranicy.

Wielu chińskich dostawców oprogramowania dla przedsiębiorstw oferuje wszystkie trzy modele. Powinni oni opisać każdy z nich w odrębnym załączniku do umowy ramowej, z własnymi warunkami postępowania z danymi, zamiast w jednym dokumencie, który próbuje objąć każdy przypadek.

Sektory, które najwięcej wydają na automatyzację procesów, mają też własne przepisy. Klient z sektora zdrowia wnosi Federal Law No. 2 of 2019 w sprawie wykorzystania technologii informacyjno-komunikacyjnych w dziedzinach zdrowia, która według rządu ZEA ma zastosowanie również w strefy wolnocłowe. Banki i ubezpieczyciele odpowiadają przed własnymi organami nadzoru i przeniosą swoje warunki dotyczące outsourcingu na dostawcę. Podmioty rządowe dokonują zakupów według własnych procedur.

Nic z tego nie oznacza, że dostawca potrzebuje własnej licencji. Oznacza to, że zespół ds. zgodności klienta umieści w umowie określone warunki, a dostawca potrzebuje lokalnego podmiotu, który może je podpisać, posiadać ubezpieczenie i być adresatem roszczenia. Szczątkowy oddział, który każde pytanie przekazuje spółce macierzystej za granicą, często utknie na etapie zamówień.

Dostawca sprzedający wyłącznie prywatnym, nieregulowanym przedsiębiorstwom, takim jak sprzedawcy detaliczni lub firmy logistyczne, ma łatwiejszą drogę. Proszę zaznaczyć to w materiałach sprzedażowych i odłożyć klientów z sektorów regulowanych na drugi etap.

Agent, który wysyła wiadomość e-mail, przenosi plik lub składa formularz, działa w imieniu klienta. Jeśli działa błędnie, klient odwoła się do umowy. Prawo ZEA dotyczące cyberprzestępczości, Federal Decree-Law No. 34 of 2021, obejmuje przestępstwa popełniane za pomocą technologii informatycznych i sieci, a dostawca, którego agent otrzymuje stałe dane uwierzytelniające, powinien projektować system tak, jakby jego logi mogły pewnego dnia zostać odczytane przez śledczego.

Trzy decyzje projektowe mają znaczenie prawne i warto je podjąć przed założeniem spółki:

Wyraźny próg zatwierdzenia jest łatwiejszy do zaakceptowania dla zespołu ds. ryzyka klienta niż deklaracja pełnej autonomii.

Spółka mainland umożliwia bezpośrednie zawieranie umów z przedsiębiorstwami w ZEA i nabywcami rządowymi, dlatego sprzedawcy oprogramowania dla przedsiębiorstw często zaczynają właśnie tam. Rozwiązania w free zone odpowiadają zespołom, których główną działalnością jest rozwój oprogramowania lub zdalne wsparcie, choć każda strefa ustala własne warunki, a organ powinien potwierdzić, co spółka może robić ze swoich pomieszczeń. Podmiot w DIFC powoduje, że zastosowanie ma DIFC Data Protection Law, co ma znaczenie, jeśli baza klientów znajduje się w DIFC.

Porównanie zależy od tego, gdzie są klienci, gdzie pracują inżynierowie i czy spółka będzie posiadać sprzęt. Założyciel rozważający, która jurysdykcja odpowiada modelowi biznesowemu, powinien przygotować odpowiedzi na te trzy kwestie. Ważny jest także status pobytowy samego zespołu, ponieważ wizy dla zespołu założycielskiego zależą od wybranej licencji. Jeśli chcą Państwo zobaczyć, jak wygląda proces z udziałem doradcy, zanim podejmą Państwo decyzję, proszę przeczytać, jak działa Velarozone.

Banki zadadzą te same pytania co klienci: kto jest właścicielem spółki, kto ją finansuje, skąd będą pochodzić środki i dlaczego potrzebny jest podmiot w ZEA. Dostawca z podpisanym klientem pilotażowym i czytelnym schematem przepływu danych odpowie na nie szybciej niż dostawca z certyfikatem założenia spółki i stroną internetową.