Blog
OpenRouter i Multi-Model AI Gateways: Struktura platformy AI Routing w ZEA
Krótka odpowiedź
Wielomodelowa brama AI, taka jak OpenRouter, czyli jedno API przed wieloma modelami z routingiem i mechanizmami zapasowymi, może być prowadzona ze spółki w ZEA jako oprogramowanie. Sprzedaż korzystania z usługi na podstawie przedpłaconych środków to co innego: rozporządzenie Banku Centralnego ZEA (CBUAE) w sprawie Stored Value Facilities wymaga uprzedniej licencji na wydawanie stored value facility, chyba że zastosowanie ma zwolnienie. Prompty mogą też zawierać dane osobowe, dlatego dekret federalny z mocą ustawy nr 45 z 2021 r. ma zastosowanie do bramy w każdym wypadku.
Dekret federalny z mocą ustawy nr 45 z 2021 r., czyli ustawa o ochronie danych osobowych (Personal Data Protection Law), ma zastosowanie do danych osobowych przetwarzanych w całości lub w części w systemach elektronicznych, w ZEA lub poza nimi. Wszedł w życie 2 stycznia 2022 r. Prompt klienta może zawierać imiona i nazwiska, adresy e-mail lub dane konta, więc ustawa obejmuje Państwa bramę, gdy tylko przekazuje ona taki ruch.
O strukturze decyduje to, kto przechowuje środki klienta. Jeśli klienci zasilają u Państwa saldo i wykorzystują je na korzystanie z modeli, mogą Państwo wydawać stored value facility. Rozporządzenie Banku Centralnego ZEA (CBUAE) wymaga, aby takie środki (float) znajdowały się na wydzielonych rachunkach w licencjonowanych bankach, oddzielnie od środków własnych wydawcy, a CBUAE i Państwa bank przyjrzą się temu, zanim przyjrzą się Państwa oprogramowaniu.
Co faktycznie robi brama routingowa i gdzie leży ekspozycja prawna
Dokumentacja OpenRouter opisuje produkt wprost. Jeden punkt końcowy, `/api/v1/chat/completions`, daje dostęp do setek modeli. Można z niego korzystać z poziomu OpenAI SDK jako zamiennika. Żądania są kierowane do najbardziej opłacalnej opcji, a mechanizmy zapasowe uruchamiają się automatycznie. Klienci Business i Enterprise mogą korzystać z osobnego punktu końcowego w regionie UE z modelami kwalifikującymi się do UE.
Dla założyciela w ZEA trzy z tych funkcji przekładają się na zobowiązania. Routing oznacza, że to Ty wybierasz, który dostawca zobaczy zapytanie klienta, a więc decydujesz, dokąd trafiają dane osobowe. Mechanizmy zapasowe oznaczają, że zapytanie wysłane do jednego dostawcy może zostać ponownie wysłane do innego, gdy pierwszy zawiedzie, więc opis przepływu danych musi obejmować ścieżkę zapasową, a nie tylko pierwszy wybór. Regionalny punkt końcowy pokazuje, o co będą pytać więksi klienci: o sposób utrzymania ruchu w określonej lokalizacji geograficznej.
Brama, która informuje klientów, że „ich prompty nigdy nie opuszczają regionu X”, musi móc to wykazać również dla ścieżki zapasowej. Oznacza to mapę danych wymieniającą każdego dostawcę i region, do którego prompt może trafić, aktualizowaną zgodnie z umową zawartą z każdym z nich.
Kredyty przedpłacone i zasady Banku Centralnego dotyczące stored value
Oprogramowanie z miesięczną opłatą jest proste. Brama, która sprzedaje korzystanie z modeli z góry, już nie, ponieważ klient płaci Tobie najpierw, a Ty płacisz dostawcom później. W tej luce przechowujesz jego pieniądze.
Kryterium stanowi definicja Banku Centralnego. Stored value facility to taki mechanizm, w którym klient płaci wydawcy pieniądze w zamian za przechowywanie tej wartości oraz zobowiązanie wydawcy do dostarczenia towarów lub usług albo dokonania płatności, gdy wartość zostanie wykorzystana. Wydawanie lub prowadzenie takiego mechanizmu w ZEA wymaga uprzedniej licencji CBUAE, z wyjątkiem mechanizmu jednego przeznaczenia, w którym sam wydawca dostarcza towary lub usługi. Bank Centralny może również zwolnić mechanizmy, z których można korzystać wyłącznie u wydawcy lub u dostawców związanych z nim umową. Jedna ze ścieżek zwolnienia ma zastosowanie tylko dopóki float nie przekracza 500 000 AED, a liczba klientów wynosi 100 lub mniej, i wymaga testów w piaskownicy CBUAE FinTech Office. To, czy środki służące do zakupu korzystania z modeli podmiotu trzeciego są usługą własną wydawcy, jest kwestią do rozstrzygnięcia przez CBUAE, a nie czymś, co należy zakładać. Licencjonowany wydawca musi mieć opłacony kapitał w wysokości co najmniej 15 000 000 AED. Musi przechowywać float, czyli przedpłacone środki klientów, na wydzielonych rachunkach w licencjonowanych bankach, oddzielnie od własnych środków. Produkt oparty na środkach przedpłaconych należy zaprojektować tak, aby odpowiedź była świadoma, i przed uruchomieniem przedstawić go CBUAE oraz Państwa bankowi.
Acquirer kartowy będzie chciał wiedzieć, czy saldo podlega zwrotowi, czy może być wydane wyłącznie na Twoją usługę oraz czy skonsultowano się z CBUAE. Przewodnik po bramkach płatniczych i acquirerach wyjaśnia, jak procesor ocenia przedsiębiorstwo przyjmujące cykliczne płatności kartą za saldo cyfrowe.
Co dostawcy pozwalają Ci obiecać
Brama może przekazać dalej tylko to, na co zezwalają jej dostawcy. Warunki dostawców różnią się w czterech punktach, które mają znaczenie dla resellera:
- Czy korzystanie z modeli może być w ogóle odsprzedawane i pod jaką marką.
- Czy zapytania lub wyniki mogą być buforowane lub przechowywane.
- Czy dostawca zachowuje dane klientów lub trenuje na nich modele oraz czy istnieje możliwość rezygnacji.
- Czy dostawca może zmieniać ceny, limity zapytań lub dostępność modeli bez uprzedzenia.
Dokumentacja OpenRouter nie opisuje polityki przechowywania danych na stronie głównej i odsyła do osobnych stron poświęconych przetwarzaniu danych. To typowe: odpowiedź znajduje się w warunkach dostawcy, a nie w opisie produktu. Przeczytaj umowę z każdym dostawcą nadrzędnym i zapisz, co możesz uczciwie zaoferować. Jeśli jeden dostawca przechowuje zapytania, a inny nie, jedno zdanie skierowane do klienta, obiecujące „brak przechowywania", jest nieprawdziwe.
Ta sama logika dotyczy dostępności. Możesz oferować mechanizmy zapasowe. Nie możesz gwarantować, że każdy model pozostanie dostępny, ponieważ nie kontrolujesz modeli. Sformułuj poziomy usług wokół własnej platformy i wskaż zależność od dostawców.
Dane osobowe i UAE Data Office
Federalny dekret z mocą ustawy nr 45 z 2021 r. wszedł w życie 2 stycznia 2022 r. Zgodnie z podsumowaniem rządu ZEA obejmuje on dane osobowe przetwarzane w całości lub w części w systemach elektronicznych, w ZEA lub poza ZEA, co do zasady wymaga zgody właściciela danych na przetwarzanie, daje osobom prawo do poprawiania danych oraz do ograniczenia lub zaprzestania przetwarzania, a także określa wymogi dotyczące przekazywania i udostępniania danych osobowych za granicę. UAE Data Office, powiązane z Radą Ministrów, jest federalnym organem regulacyjnym ds. danych.
W przypadku bramki praktyczne konsekwencje są następujące:
- Prawdopodobnie będą Państwo działać jako podmiot przetwarzający dane w imieniu swoich klientów, dlatego umowa z każdym klientem musi to wskazywać i opisywać, co robią Państwo z danymi.
- Kierowanie promptu do zagranicznego dostawcy jest transferem transgranicznym, który powinien zostać ujęty w Państwa rejestrach i w warunkach dla klientów.
- Podmioty działające w free-zone oraz w centrach finansowych mogą podlegać własnym przepisom o danych (DIFC ma odrębną ustawę o ochronie danych), dlatego należy sprawdzić, jaki reżim obejmuje wybrana przez Państwa strefa.
Klienci korporacyjni z sektorów regulowanych mogą dodać własne wymogi dotyczące lokalizacji danych. Należy o nie zapytać w procesie sprzedaży, a nie po podpisaniu umowy.
Wybór podmiotu: mainland, free zone czy strefa technologiczna
Brama oparta wyłącznie na oprogramowaniu, z niewielkim zespołem i klientami na całym świecie, często pasuje do spółki w free zone z licencją technologiczną lub handlową. Brama, której głównymi klientami są podmioty z ZEA albo która chce zawierać umowy bezpośrednio z nabywcami powiązanymi z administracją, może woleć licencję mainland. Żaden z tych wyborów nie usuwa kwestii środków przedpłaconych: rozporządzenie Stored Value Facilities definiuje State jako ZEA z wyłączeniem Financial Free Zones, więc zwykła spółka w free zone lub mainland, która sprzedaje środki przedpłacone, mieści się w obszarze, który ono obejmuje. Przewodnik wyboru między free zone a mainland przedstawia kompromisy dotyczące lokalizacji klientów, lokalu i wiz.
Jeśli prowadzą Państwo również otwarte modele na własnej infrastrukturze, pytania operacyjne przesuwają się w stronę działalności chmurowej, omówionej w przewodniku po dostawcach zarządzanych usług chmurowych. Jeśli sami trenują lub dostrajają Państwo modele, bliższy Państwa sytuacji jest przewodnik po spółkach rozwijających modele podstawowe. Przed podjęciem decyzji założyciel może zobaczyć, jak działa Velarozone, gdy ocenia ono konstrukcję środków przedpłaconych, przepływy danych i podmiot łącznie.
W skrócie
Co z tego wynika
- Główna obietnica spółki prowadzącej bramkę to jeden punkt końcowy i wiele modeli. Dokumentacja OpenRouter opisuje pojedynczy punkt końcowy chat completions, kierowanie do najbardziej opłacalnej opcji oraz automatyczne mechanizmy zapasowe.
- Sprzedaż korzystania z usługi na podstawie przedpłaconych środków może uczynić Państwa wydawcą stored value facility, co wymaga uprzedniej licencji CBUAE, chyba że zastosowanie ma zwolnienie. Miesięczna subskrypcja oprogramowania nie przechowuje z góry wartości klienta.
- Prompty kierowane przez Państwa platformę mogą zawierać dane osobowe, co powoduje zastosowanie Federal Decree-Law nr 45 z 2021 r. oraz właściwość UAE Data Office.
- Dostawcy modeli ustalają warunki dotyczące odsprzedaży, buforowania i przechowywania danych; Państwa umowa z klientem może obiecywać tylko to, na co pozwalają dostawcy.
- Kupujący korporacyjni zapytają, gdzie przetwarzane są dane i którzy podprocesorzy mają do nich dostęp, zanim zapytają o cenę.
- Czy potrzebujemy licencji na odsprzedaż dostępu do modeli?
- Sama działalność w zakresie licencjonowania oprogramowania może nie obejmować odsprzedaży korzystania z usługi na podstawie przedpłaconych środków. Jeśli klienci płacą z góry za przechowywaną wartość, rozporządzenie CBUAE w sprawie Stored Value Facilities wymaga uprzedniej licencji, chyba że mechanizm ma jedno przeznaczenie lub Bank Centralny go zwolni. Najpierw należy ustalić konstrukcję środków przedpłaconych, a następnie przedstawić kwestię CBUAE i Państwa bankowi.
- Czy Federal Decree-Law nr 45 z 2021 r. ma zastosowanie, jeśli nasze serwery znajdują się poza ZEA?
- Z podsumowania rządu ZEA wynika, że ustawa ma zastosowanie do elektronicznego przetwarzania danych osobowych, zarówno w ZEA, jak i poza ZEA. Jeśli mają Państwo klientów w ZEA albo podmiot w ZEA przetwarzający ich prompty, należy przyjąć, że ustawa ma zastosowanie, i zasięgnąć porady w sprawie szczegółów.
- Czy możemy obiecać klientom, że ich dane nie są wykorzystywane do trenowania modeli?
- Tylko wtedy, gdy każdy dostawca, do którego kierują Państwo ruch, udzieli Państwu takiego zobowiązania na piśmie. Jeśli niektórzy je składają, a inni nie, należy zaoferować ustawienia kierowania, które pozwalają klientowi wykluczyć pozostałych, i opisać sytuację dla każdego dostawcy osobno.
- Czy możemy gwarantować czas działania modeli?
- Nie. Mogą Państwo opisać czas działania własnej platformy oraz zachowanie mechanizmów zapasowych. Dostępność modeli podmiotów trzecich zależy od dostawców.
Źródła
Skąd to pochodzi
Informacje ogólne oparte na CBUAE Rulebook, w tym na Retail Payment Services and Card Schemes Regulation (C 15/2021) oraz Cabinet Resolution No. (134) of 2025 w brzmieniu opublikowanym; nie stanowią porady prawnej ani podatkowej. Przepisy i wytyczne ulegają zmianom, dlatego przed złożeniem wniosku prosimy o potwierdzenie aktualnego tekstu oraz wymogów każdej instytucji.
