Jak założyć firmę zajmującą się bezpieczeństwem AI, oceną lub audytem modeli w ZEA

Organ licencyjny (Department of Economy and Tourism w mainland lub organ free zone) rozstrzyga, czy spółka istnieje i pod jakim rodzajem działalności handlowej może się opisywać. Organ ten nie testuje ani nie zatwierdza jakości oceny AI.

Obok licencji istnieją dwa odrębne obszary regulacji. Prawo ZEA o ochronie danych reguluje, w jaki sposób spółka może gromadzić, przetwarzać, przechowywać i przekazywać dane osobowe, które do niej trafiają w trakcie zlecenia: dane treningowe modeli, rejestry klientów lub wyniki zawierające informacje osobowe. Jeżeli testowanie przez spółkę obejmuje aktywne sondowanie działającego systemu pod kątem słabych punktów, praca ta mieści się w przepisach dotyczących cyberbezpieczeństwa i nieuprawnionego dostępu, więc testowanie bez pisemnego upoważnienia właściciela systemu nie jest szarą strefą, którą można rozwiązać pewnym siebie opisem w licencji.

UAE Telecommunications and Digital Government Regulatory Authority (TDRA) reguluje infrastrukturę telekomunikacyjną i infrastrukturę cyfrowej administracji; jeżeli ocena dotyczy regulowanych usług ICT lub telekomunikacyjnych, należy zapytać TDRA bezpośrednio, czy jego przepisy mają zastosowanie, zanim ta praca zostanie opisana w licencji. UAE Cyber Security Council ustala krajową strategię cyberbezpieczeństwa i koordynuje politykę w poszczególnych sektorach; jest to organ, do którego należy zwrócić się w sprawie wpływu krajowej polityki w zakresie ryzyka cybernetycznego na firmę zajmującą się testowaniem lub poświadczaniem, a nie okienko licencyjne obsługujące sprawy bieżące. Oba organy należy traktować jako instytucje, z którymi trzeba skonsultować się bezpośrednio, a nie jako rozstrzygnięcie, którego niniejszy przewodnik może udzielić z góry.

UAE Strategy for Artificial Intelligence 2031 określa federalny kierunek przyjmowania i regulowania AI; jest to dokument polityczny, a nie system licencjonowania, więc sam nie tworzy kategorii zatwierdzenia, o którą mogłaby się ubiegać firma zajmująca się oceną. Praktyczne wymogi, które faktycznie wiążą przedsiębiorstwo, wynikają z prawa ZEA o ochronie danych: jak przetwarzane są dane osobowe, na jakiej podstawie prawnej, jak długo są przechowywane i co się z nimi dzieje po zakończeniu zlecenia. Odpowiedź dotyczącą postępowania z danymi należy oprzeć na oficjalnym źródle dotyczącym ochrony danych, a nie na ogólnym szablonie polityki prywatności, ponieważ podmiot oceniający, który otrzymuje dane treningowe, polecenia lub wyniki zawierające informacje osobowe, sam jest podmiotem przetwarzającym tak długo, jak te dane przechowuje.

Jeżeli ocena obejmuje aktywne testowanie systemu produkcyjnego, pisemny zakres i upoważnienie klienta należy złożyć w aktach przed rozpoczęciem prac i je zachować. Jest to także dokument, o który bank, ubezpieczyciel lub kontrahent poprosi w pierwszej kolejności.

Banki i klienci korporacyjni zapytają, jakich danych dotyka spółka, do kogo należą wyniki testów oraz czy twierdzenia spółki o niezależności lub certyfikacji można udokumentować umową, a nie hasłem marketingowym. Podpisany opis prac (statement of work) przedstawiający metodologię oceny, jej zakres i ograniczenia jest najmocniejszym pojedynczym dowodem w zestawie dokumentów.

Do przygotowania przed otwarciem rachunku:

Praca nad gotowością do otwarcia firmowego rachunku bankowego wyjaśnia, jak ten zestaw dowodów jest przygotowywany i uzgadniany z modelem finansowym, zanim zobaczy go bank. Koszt jest budowany warstwowo, a opłata za usługi Velarozone jest wyszczególniona w umowie o świadczenie usług, a nie publikowana jako główna kwota; jak działa Velarozone przedstawia to podejście.

Przed założeniem spółki należy zdecydować, czy spółka wydaje opinie, oceny punktowe lub atestacje we własnym imieniu, czy jedynie wspiera wewnętrzne testy klienta. Pierwsza rola wiąże się z narażeniem na odpowiedzialność zawodową, której druga nie ma, a ubezpieczyciele wyceniają te dwie role bardzo różnie. Należy wskazać, kto w spółce odpowiada za zatwierdzenie każdego raportu przekazywanego zarządowi, regulatorowi lub audytorowi klienta, i przechowywać w aktach kompetencje tej osoby oraz informacje o jej konfliktach interesów, a nie tylko CV.

Jeżeli zagraniczna spółka dominująca posiada metodologię oceny, akredytację lub markę, a podmiot w ZEA świadczy usługę lokalnie, łańcuch własności i licencjonowania między nimi wymaga takiej samej staranności jak każda franczyza usług technicznych; zob. uregulowane i złożone struktury własnościowe. Pisemny biznesplan i dokumentacja uzupełniająca to miejsce, w którym metodologia, role i budżet są ze sobą powiązane, zanim zobaczy je bank lub inwestor.

Specjaliści oceniający i testerzy bezpieczeństwa, którzy nie są obywatelami ZEA ani państw GCC, potrzebują własnych wiz pobytowych powiązanych z licencjonowanym podmiotem; limit wiz i kategorię należy potwierdzić w organie licencyjnym, zanim plany zatrudnienia się skonkretyzują. Bezpieczne środowiska testowe i dane klientów przechowywane na terytorium ZEA rodzą pytania o lokalizację danych i ich usuwanie, na które należy odpowiedzieć raz, na piśmie, i stosować tę odpowiedź spójnie, zamiast rozstrzygać ją od nowa dla każdego klienta. Odnowienia licencji i ewentualne potwierdzenia sektorowe mają własne cykle; należy je śledzić oddzielnie od dat rozpoczęcia i zakończenia poszczególnych zleceń klientów.