Blog
ChatGPT, Claude, Gemini e GLM: como abrir uma empresa de aplicativos de IA nos Emirados Árabes Unidos
A resposta curta
Uma empresa dos UAE que constrói sobre ChatGPT, Claude, Gemini ou GLM aluga sua capacidade central, mas mantém as obrigações de proteção de dados sobre o que os clientes enviam por meio dela. O Decreto-Lei Federal nº 45 de 2021, supervisionado pelo UAE Data Office, aplica-se a controladores e operadores nos UAE e a estrangeiros que tratem dados de pessoas nos UAE. Não se aplica a empresas de free zone que tenham lei própria de dados pessoais, como as do DIFC. A pergunta que mais frequentemente define o caminho é se o produto apenas auxilia um usuário ou assume uma decisão em um setor regulado, como o bancário, o de saúde ou o jurídico.
Um assistente de redação para equipes de marketing e uma ferramenta que faz a triagem de pedidos de empréstimo podem compartilhar a mesma base de código e, ainda assim, exigir perímetros completamente diferentes, porque a segunda toma decisões que as pessoas podem contestar.
A empresa deve ser estruturada em torno do que irá contratar, deter e controlar. Quem assina com os clientes, quem detém a conta no provedor, onde ficam os prompts e as saídas e quem responde quando um modelo erra são os fatos sobre os quais um banco, um investidor e uma autoridade licenciadora irão perguntar. Como a Velarozone funciona foi construído em torno de fixar esses fatos antes de qualquer protocolo.
O que os termos dos provedores decidem antes da empresa
Leia os termos do provedor como se fizessem parte da especificação do seu próprio produto, porque, para os seus clientes, fazem.
Os termos da API Gemini do Google traçam uma linha firme entre uso pago e não pago. Nos serviços não pagos, o Google pode usar o conteúdo enviado e as respostas para melhorar seus produtos, e revisores humanos podem ler e anotar entradas e saídas depois de desvinculadas da conta, da chave de API e do projeto Cloud. Os termos desaconselham o envio de informações sensíveis, confidenciais ou pessoais a esses serviços. Nos serviços pagos, o Google afirma que não usa prompts ou respostas para melhorar seus produtos e os registra por tempo limitado para detectar abusos e cumprir exigências legais de divulgação. Uma startup que prototipa em um plano gratuito com documentos reais de clientes já tomou uma decisão sobre dados, quer alguém a tenha registrado por escrito ou não.
Os mesmos termos exigem que os usuários da API tenham 18 anos ou mais e proíbem clientes de API direcionados a pessoas com menos de 18 anos, ou que provavelmente sejam acessados por elas. Também proíbem o uso do serviço para desenvolver modelos concorrentes e a engenharia reversa ou a extração de componentes do modelo. Isso importa se o seu roteiro inclui destilar saídas em um modelo próprio, o que alguns fundadores tratam como o objetivo do negócio.
O GLM vem da plataforma BigModel da Zhipu AI e o ChatGPT, da OpenAI. Cada um tem seus próprios termos comerciais, e cada um deve ser lido com atenção aos mesmos quatro pontos: uso de dados, idade mínima, limites ao uso concorrente e o que acontece com o seu serviço se uma política mudar. Um desenho com vários provedores reduz esse risco. Ele também multiplica os termos com os quais os contratos com os seus clientes precisam permanecer coerentes.
A retirada de modelos é um problema contratual
A documentação de modelos da Anthropic mostra como pode ser curta a vida de uma dependência de modelo. Ela lista o Claude Sonnet 5.5 e o Haiku 5.5 com aposentadoria “não antes de” 28 de setembro de 2027 e 7 de outubro de 2027, enquanto modelos anteriores, como o Sonnet 5 e o Sonnet 4.6, já constam de uma lista de legado. Também diz que o Amazon Bedrock e o Google Cloud definem suas próprias datas de ciclo de vida para os modelos que hospedam e lista os mesmos modelos na Claude API, no Amazon Bedrock, no Google Cloud, no Microsoft Foundry e na Claude Platform on AWS.
Duas coisas decorrem disso para uma empresa dos EAU. Um contrato com cliente que promete um modelo nomeado por prazo fixo é uma promessa que o provedor pode desfazer, de modo que as descrições do serviço devem indicar resultados e reservar o direito de substituição. E a rota de nuvem escolhida altera quem define a data de aposentadoria e onde ocorre o processamento, o que se liga diretamente à questão de dados abaixo.
Qual lei de dados pessoais se aplica à aplicação
A página de proteção de dados do governo dos Emirados Árabes Unidos identifica o Federal Decree Law No. 45 of 2021 sobre a Proteção de Dados Pessoais, em vigor desde 2 de janeiro de 2022. Ele proíbe o tratamento de dados pessoais sem o consentimento do titular, salvo nos casos listados, exige que as empresas que mantêm dados pessoais os protejam, confere aos titulares direitos de correção e de restrição ou interrupção do tratamento e estabelece requisitos para a transferência e o compartilhamento transfronteiriços. A página descreve o UAE Data Office, estabelecido pelo Federal Decree Law No. 44 of 2021, como o regulador federal responsável por políticas, padrões, sistemas de reclamações e orientações de implementação. Também lista a DIFC Data Protection Law (DIFC Law No. 5 of 2020) ao lado da lei federal.
Para uma aplicação de IA, o trabalho prático é um mapeamento. Quais campos de clientes chegam ao provedor do modelo, em qual região são tratados, quais subprocessadores têm acesso a eles e qual consentimento cobre cada etapa. Uma empresa com clientes dentro do DIFC pode estar sujeita à lei da free zone além da federal, de modo que a escolha da licença não é neutra aqui. A página federal não explica como as duas interagem, de modo que esse ponto exige uma análise especializada sobre os fatos concretos.
Onde o produto passa para um setor regulado
Uma ferramenta que redige textos para aprovação humana está em posição diferente da que emite recomendações ou executa transações. O critério é a função. A lei federal de dados pessoais recua quando legislação específica protege dados pessoais de saúde ou dados pessoais bancários e de crédito (Artigo 2(2)(e) e (f)), e não se aplica a entidades governamentais (Artigo 2(2)(b)), de modo que esses clientes trazem suas próprias regras. Se a aplicação subsidia decisões de crédito, trata informações de pacientes, emite conclusões jurídicas ou é usada por uma entidade governamental, as regras setoriais do cliente alcançam o seu contrato por meio de direitos de auditoria, exigências de localização de dados e cláusulas de responsabilidade, ainda que você mesmo não detenha nenhuma licença.
Registre por escrito a etapa de revisão humana e quem a executa. O Artigo 18 da lei federal permite que uma pessoa se oponha a uma decisão automatizada que tenha efeito jurídico ou adverso sobre ela, a menos que se baseie em contrato, em exigência legal ou em seu consentimento prévio, e exige que o controlador inclua uma pessoa na revisão dessas decisões, mediante solicitação. Bancos e compradores corporativos pedem a mesma etapa na due diligence, e ela é a evidência mais clara de que o produto auxilia, em vez de decidir.
Escolha do caminho para a entidade
Tanto uma empresa mainland licenciada diretamente quanto uma empresa free zone podem exercer atividades de software e tecnologia, e uma entidade em centro financeiro pode convir a um fundador cujos clientes estejam dentro desse centro. A escolha geralmente depende de onde estão os clientes, de os funcionários precisarem de vistos de residência patrocinados pela entidade e de algum cliente insistir nos tribunais e nas regras de dados de uma jurisdição específica.
A questão estrutural mais útil é onde fica a propriedade intelectual. Se prompts, conjuntos de avaliação e configurações ajustadas foram construídos por prestadores ou por uma controladora no exterior, as cessões devem estar em vigor antes de a empresa dos EAU ser apresentada a um banco ou investidor como proprietária deles.
Em resumo
O que levar disso
- A lei de dados pessoais acompanha o cliente, não o servidor: o Decreto-Lei 45 de 2021 alcança dados de pessoas nos UAE mesmo quando o controlador ou o provedor do modelo está no exterior, a menos que se aplique, em seu lugar, a lei de uma free zone, como a do DIFC.
- Os termos dos provedores divergem quanto à possibilidade de os prompts dos clientes serem usados para aprimorar os modelos do provedor, e a diferença muitas vezes depende de haver ou não pagamento.
- Os modelos são descontinuados conforme cronogramas publicados, de modo que os contratos com clientes não devem indicar um único modelo como funcionalidade permanente.
- Vender para os setores financeiro, de saúde, jurídico ou governamental geralmente traz um regulador setorial ao qual o fornecedor do software não escapa.
- Prompts, fluxos de trabalho e configurações com ajuste fino (fine-tuning) exigem documentação comprobatória de titularidade, sobretudo quando foram desenvolvidos por prestadores contratados.
- Tanto empresas da mainland quanto empresas de free-zone podem operar este negócio, de modo que a via da entidade importa menos do que os contratos que ela assina.
- O uso de um provedor de modelos estrangeiro significa que a empresa não é titular de nada?
- Não, mas a titularidade é mais restrita do que os fundadores supõem. A empresa pode ser titular de seu código, prompts, fluxos de trabalho, dados de avaliação e relacionamentos com clientes. Ela não é titular do modelo e aceita como dados os termos de uso do provedor, inclusive os limites à criação de modelos concorrentes.
- Os prompts dos clientes precisam permanecer no UAE?
- Não como regra geral. A lei federal permite a transferência para o exterior para jurisdições que o UAE Data Office tenha aprovado como detentoras de proteção adequada (Artigo 22). Fora isso, permite a transferência com base em hipóteses listadas, como um contrato que vincule o destinatário aos padrões da lei, o consentimento explícito da pessoa ou a necessidade de execução de um contrato com a pessoa (Artigo 23). Clientes do governo e do setor financeiro podem impor a localização por contrato, de modo que a resposta é, muitas vezes, definida pelo cliente, e não pela lei.
- Um plano gratuito é aceitável para pilotos iniciais com clientes?
- Segundo os termos do Google, o uso sem pagamento pode alimentar o aprimoramento do produto e a revisão humana, e os termos desaconselham o envio de informações sensíveis ou pessoais. Pilotos com dados reais de clientes devem ser executados em termos pagos, com a posição sobre os dados acordada por escrito.
- O que o contrato com o cliente deve dizer sobre mudanças nos modelos?
- Descreva o serviço pelo resultado, reserve o direito de alterar ou substituir os modelos subjacentes e indique quem arca com a indisponibilidade quando um provedor descontinua ou restringe um modelo. Os cronogramas de descontinuação são publicados; portanto, um contrato que os ignore não tem justificativa.
Fontes
De onde isso vem
Informações gerais extraídas do CBUAE Rulebook, incluindo a Retail Payment Services and Card Schemes Regulation (C 15/2021), e da Cabinet Resolution No. (134) of 2025, conforme publicadas, e não constituem aconselhamento jurídico ou tributário. As regras e orientações mudam; por isso, confirme o texto vigente e os requisitos próprios de cada instituição antes de apresentar a solicitação.