Blog
Trabalho Doubao: Como Empresas de IA da China Podem Estabelecer Operações nos EAU
A resposta curta
O Doubao Work é um produto chinês construído em torno de um agente que recebe uma tarefa de um usuário e a executa, e não de um chatbot que apenas responde. Uma empresa que vende esse tipo de produto a clientes nos UAE é regida, em primeiro lugar, pela lei federal de proteção de dados pessoais, o Federal Decree-Law No. 45 of 2021, que o UAE Data Office supervisiona como regulador federal de dados. O fato que mais frequentemente define o caminho é se o agente vai ler, armazenar ou agir sobre dados pessoais de pessoas nos UAE, e onde esse tratamento ocorre fisicamente.
A legislação de dados não impede a constituição de uma empresa. Ela determina o que a empresa precisa ser capaz de comprovar ao seu primeiro cliente corporativo: quem controla os arquivos e os registros, onde eles ficam e quem responde quando o agente comete um erro.
Para um fornecedor estrangeiro de IA, essa comprovação influencia a escolha da entidade mais do que a taxa de licença. Uma empresa que apenas revende um serviço hospedado no exterior tem uma presença diferente daquela que instala o agente dentro da rede de um cliente e mantém engenheiros no local.
O que um agente de IA muda sob a PDPL dos EAU
Um assistente de chat vê o que o usuário digita. Um agente vê muito mais. Para agendar uma reunião, conciliar uma fatura ou redigir um relatório, ele precisa de acesso a caixas de e-mail, unidades compartilhadas, ferramentas contábeis e, às vezes, credenciais. Cada um desses é um lugar onde há dados pessoais.
A PDPL federal considera dentro do seu escopo o tratamento de dados pessoais, total ou parcialmente por meio de sistemas eletrônicos. A lei entrou em vigor em 2 de janeiro de 2022. Em geral, ela vincula o tratamento ao consentimento do titular dos dados, com exceções listadas, e confere aos indivíduos o direito de solicitar correções e de restringir ou interromper o tratamento. Ela também estabelece regras para a transferência transfronteiriça de dados pessoais para tratamento, que é a disposição que um fornecedor que executa modelos fora dos UAE precisa ler com atenção.
A consequência prática é que um cliente corporativo nos UAE pedirá ao fornecedor que declare, por escrito, o que o agente pode ler, o que ele guarda, se os prompts e as respostas são usados para aprimorar o modelo e quais subprocessadores têm acesso aos dados. Um fundador que não consegue responder a essas perguntas perderá a negociação antes mesmo de a questão da licença surgir.
O Data Office foi criado pelo Federal Decree-Law No. 44 of 2021 e está vinculado ao UAE Cabinet. Sua competência inclui elaborar a política de proteção de dados e emitir orientações, de modo que o entendimento sobre detalhes de implementação pode mudar. Verifique as orientações vigentes antes de assinar um contrato de hospedagem.
Hospedado, em nuvem privada ou local (on-premises): a escolha que define a entidade
A entrega hospedada é a mais leve. O fornecedor executa o agente a partir da sua própria infraestrutura e o cliente acessa por login. A empresa nos UAE pode ser pouco mais do que uma entidade de vendas e suporte, mas a questão da transferência de dados é mais aguda, porque os dados do cliente saem do país por concepção.
A entrega em nuvem privada coloca uma instância dedicada em uma região de nuvem aprovada pelo cliente. O fornecedor continua a operá-la, portanto continua a tratar os dados do cliente, e o contrato precisa dizer isso.
A entrega on-premises coloca o software dentro das instalações do cliente. As preocupações com transferência transfronteiriça deixam de existir quanto aos dados armazenados, mas sessões de suporte remoto podem trazê-las de volta imediatamente. Um engenheiro de suporte em outro país que se conecta ao servidor de um cliente está acessando dados dos UAE a partir do exterior.
Muitos fornecedores chineses de software corporativo oferecem as três modalidades. Eles devem redigir cada uma como um anexo separado do contrato-mestre, com seus próprios termos de tratamento de dados, em vez de um único documento que tente cobrir todos os casos.
Clientes dos setores de saúde, finanças e governo
Os setores que mais gastam com automação de fluxos de trabalho são também aqueles com regras próprias. Um cliente da área de saúde traz consigo a Federal Law No. 2 of 2019 sobre o uso de tecnologia da informação e comunicação nas áreas da saúde, que o governo dos UAE descreve como aplicável também nas free zones. Bancos e seguradoras respondem a seus próprios supervisores e repassarão ao fornecedor suas condições de terceirização. Os órgãos governamentais compram por meio de procedimentos próprios.
Nada disso significa que o fornecedor precise de uma licença própria. Significa que a equipe de compliance do cliente colocará condições no contrato, e o fornecedor precisa de uma entidade local que possa assiná-las, contratar o seguro e ser citada em uma reclamação. Uma filial de estrutura mínima que remete todas as questões à matriz no exterior tende a travar no processo de compras.
Um fornecedor que venda apenas a empresas privadas não reguladas, como varejistas ou empresas de logística, tem um caminho mais leve. Isso deve constar do material de vendas, deixando os clientes setoriais para uma segunda fase.
Responsabilidade pelo que o agente faz
Um agente que envia um e-mail, move um arquivo ou submete um formulário age em nome do cliente. Se agir de forma errada, o cliente recorrerá ao contrato. A lei de crimes cibernéticos dos Emirados Árabes Unidos, o Decreto-Lei Federal nº 34 de 2021, abrange os delitos cometidos por meio de tecnologia da informação e de redes, e o fornecedor cujo agente recebe credenciais permanentes deve projetar o sistema como se seus logs pudessem, um dia, ser lidos por um investigador.
Três escolhas de projeto têm peso jurídico e convém defini-las antes da constituição da empresa:
- Quais ações o agente pode executar sem aprovação humana e quais exigem aprovação prévia.
- Por quanto tempo as credenciais são mantidas e se o cliente pode revogá-las imediatamente.
- Quem é o titular dos logs e se o fornecedor pode usá-los para treinar ou ajustar modelos.
Um limite de aprovação claro é mais fácil de ser aceito pela equipe de risco do cliente do que a alegação de autonomia total.
Como escolher o caminho nos Emirados Árabes Unidos para um fornecedor de IA
Uma empresa mainland permite contratar diretamente com empresas e compradores governamentais dos Emirados Árabes Unidos, razão pela qual os vendedores de software corporativo frequentemente começam por ela. Estruturas em free-zone são adequadas a equipes cuja atividade principal é desenvolvimento ou suporte remoto, embora cada zona defina seus próprios termos e a autoridade deva confirmar o que uma empresa pode fazer a partir de suas instalações. Uma entidade no DIFC aciona a DIFC Data Protection Law, o que importa se a base de clientes estiver ali.
A comparação depende de onde estão os clientes, de onde atuam os engenheiros e de a empresa manter ou não hardware. O fundador que avalia qual jurisdição se adapta ao modelo de negócio deve levar respostas a esses três pontos. A situação de residência da própria equipe também importa, pois os vistos para a equipe fundadora dependem da licença escolhida. Leia como a Velarozone funciona se quiser ver como é o processo de assessoria antes de se comprometer.
Os bancos farão as mesmas perguntas que os clientes: quem é o titular da empresa, quem a financia, de onde virá o dinheiro e por que é necessária uma entidade nos Emirados Árabes Unidos. Um fornecedor com um cliente-piloto contratado e um diagrama claro do fluxo de dados responde a essas perguntas mais rapidamente do que outro que tenha apenas um certificado de constituição e um site.
Em resumo
O que levar disso
- O Doubao Work é descrito em sua própria página como uma forma de trabalhar em que o usuário diz ao Doubao o que fazer e o agente executa a tarefa, de modo que o produto atua nos sistemas do cliente.
- A PDPL federal se aplica ao tratamento eletrônico de dados pessoais dentro ou fora dos Emirados Árabes Unidos, de modo que o fornecedor que hospeda no exterior não está fora de seu alcance.
- O UAE Data Office é o regulador federal de dados. O DIFC tem sua própria Data Protection Law (DIFC Law No. 5 of 2020).
- Clientes da área de saúde trazem uma lei federal específica sobre TIC nos campos da saúde, a Lei Federal nº 2 de 2019.
- A entrega hospedada, em nuvem privada e on-premises exige, cada uma, um contrato diferente e uma combinação diferente de equipe local.
- A PDPL se aplica se nossos modelos rodarem na China e nunca tocarem servidores dos Emirados Árabes Unidos?
- O alcance da lei se estende ao tratamento dentro ou fora dos Emirados Árabes Unidos, conforme a página de proteção de dados do governo do país. Se vocês tratam dados pessoais de pessoas nos Emirados Árabes Unidos, devem planejar-se para que ela se aplique. As regras de transferência são a parte a estudar, e as condições devem ser lidas na lei e na orientação atual do Data Office, em vez de presumidas.
- Precisamos de uma licença para vender um agente de IA nos Emirados Árabes Unidos?
- Vender software não é, por si só, uma atividade financeira ou de saúde sujeita a licenciamento. O que o agente faz pelo cliente pode ser. Um agente que efetua pagamentos, trata prontuários de pacientes ou presta aconselhamento profissional pode submeter o cliente, e às vezes o fornecedor, a um supervisor setorial. Registre por escrito o que o produto fará e o que não fará e, em seguida, verifique cada função junto à autoridade competente.
- A mesma empresa pode atender clientes dentro do DIFC?
- O DIFC tem sua própria Data Protection Law (DIFC Law No. 5 of 2020), separada da PDPL federal. O fornecedor que atende clientes onshore e do DIFC pode precisar de cláusulas contratuais que reflitam dois regimes. Busque aconselhamento jurídico sobre como eles se aplicam aos seus fluxos de dados específicos.
- O que devemos apresentar a um banco dos Emirados Árabes Unidos?
- Titularidade e financiamento, um cliente nomeado ou um pipeline, e uma breve explicação de por que a empresa nos Emirados Árabes Unidos existe. Inclua o resumo do fluxo de dados do produto, já que as equipes de compliance dos bancos entendem melhor um mapa de dados do que uma apresentação comercial. Isso melhora o dossiê; não garante a abertura de uma conta.
Fontes
De onde isso vem
Informações gerais extraídas do CBUAE Rulebook, incluindo a Retail Payment Services and Card Schemes Regulation (C 15/2021), e da Cabinet Resolution No. (134) of 2025, conforme publicadas, e não constituem aconselhamento jurídico ou tributário. As regras e orientações mudam; por isso, confirme o texto vigente e os requisitos próprios de cada instituição antes de apresentar a solicitação.