Blog
OpenRouter e Multi-Model AI Gateways: Estruturando uma Plataforma de Roteamento de IA nos EAU
A resposta curta
Um gateway de IA multimodelo como o OpenRouter, uma única API na frente de vários modelos, com roteamento e alternativas de contingência, pode ser operado por uma empresa dos UAE como software. Vender o uso por meio de crédito pré-pago é diferente: o Regulamento de Instalações de Valor Armazenado (Stored Value Facilities Regulation) do Banco Central dos UAE (CBUAE) exige licença prévia para emitir uma instalação de valor armazenado, salvo se houver isenção aplicável. Os prompts também podem conter dados pessoais, de modo que o Decreto-Lei Federal nº 45 de 2021 se aplica ao gateway em qualquer hipótese.
O Decreto-Lei Federal nº 45 de 2021, a Lei de Proteção de Dados Pessoais (Personal Data Protection Law), aplica-se a dados pessoais tratados total ou parcialmente por sistemas eletrônicos, dentro ou fora dos UAE. Entrou em vigor em 2 de janeiro de 2022. O prompt de um cliente pode conter nomes, endereços de e-mail ou dados de conta, de modo que a lei alcança o seu gateway a partir do momento em que ele roteia esse tráfego.
O fato que define a estrutura é quem detém o dinheiro do cliente. Se os clientes carregam um saldo junto à sua empresa e o consomem conforme o uso dos modelos, você pode estar emitindo uma instalação de valor armazenado. A regulamentação do Banco Central dos UAE (CBUAE) exige que esse saldo (float) fique em contas segregadas em bancos licenciados, separado dos recursos próprios do emissor, e o CBUAE e o seu banco examinarão isso antes de examinar o seu software.
O que um gateway de roteamento realmente faz e onde se concentra a exposição jurídica
A documentação da OpenRouter descreve o produto de forma direta. Um único endpoint, `/api/v1/chat/completions`, dá acesso a centenas de modelos. Ele pode ser usado a partir do SDK da OpenAI como substituto direto. As requisições são encaminhadas para a opção de melhor custo-benefício, e as alternativas de contingência são acionadas automaticamente. Clientes Business e Enterprise podem usar um endpoint separado da região da UE, com modelos elegíveis para a UE.
Para um fundador nos Emirados Árabes Unidos, três desses recursos se traduzem em obrigações. O roteamento significa que você escolhe qual provedor vê o prompt de um cliente, e portanto decide para onde vão os dados pessoais. As alternativas de contingência significam que um prompt enviado a um provedor pode ser reenviado a outro quando o primeiro falha; por isso, a descrição do fluxo de dados deve abranger o caminho de contingência, e não apenas a primeira escolha. O endpoint regional mostra o que os grandes clientes lhe pedirão: uma forma de manter o tráfego dentro de uma geografia declarada.
Um gateway que diz aos clientes "seus prompts nunca saem da região X" precisa conseguir comprovar isso também para o caminho de contingência. Isso exige um mapa de dados que liste cada provedor e cada região que um prompt pode alcançar, mantido alinhado ao contrato assinado com cada um deles.
Créditos pré-pagos e as regras de stored value do Banco Central
Um software que cobra uma mensalidade é simples. Um gateway que vende uso de modelos antecipadamente não é, porque o cliente paga primeiro a você e você paga os provedores depois. Nesse intervalo, você detém o dinheiro dele.
O critério é a definição do Banco Central. Uma instalação de valor armazenado é aquela em que o cliente paga dinheiro a um emissor em troca do armazenamento desse valor e da promessa de que o emissor fornecerá bens ou serviços, ou fará pagamentos, quando o valor for utilizado. Emitir ou operar uma nos UAE exige licença prévia do CBUAE, exceto no caso de uma instalação de finalidade única em que o próprio emissor fornece os bens ou serviços. O Banco Central também pode isentar instalações utilizáveis apenas junto ao emissor ou a fornecedores com os quais ele tenha acordo. Uma via de isenção aplica-se somente enquanto o float permanecer em AED 500.000 ou menos e o número de clientes for de 100 ou menos, e exige um teste no sandbox do FinTech Office do CBUAE. Saber se o crédito que adquire o uso de modelos de terceiros conta como serviço próprio do emissor é uma questão para o CBUAE, e não algo a presumir. Um emissor licenciado precisa de capital integralizado de no mínimo AED 15.000.000. Deve manter o float, isto é, os recursos pré-pagos dos clientes, em contas segregadas em bancos licenciados, separado de seus próprios recursos. Desenhe o produto de crédito de modo que a resposta seja deliberada e leve a questão ao CBUAE e ao seu banco antes do lançamento.
Um adquirente de cartões vai querer saber se o saldo é reembolsável, se pode ser gasto apenas no seu serviço e se o CBUAE foi consultado. O guia de gateway de pagamento e adquirente de cartões explica como um processador avalia um negócio que recebe pagamentos recorrentes por cartão por um saldo digital.
O que os seus fornecedores lhe permitem prometer
Um gateway só pode repassar o que seus provedores upstream permitem. Os termos dos provedores variam em quatro pontos que importam para um revendedor:
- Se o uso pode ser revendido e, em caso afirmativo, sob qual marca.
- Se os prompts ou as respostas podem ser armazenados em cache ou guardados.
- Se o provedor retém dados dos clientes ou os usa para treinamento, e se existe a possibilidade de recusar (opt-out).
- Se o provedor pode alterar preços, limites de taxa ou a disponibilidade de modelos sem aviso prévio.
A documentação da OpenRouter não descreve uma política de retenção de dados na página principal e remete a páginas separadas sobre tratamento de dados. Isso é típico: a resposta está nos termos do provedor, não na descrição do produto. Leia cada contrato upstream e registre por escrito o que você pode oferecer com honestidade. Se um provedor retém prompts e outro não, uma única frase voltada ao cliente prometendo "nenhuma retenção" é falsa.
A mesma lógica vale para a disponibilidade. Você pode oferecer alternativas de contingência. Você não pode garantir que todos os modelos permaneçam disponíveis, porque não controla os modelos. Formule os níveis de serviço em torno da sua própria plataforma e indique a dependência em relação aos fornecedores.
Dados pessoais e o UAE Data Office
O Decreto-Lei Federal nº 45 de 2021 entrou em vigor em 2 de janeiro de 2022. Segundo o resumo do Governo dos Emirados Árabes Unidos, ele abrange dados pessoais tratados total ou parcialmente por sistemas eletrônicos, dentro ou fora do país, exige em geral o consentimento do titular dos dados para o tratamento, confere aos indivíduos direitos de corrigir dados e de restringir ou interromper o tratamento, e estabelece requisitos para a transferência e o compartilhamento de dados pessoais além das fronteiras. O UAE Data Office, vinculado ao Gabinete (Cabinet), é o regulador federal de dados.
Para um gateway, as consequências práticas são:
- É provável que você atue como operador (processor) para os seus clientes; por isso, o contrato com cada cliente precisa dizê-lo e descrever o que você faz com os dados.
- Encaminhar um prompt a um provedor no exterior é uma transferência internacional que deve estar prevista nos seus registros e nos termos aplicáveis aos clientes.
- Entidades de free zone e de centros financeiros podem estar sujeitas a leis de dados próprias (o DIFC tem uma lei de proteção de dados separada); verifique, portanto, qual regime a zona escolhida traz consigo.
Clientes Enterprise em setores regulados podem acrescentar exigências próprias de localização. Peça essas informações durante o processo comercial, e não depois de assinado o contrato.
Escolha da entidade: mainland, free zone ou zona de tecnologia
Um gateway apenas de software, com equipe pequena e clientes em todo o mundo, muitas vezes se encaixa em uma empresa em free zone com licença de tecnologia ou licença comercial. Um gateway cujos principais clientes são empresas dos UAE, ou que deseja contratar diretamente com compradores ligados ao governo, pode preferir uma licença mainland. Nenhuma das escolhas elimina a questão do crédito: o Stored Value Facilities Regulation define o Estado como os UAE excluídas as Financial Free Zones, de modo que uma empresa comum de free zone ou mainland que venda crédito pré-pago está dentro da área que o regulamento abrange. O guia para escolher entre free zone e mainland expõe os prós e contras quanto à localização dos clientes, instalações e vistos.
Se você também hospeda modelos abertos em infraestrutura própria, as questões operacionais se aproximam de um negócio de nuvem, tratado no guia sobre provedores de serviços gerenciados de nuvem. Se você treina ou ajusta modelos por conta própria, o guia sobre empresas de modelos de fundação está mais próximo da sua posição. Antes de decidir, o fundador pode ver como a Velarozone funciona quando ela avalia o desenho do crédito, os fluxos de dados e a entidade em conjunto.
Em resumo
O que levar disso
- A promessa central de uma empresa de gateway é um endpoint, muitos modelos. A própria documentação da OpenRouter descreve um único endpoint de chat completions, o roteamento para a opção de melhor custo-benefício e alternativas de contingência automáticas.
- Vender o uso por meio de crédito pré-pago pode fazer de você o emissor de uma instalação de valor armazenado, o que exige licença prévia do CBUAE, salvo isenção. Uma assinatura mensal de software não armazena antecipadamente o valor do cliente.
- Os prompts encaminhados pela sua plataforma podem conter dados pessoais, o que traz para o cenário o Decreto-Lei Federal nº 45 de 2021 e o UAE Data Office.
- Os provedores de modelos definem os termos de revenda, cache e retenção de dados; o seu contrato com o cliente só pode prometer o que os seus fornecedores permitem.
- Compradores corporativos perguntarão onde os dados são processados e quais suboperadores têm acesso a eles antes de perguntar sobre preço.
- Precisamos de uma licença para revender o acesso a modelos?
- Uma atividade de licenciamento de software, por si só, pode não abranger a revenda de uso por meio de crédito pré-pago. Se os clientes pagam antecipadamente por valor armazenado, o Stored Value Facilities Regulation do CBUAE exige licença prévia, a menos que a instalação seja de finalidade única ou que o Banco Central a isente. Defina primeiro o desenho do crédito e depois leve a questão ao CBUAE e ao seu banco.
- O Decreto-Lei Federal nº 45 de 2021 se aplica se os nossos servidores estiverem fora dos EAU?
- O resumo do Governo dos EAU afirma que a lei se aplica ao processamento eletrônico de dados pessoais, dentro ou fora dos EAU. Se você tem clientes nos EAU ou uma entidade nos EAU que trata os prompts deles, considere a lei aplicável e busque orientação sobre os detalhes.
- Podemos prometer aos clientes que os dados deles não são usados para treinamento?
- Somente se todos os provedores upstream para os quais você roteia lhe derem esse compromisso por escrito. Se alguns derem e outros não, ofereça controles de roteamento que permitam ao cliente excluir os demais e descreva a situação por provedor.
- Podemos garantir a disponibilidade dos modelos?
- Não. Você pode descrever a disponibilidade da sua própria plataforma e o comportamento de contingência (fallback). A disponibilidade de modelos de terceiros depende dos provedores.
Fontes
De onde isso vem
Informações gerais extraídas do CBUAE Rulebook, incluindo a Retail Payment Services and Card Schemes Regulation (C 15/2021), e da Cabinet Resolution No. (134) of 2025, conforme publicadas, e não constituem aconselhamento jurídico ou tributário. As regras e orientações mudam; por isso, confirme o texto vigente e os requisitos próprios de cada instituição antes de apresentar a solicitação.