Como Estruturar uma Empresa de Modelo de Fundação ou de IA Gerativa nos EAU

Não existe um regulador dedicado à IA que licencie uma empresa de modelos de fundação ou de IA generativa nos Emirados Árabes Unidos. O registro comercial segue a mesma rota de qualquer outro negócio de tecnologia: a constituição de uma empresa na mainland perante a autoridade licenciadora competente da mainland, ou uma estrutura em free zone. O que muda o cenário é aquilo em que o modelo efetivamente toca. Dados pessoais usados em treinamento, ajuste fino ou inferência trazem a legislação federal de proteção de dados dos Emirados para o escopo. Uma infraestrutura que se qualifique como crítica traz os padrões do Cyber Security Council para o escopo. E, se as saídas do modelo alimentarem um setor regulado (orientação de saúde, recomendações financeiras, conteúdo de mídia), o regulador próprio desse setor passa a integrar o perímetro, além da licença comercial. A autoridade licenciadora decide que a empresa pode operar; ela não decide que a empresa pode tratar os dados com os quais deseja treinar, nem que sua infraestrutura atende às expectativas de cibersegurança.

A legislação federal de proteção de dados dos Emirados Árabes Unidos rege como os dados pessoais são coletados, usados e transferidos a partir do momento em que entram em um pipeline de treinamento ou de ajuste fino, e as obrigações incidem sobre o próprio tratamento, e não sobre o rótulo de IA do produto. Um modelo treinado, ainda que apenas em parte, com dados pessoais precisa de uma base legal documentada para esse tratamento e de um posicionamento sobre qualquer transferência desses dados para fora dos Emirados, antes que o conjunto de dados seja utilizado, quer o produto se chame modelo de fundação, ajuste fino ou wrapper de API. Separadamente, o Cyber Security Council define a estratégia e os padrões nacionais de cibersegurança que se aplicam quando a infraestrutura de computação ou de hospedagem é tratada como parte dos sistemas críticos dos Emirados. Uma empresa de IA generativa que opere sua própria infraestrutura de treinamento ou de inferência em escala significativa deve esperar ser avaliada segundo esses padrões, e não segundo uma política interna de TI genérica, e não deve presumir que as certificações do próprio provedor de nuvem encerrem essa questão em seu nome.

Bancos e adquirentes de pagamentos que fazem a análise de risco de uma empresa de IA olham além da licença, para os contratos que a sustentam: a quem a capacidade de computação é faturada, como a receita de API ou de assinaturas é efetivamente recebida e se o ente que assina os contratos com clientes é o mesmo que detém o modelo e os direitos sobre os dados. Uma holding que detém os pesos, ao lado de uma empresa operacional que fatura os clientes, é comum quando um modelo passa do protótipo para a receita, mas cada uma precisa de seus próprios contratos, de seu próprio mandato bancário e de seu próprio posicionamento em preços de transferência, e não de uma conta compartilhada que sirva para ambas. A abertura de conta é mais rápida quando o model card, o registro de direitos sobre os conjuntos de dados e os contratos de computação estão prontos antes de a conversa com o banco começar, que é a preparação por trás da prontidão para conta bancária corporativa. O custo aqui é composto em camadas, e não por um único valor, pois os contratos de computação e o quadro de engenheiros costumam superar qualquer taxa governamental; os honorários de serviço Velarozone são detalhados item por item na carta de contratação; veja como a Velarozone funciona para entender como essa composição em camadas é apresentada.

Todo colaborador de um modelo (fundadores, empregados, prestadores e quaisquer mantenedores de código aberto cujo código ou pesos tenham sido incorporados) precisa de uma cessão de propriedade intelectual ou de uma licença documentada antes que o modelo possa ser tratado como um ativo da empresa, e não como um ativo em disputa. Quando o treinamento usou dados pessoais, alguém dentro da empresa precisa ser responsável pelo posicionamento em matéria de proteção de dados, mesmo em uma equipe pequena em que essa pessoa também exerça outra função. Estruturas de grupo que separam um ente titular da propriedade intelectual de uma empresa operacional, ou que trazem investidores de mais de uma jurisdição, enquadram-se em estruturações societárias reguladas e complexas, e a cadeia de titularidade precisa ser documentada da mesma forma que o próprio modelo, por meio de planos de negócios e documentação que um banco ou um cliente corporativo possa ler e em que possa confiar.

Uma vez constituído o ente, a licença comercial se conecta a etapas operacionais que o rótulo de IA não altera. A capacidade de vistos está vinculada à establishment card e precisa cobrir os profissionais de engenharia, segurança e compliance que de fato operam o modelo, e não apenas um quadro nominal. Um endereço registrado é exigido independentemente de a computação ficar em solo dos Emirados ou com um provedor de nuvem estrangeiro. O registro para fins de imposto corporativo junto à Federal Tax Authority (FTA) segue as mesmas regras federais de qualquer outra empresa dos Emirados; não há uma categoria separada para IA. A renovação é também o momento de reavaliar a posição em proteção de dados e propriedade intelectual, pois um modelo retreinado, ajustado novamente ou aberto a novos clientes desde a última renovação pode ter saído do perímetro registrado na constituição.