Blog
ChatGPT, Claude, Gemini și GLM: înființarea unei companii de aplicații AI în EAU
Răspunsul scurt
O companie din UAE care construiește pe ChatGPT, Claude, Gemini sau GLM închiriază capacitatea sa de bază, dar păstrează obligațiile privind datele pentru ceea ce trimit clienții prin intermediul ei. Decretul-lege federal nr. 45 din 2021, supravegheat de UAE Data Office, se aplică operatorilor și persoanelor împuternicite din UAE, precum și celor străini care prelucrează date ale persoanelor din UAE. Nu se aplică companiilor din free zone care au propria lege privind datele cu caracter personal, precum cele din DIFC. Întrebarea care decide cel mai des calea de urmat este dacă produsul doar asistă un utilizator sau preia o decizie într-un sector reglementat, precum cel bancar, al sănătății sau al dreptului.
Un asistent de scriere pentru echipele de marketing și un instrument care analizează cererile de credit pot partaja aceeași bază de cod și totuși au nevoie de perimetre complet diferite, deoarece al doilea ia decizii pe care persoanele le pot contesta.
Compania ar trebui constituită în jurul a ceea ce va contracta, deține și controla. Cine semnează cu clienții, cine deține contul la furnizor, unde se află prompturile și rezultatele și cine răspunde atunci când un model greșește sunt faptele despre care vor întreba o bancă, un investitor și o autoritate de licențiere. Cum funcționează Velarozone este construit în jurul fixării acestor fapte înainte de orice depunere.
Ce stabilesc termenii furnizorului înaintea companiei
Citiți termenii furnizorului ca și cum ar face parte din specificația propriului dumneavoastră produs, deoarece pentru clienții dumneavoastră chiar fac parte.
Termenii Gemini API ai Google trasează o linie fermă între utilizarea plătită și cea neplătită. Pentru serviciile neplătite, Google poate folosi conținutul trimis și răspunsurile pentru a-și îmbunătăți produsele, iar evaluatori umani pot citi și adnota datele de intrare și de ieșire după ce acestea au fost deconectate de la cont, de la cheia API și de la proiectul Cloud. Termenii recomandă să nu trimiteți informații sensibile, confidențiale sau personale către aceste servicii. Pentru serviciile plătite, Google declară că nu folosește prompturile sau răspunsurile pentru a-și îmbunătăți produsele și le înregistrează în jurnale pentru o perioadă limitată, pentru a detecta abuzurile și a îndeplini cerințele legale de dezvăluire. Un startup care face prototipuri pe nivelul gratuit cu documente reale ale clienților a luat deja o decizie privind datele, indiferent dacă cineva a consemnat-o în scris sau nu.
Aceiași termeni cer ca utilizatorii API să aibă 18 ani sau mai mult și interzic clienții API orientați către persoane sub 18 ani sau la care acestea ar putea avea acces. Ei interzic, de asemenea, folosirea serviciului pentru dezvoltarea de modele concurente, precum și ingineria inversă sau extragerea componentelor modelului. Acest lucru contează dacă foaia dumneavoastră de parcurs include distilarea rezultatelor într-un model propriu, ceea ce unii fondatori consideră rostul afacerii.
GLM provine de la platforma BigModel a Zhipu AI, iar ChatGPT de la OpenAI. Fiecare are propriii termeni comerciali și fiecare ar trebui citit sub aceleași patru aspecte: utilizarea datelor, vârsta minimă, restricțiile privind utilizarea concurentă și ce se întâmplă cu serviciul dumneavoastră dacă o politică se modifică. O arhitectură multi-furnizor atenuează acest risc. Totodată, ea multiplică termenii cu care trebuie să rămână coerente contractele cu clienții dumneavoastră.
Retragerea modelului este o problemă contractuală
Documentația de modele a Anthropic arată cât de scurtă poate fi viața unei dependențe de un model. Aceasta listează Claude Sonnet 5.5 și Haiku 5.5 cu retragerea „nu mai devreme de” 28 septembrie 2027 și 7 octombrie 2027, în timp ce modele anterioare, precum Sonnet 5 și Sonnet 4.6, se află deja într-o listă de modele învechite. Documentația spune, de asemenea, că Amazon Bedrock și Google Cloud își stabilesc propriile date de ciclu de viață pentru modelele pe care le găzduiesc și listează aceleași modele în Claude API, Amazon Bedrock, Google Cloud, Microsoft Foundry și Claude Platform on AWS.
Pentru o companie din EAU rezultă două lucruri. Un contract cu clientul care promite un model denumit pentru o durată fixă este o promisiune pe care furnizorul o poate submina, așa că descrierile serviciilor ar trebui să indice rezultate și să își rezerve dreptul de înlocuire. Iar traseul cloud pe care îl alegeți schimbă cine stabilește data retragerii și unde are loc prelucrarea, ceea ce se leagă direct de întrebarea privind datele de mai jos.
Ce lege privind datele personale se aplică aplicației
Pagina guvernului UAE privind protecția datelor identifică Federal Decree Law No. 45 of 2021 privind Protecția Datelor cu Caracter Personal, în vigoare din 2 ianuarie 2022. Aceasta interzice prelucrarea datelor cu caracter personal fără consimțământul titularului, cu excepția cazurilor enumerate, impune companiilor care dețin date cu caracter personal să le securizeze, conferă titularilor drepturi de rectificare a datelor și de restricționare sau încetare a prelucrării și stabilește cerințe pentru transferul și partajarea transfrontalieră. Pagina descrie UAE Data Office, înființat în temeiul Federal Decree Law No. 44 of 2021, ca autoritate federală de reglementare responsabilă de politici, standarde, sisteme de reclamații și ghiduri de implementare. De asemenea, menționează DIFC Data Protection Law (DIFC Law No. 5 of 2020) alături de legea federală.
Pentru o aplicație de inteligență artificială, munca practică este o cartografiere: ce câmpuri ale clienților ajung la furnizorul modelului, în ce regiune sunt prelucrate, ce subcontractanți le accesează și ce consimțământ acoperă fiecare etapă. O companie cu clienți în DIFC poate fi supusă atât legii free zone, cât și celei federale, astfel încât alegerea licențierii nu este neutră aici. Pagina federală nu explică modul în care cele două interacționează, așa că acest aspect necesită o analiză a unui specialist pe baza faptelor concrete.
Unde produsul intră într-un sector reglementat
Un instrument care redactează text pentru a fi aprobat de un om se află într-o poziție diferită față de unul care emite recomandări sau execută tranzacții. Criteriul este funcția. Legea federală privind datele cu caracter personal se retrage acolo unde o legislație separată protejează datele de sănătate cu caracter personal sau datele bancare și de credit cu caracter personal (articolul 2(2)(e) și (f)) și nu se aplică entităților guvernamentale (articolul 2(2)(b)), astfel încât acești clienți vin cu propriile reguli. Dacă aplicația informează decizii de creditare, prelucrează informații despre pacienți, oferă concluzii juridice sau este utilizată de o entitate guvernamentală, regulile sectoriale ale clientului se reflectă în contractul dumneavoastră prin drepturi de audit, cerințe de localizare a datelor și clauze de răspundere, chiar dacă dumneavoastră nu dețineți nicio licență.
Notați pasul de revizuire umană și cine îl efectuează. Articolul 18 din legea federală permite unei persoane să se opună unei decizii automatizate care are un efect juridic sau nefavorabil asupra sa, cu excepția cazului în care aceasta se întemeiază pe un contract, pe o cerință legală sau pe consimțământul său prealabil, și cere operatorului să includă o persoană în revizuirea unor astfel de decizii la cerere. Băncile și cumpărătorii enterprise solicită același pas în due diligence, iar acesta este cea mai clară dovadă că produsul asistă, nu decide.
Alegerea traseului pentru entitate
Atât o companie mainland licențiată direct, cât și o companie free zone pot desfășura activități de software și tehnologie, iar o entitate dintr-un centru financiar poate fi potrivită pentru un fondator ai cărui clienți se află în interiorul acelui centru. Alegerea depinde de obicei de locul unde se află clienții, de dacă personalul are nevoie de vize de reședință sponsorizate de entitate și de dacă vreun client insistă asupra instanțelor și regulilor privind datele ale unei anumite jurisdicții.
Întrebarea structurală mai utilă este unde se află proprietatea intelectuală. Dacă prompturile, seturile de evaluare și configurațiile ajustate fin au fost construite de contractori sau de o societate-mamă din străinătate, cesiunile ar trebui să fie încheiate înainte ca societatea din EAU să fie prezentată unei bănci sau unui investitor drept proprietara lor.
Pe scurt
Ce să rețineți din aceasta
- Legea privind datele cu caracter personal urmează clientul, nu serverul: Decretul-lege nr. 45 din 2021 vizează datele persoanelor din UAE chiar și atunci când operatorul sau furnizorul modelului se află în străinătate, cu excepția cazului în care se aplică în schimb o lege din free zone, precum cea a DIFC.
- Termenii furnizorilor diferă în privința faptului dacă prompturile clienților pot fi folosite pentru a îmbunătăți modelele furnizorului, iar diferența depinde adesea de dacă plătiți.
- Modelele sunt retrase conform unor calendare publicate, așa că contractele cu clienții nu ar trebui să numească un singur model drept funcție permanentă.
- Vânzarea către finanțe, sănătate, domeniul juridic sau guvern aduce de obicei un regulator sectorial de care furnizorul de software nu scapă.
- Prompturile, fluxurile de lucru și configurațiile ajustate fin au nevoie de o urmă documentară a proprietății, mai ales acolo unde le-au construit contractori.
- Atât companiile mainland, cât și cele free zone pot desfășura această activitate, așa că traseul entității contează mai puțin decât contractele pe care le semnează.
- Faptul că folosiți un furnizor străin de modele înseamnă că societatea nu deține nimic?
- Nu, dar proprietatea este mai îngustă decât presupun fondatorii. Societatea își poate deține codul, prompturile, fluxurile de lucru, datele de evaluare și relațiile cu clienții. Nu deține modelul și acceptă termenii de utilizare ai furnizorului așa cum sunt, inclusiv limitele privind construirea de modele concurente.
- Trebuie ca prompturile clienților să rămână în EAU?
- Nu ca regulă generală. Legea federală permite transferul în străinătate către jurisdicții pe care UAE Data Office le-a aprobat ca asigurând o protecție adecvată (articolul 22). În caz contrar, permite transferul pe temeiuri enumerate, precum un contract care obligă destinatarul la standardele legii, consimțământul explicit al persoanei sau necesitatea de a executa un contract cu persoana respectivă (articolul 23). Clienții din sectorul guvernamental și financiar pot impune localizarea prin contract, astfel încât răspunsul este adesea stabilit de client, nu de lege.
- Este acceptabil nivelul gratuit pentru proiectele-pilot timpurii cu clienți?
- Conform termenilor Google, utilizarea neplătită poate alimenta îmbunătățirea produsului și revizuirea umană, iar termenii recomandă să nu se trimită informații sensibile sau personale. Proiectele-pilot cu date reale ale clienților ar trebui să ruleze în baza termenilor plătiți, cu poziția privind datele convenită în scris.
- Ce ar trebui să spună contractul cu clientul despre schimbările de model?
- Descrieți serviciul prin rezultat, rezervați dreptul de a schimba sau înlocui modelele de bază și precizați cine suportă indisponibilitatea atunci când un furnizor retrage sau restricționează un model. Calendarele de retragere sunt publicate, așa că un contract care le ignoră nu are nicio scuză.
Surse
De unde provine asta
Informații generale extrase din CBUAE Rulebook, inclusiv Retail Payment Services and Card Schemes Regulation (C 15/2021), și Cabinet Resolution No. (134) of 2025, așa cum au fost publicate, nu consultanță juridică sau fiscală. Regulile și ghidurile se schimbă, așa că confirmați textul în vigoare și cerințele proprii ale fiecărei instituții înainte de a depune.