Cum să înființezi o companie de siguranță AI, evaluare sau audit de model în EAU

Autoritatea de licențiere (un Department of Economy and Tourism mainland sau o autoritate de free zone) decide dacă societatea există și sub ce activitate comercială se poate descrie. Această autoritate nu testează și nu aprobă calitatea unei evaluări AI.

Două perimetre separate se află alături de licență. Legislația UAE privind protecția datelor reglementează modul în care societatea poate colecta, prelucra, stoca și transfera datele cu caracter personal care ajung la ea în cursul unei misiuni: date de antrenare a modelelor, evidențe ale clienților sau rezultate care conțin informații personale. Atunci când testarea societății implică sondarea activă a unui sistem aflat în funcțiune pentru identificarea vulnerabilităților, această activitate intră sub incidența normelor privind securitatea cibernetică și accesul neautorizat, astfel că testarea fără autorizarea scrisă a proprietarului sistemului nu este o zonă gri care să fie rezolvată printr-o descriere sigură pe sine a licenței.

UAE Telecommunications and Digital Government Regulatory Authority (TDRA) reglementează infrastructura de telecomunicații și de guvernare digitală; atunci când o evaluare atinge servicii TIC sau de telecomunicații reglementate, adresați-vă direct TDRA pentru a afla dacă normele sale se aplică, înainte de a descrie acea activitate în licență. UAE Cyber Security Council stabilește strategia națională de securitate cibernetică și coordonează politicile între sectoare; este organismul la care trebuie să vă adresați cu privire la modul în care politica națională privind riscurile cibernetice afectează o activitate de testare sau de asigurare, nu un ghișeu zilnic de licențiere. Tratați-le pe ambele ca autorități cu care trebuie să confirmați direct, nu ca un răspuns definitiv pe care acest ghid îl poate oferi în avans.

UAE Strategy for Artificial Intelligence 2031 stabilește direcția federală pentru adoptarea și guvernanța AI; este un document de politică publică, nu o schemă de licențiere, deci nu creează în sine o categorie de aprobare pentru care o societate de evaluare să depună cerere. Cerințele practice care leagă efectiv activitatea se află în legislația UAE privind protecția datelor: modul în care sunt prelucrate datele cu caracter personal, pe ce temei juridic, cât timp sunt păstrate și ce se întâmplă cu ele după încheierea unei misiuni. Construiți răspunsul privind gestionarea datelor pornind de la sursa oficială privind protecția datelor, nu de la un șablon generic de politică de confidențialitate, deoarece un evaluator care primește date de antrenare, prompturi sau rezultate care conțin informații personale este el însuși un împuternicit atâta timp cât deține acele date.

Atunci când evaluarea implică testarea activă a unui sistem în funcțiune, păstrați la dosar sfera și autorizarea scrisă a clientului înainte de începerea lucrărilor și țineți-le în continuare. Acesta este, de asemenea, documentul pe care o bancă, un asigurător sau o contraparte îl va cere primul.

Băncile și clienții corporativi vor întreba ce date atinge societatea, cui aparțin constatările testelor și dacă afirmațiile societății privind independența sau certificarea pot fi dovedite printr-un contract, nu printr-un slogan de marketing. O declarație de lucrări (statement of work) semnată, care descrie metodologia evaluării, sfera și limitările ei, este cea mai puternică dovadă individuală din dosar.

De pregătit înainte de onboarding:

Activitatea de pregătire a contului bancar corporativ descrie modul în care acest set de dovezi este alcătuit și reconciliat cu modelul financiar înainte ca o bancă să îl vadă. Costul este construit pe straturi, iar onorariul de serviciu Velarozone este detaliat în scrisoarea de misiune, nu publicat ca o cifră principală; cum funcționează Velarozone descrie abordarea.

Hotărâți, înainte de înființare, dacă societatea emite opinii, scoruri sau atestări în nume propriu ori doar sprijină testarea internă a unui client. Primul rol implică o expunere la răspunderea profesională pe care al doilea nu o are, iar asigurătorii le prețuiesc foarte diferit. Desemnați cine din societate răspunde de aprobarea oricărui raport care ajunge la consiliul, autoritatea de reglementare sau auditorul unui client și păstrați la dosar competența acelei persoane și situația sa privind conflictele de interese, nu doar într-un CV.

Atunci când o societate-mamă străină deține metodologia de evaluare, acreditarea sau marca, iar entitatea din EAU prestează serviciul la nivel local, lanțul de proprietate și de licențiere dintre cele două necesită aceeași grijă ca orice franciză de servicii tehnice; vezi înființarea de structuri de proprietate reglementate și complexe. Un plan de afaceri și documentația justificativă redactate în scris sunt locul în care metodologia, rolurile și bugetul sunt legate între ele înainte ca o bancă sau un investitor să le vadă.

Evaluatorii specializați și testerii de securitate care nu sunt cetățeni ai EAU sau ai GCC au nevoie de propriile vize de reședință, legate de entitatea licențiată; confirmați cota și categoria de vize la autoritatea de licențiere înainte ca planurile de angajare să se definitiveze. Mediile de testare securizate și datele clienților păstrate pe teritoriul EAU ridică probleme de rezidență și ștergere a datelor, la care ar trebui să se răspundă o singură dată, în scris, și să se aplice consecvent, în loc să fie reanalizate pentru fiecare client. Reînnoirile licențelor și eventualele confirmări sectoriale se desfășoară pe cicluri proprii; urmăriți-le separat de datele de început și de sfârșit ale fiecărei misiuni a clientului.