Блог
ChatGPT, Claude, Gemini и GLM: создание в ОАЭ компании, разрабатывающей ИИ-приложения
Краткий ответ
Компания в ОАЭ, которая строит продукт на ChatGPT, Claude, Gemini или GLM, арендует свою основную возможность, но сохраняет обязанности по данным, которые клиенты через неё передают. Федеральный декрет-закон № 45 от 2021 года, надзор за которым осуществляет Управление данных ОАЭ (UAE Data Office), применяется к операторам и обработчикам в ОАЭ, а также к иностранным, обрабатывающим данные лиц в ОАЭ. Он не применяется к компаниям свободных зон, имеющим собственный закон о персональных данных, например в DIFC. Вопрос, который чаще всего определяет путь, состоит в том, лишь помогает ли продукт пользователю или берёт на себя решение в регулируемом секторе, таком как банковское дело, здравоохранение или право.
Помощник по составлению текстов для маркетинговых команд и инструмент, отбирающий кредитные заявки, могут использовать одну кодовую базу и всё же требовать совершенно разных периметров, поскольку второй принимает решения, которые люди вправе оспорить.
Компанию следует выстраивать вокруг того, что она будет заключать по договорам, чем владеть и что контролировать. Кто подписывает договоры с клиентами, на кого оформлен аккаунт у поставщика, где хранятся запросы и ответы и кто отвечает, когда модель ошибается: именно об этих фактах спросят банк, инвестор и лицензирующий орган. Как работает Velarozone строится на том, чтобы зафиксировать эти факты до любой подачи документов.
Что условия провайдеров решают раньше, чем компания
Читайте условия поставщика так, будто они часть спецификации вашего собственного продукта, потому что для ваших клиентов это так и есть.
Условия Gemini API от Google проводят чёткую границу между платным и бесплатным использованием. В бесплатных сервисах Google может использовать отправленный контент и ответы для улучшения своих продуктов, а проверяющие специалисты могут читать и аннотировать входные и выходные данные после их отсоединения от аккаунта, ключа API и проекта Cloud. Условия не рекомендуют передавать в такие сервисы конфиденциальную, секретную или персональную информацию. Для платных сервисов Google заявляет, что не использует запросы и ответы для улучшения своих продуктов и хранит их журналы ограниченное время для выявления злоупотреблений и выполнения юридических требований о раскрытии. Стартап, создающий прототип на бесплатном тарифе с реальными документами клиентов, уже принял решение о данных, записал ли его кто-нибудь или нет.
Те же условия требуют, чтобы пользователям API было 18 лет или больше, и запрещают клиентам API, ориентированным на лиц младше 18 лет или потенциально доступным им. Они также запрещают использовать сервис для разработки конкурирующих моделей, а также выполнять обратное проектирование или извлекать компоненты модели. Это важно, если ваша дорожная карта включает дистилляцию результатов в собственную модель, что некоторые основатели считают смыслом бизнеса.
GLM поставляется с платформы BigModel компании Zhipu AI, а ChatGPT от OpenAI. У каждого свои коммерческие условия, и каждое следует читать по тем же четырём пунктам: использование данных, минимальный возраст, ограничения на конкурирующее использование и что произойдёт с вашим сервисом, если политика изменится. Дизайн с несколькими поставщиками страхует от этого риска. Он также умножает условия, с которыми должны оставаться согласованными договоры с вашими клиентами.
Вывод модели из эксплуатации: договорная проблема
Документация Anthropic по моделям показывает, насколько короткой может быть жизнь зависимости от модели. В ней указано, что для Claude Sonnet 5.5 и Haiku 5.5 вывод из эксплуатации намечен «не ранее» 28 сентября 2027 года и 7 октября 2027 года соответственно, тогда как более ранние модели, такие как Sonnet 5 и Sonnet 4.6, уже находятся в списке устаревших. Там же говорится, что Amazon Bedrock и Google Cloud устанавливают собственные даты жизненного цикла для размещаемых ими моделей, и перечислены одни и те же модели в Claude API, Amazon Bedrock, Google Cloud, Microsoft Foundry и Claude Platform on AWS.
Для компании в ОАЭ из этого вытекают два вывода. Договор с клиентом, обещающий конкретную модель на фиксированный срок, это обещание, которое поставщик может подорвать, поэтому описания услуг должны указывать результат и сохранять за компанией право замены. А выбранный вами облачный путь меняет то, кто устанавливает дату вывода из эксплуатации и где происходит обработка, что напрямую связано с вопросом о данных ниже.
Какой закон о персональных данных применяется к приложению
На странице правительства ОАЭ, посвящённой защите данных, указан Федеральный декрет-закон № 45 от 2021 года о защите персональных данных, действующий с 2 января 2022 года. Он запрещает обработку персональных данных без согласия их владельца, за исключением перечисленных случаев, обязывает компании, хранящие персональные данные, обеспечивать их защиту, наделяет владельцев правами на исправление данных и на ограничение или прекращение обработки, а также устанавливает требования к трансграничной передаче и предоставлению данных. На странице Управление данных ОАЭ (UAE Data Office), созданное на основании Федерального декрета-закона № 44 от 2021 года, описано как федеральный регулятор, отвечающий за политику, стандарты, системы рассмотрения жалоб и методические указания по применению. Там же наряду с федеральным законом указан Закон DIFC о защите данных (Закон DIFC № 5 от 2020 года).
Для ИИ-приложения практическая работа состоит в составлении карты: какие поля данных клиентов попадают к поставщику модели, в каком регионе они обрабатываются, какие субобработчики имеют к ним доступ и какое согласие охватывает каждый этап. Компания с клиентами в DIFC может столкнуться с законом свободной зоны (free zone) наряду с федеральным, поэтому выбор лицензирования здесь не нейтрален. На федеральной странице не объясняется, как они соотносятся, поэтому этот вопрос требует заключения специалиста применительно к фактическим обстоятельствам.
Где продукт выходит в регулируемый сектор
Инструмент, который готовит текст для утверждения человеком, находится в ином положении, чем тот, что выдаёт рекомендации или выполняет операции. Критерий функция. Федеральный закон о персональных данных отступает там, где отдельное законодательство защищает персональные медицинские данные или персональные банковские и кредитные данные (статья 2(2)(e) и (f)), и не применяется к государственным органам (статья 2(2)(b)), поэтому такие клиенты приносят собственные правила. Если приложение влияет на кредитные решения, обрабатывает информацию о пациентах, даёт юридические выводы или используется государственным органом, отраслевые правила клиента распространяются на ваш договор через права аудита, требования локализации данных и положения об ответственности, даже если у вас самих нет лицензии.
Запишите этап проверки человеком и того, кто его выполняет. Статья 18 федерального закона позволяет лицу возразить против автоматизированного решения, имеющего для него юридические или неблагоприятные последствия, если только оно не основано на договоре, требовании закона или предварительном согласии лица, и требует, чтобы оператор по запросу привлекал человека к проверке таких решений. Банки и корпоративные покупатели запрашивают тот же этап при проверке благонадёжности, и это самое наглядное свидетельство того, что продукт помогает, а не решает.
Выбор варианта юридического лица
Как напрямую лицензированная компания на мейнленде (mainland), так и компания свободной зоны (free zone) могут осуществлять деятельность в сфере программного обеспечения и технологий, а организация финансового центра может подойти основателю, чьи клиенты находятся внутри этого центра. Выбор обычно зависит от того, где находятся клиенты, нужны ли сотрудникам резидентские визы под спонсорством организации и настаивает ли какой-либо клиент на судах и правилах о данных конкретной юрисдикции.
Более полезный структурный вопрос: где находится интеллектуальная собственность. Если запросы, наборы для оценки и тонко настроенные конфигурации создавались подрядчиками или зарубежной материнской компанией, передача прав должна быть оформлена до того, как компания в ОАЭ будет представлена банку или инвестору как их владелец.
Вкратце
Что из этого следует
- Законодательство о персональных данных следует за клиентом, а не за сервером: Декрет-закон № 45 от 2021 года распространяется на данные лиц в ОАЭ, даже если оператор или поставщик модели находится за рубежом, если вместо него не применяется закон свободной зоны, например DIFC.
- Условия поставщиков различаются в том, можно ли использовать запросы клиентов для улучшения моделей поставщика, и разница часто зависит от того, платите ли вы.
- Модели выводятся из эксплуатации по опубликованным графикам, поэтому в договорах с клиентами не следует указывать одну модель как постоянную функцию.
- Продажа в сферы финансов, здравоохранения, права или государственного управления, как правило, приводит к появлению отраслевого регулятора, от действия которого поставщик программного обеспечения не освобождается.
- Промпты, рабочие процессы и дообученные конфигурации требуют документального подтверждения прав собственности, особенно если их создавали подрядчики.
- Как компании на мейнленде (mainland), так и компании свободной зоны (free zone) могут вести этот бизнес, поэтому выбор юридического лица имеет меньшее значение, чем договоры, которые оно заключает.
- Означает ли использование зарубежного поставщика моделей, что компании ничего не принадлежит?
- Нет, но право собственности уже, чем предполагают основатели. Компания может владеть своим кодом, промптами, рабочими процессами, данными для оценки и отношениями с клиентами. Модель ей не принадлежит, а условия использования поставщика, включая ограничения на создание конкурирующих моделей, она принимает как данность.
- Должны ли промпты клиентов оставаться в ОАЭ?
- Не как общее правило. Федеральный закон разрешает передачу за границу в юрисдикции, которые Управление данных ОАЭ признало обеспечивающими достаточную защиту (статья 22). В остальных случаях он разрешает передачу по перечисленным основаниям, например при наличии договора, обязывающего получателя соблюдать стандарты закона, явного согласия лица или необходимости для исполнения договора с этим лицом (статья 23). Государственные и финансовые клиенты могут устанавливать локализацию по договору, поэтому ответ часто задаёт клиент, а не закон.
- Допустим ли бесплатный тариф для первых пилотных проектов с клиентами?
- Согласно условиям Google, использование без оплаты может применяться для улучшения продукта и проверки людьми, а условия не рекомендуют передавать конфиденциальную или персональную информацию. Пилотные проекты с реальными данными клиентов следует проводить на платных условиях, согласовав в письменной форме позицию по данным.
- Что должен говорить договор с клиентом об изменениях моделей?
- Опишите услугу через результат, оговорите право изменять или заменять базовые модели и укажите, кто несёт ответственность за простой, когда поставщик выводит модель из эксплуатации или ограничивает её. Графики вывода из эксплуатации опубликованы, поэтому у договора, который их игнорирует, нет оправдания.
Источники
Откуда это пришло
Общая информация, основанная на CBUAE Rulebook, включая Retail Payment Services and Card Schemes Regulation (C 15/2021), и на Cabinet Resolution No. (134) of 2025 в опубликованной редакции, не является юридической или налоговой консультацией. Правила и разъяснения меняются, поэтому перед подачей проверьте действующий текст и собственные требования каждого учреждения.