Doubao Work: Как китайские компании в области ИИ могут создать операции в ОАЭ

Чат-ассистент видит то, что вводит пользователь. Агент видит гораздо больше. Чтобы назначить встречу, сверить счёт или подготовить отчёт, ему нужен доступ к почтовым ящикам, общим дискам, бухгалтерским инструментам, а иногда и к учётным данным. В каждом из этих мест хранятся персональные данные.

Федеральный закон о защите персональных данных (PDPL) распространяется на обработку персональных данных, полностью или частично осуществляемую с помощью электронных систем. Закон вступил в силу 2 января 2022 года. Как правило, он связывает обработку с согласием субъекта данных, с перечисленными исключениями, и даёт физическим лицам право требовать исправления, а также ограничения или прекращения обработки. Он также устанавливает правила передачи персональных данных через границу для обработки; именно это положение должен внимательно изучить поставщик, чьи модели работают за пределами ОАЭ.

На практике это означает, что корпоративный клиент в ОАЭ попросит поставщика письменно указать, что агент может читать, что он сохраняет, используются ли запросы и результаты для улучшения модели и какие субподрядчики по обработке данных имеют доступ к данным. Основатель, который не может ответить на эти вопросы, потеряет сделку раньше, чем возникнет вопрос о лицензии.

UAE Data Office был создан на основании Федерального указа-закона № 44 от 2021 года и входит в структуру Кабинета министров ОАЭ. В его компетенцию входит разработка политики в области защиты данных и выпуск разъяснений, поэтому позиция по деталям применения может меняться. Перед подписанием договора на хостинг проверьте действующие разъяснения.

Размещённая модель поставки самая лёгкая. Поставщик запускает агента на собственной инфраструктуре, а клиент входит в систему. Компания в ОАЭ может быть немногим больше, чем структурой продаж и поддержки, однако вопрос передачи данных стоит здесь наиболее остро, поскольку данные клиента по замыслу покидают страну.

Поставка в частном облаке предполагает выделенный экземпляр в облачном регионе, одобренном клиентом. Поставщик по-прежнему управляет им, а значит, по-прежнему обрабатывает данные клиента, и договор должен это отражать.

Поставка на стороне клиента размещает программное обеспечение внутри инфраструктуры клиента. Вопросы трансграничной передачи перестают касаться хранимых данных, но сеансы удалённой поддержки могут сразу вернуть их. Инженер поддержки в другой стране, подключающийся к серверу клиента, получает доступ к данным ОАЭ из-за рубежа.

Многие китайские поставщики корпоративного программного обеспечения предлагают все три модели. Каждую из них следует оформить отдельным приложением к рамочному соглашению со своими условиями обработки данных, а не одним документом, который пытается охватить все случаи.

Отрасли, которые тратят больше всего на автоматизацию рабочих процессов, одновременно имеют собственные правила. Клиент из сферы здравоохранения привносит Федеральный закон № 2 от 2019 года об использовании информационно-коммуникационных технологий в сфере здравоохранения, который, по описанию правительства ОАЭ, применяется и в свободных зонах (free zone). Банки и страховщики подотчётны своим надзорным органам и будут передавать поставщику свои условия по аутсорсингу. Государственные органы закупают по собственным процедурам.

Ничто из этого не означает, что самому поставщику нужна собственная лицензия. Это означает, что отдел комплаенса клиента включит условия в договор, а поставщику нужно местное юридическое лицо, которое может их подписать, оформить страхование и получить иск. Тонкий филиал, который передаёт каждый вопрос головной компании за рубежом, как правило, застревает на этапе закупок.

Поставщик, продающий только частным нерегулируемым компаниям, например розничным или логистическим, идёт по более лёгкому пути. Укажите это в коммерческих материалах и оставьте клиентов из регулируемых отраслей на второй этап.

Агент, который отправляет электронное письмо, перемещает файл или подаёт форму, действует от имени клиента. Если он действует неправильно, клиент обратится к договору. Закон ОАЭ о киберпреступлениях (Федеральный указ-закон № 34 от 2021 года) охватывает правонарушения, совершаемые с использованием информационных технологий и сетей, и поставщику, чьему агенту выданы постоянные учётные данные, следует проектировать систему так, как если бы его журналы однажды мог прочитать следователь.

Три проектных решения имеют юридический вес, и их стоит определить до регистрации компании:

Чёткий порог одобрения риск-команде заказчика принять легче, чем заявление о полной автономности.

Компания на мейнленде (mainland) допускает прямое заключение договоров с компаниями ОАЭ и государственными покупателями, поэтому продавцы корпоративного программного обеспечения часто начинают именно с неё. Создание компаний в свободной зоне (free zone) подходит командам, основная деятельность которых это разработка или удалённая поддержка, хотя каждая зона устанавливает собственные условия, а какую деятельность компания вправе вести из своих помещений, должен подтвердить уполномоченный орган. Юридическое лицо в DIFC вводит в действие Закон о защите данных DIFC, что важно, если клиентская база заказчиков находится там.

Сравнение зависит от того, где находятся заказчики, где работают инженеры и будет ли компания владеть оборудованием. Основателю, который выбирает, какая юрисдикция подходит бизнес-модели, следует подготовить ответы по этим трём пунктам. Статус резидентства самой команды тоже важен, поскольку визы для основной команды зависят от выбранной лицензии. Прочитайте, как работает Velarozone, если хотите увидеть, как выглядит процесс работы консультанта, прежде чем принимать на себя обязательства.

Банки зададут те же вопросы, что и заказчики: кто владеет компанией, кто её финансирует, откуда поступят деньги и зачем нужно юридическое лицо в ОАЭ. Поставщик с подписанным пилотным заказчиком и понятной схемой потоков данных ответит на них быстрее, чем тот, у кого есть только свидетельство о регистрации компании и веб-сайт.