Как создать компанию по безопасности ИИ, оценке или аудиту моделей в ОАЭ

Лицензирующий орган (Department of Economy and Tourism мейнленда или орган свободной зоны) решает, существует ли компания и под каким коммерческим видом деятельности она вправе себя описывать. Этот орган не проверяет и не одобряет качество оценки ИИ.

Рядом с лицензией существуют два отдельных контура. Законодательство ОАЭ о защите данных определяет, как компания вправе собирать, обрабатывать, хранить и передавать персональные данные, попадающие к ней в ходе работы: данные для обучения моделей, записи о клиентах или результаты, содержащие персональную информацию. Если испытания компании предполагают активное зондирование действующей системы на уязвимости, эта работа подпадает под правила кибербезопасности и несанкционированного доступа, поэтому испытания без письменного разрешения владельца системы не являются серой зоной, которую можно решить уверенным описанием лицензии.

UAE Telecommunications and Digital Government Regulatory Authority (TDRA) регулирует телекоммуникационную инфраструктуру и инфраструктуру цифрового правительства; если оценка затрагивает регулируемые услуги ИКТ или связи, до указания такой работы в лицензии следует напрямую спросить TDRA, применяются ли его правила. UAE Cyber Security Council определяет национальную стратегию кибербезопасности и координирует политику между секторами; к нему следует обращаться по вопросу о том, как национальная политика в области киберрисков влияет на бизнес по тестированию или заверению, а не в повседневное лицензирующее подразделение. Следует рассматривать оба органа как те, с кем нужно напрямую уточнять, а не как окончательный ответ, который настоящее руководство может дать заранее.

Стратегия ОАЭ в области искусственного интеллекта до 2031 года определяет федеральное направление внедрения и регулирования ИИ; это политический документ, а не система лицензирования, поэтому сама по себе она не создаёт категории одобрения, с заявлением на которую могла бы обратиться компания по оценке. Практические требования, которые действительно связывают бизнес, содержатся в законодательстве ОАЭ о защите данных: как обрабатываются персональные данные, на каком правовом основании, как долго они хранятся и что с ними происходит по окончании работы. Ответ о порядке обращения с данными следует строить на официальном источнике по защите данных, а не на типовом шаблоне политики конфиденциальности, поскольку оценщик, получающий данные для обучения, запросы или результаты, содержащие персональную информацию, сам является обработчиком в течение всего времени, пока хранит эти данные.

Если оценка включает активное тестирование производственной системы, получите письменно оформленный объем работ и полномочия клиента до начала работы и храните их. Этот документ также первым запросят банк, страховщик или контрагент.

Банки и корпоративные клиенты спросят, какие данные затрагивает компания, кому принадлежат результаты тестирования и можно ли подтвердить заявления компании о независимости или сертификации договором, а не маркетинговой фразой. Подписанное техническое задание, описывающее методологию оценки, ее объем и ограничения, самое сильное доказательство в пакете документов.

Подготовьте до подключения клиента:

Работа по готовности корпоративного банковского счета показывает, как этот пакет доказательств собирается и сверяется с финансовой моделью до того, как его увидит банк. Стоимость складывается из слоев, а собственная плата Velarozone указывается отдельной строкой в письме-соглашении об условиях оказания услуг, а не публикуется как общая цифра; как работает Velarozone описывает этот подход.

Решите до регистрации, будет ли компания выдавать заключения, оценки или аттестации от собственного имени или только поддерживать внутреннее тестирование клиента. Первая роль несет риск профессиональной ответственности, которого нет у второй, и страховщики оценивают их очень по-разному. Назовите, кто в компании отвечает за утверждение любого отчета, который направляется совету директоров, регулятору или аудитору клиента, и храните сведения о компетентности и конфликте интересов этого лица в деле, а не только в резюме.

Если иностранная материнская компания владеет методологией оценки, аккредитацией или брендом, а компания в UAE оказывает услугу на месте, цепочка владения и лицензирования между ними требует такой же тщательности, как любая франшиза на технические услуги; см. регулируемая и сложная структура собственности. Письменный бизнес-план и подтверждающая документация, это место, где методология, роли и бюджет связываются воедино до того, как их увидит банк или инвестор.

Специалистам по оценке и тестировщикам безопасности, не являющимся гражданами UAE или GCC, нужны собственные визы резидента, привязанные к лицензированной компании; подтвердите квоту и категорию виз в лицензирующем органе, прежде чем кадровые планы станут окончательными. Защищенные тестовые среды и данные клиентов, хранящиеся на территории UAE, поднимают вопросы о местонахождении данных и их удалении, на которые следует ответить один раз письменно и применять единообразно, а не решать заново для каждого клиента. Продление лицензий и любые отраслевые подтверждения идут по собственным циклам; отслеживайте их отдельно от дат начала и окончания работы с каждым клиентом.