Как структурировать компанию по моделям фундамента или генеративному ИИ в ОАЭ

Выделенного регулятора ИИ, который лицензировал бы компанию, разрабатывающую в ОАЭ базовые модели (foundation models) или генеративный ИИ, не существует. Коммерческая регистрация проходит тем же маршрутом, что и для любого другого технологического бизнеса: создание мейнленд-компании через соответствующий мейнленд-орган, выдающий лицензии, или структура в свободной зоне. Ситуацию меняет то, с чем модель реально соприкасается. Персональные данные, используемые при обучении, дообучении или инференсе, включают в сферу применения федеральный закон ОАЭ о защите данных. Инфраструктура, признаваемая критической, включает в сферу применения стандарты Cyber Security Council. А если выходные данные модели используются в регулируемой вертикали (рекомендации в сфере здоровья, финансовые рекомендации, медиаконтент), то поверх коммерческой лицензии в проверку периметра вступает собственный регулятор соответствующего сектора. Лицензирующий орган решает, что компания может вести торговую деятельность; он не решает, что компания может обрабатывать данные, на которых хочет обучаться, или что её инфраструктура отвечает ожиданиям в сфере кибербезопасности.

Федеральное законодательство ОАЭ о защите данных регулирует сбор, использование и передачу персональных данных, как только они попадают в конвейер обучения или дообучения, и обязанности привязаны к самой обработке, а не к ярлыку ИИ на продукте. Модели, обученной хотя бы частично на персональных данных, нужно задокументированное законное основание для этой обработки и позиция по любой передаче этих данных за пределы ОАЭ до начала использования набора данных, называется ли продукт базовой моделью, дообученной моделью или обёрткой над API. Отдельно Совет по кибербезопасности устанавливает национальную стратегию и стандарты кибербезопасности, которые применяются, когда вычислительная или хостинговая инфраструктура признаётся частью критических систем ОАЭ. Компании генеративного ИИ, эксплуатирующей собственную инфраструктуру обучения или вывода в значительном масштабе, следует ожидать оценки по этим стандартам, а не по общей внутренней ИТ-политике, и не считать, что сертификаты облачного провайдера закрывают этот вопрос за неё.

Банки и эквайеры, оценивающие риски компании в сфере ИИ, смотрят за пределы лицензии на договоры, стоящие за ней: на кого выставляются счета за вычисления, как фактически собирается выручка от API или подписок и совпадает ли юридическое лицо, подписывающее договоры с клиентами, с тем, которое владеет моделью и правами на данные. Холдинговая компания, владеющая весами, рядом с операционной компанией, выставляющей счета клиентам, обычное дело, когда модель переходит от прототипа к выручке, но каждой нужны свои договоры, банковские полномочия и позиция по трансфертному ценообразованию, а не общий счёт, заменяющий оба. Открытие счёта идёт быстрее, когда карточка модели, реестр прав на наборы данных и договоры на вычисления готовы до начала разговора с банком; это основа готовности к открытию корпоративного банковского счёта. Стоимость здесь складывается из слоёв, а не одной цифры, поскольку договоры на вычисления и инженерный штат обычно намного превышают любой государственный сбор; собственное вознаграждение Velarozone расписано в договоре на оказание услуг; о том, как устроено это разделение, см. как работает Velarozone.

Каждому, кто вносит вклад в модель (основатели, сотрудники, подрядчики и любые сопровождающие открытого кода, чей код или веса были включены), нужна задокументированная уступка прав на ИС или лицензия, прежде чем модель можно будет считать активом компании, а не спорным имуществом. Если для обучения использовались персональные данные, кто-то внутри компании должен отвечать за позицию по защите данных, даже в небольшой команде, где этот человек выполняет и другую роль. Групповые структуры, отделяющие юридическое лицо, владеющее ИС, от операционной компании или привлекающие инвесторов из нескольких юрисдикций, относятся к регулируемым и сложным структурам владения, и цепочку владения нужно документировать так же, как саму модель, через бизнес-планы и документацию, которые банк или корпоративный клиент может прочитать и на которые может положиться.

После создания юридического лица лицензия связывается с операционными шагами, которые ярлык ИИ не меняет. Квота виз привязана к карточке предприятия и должна покрывать инженеров, специалистов по безопасности и комплаенсу, которые действительно управляют моделью, а не условную численность. Зарегистрированный адрес требуется независимо от того, находятся ли вычисления на территории ОАЭ или у зарубежного облачного провайдера. Регистрация плательщика корпоративного налога в Федеральной налоговой службе (FTA) подчиняется тем же федеральным правилам, что и любая другая компания ОАЭ; отдельной категории для ИИ нет. Продление также момент, когда нужно перепроверить позицию по защите данных и ИС, потому что модель, переобученная, дообученная или открытая для новых клиентов с последнего продления, могла выйти за периметр, зафиксированный при создании.