วิธีการจัดตั้งบริษัทด้านความปลอดภัย, การประเมินผลหรือการตรวจสอบโมเดล AI ในสหรัฐอาหรับเอมิเรตส์

หน่วยงานออกใบอนุญาต (Department of Economy and Tourism ของเมนแลนด์ (mainland) หรือหน่วยงานของฟรีโซน (free zone)) เป็นผู้ตัดสินว่าบริษัทมีสถานะอยู่ได้หรือไม่ และสามารถระบุตนเองภายใต้กิจกรรมเชิงพาณิชย์ใดได้ หน่วยงานนั้นไม่ได้ทดสอบหรืออนุมัติคุณภาพของการประเมิน AI

มีขอบเขตแยกกันสองด้านที่อยู่เคียงข้างใบอนุญาต กฎหมายคุ้มครองข้อมูลของ UAE กำหนดว่าบริษัทจะเก็บรวบรวม ประมวลผล จัดเก็บ และโอนข้อมูลส่วนบุคคลที่เข้ามาถึงบริษัทระหว่างการรับงานได้อย่างไร เช่น ข้อมูลฝึกสอนโมเดล ระเบียนลูกค้า หรือผลลัพธ์ที่มีข้อมูลส่วนบุคคล ในกรณีที่การทดสอบของบริษัทเกี่ยวข้องกับการตรวจหาจุดอ่อนของระบบที่ใช้งานจริงอย่างเชิงรุก งานนั้นอยู่ภายในกฎด้านความมั่นคงปลอดภัยทางไซเบอร์และการเข้าถึงโดยไม่ได้รับอนุญาต ดังนั้นการทดสอบโดยไม่มีหนังสืออนุญาตจากเจ้าของระบบไม่ใช่พื้นที่สีเทาที่แก้ได้ด้วยคำอธิบายใบอนุญาตที่ฟังดูมั่นใจ

UAE Telecommunications and Digital Government Regulatory Authority (TDRA) กำกับดูแลโครงสร้างพื้นฐานด้านโทรคมนาคมและรัฐบาลดิจิทัล ในกรณีที่การประเมินเกี่ยวข้องกับบริการ ICT หรือโทรคมนาคมที่อยู่ภายใต้การกำกับดูแล ควรสอบถาม TDRA โดยตรงว่ากฎของหน่วยงานนั้นใช้บังคับหรือไม่ ก่อนระบุงานดังกล่าวในใบอนุญาต UAE Cyber Security Council กำหนดยุทธศาสตร์ความมั่นคงปลอดภัยทางไซเบอร์แห่งชาติและประสานนโยบายข้ามภาคส่วน จึงเป็นหน่วยงานที่ควรติดต่อเรื่องนโยบายความเสี่ยงทางไซเบอร์ระดับชาติมีผลต่อธุรกิจทดสอบหรือรับรองอย่างไร ไม่ใช่เคาน์เตอร์ออกใบอนุญาตที่ให้บริการในแต่ละวัน ให้ถือว่าทั้งสองเป็นหน่วยงานที่ต้องยืนยันโดยตรง ไม่ใช่คำตอบที่ยุติแล้วซึ่งคู่มือฉบับนี้ให้ล่วงหน้าได้

UAE Strategy for Artificial Intelligence 2031 กำหนดทิศทางระดับสหพันธ์สำหรับการนำ AI มาใช้และการกำกับดูแล เป็นเอกสารนโยบาย ไม่ใช่ระบบใบอนุญาต จึงไม่ได้สร้างหมวดการอนุมัติที่บริษัทประเมิน AI จะยื่นขอได้ ข้อกำหนดเชิงปฏิบัติที่ผูกพันธุรกิจอยู่ในกฎหมายคุ้มครองข้อมูลของ UAE ได้แก่ วิธีประมวลผลข้อมูลส่วนบุคคล บนฐานทางกฎหมายใด เก็บไว้นานเท่าใด และจะเกิดอะไรขึ้นกับข้อมูลเมื่อการรับงานสิ้นสุดลง ควรสร้างคำตอบเรื่องการจัดการข้อมูลจากแหล่งข้อมูลทางการด้านการคุ้มครองข้อมูลโดยตรง ไม่ใช่จากแม่แบบนโยบายความเป็นส่วนตัวทั่วไป เพราะผู้ประเมินที่ได้รับข้อมูลฝึกสอน พรอมต์ หรือผลลัพธ์ที่มีข้อมูลส่วนบุคคลเป็นผู้ประมวลผลข้อมูลในสิทธิของตนเอง ตลอดระยะเวลาที่ถือครองข้อมูลนั้น

เมื่อการประเมินเกี่ยวข้องกับการทดสอบระบบที่ใช้งานจริงอย่างจริงจัง ให้เก็บขอบเขตและอำนาจเป็นลายลักษณ์อักษรของลูกค้าไว้ในแฟ้มก่อนเริ่มงาน และเก็บรักษาไว้ เอกสารนั้นยังเป็นสิ่งที่ธนาคาร บริษัทประกันภัย หรือคู่สัญญาจะขอดูเป็นอันดับแรกด้วย

ธนาคารและลูกค้าองค์กรจะถามว่าบริษัทสัมผัสข้อมูลใด ใครเป็นเจ้าของผลการทดสอบ และข้อกล่าวอ้างของบริษัทเรื่องความเป็นอิสระหรือการรับรองสามารถพิสูจน์ด้วยสัญญา ไม่ใช่ข้อความทางการตลาดได้หรือไม่ ใบแจ้งขอบเขตงาน (statement of work) ที่ลงนามแล้ว ซึ่งอธิบายวิธีการประเมิน ขอบเขต และข้อจำกัด เป็นหลักฐานเดี่ยวที่แข็งแรงที่สุดในชุดเอกสาร

เตรียมก่อนเริ่มต้นเปิดบัญชี:

งานด้าน ความพร้อมของบัญชีธนาคารนิติบุคคล อธิบายว่าชุดหลักฐานนั้นจัดทำและกระทบยอดกับแบบจำลองทางการเงินอย่างไรก่อนที่ธนาคารจะเห็น ต้นทุนประกอบขึ้นเป็นชั้น ๆ และค่าบริการ Velarozone ระบุเป็นรายการในหนังสือข้อตกลงการให้บริการ ไม่ได้เผยแพร่เป็นตัวเลขหลัก Velarozone ทำงานอย่างไร อธิบายแนวทางดังกล่าว

ตัดสินใจก่อนจดทะเบียนว่าบริษัทจะออกความเห็น คะแนน หรือการรับรองในนามของตนเอง หรือเพียงสนับสนุนการทดสอบภายในของลูกค้า บทบาทแรกมีความเสี่ยงด้านความรับผิดทางวิชาชีพที่บทบาทหลังไม่มี และบริษัทประกันภัยกำหนดราคาของทั้งสองแตกต่างกันมาก ระบุว่าใครในบริษัทรับผิดชอบการอนุมัติรายงานใด ๆ ที่ส่งถึงคณะกรรมการ หน่วยงานกำกับดูแล หรือผู้สอบบัญชีของลูกค้า และเก็บความสามารถและสถานะความขัดแย้งทางผลประโยชน์ของบุคคลนั้นไว้ในแฟ้ม ไม่ใช่แค่ในประวัติย่อ

เมื่อบริษัทแม่ต่างประเทศถือวิธีการประเมิน การรับรองมาตรฐาน หรือแบรนด์ และนิติบุคคลใน UAE ให้บริการในพื้นที่ ห่วงโซ่ความเป็นเจ้าของและการออกใบอนุญาตระหว่างทั้งสองต้องการความรอบคอบเช่นเดียวกับแฟรนไชส์บริการทางเทคนิคทั่วไป ดู การจัดตั้งโครงสร้างความเป็นเจ้าของที่อยู่ภายใต้การกำกับและซับซ้อน แผนธุรกิจและเอกสารประกอบ ที่เป็นลายลักษณ์อักษรเป็นที่ซึ่งวิธีการ บทบาท และงบประมาณถูกผูกเข้าด้วยกันก่อนที่ธนาคารหรือนักลงทุนจะเห็น

ผู้ประเมินเฉพาะทางและผู้ทดสอบความปลอดภัยที่ไม่ใช่คนชาติของ UAE หรือ GCC ต้องมีวีซ่าพำนักของตนเองซึ่งผูกกับนิติบุคคลที่ได้รับใบอนุญาต ควรยืนยันโควตาและประเภทวีซ่ากับหน่วยงานออกใบอนุญาตก่อนที่แผนการจ้างงานจะแน่นอน สภาพแวดล้อมการทดสอบที่ปลอดภัยและข้อมูลลูกค้าที่เก็บไว้ในดินแดน UAE ก่อให้เกิดคำถามเรื่องถิ่นที่เก็บข้อมูลและการลบข้อมูล ซึ่งควรตอบเพียงครั้งเดียวเป็นลายลักษณ์อักษรและนำไปใช้อย่างสม่ำเสมอ แทนที่จะตัดสินใหม่สำหรับลูกค้าแต่ละราย การต่ออายุใบอนุญาตและการยืนยันเฉพาะภาคส่วนใด ๆ ดำเนินตามรอบของตนเอง ควรติดตามแยกจากวันเริ่มต้นและสิ้นสุดของงานแต่ละงานของลูกค้า