Блог
ChatGPT, Claude, Gemini і GLM: створення компанії із ШІ-застосунком в ОАЕ
Коротка відповідь
Компанія з ОАЕ, яка будує свій продукт на ChatGPT, Claude, Gemini або GLM, орендує ключову функціональність, але зберігає обов'язки щодо захисту даних, які клієнти передають через цей продукт. Федеральний указ-закон № 45 від 2021 року, нагляд за виконанням якого здійснює Управління даних ОАЕ (UAE Data Office), поширюється на контролерів і процесорів в ОАЕ, а також на іноземних, які обробляють дані осіб в ОАЕ. Він не поширюється на компанії вільної зони (free zone), які мають власний закон про персональні дані, наприклад на компанії DIFC. Питання, яке найчастіше визначає вибір маршруту, полягає в тому, чи продукт лише допомагає користувачеві, чи перебирає на себе ухвалення рішення в регульованому секторі, такому як банківська справа, охорона здоров'я або право.
Помічник із письма для маркетингових команд і інструмент, що перевіряє заявки на кредит, можуть мати спільну кодову базу, проте потребують зовсім різних меж відповідальності, адже другий ухвалює рішення, які люди можуть оскаржити.
Компанію слід вибудовувати навколо того, що вона укладатиме за договорами, чим володітиме і що контролюватиме. Хто підписує договори з клієнтами, на кого оформлено обліковий запис у постачальника, де зберігаються запити та відповіді і хто відповідає, коли модель помиляється: саме про ці факти запитають банк, інвестор і орган, що видає ліцензії. Як працює Velarozone побудовано на тому, щоб зафіксувати ці факти до будь-якого подання документів.
Що умови постачальника вирішують раніше за компанію
Читайте умови постачальника так, ніби вони є частиною специфікації вашого власного продукту, адже для ваших клієнтів так і є.
Умови Gemini API від Google проводять чітку межу між платним і безплатним використанням. У безплатних сервісах Google може використовувати надісланий вміст і відповіді для вдосконалення своїх продуктів, а рецензенти-люди можуть читати й анотувати вхідні та вихідні дані після їх від'єднання від облікового запису, ключа API та проєкту Cloud. Умови не радять надсилати до таких сервісів чутливу, конфіденційну чи персональну інформацію. Для платних сервісів Google заявляє, що не використовує запити й відповіді для вдосконалення своїх продуктів і зберігає журнали обмежений час для виявлення зловживань та виконання юридичних вимог щодо розкриття. Стартап, який створює прототип на безплатному тарифі з реальними документами клієнтів, уже ухвалив рішення щодо даних, чи записав його хтось, чи ні.
Ті самі умови вимагають, щоб користувачам API було 18 років або більше, і забороняють клієнтів API, орієнтованих на осіб молодше 18 років або доступних їм імовірно. Вони також забороняють використовувати сервіс для розроблення конкурентних моделей, а також зворотне проєктування чи вилучення компонентів моделі. Це важливо, якщо ваша дорожня карта передбачає дистиляцію результатів у власну модель, що деякі засновники вважають сенсом бізнесу.
GLM походить із платформи BigModel компанії Zhipu AI, а ChatGPT від OpenAI. Кожен має власні комерційні умови, і кожні слід читати з огляду на ті самі чотири речі: використання даних, мінімальний вік, обмеження конкурентного використання та що станеться з вашою послугою, якщо політика зміниться. Дизайн з кількома постачальниками страхує цей ризик. Він також множить умови, з якими мають узгоджуватися ваші договори з клієнтами.
Виведення моделі з експлуатації це договірна проблема
Документація Anthropic щодо моделей показує, наскільки короткий може бути вік залежності від моделі. У ній зазначено, що для Claude Sonnet 5.5 і Haiku 5.5 виведення з експлуатації заплановано «не раніше» 28 вересня 2027 року та 7 жовтня 2027 року відповідно, тоді як раніші моделі, такі як Sonnet 5 і Sonnet 4.6, уже перебувають у списку застарілих. Там також сказано, що Amazon Bedrock і Google Cloud встановлюють власні дати життєвого циклу для моделей, які вони розміщують, та перелічено ті самі моделі в Claude API, Amazon Bedrock, Google Cloud, Microsoft Foundry і Claude Platform on AWS.
Для компанії в ОАЕ з цього випливають два висновки. Договір із клієнтом, що обіцяє конкретну модель на фіксований строк, це обіцянка, яку постачальник може підірвати, тому в описах послуг слід вказувати результат і застерігати право заміни. А обраний вами хмарний шлях змінює те, хто встановлює дату виведення з експлуатації та де відбувається оброблення, що безпосередньо пов'язано з питанням даних нижче.
Який закон про персональні дані застосовується до застосунку
На сторінці уряду ОАЕ щодо захисту даних названо Федеральний указ-закон № 45 від 2021 року про захист персональних даних, що діє з 2 січня 2022 року. Він забороняє обробку персональних даних без згоди власника, крім перелічених випадків, вимагає від компаній, що зберігають персональні дані, забезпечувати їх захист, надає власникам права на виправлення даних та на обмеження або припинення обробки, а також встановлює вимоги до транскордонної передачі та надання доступу до даних. Сторінка описує UAE Data Office, створений на підставі Федерального указу-закону № 44 від 2021 року, як федеральний регулятор, відповідальний за політику, стандарти, системи розгляду скарг і методичні рекомендації щодо впровадження. Також вона згадує закон про захист даних DIFC (DIFC Law No. 5 of 2020) поряд із федеральним законом.
Для застосунку зі штучним інтелектом практична робота полягає в складанні карти. Які поля клієнтських даних потрапляють до провайдера моделі, в якому регіоні вони обробляються, які субпроцесори мають до них доступ і яка згода охоплює кожен крок. Компанія, що має клієнтів у DIFC, може підпадати під дію закону вільної зони так само, як і федерального, тож вибір ліцензування тут не є нейтральним. Федеральна сторінка не пояснює, як ці два режими взаємодіють, тому це питання потребує висновку фахівця з урахуванням фактичних обставин.
Де продукт виходить у регульований сектор
Інструмент, що складає текст для схвалення людиною, перебуває в іншому становищі, ніж той, що видає рекомендації чи виконує транзакції. Критерій це функція. Федеральний закон про персональні дані відступає там, де окреме законодавство захищає персональні дані про здоров'я або персональні банківські та кредитні дані (стаття 2(2)(e) і (f)), і він не застосовується до державних органів (стаття 2(2)(b)), тож ці клієнти приносять власні правила. Якщо застосунок впливає на кредитні рішення, обробляє інформацію про пацієнтів, дає юридичні висновки або використовується державним органом, галузеві правила клієнта поширюються на ваш договір через права аудиту, вимоги локалізації даних і положення про відповідальність, навіть якщо ви самі не маєте ліцензії.
Запишіть етап перевірки людиною та того, хто його виконує. Стаття 18 федерального закону дозволяє особі заперечити проти автоматизованого рішення, що має для неї правові або несприятливі наслідки, якщо воно не ґрунтується на договорі, вимозі закону чи її попередній згоді, і вимагає від контролера залучити людину до перегляду таких рішень на вимогу. Банки та корпоративні покупці просять про той самий етап під час перевірки (due diligence), і це найочевидніше підтвердження того, що продукт допомагає, а не вирішує.
Вибір шляху для юридичної особи
Як безпосередньо ліцензована компанія на мейнленді (mainland), так і компанія вільної зони (free zone) можуть провадити діяльність у сфері програмного забезпечення й технологій, а організація фінансового центру може підійти засновнику, чиї клієнти перебувають усередині цього центру. Вибір зазвичай залежить від того, де перебувають клієнти, чи потрібні співробітникам резидентські візи під спонсорством організації та чи наполягає якийсь клієнт на судах і правилах щодо даних конкретної юрисдикції.
Корисніше структурне питання: де перебуває інтелектуальна власність. Якщо запити, набори для оцінювання та тонко налаштовані конфігурації створювали підрядники або закордонна материнська компанія, передання прав має бути оформлене до того, як компанію в ОАЕ буде представлено банку чи інвестору як їхнього власника.
Коротко
Що потрібно взяти з цього
- Закон про персональні дані слідує за клієнтом, а не за сервером: Указ-закон 45 від 2021 року поширюється на дані осіб в ОАЕ, навіть якщо контролер або провайдер моделі перебуває за кордоном, окрім випадків, коли замість нього застосовується закон вільної зони, як-от DIFC.
- Умови постачальників різняться щодо того, чи можна використовувати запити клієнтів для вдосконалення моделей постачальника, і різниця часто залежить від того, чи ви платите.
- Моделі виводяться з експлуатації за опублікованими графіками, тому договори з клієнтами не повинні називати одну модель постійною функцією.
- Продаж у сфері фінансів, охорони здоров'я, права чи державного сектору зазвичай приводить галузевого регулятора, від якого постачальник програмного забезпечення не може ухилитися.
- Запити, робочі процеси та тонко налаштовані конфігурації потребують документального підтвердження права власності, особливо коли їх створювали підрядники.
- Компанії на мейнленді (mainland) і у вільній зоні (free zone) можуть вести цей бізнес, тому маршрут реєстрації організації важить менше, ніж договори, які вона підписує.
- Чи означає використання іноземного постачальника моделей, що компанія нічим не володіє?
- Ні, але право власності вужче, ніж припускають засновники. Компанія може володіти своїм кодом, запитами, робочими процесами, даними для оцінювання та відносинами з клієнтами. Модель їй не належить, і вона приймає умови використання постачальника такими, як вони є, зокрема обмеження на створення конкурентних моделей.
- Чи мають запити клієнтів залишатися в ОАЕ?
- Не як загальне правило. Федеральний закон дозволяє передавання за кордон до юрисдикцій, які Управління даних ОАЕ визнало такими, що забезпечують належний захист (стаття 22). В іншому разі він дозволяє передавання на перелічених підставах, як-от договір, що зобов'язує одержувача дотримуватися стандартів закону, явна згода особи або необхідність виконання договору з особою (стаття 23). Клієнти з державного та фінансового секторів можуть встановлювати локалізацію за договором, тож відповідь часто визначає клієнт, а не закон.
- Чи прийнятний безплатний тариф для перших пілотів із клієнтами?
- За умовами Google, безплатне використання може йти на вдосконалення продукту та перевірку людьми, а умови не радять надсилати чутливу чи персональну інформацію. Пілоти з реальними даними клієнтів слід проводити на платних умовах, погодивши позицію щодо даних письмово.
- Що має містити договір із клієнтом щодо змін моделей?
- Описуйте послугу за результатом, застерігайте право змінювати або замінювати базові моделі та вказуйте, хто несе простій, коли постачальник виводить модель з експлуатації або обмежує її. Графіки виведення опубліковані, тож договір, який їх ігнорує, виправдання не має.
Джерела
Звідки це береться
Загальна інформація, взята з CBUAE Rulebook, зокрема з Retail Payment Services and Card Schemes Regulation (C 15/2021), та Постанови Кабінету Міністрів № (134) 2025 року в опублікованому вигляді; вона не є юридичною чи податковою консультацією. Правила й настанови змінюються, тому перед поданням перевірте чинний текст і власні вимоги кожної установи.