Блог
Doubao Work: Як китайські компанії у сфері штучного інтелекту можуть створити операції в ОАЕ
Коротка відповідь
Doubao Work це китайський продукт, побудований навколо агента, який отримує завдання від користувача й виконує його, а не просто відповідає, як чат-бот. Компанія, що продає такий продукт клієнтам в ОАЕ, насамперед підпадає під федеральний закон про захист персональних даних, Федеральний указ-закон № 45 від 2021 року, нагляд за яким як федеральний регулятор у сфері даних здійснює UAE Data Office. Найчастіше маршрут визначає те, чи читатиме агент персональні дані людей в ОАЕ, зберігатиме їх або діятиме на їх основі, і де фізично відбувається ця обробка.
Закон про дані не перешкоджає реєстрації компанії. Він визначає, що компанія має вміти підтвердити своєму першому корпоративному клієнту: хто контролює файли та журнали, де вони перебувають і хто відповідає, коли агент припускається помилки.
Для іноземного постачальника ШІ це підтвердження впливає на вибір юридичної особи більше, ніж розмір плати за ліцензію. Компанія, що лише перепродає розміщений за кордоном сервіс, має інший профіль присутності, ніж компанія, яка встановлює агента всередині мережі клієнта й тримає інженерів на місці.
Що змінює ШІ-агент відповідно до PDPL ОАЕ
Чат-асистент бачить те, що вводить користувач. Агент бачить значно більше. Щоб призначити зустріч, звірити рахунок або підготувати звіт, йому потрібен доступ до поштових скриньок, спільних дисків, бухгалтерських інструментів, а іноді й до облікових даних. У кожному з цих місць зберігаються персональні дані.
Федеральний закон про захист персональних даних (PDPL) поширюється на обробку персональних даних, що повністю або частково здійснюється за допомогою електронних систем. Закон набув чинності 2 січня 2022 року. Як правило, він пов'язує обробку зі згодою суб'єкта даних, з визначеними винятками, і надає фізичним особам право вимагати виправлення, а також обмеження або припинення обробки. Він також установлює правила передачі персональних даних через кордон для обробки; саме це положення має уважно вивчити постачальник, чиї моделі працюють за межами ОАЕ.
Практичний наслідок полягає в тому, що корпоративний клієнт в ОАЕ попросить постачальника письмово вказати, що агент може читати, що він зберігає, чи використовуються запити та результати для вдосконалення моделі й які субпідрядники з обробки даних мають доступ до даних. Засновник, який не може відповісти на ці запитання, втратить угоду раніше, ніж постане питання про ліцензію.
UAE Data Office створено на підставі Федерального указу-закону № 44 від 2021 року, і він діє при Кабінеті міністрів ОАЕ. До його компетенції входить розроблення політики із захисту даних і видання роз'яснень, тож позиція щодо деталей застосування може змінюватися. Перед підписанням договору хостингу перевірте чинні роз'яснення.
Хостинг, приватна хмара чи власна інфраструктура: вибір, що визначає юридичну особу
Розміщена модель постачання найлегша. Постачальник запускає агента на власній інфраструктурі, а клієнт входить у систему. Компанія в ОАЕ може бути трохи більше ніж структурою продажів і підтримки, однак питання передачі даних тут стоїть найгостріше, оскільки дані клієнта за задумом залишають країну.
Постачання через приватну хмару передбачає виділений екземпляр у хмарному регіоні, схваленому клієнтом. Постачальник і надалі керує ним, а отже, і надалі обробляє дані клієнта, і договір має це відображати.
Постачання на стороні клієнта розміщує програмне забезпечення всередині інфраструктури клієнта. Питання транскордонної передачі перестають стосуватися збережених даних, але сеанси віддаленої підтримки можуть одразу повернути їх. Інженер підтримки в іншій країні, який підключається до сервера клієнта, отримує доступ до даних ОАЕ з-за кордону.
Багато китайських постачальників корпоративного програмного забезпечення пропонують усі три моделі. Кожну з них слід оформити окремим додатком до рамкової угоди з власними умовами обробки даних, а не одним документом, який намагається охопити всі випадки.
Клієнти з медицини, фінансів і державного сектору
Галузі, які найбільше витрачають на автоматизацію робочих процесів, водночас мають власні правила. Клієнт із сфери охорони здоров'я приносить Федеральний закон № 2 від 2019 року про використання інформаційно-комунікаційних технологій у сфері охорони здоров'я, який, за описом уряду ОАЕ, застосовується й у вільних зонах (free zone). Банки та страховики підзвітні своїм наглядовим органам і передаватимуть постачальникові свої умови щодо аутсорсингу. Державні установи здійснюють закупівлі за власними процедурами.
Ніщо з цього не означає, що самому постачальнику потрібна власна ліцензія. Це означає, що відділ комплаєнсу клієнта включить умови до договору, а постачальнику потрібна місцева юридична особа, яка може їх підписати, оформити страхування й отримати позов. Тонкий філіал, який передає кожне питання головній компанії за кордоном, зазвичай застрягає на етапі закупівель.
Постачальник, який продає лише приватним нерегульованим компаніям, наприклад роздрібним чи логістичним, іде легшим шляхом. Зазначте це в комерційних матеріалах і залиште клієнтів із регульованих галузей на другий етап.
Відповідальність за дії агента
Агент, який надсилає електронний лист, переміщує файл або подає форму, діє від імені клієнта. Якщо він діє неправильно, клієнт звертатиметься до договору. Закон ОАЕ про кіберзлочини (Федеральний указ-закон № 34 від 2021 року) охоплює правопорушення, вчинені за допомогою інформаційних технологій і мереж, і постачальнику, чийому агентові надано постійні облікові дані, слід проєктувати систему так, ніби його журнали одного дня може прочитати слідчий.
Три проєктні рішення мають юридичну вагу, і їх варто визначити до реєстрації компанії:
- Які дії агент може виконувати без схвалення людиною, а які потребують попереднього схвалення.
- Як довго зберігаються облікові дані та чи може клієнт негайно їх відкликати.
- Кому належать журнали та чи може постачальник використовувати їх для навчання або налаштування моделей.
Чіткий поріг схвалення легше прийняти команді з ризиків клієнта, ніж заяву про повну автономність.
Вибір маршруту в ОАЕ для постачальника ШІ
Компанія на мейнленді (mainland) дозволяє укладати договори безпосередньо з бізнесом в ОАЕ та державними замовниками, тому продавці корпоративного програмного забезпечення часто починають саме звідти. Варіанти у вільній зоні (free zone) підходять командам, чия основна діяльність це розроблення або віддалена підтримка, хоча кожна зона встановлює власні умови, а орган влади має підтвердити, що компанії дозволено робити зі свого приміщення. Юридична особа в DIFC означає застосування Закону DIFC про захист даних, що важливо, якщо клієнтська база розташована там.
Порівняння залежить від того, де перебувають клієнти, де працюють інженери та чи зберігатиме компанія обладнання. Засновник, який зважує, яка юрисдикція відповідає бізнес-моделі, має підготувати відповіді на ці три питання. Статус перебування самої команди також має значення, оскільки візи для команди засновників залежать від обраної ліцензії. Дізнайтеся, як працює Velarozone, якщо хочете побачити, як виглядає процес роботи з радником, перш ніж зобов'язуватися.
Банки ставитимуть ті самі запитання, що й клієнти: хто володіє компанією, хто її фінансує, звідки надходитимуть кошти і навіщо потрібна юридична особа в ОАЕ. Постачальник із підписаним пілотним клієнтом і чіткою схемою потоків даних відповідає на це швидше, ніж той, хто має свідоцтво про реєстрацію та вебсайт.
Коротко
Що потрібно взяти з цього
- На власній сторінці Doubao Work описано як спосіб роботи, за якого користувач каже Doubao, що робити, а агент виконує завдання, тож продукт діє в системах клієнта.
- Федеральний закон про захист персональних даних (PDPL) застосовується до електронної обробки персональних даних усередині ОАЕ чи за її межами, тож постачальник, який розміщує дані за кордоном, не перебуває поза його дією.
- UAE Data Office це федеральний регулятор у сфері даних. У DIFC є власний Закон про захист даних (Закон DIFC № 5 від 2020 року).
- Клієнти з охорони здоров'я приносять окремий федеральний закон про ІКТ у сфері охорони здоров'я, Федеральний закон № 2 від 2019 року.
- Постачання через розміщену модель, приватну хмару та на стороні клієнта потребують різного договору та різного поєднання місцевого персоналу.
- Чи застосовується PDPL, якщо наші моделі працюють у Китаї й ніколи не торкаються серверів в ОАЕ?
- Сфера дії закону поширюється на обробку всередині ОАЕ чи за її межами, як зазначено на сторінці уряду ОАЕ про захист даних. Якщо ви обробляєте персональні дані людей в ОАЕ, виходьте з того, що закон застосовується. Правила передачі це та частина, яку слід вивчити, а умови слід з'ясовувати із закону та чинних роз'яснень UAE Data Office, а не припускати.
- Чи потрібна ліцензія, щоб продавати ШІ-агента в ОАЕ?
- Продаж програмного забезпечення сам по собі не є ліцензованою фінансовою чи медичною діяльністю. Але такою може бути те, що агент робить для клієнта. Агент, який здійснює платежі, працює з картками пацієнтів або надає професійні поради, може поставити клієнта, а іноді й постачальника, під нагляд галузевого регулятора. Запишіть, що продукт робитиме і чого не робитиме, а потім перевірте кожну функцію у відповідного органу влади.
- Чи може та сама компанія обслуговувати клієнтів у DIFC?
- У DIFC є власний Закон про захист даних (Закон DIFC № 5 від 2020 року), окремий від федерального PDPL. Постачальнику, який обслуговує і клієнтів за межами DIFC, і клієнтів у DIFC, можуть знадобитися умови договору, що відображають два режими. Зверніться по юридичну консультацію щодо того, як вони застосовуються до ваших конкретних потоків даних.
- Що нам показати банку в ОАЕ?
- Структуру володіння та фінансування, названого клієнта або воронку продажів, а також коротке пояснення, навіщо існує компанія в ОАЕ. Додайте зведення про потоки даних продукту, оскільки команди комплаєнсу в банках краще розуміють карту даних, ніж презентацію. Це покращує досьє, але не гарантує рахунку.
Джерела
Звідки це береться
Загальна інформація, взята з CBUAE Rulebook, зокрема з Retail Payment Services and Card Schemes Regulation (C 15/2021), та Постанови Кабінету Міністрів № (134) 2025 року в опублікованому вигляді; вона не є юридичною чи податковою консультацією. Правила й настанови змінюються, тому перед поданням перевірте чинний текст і власні вимоги кожної установи.