Як заснувати компанію в сфері безпеки штучного інтелекту, оцінювання або аудиту моделей в ОАЕ

Орган, що видає ліцензії (Департамент економіки та туризму на мейнленді (mainland) або орган вільної зони (free zone)), вирішує, чи існує компанія і під яким комерційним видом діяльності вона може себе описувати. Цей орган не тестує й не схвалює якість оцінювання ШІ.

Поряд із ліцензією існують два окремі периметри. Закон ОАЕ про захист даних регулює, як компанія може збирати, обробляти, зберігати й передавати персональні дані, що надходять до неї під час замовлення: навчальні дані моделей, записи клієнтів або результати, що містять персональну інформацію. Якщо тестування компанії передбачає активний пошук вразливостей у живій системі, ця робота підпадає під правила кібербезпеки та несанкціонованого доступу, тому тестування без письмового дозволу власника системи не є сірою зоною, яку можна розв'язати впевненим описом ліцензії.

UAE Telecommunications and Digital Government Regulatory Authority (TDRA) регулює телекомунікаційну інфраструктуру та інфраструктуру цифрового уряду; якщо оцінювання стосується регульованих ІКТ- чи телекомунікаційних послуг, запитайте безпосередньо TDRA, чи застосовуються його правила, до того, як описувати таку роботу в ліцензії. UAE Cyber Security Council визначає національну стратегію кібербезпеки і координує політику між секторами; це орган, до якого слід звертатися щодо того, як національна політика щодо кіберризиків впливає на компанію з тестування чи забезпечення впевненості, а не повсякденна ліцензійна служба. Розглядайте обидва як органи, з якими слід безпосередньо з'ясувати питання, а не як остаточну відповідь, яку цей посібник може дати наперед.

UAE Strategy for Artificial Intelligence 2031 визначає федеральний напрям упровадження та регулювання ШІ; це політичний документ, а не схема ліцензування, тому вона сама не створює категорії схвалення, до якої могла б звертатися компанія з оцінювання. Практичні вимоги, що справді зобов'язують бізнес, містяться в законодавстві ОАЕ про захист даних: як обробляються персональні дані, на якій правовій підставі, як довго зберігаються і що з ними відбувається після завершення завдання. Відповідь щодо поводження з даними слід будувати на офіційному джерелі з питань захисту даних, а не на типовому шаблоні політики конфіденційності, оскільки оцінювач, який отримує дані для навчання, запити або результати з персональною інформацією, є самостійним обробником доти, доки він тримає ці дані.

Якщо оцінювання передбачає активне тестування виробничої системи, отримайте письмовий обсяг робіт і повноваження клієнта до початку робіт і зберігайте їх. Саме цей документ першим попросить побачити банк, страховик чи контрагент.

Банки та корпоративні замовники запитають, з якими даними працює компанія, кому належать результати тестування і чи можна підтвердити твердження компанії про незалежність або сертифікацію договором, а не маркетинговим рядком. Підписаний опис робіт із методологією оцінювання, її обсягом і обмеженнями: найсильніший окремий доказ у пакеті.

Підготуйте до онбордингу:

Робота з готовності корпоративного банківського рахунку описує, як цей пакет доказів збирається й узгоджується з фінансовою моделлю до того, як його побачить банк. Вартість складається з шарів, а власна плата Velarozone деталізується в листі-угоді про умови надання послуг, а не публікується як головна цифра; як працює Velarozone описує підхід.

До реєстрації компанії вирішіть, чи видає вона висновки, оцінки або атестації від власного імені, чи лише підтримує внутрішнє тестування клієнта. Перша роль несе ризик професійної відповідальності, якого друга не несе, і страховики оцінюють їх дуже по-різному. Визначте, хто в компанії відповідає за підписання будь-якого звіту, що надходить до ради директорів клієнта, регулятора чи аудитора, і зберігайте у файлі компетентність цієї особи та її позицію щодо конфлікту інтересів, а не лише резюме.

Якщо іноземна материнська компанія володіє методологією оцінювання, акредитацією чи брендом, а установа в ОАЕ надає послугу на місці, ланцюг власності та ліцензування між ними потребує такої самої уваги, як і будь-яка франшиза технічних послуг; див. налаштування регульованої та складної структури власності. Письмовий бізнес-план і підтвердні документи: це місце, де методологія, ролі та бюджет поєднуються до того, як їх побачить банк чи інвестор.

Спеціалістам-оцінювачам і тестувальникам безпеки, які не є громадянами ОАЕ чи країн ССАДПЗ, потрібні власні візи резидента, прив'язані до ліцензованої установи; підтвердьте квоту та категорію віз в органі ліцензування, перш ніж плани найму стануть остаточними. Безпечні тестові середовища та дані клієнтів, що зберігаються на території ОАЕ, порушують питання локалізації та видалення даних, на які слід відповісти один раз у письмовому вигляді й застосовувати послідовно, а не вирішувати заново для кожного клієнта. Продовження ліцензії та будь-які секторні підтвердження мають власні цикли; відстежуйте їх окремо від дат початку й завершення кожного завдання для клієнта.