بلاگ
Python AI ترقیاتی اسٹوڈیوز: جب خدمات UAE میں سافٹ ویئر یا ڈیٹا کاروبار بن جاتی ہیں
مختصر جواب
جو اسٹوڈیو Python میں کوڈ لکھتا ہے اور کلائنٹس کے لیے AI فیچرز بناتا ہے، پھر کوڈ حوالے کر دیتا ہے، وہ UAE میں ایک عام سروسز کمپنی کے طور پر قائم ہو سکتا ہے۔ جب وہ کوئی پروڈکٹ ہوسٹ کرتا ہے، کسی کلائنٹ کے صارفین کا ڈیٹا محفوظ کرتا ہے یا کلائنٹ کی جانب سے آٹومیشنز چلاتا ہے، تو وہ وفاقی فرمان قانون نمبر 45 برائے سال 2021، یعنی ذاتی ڈیٹا کے تحفظ کے قانون کے تحت ذاتی ڈیٹا کا پروسیسر بن جاتا ہے۔ UAE Data Office وفاقی ڈیٹا ریگولیٹر کے طور پر کام کرتا ہے، اور اپنے ڈیٹا قانون والے فری زونز (free zones) میں قائم کمپنیاں، جیسے DIFC، وفاقی قانون کے دائرے سے باہر ہیں۔
زیادہ تر اسٹوڈیوز کوڈ حوالے کرنے سے شروع کرتے ہیں اور آہستہ آہستہ اسے ہوسٹ کرنے لگتے ہیں۔ ان کے معاہدے، انشورنس اور ٹریڈ لائسنس کی تفصیل عموماً اب بھی حوالگی ہی کو بیان کرتی ہے۔ ڈیٹا قانون کا آرٹیکل 8 پروسیسر سے توقع رکھتا ہے کہ وہ کلائنٹ کی ہدایات کے مطابق کام کرے اور پروسیسنگ ختم ہونے پر ڈیٹا مٹا دے، جبکہ حوالگی کا معاہدہ ان میں سے کچھ بھی نہیں کہتا۔
کوڈ حوالے کرنا بمقابلہ نظام چلاتے رہنا
ایک جیسے پانچ انجینئرز والے دو اسٹوڈیوز پر غور کیجیے۔ پہلا ایک ریٹیلر کے لیے سفارشی انجن بناتا ہے، ریپوزٹری حوالے کرتا ہے اور قبولیت پر کام ختم کر دیتا ہے۔ دوسرا وہی انجن ہوسٹ کرتا ہے، ہر رات ریٹیلر کے کسٹمر ریکارڈ حاصل کرتا ہے اور ماہانہ بل بھیجتا ہے۔
پہلا محنت اور ایک قابلِ حوالگی نتیجہ فروخت کرتا ہے۔ دوسرا کسی اور کا ذاتی ڈیٹا اپنے پاس رکھتا ہے اور اسے محفوظ رکھنے کا ذمہ دار ہے۔ وفاقی فرمان قانون نمبر 45 برائے سال 2021 کے آرٹیکل 8 کے تحت پروسیسر کو کلائنٹ کے معاہدے میں طے شدہ دائرہ کار، مقصد اور ڈیٹا کی اقسام کے اندر رہ کر کام کرنا ہوتا ہے، جو کچھ وہ پروسیس کرتا ہے اس کا ریکارڈ رکھنا ہوتا ہے، اور پروسیسنگ ختم ہونے یا ڈیٹا واپس کیے جانے پر ڈیٹا مٹانا ہوتا ہے۔ آرٹیکل 9 مزید کہتا ہے کہ خلاف ورزی کا علم ہوتے ہی کلائنٹ کو مطلع کرنا لازم ہے۔ یہ قانون مکمل یا جزوی طور پر الیکٹرانک نظاموں کے ذریعے کی جانے والی پروسیسنگ پر لاگو ہوتا ہے، خواہ وہ UAE کے اندر ہو یا باہر، اس لیے بیرونِ ملک سرورز رکھنے والا اسٹوڈیو محض اس بنا پر اس قانون سے باہر نہیں ہو جاتا۔
اسی لیے کاروباری ماڈل کا انتخاب زون کے انتخاب سے پہلے آتا ہے۔ "سافٹ ویئر ڈیولپمنٹ" یا "آئی ٹی کنسلٹنسی" کے طور پر لکھی گئی لائسنس کی تفصیل پہلے اسٹوڈیو کے لیے موزوں ہے۔ دوسرے کو ایسی تفصیل، معاہدے اور ڈیٹا شیڈول درکار ہیں جو اس کے اصل کام سے مطابقت رکھیں۔
آپ کا اسٹوڈیو جس ڈیٹا کو سنبھالتا ہے اسے کون ریگولیٹ کرتا ہے
متحدہ عرب امارات کی حکومت UAE Data Office کو کابینہ سے منسلک اور وفاقی ڈیٹا ریگولیٹر کے طور پر کام کرنے والا ادارہ بتاتی ہے۔ اس کی ذمہ داریوں میں پالیسیاں اور قانون سازی کا مسودہ تیار کرنا، ذاتی ڈیٹا کے تحفظ کے قانون کی نگرانی کے معیارات کی منظوری دینا، شکایات نمٹانا اور نفاذ کی رہنما ہدایات جاری کرنا شامل ہے۔
قانون مالک کی رضامندی کے بغیر ذاتی ڈیٹا کی پروسیسنگ کو ممنوع قرار دیتا ہے، البتہ عوامی مفاد اور قانونی دعووں جیسے مخصوص استثنیات موجود ہیں۔ آرٹیکل 5 مزید کہتا ہے کہ ڈیٹا ایک مخصوص اور واضح مقصد کے لیے جمع کیا جانا چاہیے اور بعد میں اس کی ایسی پروسیسنگ نہیں ہونی چاہیے جو اس مقصد سے مطابقت نہ رکھتی ہو۔ ایک AI اسٹوڈیو کے لیے یہی طے کرتا ہے کہ وہ ٹریننگ ڈیٹا کے ساتھ کیا کر سکتا ہے۔ اگر کوئی کلائنٹ (client) کسی ماڈل کی فائن ٹیوننگ کے لیے کسٹمر ریکارڈز حوالے کرتا ہے، تو پوچھیں کہ ان صارفین نے کس بات پر رضامندی دی تھی اور آیا معاہدہ دوسرے کلائنٹس کے لیے اس ڈیٹا کے دوبارہ استعمال کی اجازت دیتا ہے۔ آرٹیکل 6 مالک کو رضامندی واپس لینے کا حق دیتا ہے، اس لیے معاہدے میں یہ بھی درج ہونا چاہیے کہ ایسا ہونے پر اسٹوڈیو ڈیٹا کے ساتھ کیا کرے گا۔
وفاقی قانون ان کمپنیوں پر لاگو نہیں ہوتا جو فری زون (free zone) میں قائم ہیں اور جن کی اپنی ذاتی ڈیٹا قانون سازی موجود ہے (آرٹیکل 2)۔ UAE حکومت کا ڈیٹا تحفظ کا صفحہ ایسے ایک نظام کی فہرست دیتا ہے، یعنی DIFC ڈیٹا پروٹیکشن لا، DIFC قانون نمبر 5 مورخہ 2020۔ DIFC میں قائم اسٹوڈیو کو اپنی پرائیویسی شرائط اسی قانون کے مطابق تحریر کرنی چاہئیں۔ کسی بھی دوسرے فری زون میں موجود اسٹوڈیو کو یہ فرض کرنے سے پہلے کہ وفاقی قانون لاگو نہیں ہوتا، یہ جانچ لینا چاہیے کہ آیا اس زون کی اپنی ڈیٹا قانون سازی موجود ہے۔
دانشورانہ املاک دوسرا اہم پہلو ہے
بانی اکثر دانشورانہ املاک کو سرمایہ کاروں کا موضوع سمجھتے ہیں۔ اسٹوڈیو کے لیے یہ ایک عملی آپریشنل موضوع ہے۔
اگر ٹھیکیدار کوڈ لکھتے ہیں تو منتقلی تحریری شکل میں کریں۔ وفاقی فرمان بقانون نمبر 38 مورخہ 2021 کے تحت معاشی حقوق کی منتقلی یا لائسنس صرف تحریری صورت میں مؤثر ہوتا ہے، اور اس میں حق، مقصد، مدت اور مقام کا ذکر لازمی ہے (آرٹیکل 9)۔ اخلاقی حقوق منتقل نہیں کیے جا سکتے (آرٹیکل 5)۔ یہی قانون کسی دوسرے شخص کے لیے تیار کیے گئے کام کو اسی شخص سے منسوب کرتا ہے، جب تک فریقین تحریری طور پر اس کے برعکس اتفاق نہ کریں (آرٹیکل 28)، لہٰذا کلائنٹ کے معاہدے میں خاموشی کلائنٹ کے حق میں جاتی ہے۔ اگر کسی پروجیکٹ سے دوبارہ استعمال کے قابل کوئی جزو تیار ہوتا ہے، تو معاہدے میں واضح کریں کہ آیا اسٹوڈیو اسے اپنے پاس رکھے گا۔ جس کلائنٹ نے مخصوص کام کی ادائیگی کی ہو اور بعد میں اسے کسی حریف کی مصنوعات میں پائے، وہ کلائنٹ نہیں رہے گا۔
اسٹوڈیو کے اپنے ٹولز کو شروع ہی سے کلائنٹس کو دیے جانے والے نتائج سے الگ رکھنا چاہیے۔ اس کا ریکارڈ رکھیں کہ کس کے لیے کیا بنایا گیا اور پہلے سے کیا موجود تھا۔ سرمایہ کار اور خریدار ڈیو ڈیلیجنس کے دوران اس کی جانچ کرتے ہیں، اور کارپوریٹ ڈھانچے میں کوئی چیز بعد میں اسے درست نہیں کرتی۔
ادارے کے لیے راستے کا انتخاب
ایک مین لینڈ (mainland) کمپنی براہ راست متحدہ عرب امارات کے کاروباروں اور حکومت سے منسلک کلائنٹس کے ساتھ معاہدہ کر سکتی ہے، جو مقامی صارفین کے پروجیکٹ کام کے لیے موزوں ہے۔ ایک فری زون (free zone) کمپنی ایسے اسٹوڈیو کے لیے موزوں ہو سکتی ہے جس کے زیادہ تر کلائنٹس متحدہ عرب امارات سے باہر یا اسی زون میں ہوں۔ مالیاتی مرکز کا ادارہ بنیادی طور پر تب معنی رکھتا ہے جب آپ کے کلائنٹس ریگولیٹڈ فرمیں ہوں جو اس دائرہ اختیار کو ترجیح دیتی ہیں۔
یہ فیصلہ قیمت سے زیادہ آپ کے گاہکوں کے امتزاج سے ہوتا ہے۔ جس اسٹوڈیو کی آدھی آمدنی مقامی پروجیکٹ کام سے اور آدھی بیرونِ ملک سبسکرپشنز سے آتی ہو، وہ دو کمپنیوں میں تقسیم ہونے سے پہلے یہ دیکھنا چاہ سکتا ہے کہ آیا ایک ہی کمپنی دونوں کو سنبھال سکتی ہے۔
اگر آپ UAE میں انجینئرز کو ملازمت دیتے ہیں تو رہائشی ویزا کا راستہ اسی فیصلے کا حصہ ہے۔ اگر ڈیلیوری بیرون ملک واقع انجینئرنگ سینٹر کے ذریعے ہوتی ہے، تو معاہدے پر دستخط کرنے والی UAE کمپنی آرٹیکل 8 اور 9 میں درج پروسیسر کی ذمہ داریاں برقرار رکھتی ہے، اس لیے اس کے پاس کلائنٹ کی ہدایات پر عمل کرنے، پروسیسنگ کا ریکارڈ رکھنے اور خلاف ورزیوں کی اطلاع دینے کے لیے مطلوبہ افراد اور نظام ہونے چاہئیں۔ Velarozone اس نکتے سے آغاز کرتا ہے کہ کلائنٹ کے معاہدے پر کون دستخط کرتا ہے اور کام کون انجام دیتا ہے، جیسا کہ Velarozone کیسے کام کرتا ہے میں بیان کیا گیا ہے۔
خدمات، پروڈکٹ اور ایجنٹس ایک ہی گروپ میں
متعلقہ گائیڈز اس شعبے کے دوسرے سرے کا احاطہ کرتی ہیں: فاؤنڈیشن ماڈل یا جنریٹو AI کمپنی بنانا، ریگولیٹڈ صنعتوں کے لیے AI ایجنٹ پلیٹ فارم چلانا، یا کلاؤڈ مینیجڈ سروس چلانا۔ ان میں سے کسی میں بھی جانے والا اسٹوڈیو پروجیکٹ ڈیلیوری سے آگے کی ذمہ داریاں اٹھاتا ہے، جیسے اپ ٹائم کی ضمانتیں یا کلائنٹس کی طرف سے آگے منتقل کیے گئے شعبہ جاتی قواعد۔
کسی تھرڈ پارٹی ماڈل کے آؤٹ پٹ کے لیے لامحدود ذمہ داری کا وعدہ کرنے میں احتیاط کیجیے۔ معاہدے میں ذمہ داری کی حد مقرر کریں، قبولیت کی جانچ کی تعریف کریں، اور بتائیں کہ جب کلائنٹ کا اپنا ڈیٹا خراب نتیجے کی وجہ ہو تو ذمہ دار کون ہے۔
خلاصہ میں
اس سے کیا سیکھنا ہے
- پروجیکٹ کام اور ہوسٹ کی گئی پروڈکٹس کو مختلف معاہدے درکار ہیں، چاہے دونوں ایک ہی انجینئرز بنائیں۔
- وفاقی ذاتی ڈیٹا قانون الیکٹرانک نظاموں کے ذریعے پروسیسنگ پر لاگو ہوتا ہے، خواہ وہ متحدہ عرب امارات کے اندر ہو یا باہر۔
- ذاتی ڈیٹا کی پروسیسنگ کے لیے رضامندی بنیادی شرط ہے، اور کسی ایک مقصد کے لیے جمع کیے گئے ڈیٹا کی بعد میں ایسی پروسیسنگ نہیں کی جا سکتی جو اس مقصد سے مطابقت نہ رکھتی ہو۔
- DIFC میں قائم کمپنی وفاقی قانون کے نظام کے بجائے DIFC Law No. 5 of 2020 کے تحت کام کرتی ہے۔
- دوبارہ استعمال کے قابل کوڈ کا مالک کون ہوگا، یہ ایک تجارتی فیصلہ ہے جسے پہلے انوائس سے پہلے طے کر لینا چاہیے۔
- کیا سافٹ ویئر اسٹوڈیو کو AI کام کے لیے خصوصی لائسنس درکار ہے؟
- صرف ٹیکنالوجی کی بنیاد پر نہیں۔ لائسنس کی سرگرمی میں وہ کام بیان ہونا چاہیے جو کمپنی کرتی ہے، مثلاً سافٹ ویئر ڈیولپمنٹ، آئی ٹی کنسلٹنگ یا ڈیٹا پروسیسنگ۔ صورتحال کو ڈیٹا اور کلائنٹ کا شعبہ بدلتا ہے۔ ذاتی صحت کا ڈیٹا اور بینکاری و کریڈٹ کا وہ ڈیٹا جن کی اپنی قانون سازی ہے، وفاقی ڈیٹا قانون (آرٹیکل 2) سے مستثنیٰ ہیں، اس لیے کلینک یا بینک کے لیے کام کرنے والے اسٹوڈیو کو اس شعبے کے قواعد دیکھنے چاہئیں، جیسے صحت کے شعبوں میں آئی سی ٹی سے متعلق 2019 کا وفاقی قانون نمبر 2۔
- کیا متحدہ عرب امارات کا ڈیٹا قانون اس اسٹوڈیو پر لاگو ہوتا ہے جو ڈیٹا متحدہ عرب امارات سے باہر ہوسٹ کرتا ہے؟
- متحدہ عرب امارات کی حکومت کے خلاصے کے مطابق، وفاقی قانون اس پروسیسنگ پر لاگو ہوتا ہے جو مکمل یا جزوی طور پر الیکٹرانک نظاموں کے ذریعے کی جائے، خواہ وہ متحدہ عرب امارات کے اندر ہو یا باہر۔ ذاتی ڈیٹا کو UAE سے باہر منتقل کرنے کے لیے قانونی بنیاد درکار ہے۔ آرٹیکل 22 ایسے ملک کو منتقلی کی اجازت دیتا ہے جس کا اپنا قانون مناسب تحفظ فراہم کرتا ہو، ان صورتوں میں جنہیں UAE ڈیٹا آفس منظور کرے۔ آرٹیکل 23 دیگر بنیادیں فراہم کرتا ہے، جیسے ایسا معاہدہ جو بیرونِ ملک کمپنی کو قانون کے اقدامات کا پابند کرے یا ڈیٹا سبجیکٹ کی صریح رضامندی۔ لہٰذا آف شور ہوسٹنگ کے لیے دستاویزی بنیاد ضروری ہے۔
- کیا ہم کلائنٹ کا کوڈ دوسرے صارفین کے لیے دوبارہ استعمال کر سکتے ہیں؟
- صرف اس صورت میں جب معاہدے میں تحریری طور پر ایسا لکھا ہو۔ 2021 کے وفاقی فرمان بقانون نمبر 38 کے آرٹیکل 28 کے تحت، کسی دوسرے شخص کے لیے تیار کیا گیا کام اسی شخص سے منسوب ہوتا ہے، الا یہ کہ تحریری طور پر کچھ اور طے ہو۔ آرٹیکل 9 کے تحت، حقوق کی منتقلی یا لائسنس تحریری ہونا چاہیے اور اس میں حق، مقصد، مدت اور مقام درج ہونا چاہیے۔ فہرست بنائیں کہ اسٹوڈیو کون سے اجزا اپنے پاس رکھتا ہے، اور ہر ایک کے لیے لائسنس تحریر کریں۔
- کیا ڈیلیوری متحدہ عرب امارات سے چلانا بہتر ہے یا بیرونِ ملک کسی سینٹر سے؟
- دونوں طریقے کام کر سکتے ہیں۔ جو UAE کمپنی کلائنٹ کے ساتھ معاہدے پر دستخط کرتی ہے وہ کلائنٹ کے سامنے جوابدہ ہے، اور اگر وہ ذاتی ڈیٹا رکھتی ہو تو ذاتی ڈیٹا کے تحفظ کے قانون کے سامنے بھی۔ ہدایات، ریکارڈ اور مٹانے سے متعلق اس کی آرٹیکل 8 کی ذمہ داریاں، اور خلاف ورزیوں کی اطلاع دینے کی آرٹیکل 9 کی ذمہ داری، اسی کے پاس رہتی ہیں چاہے کوڈ بیرونِ ملک کا کوئی مرکز لکھے، اس لیے انٹرکمپنی معاہدے میں یہی ذمہ داریاں آگے منتقل کی جائیں۔ ڈیٹا پروٹیکشن آفیسر، جہاں قانون اس کا تقاضا کرے، UAE کے اندر یا باہر ہو سکتا ہے (آرٹیکل 10)۔
ذرائع
یہ کہاں سے آیا ہے
CBUAE Rulebook سے لی گئی عمومی معلومات، جن میں Retail Payment Services and Card Schemes Regulation (C 15/2021) اور 2025 کا کابینہ کا قرارداد نمبر (134) شائع شدہ صورت میں شامل ہیں؛ یہ قانونی یا ٹیکس مشورہ نہیں ہے۔ قواعد اور رہنمائی بدلتی رہتی ہے، اس لیے جمع کرانے سے پہلے موجودہ متن اور ہر ادارے کی اپنی ضروریات کی تصدیق کریں۔