Blog
ChatGPT, Claude, Gemini và GLM: Thành lập công ty ứng dụng AI tại UAE
Câu trả lời ngắn gọn
Một công ty UAE xây dựng sản phẩm trên ChatGPT, Claude, Gemini hoặc GLM là thuê năng lực cốt lõi nhưng vẫn giữ các nghĩa vụ về dữ liệu đối với những gì khách hàng gửi qua đó. Sắc lệnh-Luật Liên bang số 45 năm 2021, do UAE Data Office giám sát, áp dụng cho bên kiểm soát và bên xử lý dữ liệu tại UAE cũng như các bên nước ngoài xử lý dữ liệu của người tại UAE. Luật này không áp dụng cho các công ty free zone có luật bảo vệ dữ liệu cá nhân riêng, chẳng hạn như các công ty trong DIFC. Câu hỏi thường quyết định hướng đi là sản phẩm chỉ hỗ trợ người dùng hay thay thế việc đưa ra quyết định trong một lĩnh vực được quản lý như ngân hàng, y tế hoặc luật.
Một trợ lý viết nội dung cho đội ngũ marketing và một công cụ sàng lọc hồ sơ vay có thể dùng chung một nền mã nguồn nhưng vẫn cần các phạm vi kiểm soát hoàn toàn khác nhau, vì công cụ thứ hai đưa ra các quyết định mà con người có thể phản đối.
Công ty nên được thiết lập xoay quanh những gì họ sẽ ký kết, nắm giữ và kiểm soát. Ai ký với khách hàng, ai giữ tài khoản nhà cung cấp, lời nhắc và kết quả đầu ra nằm ở đâu, và ai chịu trách nhiệm khi mô hình sai sót là những sự việc mà ngân hàng, nhà đầu tư và cơ quan cấp phép sẽ hỏi. Velarozone vận hành như thế nào được xây dựng xoay quanh việc chốt các sự việc đó trước bất kỳ hồ sơ nộp nào.
Điều khoản nhà cung cấp quyết định gì trước khi công ty quyết định
Hãy đọc điều khoản của nhà cung cấp như thể chúng là một phần thông số sản phẩm của chính quý vị, bởi vì đối với khách hàng của quý vị thì đúng là như vậy.
Điều khoản Gemini API của Google vạch một ranh giới rõ ràng giữa dùng có phí và không có phí. Với các dịch vụ không trả phí, Google có thể dùng nội dung được gửi và các phản hồi để cải thiện sản phẩm của mình, và người đánh giá là con người có thể đọc và chú thích dữ liệu đầu vào và đầu ra sau khi chúng đã được tách khỏi tài khoản, khóa API và dự án Cloud. Điều khoản khuyến cáo không gửi thông tin nhạy cảm, bí mật hoặc cá nhân vào các dịch vụ đó. Với các dịch vụ trả phí, Google nêu rằng họ không dùng lời nhắc hoặc phản hồi để cải thiện sản phẩm và chỉ ghi nhật ký chúng trong thời gian giới hạn để phát hiện lạm dụng và đáp ứng yêu cầu công bố theo pháp luật. Một công ty khởi nghiệp làm nguyên mẫu trên gói miễn phí với tài liệu khách hàng thật đã đưa ra một quyết định về dữ liệu, dù có ai ghi lại hay không.
Cùng điều khoản đó yêu cầu người dùng API từ đủ 18 tuổi trở lên và cấm các ứng dụng khách API hướng tới, hoặc có khả năng bị tiếp cận bởi, người dưới 18 tuổi. Điều khoản cũng cấm dùng dịch vụ để phát triển các mô hình cạnh tranh, cấm dịch ngược hoặc trích xuất các thành phần của mô hình. Điều này quan trọng nếu lộ trình của quý vị bao gồm chưng cất kết quả đầu ra vào mô hình riêng, điều mà một số nhà sáng lập coi là cốt lõi của việc kinh doanh.
GLM đến từ nền tảng BigModel của Zhipu AI và ChatGPT đến từ OpenAI. Mỗi bên có điều khoản thương mại riêng, và mỗi bên cần được đọc để tìm cùng bốn điểm: việc sử dụng dữ liệu, độ tuổi tối thiểu, các giới hạn đối với việc sử dụng mang tính cạnh tranh, và điều gì xảy ra với dịch vụ của bạn nếu một chính sách thay đổi. Một thiết kế đa nhà cung cấp phòng ngừa rủi ro đó. Nó cũng làm tăng thêm số điều khoản mà các hợp đồng khách hàng của bạn phải giữ nhất quán.
Việc mô hình ngừng hoạt động là vấn đề hợp đồng
Tài liệu mô hình của Anthropic cho thấy vòng đời của một sự phụ thuộc vào mô hình có thể ngắn đến mức nào. Tài liệu nêu Claude Sonnet 5.5 và Haiku 5.5 sẽ ngừng hoạt động “không sớm hơn” ngày 28 tháng 9 năm 2027 và ngày 7 tháng 10 năm 2027, trong khi các mô hình trước đó như Sonnet 5 và Sonnet 4.6 đã nằm trong danh sách cũ. Tài liệu cũng nói rằng Amazon Bedrock và Google Cloud đặt các mốc vòng đời riêng cho những mô hình mà họ lưu trữ, và liệt kê cùng các mô hình đó trên Claude API, Amazon Bedrock, Google Cloud, Microsoft Foundry và Claude Platform on AWS.
Có hai điều rút ra đối với một công ty UAE. Hợp đồng khách hàng hứa hẹn một mô hình được nêu tên trong thời hạn cố định là lời hứa mà nhà cung cấp có thể làm suy yếu, vì vậy phần mô tả dịch vụ nên nêu kết quả và bảo lưu quyền thay thế. Và lộ trình đám mây mà quý vị chọn làm thay đổi bên nào ấn định ngày ngừng hoạt động và việc xử lý diễn ra ở đâu, điều này gắn trực tiếp với vấn đề dữ liệu bên dưới.
Luật bảo vệ dữ liệu cá nhân nào áp dụng cho ứng dụng
Trang về bảo vệ dữ liệu của chính phủ UAE nêu Federal Decree Law No. 45 of 2021 về Bảo vệ Dữ liệu Cá nhân, có hiệu lực từ ngày 2 tháng 1 năm 2022. Luật này cấm xử lý dữ liệu cá nhân khi không có sự đồng ý của chủ sở hữu dữ liệu, trừ các trường hợp được liệt kê, yêu cầu các công ty nắm giữ dữ liệu cá nhân phải bảo mật dữ liệu đó, trao cho chủ sở hữu quyền chỉnh sửa dữ liệu và quyền hạn chế hoặc ngừng việc xử lý, và đặt ra các yêu cầu đối với việc chuyển giao và chia sẻ dữ liệu xuyên biên giới. Trang này mô tả UAE Data Office, được thành lập theo Federal Decree Law No. 44 of 2021, là cơ quan quản lý cấp liên bang chịu trách nhiệm về chính sách, tiêu chuẩn, hệ thống tiếp nhận khiếu nại và hướng dẫn thực hiện. Trang này cũng liệt kê DIFC Data Protection Law (DIFC Law No. 5 of 2020) bên cạnh luật liên bang.
Đối với một ứng dụng AI, công việc thực tế là lập một bản đồ dữ liệu. Những trường dữ liệu khách hàng nào được chuyển đến nhà cung cấp mô hình, được xử lý ở khu vực nào, những bên xử lý phụ (subprocessor) nào tiếp cận chúng, và sự đồng ý nào bao trùm từng bước. Một công ty có khách hàng trong DIFC có thể phải tuân thủ cả luật của free zone lẫn luật liên bang, nên lựa chọn về giấy phép ở đây không phải là trung lập. Trang liên bang không giải thích hai bên tương tác với nhau như thế nào, nên điểm đó cần một chuyên gia xem xét dựa trên các tình tiết thực tế.
Khi sản phẩm bước vào lĩnh vực được quản lý
Một công cụ soạn văn bản để con người phê duyệt có vị thế khác với công cụ đưa ra khuyến nghị hoặc thực hiện giao dịch. Tiêu chí là chức năng. Luật dữ liệu cá nhân liên bang lùi lại khi có luật riêng bảo vệ dữ liệu sức khỏe cá nhân hoặc dữ liệu ngân hàng và tín dụng cá nhân (Điều 2(2)(e) và (f)), và không áp dụng đối với các cơ quan chính phủ (Điều 2(2)(b)), nên những khách hàng này mang theo quy tắc riêng của họ. Nếu ứng dụng cung cấp thông tin cho các quyết định tín dụng, xử lý thông tin bệnh nhân, đưa ra kết luận pháp lý hoặc được một cơ quan chính phủ sử dụng, các quy tắc ngành của khách hàng sẽ tác động ngược vào hợp đồng của quý vị thông qua quyền kiểm toán, yêu cầu lưu trữ dữ liệu tại chỗ và các điều khoản trách nhiệm, ngay cả khi quý vị không nắm giữ giấy phép nào.
Hãy ghi lại bước rà soát của con người và người thực hiện bước đó. Điều 18 của luật liên bang cho phép một người phản đối quyết định tự động có hiệu lực pháp lý hoặc bất lợi đối với họ, trừ khi quyết định đó dựa trên hợp đồng, yêu cầu pháp lý hoặc sự đồng ý trước của họ, và luật yêu cầu bên kiểm soát phải đưa con người vào việc rà soát các quyết định như vậy khi có yêu cầu. Các ngân hàng và bên mua doanh nghiệp cũng yêu cầu chính bước này trong thẩm định, và đây là bằng chứng rõ ràng nhất cho thấy sản phẩm hỗ trợ chứ không đưa ra quyết định.
Lựa chọn lộ trình pháp nhân
Cả công ty mainland được cấp phép trực tiếp lẫn công ty free zone đều có thể thực hiện các hoạt động phần mềm và công nghệ, và một pháp nhân trong trung tâm tài chính có thể phù hợp với nhà sáng lập có khách hàng nằm trong trung tâm đó. Lựa chọn thường phụ thuộc vào việc khách hàng ở đâu, nhân viên có cần thị thực cư trú do pháp nhân bảo lãnh hay không, và có khách hàng nào khăng khăng đòi tòa án và quy tắc dữ liệu của một khu vực pháp lý cụ thể hay không.
Câu hỏi về cấu trúc hữu ích hơn là quyền sở hữu trí tuệ nằm ở đâu. Nếu lời nhắc, bộ đánh giá và các cấu hình tinh chỉnh do nhà thầu hoặc công ty mẹ ở nước ngoài xây dựng, thì các văn bản chuyển nhượng cần có sẵn trước khi công ty UAE được giới thiệu với ngân hàng hoặc nhà đầu tư như chủ sở hữu của chúng.
Nói tóm lại
Những gì cần rút ra từ điều này
- Luật dữ liệu cá nhân đi theo khách hàng chứ không theo máy chủ: Sắc lệnh-Luật số 45 năm 2021 áp dụng đối với dữ liệu của người tại UAE ngay cả khi bên kiểm soát hoặc nhà cung cấp mô hình ở nước ngoài, trừ khi một luật của free zone như luật của DIFC được áp dụng thay thế.
- Điều khoản của các nhà cung cấp khác nhau ở chỗ lời nhắc của khách hàng có thể được dùng để cải thiện mô hình của nhà cung cấp hay không, và sự khác biệt thường phụ thuộc vào việc quý vị có trả phí hay không.
- Các mô hình ngừng hoạt động theo lịch trình đã công bố, vì vậy hợp đồng khách hàng không nên nêu một mô hình duy nhất như một tính năng vĩnh viễn.
- Bán cho lĩnh vực tài chính, y tế, pháp lý hoặc chính phủ thường kéo theo một cơ quan quản lý ngành mà nhà cung cấp phần mềm không thể tránh khỏi.
- Lời nhắc, quy trình làm việc và các cấu hình tinh chỉnh cần có hồ sơ giấy tờ về quyền sở hữu, đặc biệt khi do nhà thầu xây dựng.
- Cả công ty mainland lẫn free zone đều có thể điều hành hoạt động này, nên con đường pháp nhân ít quan trọng hơn các hợp đồng mà pháp nhân đó ký.
- Dùng nhà cung cấp mô hình nước ngoài có nghĩa là công ty không sở hữu gì không?
- Không, nhưng quyền sở hữu hẹp hơn những gì các nhà sáng lập vẫn giả định. Công ty có thể sở hữu mã nguồn, lời nhắc, quy trình làm việc, dữ liệu đánh giá và quan hệ khách hàng của mình. Công ty không sở hữu mô hình, và chấp nhận điều khoản sử dụng của nhà cung cấp như nó vốn có, bao gồm cả các giới hạn đối với việc xây dựng mô hình cạnh tranh.
- Lời nhắc của khách hàng có bắt buộc phải ở lại UAE không?
- Không phải là quy tắc chung. Luật liên bang cho phép chuyển dữ liệu ra nước ngoài đến các khu vực pháp lý mà UAE Data Office đã phê duyệt là có mức bảo vệ đầy đủ (Điều 22). Ngoài ra, luật cho phép chuyển dữ liệu dựa trên các căn cứ được liệt kê, chẳng hạn như hợp đồng ràng buộc bên nhận tuân thủ các tiêu chuẩn của luật, sự đồng ý rõ ràng của cá nhân, hoặc sự cần thiết để thực hiện hợp đồng với cá nhân đó (Điều 23). Khách hàng thuộc khối chính phủ và tài chính có thể áp đặt yêu cầu lưu trữ dữ liệu tại chỗ bằng hợp đồng, nên câu trả lời thường do khách hàng quyết định chứ không phải do luật.
- Gói miễn phí có chấp nhận được cho các chương trình thí điểm khách hàng ban đầu không?
- Theo điều khoản của Google, việc dùng không trả phí có thể phục vụ cải thiện sản phẩm và đánh giá của con người, và điều khoản khuyến cáo không gửi thông tin nhạy cảm hoặc cá nhân. Các chương trình thí điểm với dữ liệu khách hàng thật nên chạy theo điều khoản trả phí và lập trường về dữ liệu được thỏa thuận bằng văn bản.
- Hợp đồng khách hàng nên nói gì về những thay đổi mô hình?
- Hãy mô tả dịch vụ theo kết quả, bảo lưu quyền thay đổi hoặc thay thế các mô hình nền tảng, và nêu rõ ai chịu thời gian ngừng hoạt động khi nhà cung cấp cho một mô hình ngừng hoạt động hoặc hạn chế nó. Lịch ngừng hoạt động được công bố, nên hợp đồng bỏ qua chúng không có lời biện minh.
Nguồn
Nơi đây xuất phát từ đâu
Thông tin chung được trích từ CBUAE Rulebook, bao gồm Retail Payment Services and Card Schemes Regulation (C 15/2021), và Cabinet Resolution No. (134) of 2025 như đã công bố, không phải tư vấn pháp lý hay thuế. Quy định và hướng dẫn có thể thay đổi, vì vậy hãy xác nhận văn bản hiện hành và yêu cầu riêng của từng tổ chức trước khi quý vị nộp hồ sơ.