Cách thành lập một công ty an toàn AI, đánh giá hoặc kiểm toán mô hình tại UAE

Cơ quan cấp phép (Department of Economy and Tourism của mainland hoặc cơ quan quản lý free zone) quyết định công ty có tồn tại hay không và công ty được phép tự mô tả theo hoạt động thương mại nào. Cơ quan đó không kiểm thử hay phê duyệt chất lượng của một đánh giá AI.

Hai phạm vi riêng biệt nằm bên cạnh giấy phép. Luật bảo vệ dữ liệu của UAE điều chỉnh cách công ty được phép thu thập, xử lý, lưu trữ và chuyển giao dữ liệu cá nhân đến tay công ty trong quá trình thực hiện hợp đồng: dữ liệu huấn luyện mô hình, hồ sơ khách hàng, hoặc các đầu ra có chứa thông tin cá nhân. Khi hoạt động kiểm thử của công ty bao gồm việc chủ động dò tìm điểm yếu của một hệ thống đang hoạt động, công việc đó nằm trong các quy định về an ninh mạng và truy cập trái phép, nên việc kiểm thử mà không có văn bản ủy quyền của chủ sở hữu hệ thống không phải là vùng xám có thể giải quyết bằng một mô tả giấy phép tự tin.

UAE Telecommunications and Digital Government Regulatory Authority (TDRA) quản lý hạ tầng viễn thông và chính phủ số; khi một đánh giá liên quan đến các dịch vụ ICT hoặc viễn thông được quản lý, hãy hỏi trực tiếp TDRA xem các quy định của cơ quan này có áp dụng hay không trước khi mô tả công việc đó trên giấy phép. UAE Cyber Security Council đặt ra chiến lược an ninh mạng quốc gia và điều phối chính sách giữa các lĩnh vực; đây là cơ quan cần tiếp cận để hỏi về việc chính sách rủi ro mạng quốc gia ảnh hưởng thế nào đến một doanh nghiệp kiểm thử hoặc đảm bảo, thay vì một bộ phận cấp phép hằng ngày. Hãy coi cả hai là các cơ quan cần xác nhận trực tiếp, chứ không phải câu trả lời đã được chốt mà hướng dẫn này có thể đưa ra trước.

UAE Strategy for Artificial Intelligence 2031 đặt ra định hướng liên bang về việc áp dụng và quản trị AI; đây là một văn bản chính sách, không phải một chương trình cấp phép, nên bản thân nó không tạo ra một nhóm phê duyệt để một công ty đánh giá nộp đơn xin. Các yêu cầu thực tế ràng buộc doanh nghiệp nằm trong luật bảo vệ dữ liệu của UAE: cách dữ liệu cá nhân được xử lý, trên cơ sở pháp lý nào, được lưu giữ bao lâu, và điều gì xảy ra với dữ liệu đó khi hợp đồng kết thúc. Hãy xây dựng câu trả lời về xử lý dữ liệu từ chính nguồn chính thức về bảo vệ dữ liệu, chứ không phải từ một mẫu chính sách quyền riêng tư chung chung, vì một đơn vị đánh giá nhận dữ liệu huấn luyện, lời nhắc hoặc đầu ra có chứa thông tin cá nhân là một bên xử lý theo đúng nghĩa của nó chừng nào còn nắm giữ dữ liệu đó.

Khi việc đánh giá bao gồm chủ động kiểm thử một hệ thống đang vận hành, hãy lưu hồ sơ phạm vi và thẩm quyền bằng văn bản của khách hàng trước khi bắt đầu công việc, và giữ lại. Đó cũng là tài liệu mà ngân hàng, công ty bảo hiểm hoặc đối tác sẽ yêu cầu xem đầu tiên.

Ngân hàng và các khách hàng doanh nghiệp sẽ hỏi công ty chạm đến dữ liệu nào, ai sở hữu các phát hiện kiểm thử, và liệu các tuyên bố của công ty về tính độc lập hoặc chứng nhận có thể được chứng minh bằng hợp đồng thay vì một khẩu hiệu tiếp thị hay không. Một bản mô tả công việc (statement of work) đã ký, nêu phương pháp đánh giá, phạm vi và các giới hạn của nó, là bằng chứng đơn lẻ mạnh nhất trong bộ hồ sơ.

Chuẩn bị trước khi mở tài khoản:

Công việc chuẩn bị tài khoản ngân hàng doanh nghiệp trình bày cách bộ bằng chứng đó được lập và đối chiếu với mô hình tài chính trước khi ngân hàng xem. Chi phí được cấu thành theo từng lớp, và phí dịch vụ Velarozone được liệt kê chi tiết trong thư thỏa thuận dịch vụ thay vì công bố như một con số chủ đạo; Velarozone vận hành như thế nào trình bày cách tiếp cận này.

Hãy quyết định, trước khi thành lập, liệu công ty có đưa ra ý kiến, điểm số hoặc chứng thực dưới danh nghĩa của chính mình, hay chỉ hỗ trợ việc kiểm thử nội bộ của khách hàng. Vai trò thứ nhất kéo theo rủi ro trách nhiệm nghề nghiệp mà vai trò thứ hai không có, và các công ty bảo hiểm định giá hai vai trò này rất khác nhau. Hãy chỉ định ai trong công ty chịu trách nhiệm phê duyệt mọi báo cáo gửi đến hội đồng quản trị, cơ quan quản lý hoặc kiểm toán viên của khách hàng, và lưu hồ sơ năng lực cũng như tình trạng xung đột lợi ích của người đó, không chỉ trong một bản CV.

Khi một công ty mẹ nước ngoài nắm giữ phương pháp đánh giá, chứng nhận hoặc thương hiệu, còn pháp nhân tại UAE cung cấp dịch vụ tại chỗ, chuỗi sở hữu và cấp phép giữa hai bên cần được chăm chút như bất kỳ hoạt động nhượng quyền dịch vụ kỹ thuật nào; xem thiết lập sở hữu được quản lý và phức tạp. Một kế hoạch kinh doanh và tài liệu hỗ trợ bằng văn bản là nơi phương pháp, vai trò và ngân sách được gắn kết với nhau trước khi ngân hàng hoặc nhà đầu tư xem.

Các chuyên gia đánh giá và người kiểm thử bảo mật không phải công dân UAE hoặc GCC cần thị thực cư trú riêng, gắn với pháp nhân được cấp phép; hãy xác nhận hạn ngạch và loại thị thực với cơ quan cấp phép trước khi kế hoạch tuyển dụng được chốt. Môi trường kiểm thử an toàn và dữ liệu khách hàng lưu giữ trên lãnh thổ UAE làm nảy sinh các câu hỏi về nơi lưu trữ và xóa dữ liệu, cần được trả lời một lần, bằng văn bản, và áp dụng nhất quán thay vì quyết định lại cho từng khách hàng. Việc gia hạn giấy phép và mọi xác nhận riêng theo ngành chạy theo chu kỳ riêng; hãy theo dõi chúng tách biệt với ngày bắt đầu và kết thúc của từng hợp đồng với khách hàng.