博客
ChatGPT、Claude、Gemini 与 GLM：在阿联酋设立 AI 应用公司
简短的回答
基于ChatGPT、Claude、Gemini或GLM构建产品的阿联酋公司,其核心能力是租用的,但对客户通过其传输的数据仍负有数据义务。由阿联酋数据办公室(UAE Data Office)监管的2021年第45号联邦法令,适用于阿联酋境内的控制者和处理者,以及处理阿联酋境内人员数据的境外控制者和处理者。该法令不适用于拥有自身个人数据法律的自由区公司,例如迪拜国际金融中心(DIFC)内的公司。通常决定路径的问题是:产品仅是辅助用户,还是在银行、医疗或法律等受监管行业中取代决策。
面向营销团队的写作助手和筛查贷款申请的工具可以共用同一套代码库,但仍需要完全不同的合规范围,因为后者作出的决定可能被人提出异议。
公司应围绕其将要签订的合同、持有的资产和掌控的事项来设立。谁与客户签约、谁持有提供方账户、提示词和输出内容存放在哪里，以及模型出错时由谁负责，都是银行、投资者和发牌机构会询问的事实。Velarozone 如何运作的设计思路，就是在任何申报之前先把这些事实确定下来。
在公司之前，提供方条款决定了什么
请把提供方条款当作您自己产品规格的一部分来阅读，因为对您的客户而言，它们就是如此。
Google 的 Gemini API 条款在付费与非付费使用之间划出了明确界线。对于非付费服务，Google 可能使用提交的内容和响应来改进其产品，人工审核人员可在输入和输出与账户、API 密钥及 Cloud 项目脱钩之后阅读并标注。条款建议不要向这些服务提交敏感、机密或个人信息。对于付费服务，Google 表示不会使用提示词或响应来改进其产品，并仅在有限时间内记录日志，以发现滥用行为并满足法律披露要求。一家在免费层级上用真实客户文件制作原型的初创公司，无论是否有人把它写下来，实际上已经作出了一项数据决定。
同一份条款要求 API 用户年满 18 周岁，并禁止面向 18 岁以下人群或可能被其访问的 API 客户端。条款还禁止使用该服务开发竞争性模型，以及对模型进行逆向工程或提取模型组件。如果您的路线图包括把输出蒸馏到自己的模型中，这一点就很重要，而一些创始人恰恰把这视为业务的核心。
GLM 来自智谱AI(Zhipu AI)的 BigModel 平台,ChatGPT 来自 OpenAI。两者各有自己的商业条款,均应针对同样四点加以阅读:数据使用、最低年龄、对竞争性使用的限制,以及政策变更时您的服务将受到何种影响。多供应商架构可对冲这一风险,但也会增加您的客户合同必须保持一致的条款数量。
模型退役是合同问题
Anthropic 的模型文档显示，对某个模型的依赖可能多么短命。文档列出 Claude Sonnet 5.5 和 Haiku 5.5 的退役时间分别“不早于”2027 年 9 月 28 日和 2027 年 10 月 7 日，而 Sonnet 5 和 Sonnet 4.6 等较早的模型已经列入旧版清单。文档还指出，Amazon Bedrock 和 Google Cloud 会为其托管的模型设定各自的生命周期日期，并在 Claude API、Amazon Bedrock、Google Cloud、Microsoft Foundry 和 Claude Platform on AWS 中列出了相同的模型。
对于一家阿联酋公司，由此得出两点。向客户承诺在固定期限内使用某个指定模型的合同，是提供方可以使之落空的承诺，因此服务说明应当描述成果，并保留替换的权利。此外，您选择的云端路径会改变由谁设定退役日期以及在何处处理数据，这与下文的数据问题直接相关。
该应用适用哪部个人数据保护法
阿联酋政府的数据保护页面指明了2021年第45号联邦法令《个人数据保护》,该法令自2022年1月2日起生效。该法令禁止在未经数据所有人同意的情况下处理个人数据,所列情形除外;要求持有个人数据的公司对其加以保护;赋予数据所有人更正数据以及限制或停止处理的权利;并对跨境传输和共享作出了规定。该页面称,根据2021年第44号联邦法令设立的阿联酋数据办公室(UAE Data Office)是负责政策、标准、投诉系统和实施指引的联邦监管机构。该页面还将 DIFC 数据保护法(DIFC 2020年第5号法律)与联邦法律并列列出。
对于人工智能应用,实际工作是绘制一张数据地图:哪些客户字段会传送至模型供应商,在哪个地区处理,哪些分包处理方会接触这些数据,以及每个环节由何种同意所涵盖。客户位于 DIFC 内的公司,除联邦法律外还可能适用自由区(free zone)法律,因此在这一点上,许可证的选择并非中性。联邦页面并未说明两者如何相互作用,所以这一点需要专家根据实际事实进行研判。
产品何时进入受监管行业
为人工批准而起草文本的工具,与出具建议或执行交易的工具,处于不同的位置。判断标准是功能。如果另有立法保护个人健康数据或个人银行和信贷数据,联邦个人数据法即退让(第2(2)(e)和(f)条),且该法不适用于政府实体(第2(2)(b)条),因此这些客户带有自己的规则。如果应用为信贷决策提供参考、处理患者信息、给出法律结论或被政府实体使用,则即使您自身未持有任何许可证,客户所在行业的规则也会通过审计权、数据本地化要求和责任条款延伸至您的合同。
请写明人工复核环节及执行人。联邦法第18条允许个人对具有法律效力或不利影响的自动化决定提出异议,除非该决定基于合同、法律要求或其事先同意,并要求控制者在应请求复核此类决定时安排人工参与。银行和企业买家在尽职调查中也会要求同样的环节,这也是证明产品属于辅助而非决策的最清晰证据。
选择主体设立路径
直接获得许可的内陆（mainland）公司和自由区（free zone）公司都可以经营软件和技术类活动，而金融中心内的实体可能适合客户都在该中心内的创始人。选择通常取决于客户所在的位置、员工是否需要由该实体担保的居留签证，以及是否有客户坚持适用某一特定管辖区的法院和数据规则。
更有价值的结构性问题是知识产权归属于谁。如果提示词、评估集和微调配置由承包商或海外母公司构建，那么在将阿联酋公司作为其所有者呈现给银行或投资者之前，就应当完成权利转让。
简而言之
从中获取什么
- 个人数据法跟随客户而非服务器:即使控制者或模型提供商位于境外,2021年第45号法令仍适用于阿联酋境内人员的数据,除非改为适用诸如DIFC的自由区法律。
- 各提供方的条款在客户提示词能否用于改进提供方的模型方面有所不同，而这种差异往往取决于您是否付费。
- 模型按已公布的时间表退役，因此客户合同不应把某一个模型写成永久功能。
- 向金融、医疗、法律或政府领域销售，通常会引入一个软件供应商无法回避的行业监管机构。
- 提示词、工作流和微调配置需要有所有权的书面凭证，尤其是在由承包商构建的情况下。
- 内陆（mainland）公司和自由区（free zone）公司都可以经营这项业务，因此实体路径的重要性不及其所签订的合同。
- 使用境外模型提供方，是否意味着公司一无所有？
- 不是，但所有权比创始人设想的要窄。公司可以拥有自己的代码、提示词、工作流、评估数据和客户关系。公司并不拥有模型，并且按原样接受提供方的使用条款，包括对构建竞争性模型的限制。
- 客户的提示词必须留在阿联酋境内吗？
- 并非一概如此。联邦法允许向阿联酋数据办公室认定具有充分保护水平的管辖区转移数据(第22条)。除此之外,该法允许在列明的情形下转移,例如合同约束接收方遵守该法标准、本人明确同意,或为履行与本人的合同所必需(第23条)。政府和金融类客户可通过合同要求本地化,因此答案往往由客户而非法规决定。
- 早期客户试点可以使用免费层级吗？
- 根据 Google 的条款，非付费使用可能用于产品改进和人工审核，条款也建议不要提交敏感或个人信息。使用真实客户数据的试点应在付费条款下进行，并以书面方式约定数据处理立场。
- 客户合同应当如何约定模型变更？
- 按成果描述服务，保留变更或替换底层模型的权利，并写明当提供方让某个模型退役或加以限制时由谁承担停机。退役时间表是公开的，因此无视它们的合同没有任何借口。
一般信息取自CBUAE Rulebook，包括Retail Payment Services and Card Schemes Regulation (C 15/2021)以及已公布的2025年第(134)号内阁决议，不构成法律或税务建议。规则和指引会变化，因此在提交前请确认现行文本以及各机构自身的要求。