豆包工作：如何中国企业人工智能公司在阿联酋建立运营

聊天助手只能看到用户输入的内容。智能体看到的要多得多。要预订会议、核对发票或起草报告，它需要访问邮箱、共享云盘、会计工具，有时还需要凭据。这些地方每一处都存放着个人数据。

联邦个人数据保护法（PDPL）将全部或部分通过电子系统进行的个人数据处理纳入其适用范围。该法于2022年1月2日生效。它一般将数据处理与数据所有者的同意挂钩，并列有例外情形，同时赋予个人要求更正以及限制或停止处理的权利。它还规定了为处理而跨境传输个人数据的规则，在阿联酋境外运行模型的供应商需要仔细阅读这一条款。

实际后果是，阿联酋的企业客户会要求供应商书面说明：智能体能读取什么、保留什么，提示词和输出是否用于改进模型，以及哪些子处理方接触这些数据。无法回答这些问题的创始人，会在许可证问题出现之前就丢掉这笔交易。

UAE Data Office依据2021年第44号联邦法令设立，隶属于阿联酋内阁。其职责包括起草数据保护政策和发布指引，因此在实施细节上的立场可能发生变化。签署托管合同前，请查阅现行指引。

托管交付最为轻量。供应商从自己的基础设施运行智能体，客户登录使用。阿联酋公司可能仅相当于销售和支持主体，但数据传输问题在此最为尖锐，因为客户数据按设计就要离开该国。

私有云交付会在客户批准的云区域放置一个专用实例。供应商仍然负责运营，因此仍在处理客户的数据，合同必须写明这一点。

本地部署交付把软件放在客户的内部环境中。对于已存储的数据，跨境传输的顾虑不复存在，但远程支持会话可能立刻把这些顾虑带回来。身处另一国的支持工程师连接客户服务器时，就是在从境外访问阿联酋数据。

许多中国企业软件供应商三种方式都提供。它们应在主协议中把每一种写成单独的附表，各有自己的数据处理条款，而不是用一份文件试图涵盖所有情形。

在工作流自动化上支出最多的行业，同时也是有自己规则的行业。医疗客户会带来2019年第2号联邦法律，即关于在健康领域使用信息和通信技术的法律，阿联酋政府称该法律同样适用于自由区（free zone）。银行和保险公司对各自的监管机构负责，并会把外包条件传导给供应商。政府实体按自己的程序采购。

这并不意味着供应商本身需要许可证。这意味着客户的合规团队会在合同中设定条件，而供应商需要一个能够签署这些条件、持有保险并可被送达索赔的本地主体。把每个问题都推给海外母公司的薄弱分支机构，往往会卡在采购环节。

只向零售商或物流公司等不受监管的私营公司销售的供应商，路径更轻松。请在销售材料中说明这一点，并把受监管行业的客户留到第二阶段。

发送电子邮件、移动文件或提交表单的智能体是以客户名义行事。如果它行为不当，客户会求诸合同。阿联酋网络犯罪法，即2021年第34号联邦法令，涵盖通过信息技术和网络实施的犯罪，被授予长期凭据的智能体供应商，在设计时应当假定其日志有一天可能被调查人员查阅。

有三项设计选择具有法律分量，值得在公司成立之前确定：

对客户的风险团队而言，明确的批准门槛比完全自主的说法更容易接受。

内陆（mainland）公司可直接与阿联酋企业和政府采购方签约，这也是企业软件销售商常从此处起步的原因。自由区（free zone）设立方案适合主要活动为开发或远程支持的团队，不过各区自行设定条款，公司能在其场所内从事哪些业务应由主管机构确认。DIFC主体会适用DIFC数据保护法，如果客户群在那里，这一点就很重要。

比较取决于客户在哪里、工程师在哪里，以及公司是否持有硬件。正在权衡哪个管辖区适合其商业模式的创始人，应带着这三点的答案前来。团队自身的居留身份也很重要，因为创始团队的签证取决于所选的许可证。如果您希望在作出承诺前了解顾问流程是什么样的，请阅读Velarozone如何运作。

银行会问和客户相同的问题：谁拥有公司，谁出资，资金从哪里来，以及为何需要阿联酋主体。拥有已签约试点客户和清晰数据流图的供应商，比只有设立证书和网站的供应商回答得更快。