Python AI 开发工作室：当服务成为阿联酋的软件或数据业务

设想两家工作室，都有同样的五名工程师。第一家为一家零售商开发推荐引擎，交付代码仓库，并在验收时完成工作。第二家托管同一个引擎，每晚导入该零售商的客户记录，并按月开具账单。

前者出售的是劳务和交付成果。后者持有他人的个人数据，并负有保障其安全的责任。根据 2021 年第 45 号联邦法令第 8 条，处理者必须在客户合同所设定的范围、目的和数据类型之内工作，保存其所处理内容的记录，并在处理结束或数据被退回时删除数据。第 9 条进一步规定，处理者在获知数据泄露后须立即通知客户。该法涵盖全部或部分通过电子系统进行的处理，无论在阿联酋境内还是境外，因此服务器设在境外的工作室并不会因此而脱离该法的适用。

这就是为什么商业模式的选择先于园区的选择。写成“软件开发”或“IT 咨询”的许可证描述适合第一家工作室。第二家则需要描述、合同和数据附表与其实际所做的事情相符。

阿联酋政府称 UAE Data Office 隶属于内阁，担任联邦数据监管机构。其职责包括起草政策和立法、批准监督《个人数据保护法》的标准、处理投诉以及发布实施指南。

该法禁止在未经所有人同意的情况下处理个人数据，但列有例外，例如公共利益和法律主张。第 5 条另外规定，数据必须为特定、明确的目的而收集，此后不得以不相容的方式处理。对 AI 工作室而言，这决定了它可以如何使用训练数据。如果客户交出客户记录用于微调模型，请询问这些客户当初同意了什么，以及合同是否允许在其他客户之间复用。第 6 条允许所有人撤回同意，因此合同还应写明在这种情况下工作室如何处理这些数据。

联邦法律不适用于位于自由区内、且该自由区已有自己的个人数据立法的公司（第 2 条）。阿联酋政府的数据保护页面列出了其中一个这样的制度，即 DIFC 数据保护法，也就是 2020 年第 5 号 DIFC 法律。设立在 DIFC 的工作室应按该法起草其隐私条款。设立在其他任何自由区的工作室，在假定联邦法律不适用之前，应先核查该自由区是否有自己的数据立法。

创始人往往把知识产权视为投资人的话题。对工作室而言，它是一个运营话题。

如果由承包商编写代码，请以书面形式办理转让。根据 2021 年第 38 号联邦法令，经济权利的转让或许可必须采用书面形式才能生效，并且必须写明权利、目的、期限和地点（第 9 条）。精神权利不得转让（第 5 条）。同一部法律规定，为他人创作的作品归属于该他人，除非双方另有书面约定（第 28 条），因此客户合同中的沉默对客户有利。如果项目产生了可重复使用的组件，请在合同中说明工作室是否保留该组件。付费定制了作品的客户，若后来发现它出现在竞争对手的产品中，就不会继续做您的客户。

工作室自有的工具从一开始就应与交付给客户的成果分开保存。请记录哪些内容是为谁构建的，哪些是原先已有的。投资人和收购方会在尽职调查中审查这一点，而公司架构中没有任何安排可以事后补救。

内陆（mainland）公司可以直接与阿联酋企业及政府关联客户签约，适合为本地客户承接项目工作。自由区（free zone）公司可能适合客户大多在阿联酋境外或位于同一园区的工作室。金融中心主体主要适用于您的客户是偏好该管辖区的受监管机构的情形。

客户构成比价格更能决定这一点。如果一家工作室的收入一半来自本地项目工作、一半来自海外订阅，那么在拆分为两家公司之前，不妨先看看一家公司能否同时服务两类业务。

如果您在阿联酋聘用工程师，居留签证路径也是同一决策的一部分。如果交付工作由海外工程中心完成，签署合同的阿联酋公司仍须承担第 8 条和第 9 条规定的处理者义务，因此它需要配备相应的人员和系统，以遵循客户指示、保存处理记录并报告数据泄露。Velarozone 从谁签署客户合同、谁交付工作出发，具体见Velarozone 的工作方式。

相关指南涵盖了该行业的另一端：建立基础模型或生成式 AI 公司、运营面向受监管行业的 AI 代理平台，或经营云托管服务。转向其中任何一项的工作室，都要承担项目交付之外的义务，例如在线时长承诺或客户传递下来的行业规则。

请谨慎对待为第三方模型的输出承诺无限责任。应在合同中设定责任上限，界定验收测试，并说明当客户自身数据是造成不佳结果的原因时由谁负责。