如何在阿联酋成立人工智能安全、评估或模型审核公司

发牌机构（内地的经济和旅游部门，或自由区管理机构）决定公司是否可以成立，以及公司可以以何种商业活动名义经营。该机构并不检验或批准人工智能评估的质量。

许可之外还有两道独立的边界。阿联酋的数据保护法律规定了公司在业务过程中如何收集、处理、存储和传输到达其手中的个人数据:模型训练数据、客户记录,或含有个人信息的输出。如果公司的测试涉及主动探测在线系统的弱点,这项工作就落入网络安全和未经授权访问规则的范围,因此,未经系统所有者书面授权的测试,不是靠一份自信的许可描述就能解决的灰色地带。

阿联酋电信和数字政府监管局（TDRA）负责监管电信和数字政府基础设施；如果评估业务涉及受监管的信息通信技术或电信服务，请在营业执照上写明该项工作之前，直接向 TDRA 询问其规则是否适用。阿联酋网络安全委员会负责制定国家网络安全战略并协调各行业的政策；如果想了解国家网络风险政策如何影响测试或保障类业务，应向该机构咨询，而不是向日常的发牌窗口咨询。请将这两家机构都视为需要直接确认的对象，而不是本指南能够预先给出的定论。

《阿联酋2031年人工智能战略》确定了联邦层面在人工智能应用和治理方面的方向；它是一份政策文件，而不是发牌制度，因此它本身并不为评估公司设立可供申请的审批类别。真正对业务具有约束力的实际要求来自阿联酋数据保护法：如何处理个人数据、依据何种法律基础、保存多长时间，以及合作结束后如何处置这些数据。请直接依据官方数据保护来源来制定数据处理方案，而不要使用通用的隐私政策模板，因为评估方一旦接收含有个人信息的训练数据、提示词或输出内容，在持有这些数据期间，本身就是独立的数据处理者。

如果评估涉及对生产系统进行主动测试，请在工作开始前取得客户的书面范围和授权并归档，并妥善保存。该文件也是银行、保险公司或交易对手首先会要求查看的文件。

银行和企业客户会询问公司接触哪些数据、测试结果归谁所有，以及公司关于独立性或认证的说法能否用合同而非营销话术来证明。一份载明评估方法、范围和局限性的已签署工作说明书，是整套材料中最有力的单项证据。

开户前请准备：

关于企业银行账户准备的工作说明了该证据包如何编制，并在银行查看之前与财务模型核对一致。成本是分层构成的，Velarozone 自身的费用在业务约定书中逐项列明，而不是作为醒目的总数公布；Velarozone 如何运作阐述了这一做法。

请在公司设立之前决定：公司是以自己的名义出具意见、评分或鉴证，还是仅支持客户的内部测试。前一种角色带有职业责任风险，后一种则没有，保险公司对二者的定价差异很大。请指明公司内部由谁负责批准提交给客户董事会、监管机构或审计师的任何报告，并将该人员的胜任能力和利益冲突情况存档，而不仅仅体现在简历中。

如果外国母公司持有评估方法、认证资质或品牌，而阿联酋实体在当地提供服务，两者之间的所有权和许可链条需要与任何技术服务特许经营同等的审慎；请参阅受监管的复杂所有权架构设置。书面的商业计划及配套文件是在银行或投资者查看之前，把方法、角色和预算联系起来的地方。

非阿联酋或海合会国民的专业评估人员和安全测试人员，需要各自与持证实体挂钩的居留签证；在招聘计划确定之前，请向发证机构确认签证名额和类别。安全测试环境以及存放在阿联酋境内的客户数据，会引出数据驻留和删除方面的问题，这些问题应当一次性以书面方式回答，并一致适用，而不是针对每位客户重新决定。许可证续期和任何行业特定的确认各有其自身的周期；请将它们与每项客户业务的起止日期分开跟踪。