如何在阿联酋构建基础模型或生成式AI公司

阿联酋没有专门的 AI 监管机构对基础模型或生成式 AI 公司发放许可。商业注册与其他技术企业走相同的路径：通过相关内陆许可主管部门设立内陆公司，或采用自由区架构。真正改变局面的，是模型实际接触什么。用于训练、微调或推理的个人数据，会使阿联酋联邦数据保护法适用。被认定为关键基础设施的设施，会使网络安全委员会的标准适用。而如果模型的输出进入受监管的垂直领域（健康指导、金融建议、媒体内容），则该行业自己的监管机构会在商业许可证之外加入边界测试。许可主管部门决定的是公司可以经营；它并不决定公司可以处理其想用于训练的数据，也不决定其基础设施符合网络安全方面的期望。

阿联酋联邦数据保护法规范个人数据进入训练或微调流程后的收集、使用和传输方式，相关义务附着于处理行为本身，而非产品的 AI 标签。哪怕只是部分使用个人数据训练的模型，也需要为该处理行为提供书面记录的合法依据，并就该数据向阿联酋境外传输的任何情形明确立场，且须在数据集投入使用之前完成，无论产品被称为基础模型、微调模型还是 API 封装。另外，一旦算力或托管基础设施被视为阿联酋关键系统的一部分，网络安全委员会制定的国家网络安全战略和标准便随之适用。运营自有训练或推理基础设施达到相当规模的生成式 AI 公司，应预期以这些标准来衡量，而不是以通用的内部 IT 政策来衡量，也不应假定云服务商自身持有的认证就能替其解决这一问题。

银行和支付收单机构在对一家 AI 公司进行承保审查时，看的不只是许可证，还包括其背后的合同：算力向谁计费、API 或订阅收入实际如何收取，以及签署客户合同的实体是否就是持有模型和数据权利的实体。当模型从原型进入产生收入的阶段，由持有权重的控股公司与向客户计费的运营公司并存的做法很常见，但两者各自需要独立的合同、银行授权和转让定价立场，而不能用一个共用账户同时充当两者。如果在与银行沟通之前就备好模型卡、数据集权利登记册和算力合同，开户会更快，这正是企业银行账户准备背后的基础工作。这里的成本是分层构成的，而非一个单一数字，因为算力合同和工程人员成本通常远超任何政府费用；Velarozone 自己的费用会在业务约定书中逐项列明；有关这种分层如何列示，请参阅Velarozone 如何运作。

模型的每一位贡献者（创始人、员工、承包商，以及代码或权重被合并进来的任何开源维护者），都需要有书面的知识产权转让或许可文件，之后该模型才能被视为公司资产，而不是存在争议的资产。如果训练使用了个人数据，公司内部必须有人对数据保护立场负责，即使在由同一人兼任其他职务的小团队中也是如此。将持有知识产权的实体与运营公司分开，或引入跨多个管辖区投资者的集团架构，属于受监管及复杂所有权架构；所有权链条需要像模型本身一样做好书面记录，并通过银行或企业客户可以阅读并信赖的商业计划及文件体现出来。

实体成立之后，许可证会与若干运营步骤相关联，而这些步骤并不因 AI 这一标签而改变。签证配额与机构卡（establishment card）挂钩，需要覆盖实际运行模型的工程、安全和合规人员，而不只是名义上的人数。无论算力位于阿联酋境内还是由境外云服务商提供，都需要有注册地址。向联邦税务局办理企业税登记 (FTA) 适用与其他任何阿联酋公司相同的联邦规则；并无单独的 AI 类别。续期也是重新核查数据保护和知识产权状况的时点，因为自上次续期以来，如果模型经过再训练、进一步微调或向新客户开放，其情况可能已经超出了设立时所记录的边界。