Die regulatorische Sandbox der VAE: Temporäre KI-Lizenz gemäß Gesetz Nr. 25

Mainstream

Die regulatorische Sandbox der VAE ist keine Möglichkeit, das Gesetz zu umgehen, sondern ein rechtlicher Mechanismus, um Innovationen vorübergehend auf den Markt zu bringen.

Für Unternehmen, die KI-basierte Lösungen entwickeln, bietet das Gesetz Nr. 25 von 2018 über Zukunftsprojekte die Möglichkeit, Technologien zu testen, für die es keine fertige Regulierung gibt oder bestehende Regulierungen unverhältnismäßige Hindernisse schaffen.

Die entscheidende Frage lautet nicht: „Kann ich eine vorübergehende Befreiung erhalten?“ aber „Wie baue ich Tests auf, damit ich in zwei Jahren zu einem vollwertigen Unternehmen mit einer dauerhaften Lizenz heranwachsen oder eine neue Regelung für mich selbst bilden kann?“

Der effektive Eintritt in die Sandbox beginnt mit drei Prüfungen:

Welche Regierungsbehörde oder Regulierungsbehörde berechtigt ist, eine befristete Lizenz auszustellen? Ob es nach der Testphase eine gut durchdachte Ausstiegs- und Kommerzialisierungsstrategie gibt.

Wenn diese Probleme nicht im Voraus gelöst werden, besteht die Gefahr, dass das Unternehmen in einem temporären Lizenzmodus ohne klaren Weg zur Skalierung stecken bleibt oder umgekehrt aufgrund mangelnder Vorbereitung abgelehnt wird.

Wenn Sie eine regulatorische Sandbox der VAE benötigen

Die Nutzung des vorübergehenden Lizenzmechanismus gemäß Gesetz Nr. 25 wird erforderlich, wenn:

• Ihr Produkt basiert auf KI-Technologie und passt nicht in bestehende Branchenlizenzen
• Regulatorische Unsicherheit blockiert Pilotstart
• Sie müssen autonome Systeme, medizinische Diagnostik, Fintech-Lösungen oder andere KI-Dienste mit echten Benutzern testen
• Es wird eine flexible Umgebung für Iterationen benötigt, ohne dass das Risiko sofortiger Sanktionen bei formaler Nichtkonformität besteht.
• Anschließend planen Sie, mit einem skalierbaren Produkt in den VAE- und MENA-Markt einzusteigen
• Ein ausländisches Startup will die Technologie in Dubai zunächst ohne vollständige kommerzielle Registrierung testen

Der Fehler, den die meisten innovativen Unternehmen machen

Viele Bewerber beginnen mit der Frage:

Wo bekomme ich eine vollständige kommerzielle Lizenz für KI-Dienste?

Das ist die falsche erste Frage.

Die richtige Frage ist:

Welche Rechtsordnung würde es ermöglichen, die Technologie rechtlich zu testen, sich als wertvoll und sicher zu erweisen und dann entweder neue Vorschriften dafür zu schaffen oder durch angepasste Lizenzen auf den Markt zu kommen?

Manchmal ist das beste Ergebnis eine regulatorische Sandbox mit einer Branchenregulierungsbehörde. Die Dubai Future Foundation ist eine temporäre Lizenz. Manchmal handelt es sich um eine parallele Strecke in mehreren Freizonen. Und manchmal muss vor der Einreichung eines formellen Antrags über offizielle „Regulierungslabore“ mit der Regulierungsbehörde zusammengearbeitet werden.

Der Einstieg in die Sandbox erfordert keinen Standard-Lizenzierungsansatz, sondern eine kontrollierte Experimentierstrategie.

Schritt 1. Gesetz Nr. 25 von 2018 „Über zukünftige Projekte“

Das Gesetz Nr. 25 des Emirats Dubai schafft einen rechtlichen Rahmen für die Vergabe befristeter Lizenzen an Projekte, die als „Zukunftsprojekte“ anerkannt sind. Ziel ist es, die Erprobung und Umsetzung von Innovationen zu ermöglichen, die entweder nicht durch die bestehende Gesetzgebung abgedeckt sind oder unnötige Einschränkungen mit sich bringen.

Wesentliche Bestimmungen des Gesetzes:

• Eine befristete Lizenz kann für bis zu zwei Jahre ausgestellt werden, mit der Möglichkeit einer Verlängerung
• Eine teilweise oder vollständige Befreiung von den Anforderungen der geltenden Gesetze und Vorschriften des Emirats ist zulässig, wenn dies für Tests erforderlich ist.
• Das Projekt sollte eine klare Innovationskomponente und potenzielle Vorteile für Wirtschaft und Gesellschaft aufweisen.
• Es werden besondere Bedingungen für Überwachung, Berichterstattung und Risikomanagement festgelegt
• Die Lizenz kann widerrufen werden, wenn der Betreiber gegen die Bedingungen verstößt, ein Sicherheitsrisiko darstellt oder die erklärten Ziele nicht erreicht.

Das Dokument ersetzt nicht die Industrie-Sandboxen im Finanzsektor (CBUAE, DFSA, ADGM), sondern ergänzt sie und fungiert als horizontales Instrument für alle Projekte der Zukunft, einschließlich KI, Robotik, autonomer Transport, Flugzeuge und Biotechnologie.

Schritt 2. Bewerten Sie, ob Ihr KI-Projekt den Kriterien des „Projekts der Zukunft“ entspricht.

Zur Qualifizierung müssen Sie den Nachweis erbringen, dass das Projekt:

• basierend auf fortschrittlichen Technologien (künstliche Intelligenz, maschinelles Lernen, generative Modelle usw.)
• Das Gesetz bietet in Dubais aktueller Gesetzgebung keinen direkten und angemessenen regulatorischen Schutz, oder die bestehenden Vorschriften machen Tests unmöglich.
• verfügt über ein hohes Einflusspotenzial, sei es wirtschaftlich, sozial oder technologisch
• können in einer kontrollierten Umgebung mit klaren Erfolgsquoten und Maßnahmen zur Risikominimierung getestet werden
• Entspricht den nationalen Prioritäten (VAE AI Strategy 2031, Dubai AI Principles, Smart City Concept usw.)

An dieser Stelle ist es wichtig, vage Formulierungen wie „innovativer Service“ zu vermeiden. Der Antrag sollte zeigen, wo die Technologie außerhalb des Geltungsbereichs des bestehenden Regulierungsmodells liegt.

Schritt 3. Identifizieren Sie eine autorisierte Aufsichtsbehörde

Gesetz 25 erstellt kein einziges Fenster für alle Projekte. Der Antrag wird in der Regel von der Dubai Future Foundation (DFF) oder der Branchenregulierungsbehörde initiiert.

In der Praxis könnte es so aussehen:

• Dubai Health Authority (DHA) und DFF
• Straßen- und Transportbehörde (RTA)
• Behörde für Wissen und menschliche Entwicklung (KHDA)
• Fintech – Dubai Financial Services Authority (DFSA) in DIFC oder FSRA in ADGM und CBUAE auf Bundesebene
• Dubai Department of Economy and Tourism (DET) und DFF

Ein Fehler bei der Identifizierung des Hauptregulierers führt zu einer Verzögerung im Prozess, daher ist es ratsam, zu Beginn eine Regulierungskartierung durchzuführen.

Schritt 4. Bereiten Sie eine Bewerbung vor

Die starke Anwendung umfasst folgende Komponenten:

• Technische Beschreibung der Lösung und der Architektur von KI
• Testziele und Key Performance Indicators (KPI)
• Parameter der Testumgebung: Geografischer Umfang, Anzahl der Benutzer, Datenvolumen
• Risikomanagementplan und Verbrauchersicherheit
• Maßnahmen zum Schutz personenbezogener Daten gemäß dem Federal Data Protection Act (PDPL) der VAE und den Anforderungen der Branche
• Mechanismus zur Einholung der informierten Einwilligung der Testteilnehmer
• Cybersicherheit, einschließlich Modell- und Datenschutz
• Vorläufiger Plan für Exit und Kommerzialisierung

Ein gut vorbereiteter Antrag beschleunigt nicht nur die Genehmigung, sondern verringert auch die Wahrscheinlichkeit, dass die Regulierungsbehörde ungünstige Bedingungen stellt.

Schritt 5. Vereinbaren Sie den Umfang der temporären Lizenz

Der Umfang der Lizenz ist ein zentraler Verhandlungsblock. Es definiert:

• spezifische Gesetze und Vorschriften, von denen der Betreiber ausgenommen ist
• Extreme Testgrenzen (z. B. maximal 500 Benutzer, begrenzter Bereich in Dubai)
• Zulässige Arten von Transaktionen und Interaktion mit Verbrauchern
• Finanzielle Grenzen und Anforderungen an die Haftpflichtversicherung
• Pflichten zur Überwachung und regelmäßigen Berichterstattung
• Vorabbestimmung

Der Handel ist hier angemessen, er sollte jedoch auf objektiven Daten über das Mindestmaß an Deregulierung basieren, das zur Validierung von Hypothesen erforderlich ist.

Schritt 6. Führen Sie den Überprüfungsprozess durch

Nachdem der Antrag eingereicht wurde, beginnt die Interaktion mit der Regulierungsbehörde, die Folgendes umfassen kann:

• klärend
• Präsentation und Demonstration des Prototyps
• Verfeinern des Testplans nach Bedarf
• Konditionenvereinbarung mit mehreren Abteilungen in einem branchenübergreifenden Projekt
• Unterzeichnung des vorläufigen Lizenzvertrags (Term License Agreement)

Der Zeitrahmen für die Prüfung ist sehr unterschiedlich, beträgt in der Regel jedoch zwei bis sechs Monate. Eine hochwertige juristische Ausbildung zu Beginn reduziert die Anzahl der Wiederholungen deutlich.

Schritt 7. Testen von KI-Lösungen innerhalb der Sandbox

Ab dem Zeitpunkt der Lizenzerteilung ist das Unternehmen verpflichtet, nach dem vereinbarten Plan zu arbeiten. Hauptaufgaben in dieser Phase:

• Einhaltung des Prüfumfangs und unverzügliche Meldung etwaiger Vorfälle an die Aufsichtsbehörde
• Regelmäßige Berichterstattung (monatlich oder vierteljährlich)
• Verwalten von Benutzerbeschwerden
• Cybersicherheits- und Datenschutzmaßnahmen auf dem neuesten Stand halten
• Speicherung von Protokollen und Beweisgrundlagen für die spätere Analyse

Unkenntnis der Überwachungspflichten ist einer der Hauptgründe für den vorzeitigen Entzug befristeter Lizenzen.

Schritt 8. Entwickeln Sie eine Exit-Strategie (Exit-Strategie)

Die Sandbox ist ein temporäres Werkzeug. Daher sollte die Ausstiegsstrategie vor der Antragstellung vorliegen. Mögliche Szenarien:

• Übergang zu einer dauerhaften kommerziellen Lizenz, wenn die Regulierungsbehörde die Regeln angepasst oder eine neue Verordnung erlassen hat
• Erlangung einer Standard-Industrielizenz in derselben oder einer verwandten Gerichtsbarkeit
• Ergebnisse nutzen, um in einem anderen Land zu starten
• Abschluss des Projekts unter Wahrung der gesammelten Daten und des geistigen Eigentums

Ein klarer Ausstiegsplan erhöht das Vertrauen der Regulierungsbehörde erheblich und erleichtert Verhandlungen über die Kommerzialisierung.

Schritt 9. Berücksichtigen Sie die rechtliche Haftung und Beschränkungen

Die befristete Lizenz befreit nicht von der Haftung für tatsächliche Schäden, Straftaten, Verstöße gegen die Grundprinzipien von Recht und Ordnung und der öffentlichen Ordnung. Der Betreiber muss:

• über einen ausreichenden Versicherungsschutz verfügen
• die Bedingungen der Lizenz einhalten
• reagieren Sie sofort auf die Anweisungen der Aufsichtsbehörde
• verstehen Sie, dass bei schwerwiegenden Verstößen die Lizenz sofort widerrufen werden kann;

Risiken müssen im Vorfeld abgesichert werden und nicht dabei aus ihnen gelernt werden.

Schritt 10. Erfolgreiche Tests für die Kommerzialisierung nutzen

Eine erfolgreiche regulatorische Sandbox ist ein starkes Signal für Investoren, Partner und Kunden. Es bestätigt, dass die Technologie:

• unter staatlicher Aufsicht geprüft
• Sicher und im Einklang mit Best Practices
• Es hat das Potenzial zur Skalierung.

Sobald der Test abgeschlossen ist, kann das Unternehmen aus einer viel stärkeren Position heraus eine dauerhafte Lizenz aushandeln, mit Daten über den tatsächlichen Betrieb der Lösung.

Temporäre Lizenz oder vollständige kommerzielle Lizenz: Wählen Sie

Die Wahl hängt nicht von allgemeinen Präferenzen ab, sondern vom Reifegrad der Technologie, der Bereitschaft der Regulierungsbehörde und den strategischen Zielen des Unternehmens in der Region der Vereinigten Arabischen Emirate.

So stärken Sie Ihre Position vor der Bewerbung

Die beste temporäre Lizenz wird in der Entwurfsphase festgelegt.

Bevor Sie sich an die Regulierungsbehörde wenden, sollten Sie Folgendes haben:

• funktionierender Prototyp oder MVP
• Rechtliches Memo (Legal Memo) zur Regulierungslücke
• Von technischen Experten genehmigter Testplan
• Datenschutz-Folgenabschätzung (Algorithmische Folgenabschätzung)
• Datenschutzrichtlinie und Nutzungsbedingungen für Betatester
• Eine klare Beschreibung, welche Regeln Sie nicht anwenden möchten und warum
• Begründung

Die Regulierungsbehörde ist eher bereit, diejenigen zu treffen, die nicht nur technische, sondern auch rechtliche Reife nachweisen.

Häufige Fehler bei der Verwendung einer regulatorischen Sandbox

1. Wahrnehmung von Sandbox als permanente Lizenz. Die Sandbox ist vorübergehend und ohne Ausstiegsstrategie wird das Unternehmen in einer Sackgasse stecken.
2. Missachtung datenschutzrechtlicher Anforderungen. Auch im Testmodus gelten PDPL und branchenübliche Datenschutzbestimmungen. Das Sammeln realer Daten ohne Zustimmung ist eine Möglichkeit, eine Lizenz zu widerrufen.
3. Unscharfe Erfolgskriterien. Eine Anwendung ohne messbare KPIs gibt der Regulierungsbehörde keinen Anlass für eine weitere Legalisierung der Technologie.
4. Falsche Wahl des Reglers. Der Versuch, eine befristete Lizenz von einer Stelle zu erhalten, die nicht für die Branche zuständig ist, führt zu einem Verlust von Monaten.
5. Fehlender Vorfallmanagementplan. Im Bereich der KI sind Vorfälle keine Fehler, sondern eine Frage der Sicherheit und des Rufs. Wenn die Regulierungsbehörde nicht von Ihnen von dem Problem erfährt, wird das Vertrauen untergraben.
6. Start ohne Haftpflichtversicherung. Der Schaden durch einen Ausfall einer KI-Lösung kann erheblich sein.
7. Konzentrieren Sie sich nur auf Technologie ohne legales Design. Ohne zu verstehen, welche Vorschriften den Start blockieren, sind die Verhandlungen mit der Regulierungsbehörde schwach.

Checkliste für den Erhalt einer befristeten Lizenz für ein KI-Projekt

Vor Beginn des Prozesses müssen 14 Fragen beantwortet werden:

1. Was genau ist die Innovation und der „Futurismus“ des Projekts?
2. Welche konkreten Bestimmungen der geltenden Gesetze machen eine Prüfung unmöglich?
3. Welche Regierung ist die wichtigste Regulierungsbehörde für diesen Bereich?
4. Gibt es einen funktionierenden Prototyp und eine minimale technische Dokumentation?
5. Ist der Testumfang definiert (Geografie, Anzahl der Benutzer, Datentypen)?
6. Gibt es einen Plan, das Risiko für Verbraucher zu verringern?
7. Entspricht die Datenarchitektur der PDPL?
8. Welche KPIs zeigen den Erfolg oder Misserfolg des Tests?
9. Welche Ausstiegsstrategie ist für den Tag des Lizenzabschlusses geplant?
10. Besteht ausreichend Versicherungsschutz für den Piloten?
11. Ist der Mechanismus der Einwilligung nach Aufklärung bereit?
12. Gibt es einen Plan zur Überwachung von Vorfällen und zur Alarmierung der Regulierungsbehörde?
13. Werden geistige Eigentumsrechte und während der Tests erhobene Daten aufgezeichnet?
14. Wie werden die Ergebnisse des Piloten in einen dauerhaften Lizenzantrag oder die Bildung einer neuen Verordnung umgewandelt?

Wie eine starke Sandbox-Strategie aussieht

Eine starke Strategie besteht normalerweise aus fünf Ebenen:

1. Regulierungszuordnung: Identifizierung der geltenden Regeln, Lücken und Befugnisse zur Erteilung einer vorübergehenden Lizenz.

2. Sandbox Application Design Vorbereitung von Dokumenten, Testplan, Risikobereitschaft und Verhandlungsposition.

3. Governance und Compliance: Implementieren Sie interne Richtlinien, Berichte, Daten- und Vorfallmanagement für die Pilotphase.

4. Das Sammeln und Aufzeichnen von Beweisen für Sicherheit, Wirksamkeit und Konformität während der Tests ist die Grundlage für eine dauerhafte Lizenz.

5. Exit & Scale Rechtliche Unterstützung beim Übergang zur kommerziellen Lizenz oder Beteiligung an der Ausarbeitung neuer Vorschriften.

Ohne eine fünfte Ebene führen die ersten vier oft nicht zu Geschäftsergebnissen.

FAQ

Zur Auswahl steht jede juristische Person oder jedes Startup, auch ausländische Unternehmen, deren Projekt die Kriterien eines „Zukunftsprojekts“ erfüllt. Möglicherweise ist eine lokale Partnerschaft oder eine Zweigstellenregistrierung erforderlich.

In der Regel 2 bis 6 Monate, abhängig von der Komplexität, dem gewählten Regler und der Qualität der Anwendung.

Ja, aber in einer streng kontrollierten Umgebung mit Einwilligung nach Aufklärung, Sicherheitsmaßnahmen und mit der Regulierungsbehörde vereinbarten Grenzwerten.

Die offiziellen Gebühren sind minimal, die Hauptkosten entfallen jedoch auf die Erstellung der rechtlichen und technischen Dokumentation sowie die Compliance-Unterstützung während der Testphase.

Ja, das Gesetz sieht die Möglichkeit einer Verlängerung vor, wenn die Notwendigkeit und eine gute Historie der Einhaltung der Bedingungen gerechtfertigt sind.

Beeinträchtigt es die Investition, in der Sandbox zu sein? Das Vorhandensein eines regulierten Pilotprojekts in den VAE signalisiert die Ernsthaftigkeit des Projekts und öffnet die Tür für staatliche und Risikokapitalfonds in der Region.

Was passiert mit den Daten nach Abschluss der Prüfung? Sie verbleiben unter Beachtung der datenschutzrechtlichen Anforderungen im Unternehmen. Geistige Eigentumsrechte sollten in einer Vereinbarung mit der Regulierungsbehörde klar geregelt werden.

Kann ich die Sandbox früher verlassen? Ja, gemäß den Bedingungen der Lizenzvereinbarung. Ein vorzeitiger Ausstieg ohne Bericht könnte jedoch zukünftige Interaktionen mit der Regulierungsbehörde erschweren.

Verwandte Dienstleistungen

• Technologierecht und KI-Regulierung in den VAE
• Regulatorische Sandboxes und vorübergehende Lizenzierung
• Regulierung von Fintech, digitalen Vermögenswerten und Kryptowährungen
• Gewerbeanmeldung und Gewerbelizenzierung in den VAE (Festland, Freizonen, DIFC, ADGM)
• Datenschutz- und Cybersicherheits-Compliance (PDPL, DSGVO-Anpassung)
• Venture Capital und Unterstützung von Startups
• Strategie für geistiges Eigentum für KI und DeepTech
• Unternehmensstrukturierung innovativer Unternehmen

Verwandtes Material

• Die Regulierung künstlicher Intelligenz in den VAE: Nationale Strategie und ethische Grundsätze
• So wählen Sie zwischen Mainland, DIFC und
• ADGM für Technologie-Startups. Sandboxes zur Finanzregulierung CBUAE, DFSA und FSRA: Unterschiede und Möglichkeiten zum Schutz des geistigen Eigentums bei KI-Algorithmen und Datensätzen in den VAE
• Das Bundesdatenschutzgesetz der VAE: Was ein Entwickler wissen muss: Rechtliche Aspekte des autonomen Transports und der Robotik in Dubai
• Due Diligence des Technologieprojekts vor der Beantragung einer Lizenz

Fazit

Das Gesetz Nr. 25 von 2018 „Über zukünftige Projekte“ ist keine universelle Lizenz, sondern ein strategisches Instrument zur gezielten Beseitigung regulatorischer Hindernisse für KI-Lösungen.

Der Erfolg in der Sandbox wird nicht durch jemanden erreicht, der nur um Ausnahmen bittet. Erfolgreich ist, wer im Voraus versteht, welche Normen die Entwicklung behindern, wie man die Sicherheit und den Wert der Technologie nachweist und wie man aus einem zweijährigen Pilotprojekt ein vollwertiges Unternehmen mit einer dauerhaften Lizenz macht.

Eine starke Position basiert auf fünf Elementen: regulatorische Zuordnung, starke Anwendung, verwaltete Compliance im Pilotprojekt, Beweiserhebung und klare Ausstiegsstrategie. Ohne sie läuft selbst das innovativste KI-Projekt Gefahr, ein schönes Experiment ohne kommerzielle Zukunft zu sein.