أغلب مشاريع الذكاء الاصطناعي المؤسسية في الخليج تبدأ بسؤال تقني: أي نموذج نستخدم؟ لكن السؤال الذي يحدد فعليًا ما إذا كان المشروع قانونيًا من يومه الأول هو سؤال مختلف تمامًا: أين تُخزَّن بيانات هذا النموذج، وهل يحق لها أن تُخزَّن هناك أصلًا؟ متطلبات PDPL لإقامة البيانات ليست بندًا قانونيًا يُراجَع بعد التوقيع مع المورّد، بل قيدًا معماريًا يجب أن يُحسم قبل اختيار أي بنية تحتية لمشروع AI.
ماذا يفرض نظام حماية البيانات الشخصية السعودي (PDPL) فعليًا؟
نظام حماية البيانات الشخصية السعودي أصبح نافذًا بالكامل منذ 14 سبتمبر 2024. القاعدة الأساسية بسيطة: يجب أن تبقى البيانات الشخصية داخل المملكة افتراضيًا. نقل هذه البيانات خارج الحدود لا يُسمح به إلا وفق شروط “حماية معادلة” صارمة، أي أن الجهة التي تستقبل البيانات في الخارج يجب أن توفر مستوى حماية يوازي ما ينص عليه النظام السعودي. بالنسبة للمؤسسات التي تخضع لإشراف مؤسسة النقد العربي السعودي (ساما)، مثل البنوك وشركات التمويل، قد تُفرض متطلبات إضافية فوق ما ينص عليه PDPL نفسه.
هذا يعني عمليًا أن أي نموذج AI يعالج بيانات شخصية سعودية (سواء كان نموذج خدمة عملاء أو نظام تقييم ائتماني أو أداة تحليل موارد بشرية) يجب أن تُحدَّد بنيته التحتية بناءً على مكان إقامة تلك البيانات قبل التطوير، لا بعده.
وماذا عن الإمارات؟
الإمارات تعتمد نهجًا من ثلاث طبقات، وهذا التعدد بالذات هو ما يُربك أغلب فرق تقييم المخاطر. القانون الاتحادي لحماية البيانات الشخصية يصبح إلزامي الامتثال بحلول 1 يناير 2027، بينما إطارا مركز دبي المالي العالمي (DIFC) ومركز أبوظبي العالمي (ADGM) نافذان ومُطبَّقان بشكل مستقل بالفعل. مؤسسة تعمل داخل DIFC تخضع لقواعد مختلفة عن مؤسسة تعمل خارجه ضمن الإطار الاتحادي، وهذا فرق يجب تأكيده قبل تصميم أي بنية بيانات، لا بعد إطلاق المشروع.
القاسم المشترك بين القانونين السعودي والإماراتي: نقل البيانات الشخصية عبر الحدود يتطلب حماية كافية، عادةً عبر آلية تعاقدية أو قرار مطابقة (adequacy decision) من الجهة التنظيمية.
هل توجد قواعد خاصة بالذكاء الاصطناعي تحديدًا؟
لا، حتى منتصف 2026. لا تملك السعودية ولا الإمارات إطارًا قانونيًا مخصصًا للذكاء الاصطناعي يوازي ما يفعله قانون الاتحاد الأوروبي للذكاء الاصطناعي (EU AI Act). القواعد المطبَّقة على أنظمة AI اليوم هي نفسها قواعد حماية البيانات الشخصية العامة. هذا لا يعني أن المخاطر أقل، بل يعني أن فريقك مسؤول عن تفسير كيفية انطباق قواعد عامة على حالة استخدام محددة للذكاء الاصطناعي، دون دليل تنظيمي جاهز يوضح كل التفاصيل.
أين تحديدًا تظهر المشكلة في مشاريع AI؟
أغلب حالات عدم الامتثال لا تنتج عن تجاهل القانون، بل عن قرارات بنية تحتية اتُّخذت قبل مراجعته:
- استضافة النموذج على سحابة عامة خارج المنطقة. كثير من نماذج اللغة الكبيرة الجاهزة تُستضاف افتراضيًا على مراكز بيانات في أمريكا الشمالية أو أوروبا. استخدامها لمعالجة بيانات شخصية سعودية أو إماراتية دون ترتيب نقل قانوني يُعرّض المؤسسة لمخالفة مباشرة.
- بيانات التدريب والتحسين (fine-tuning) تُصدَّر دون تتبع. حتى إذا كان النموذج النهائي مستضافًا محليًا، فإن بيانات تدريبه أو تحسينه قد تكون مرّت عبر خدمة خارجية أثناء التطوير، وهذا يُعد نقلًا يخضع لنفس القيود.
- مورّدو الطرف الثالث لا يُفصحون عن مكان استضافتهم الفعلي. التعاقد مع منصة AI جاهزة دون التحقق من عقود المعالجة الفرعية (sub-processor agreements) يترك المؤسسة عمياء عن المكان الفعلي لبياناتها.
قائمة تحقق عملية قبل إطلاق أي مشروع AI
- حدد تصنيف البيانات. هل يتعامل النظام مع بيانات شخصية، بيانات مالية حساسة تخضع لإشراف ساما، أم بيانات غير شخصية بالكامل؟ التصنيف يحدد مستوى القيود.
- اسأل كل مورّد: أين يقع مركز البيانات فعليًا؟ ليس “أين المقر الرئيسي للشركة”، بل أين البنية التحتية التي ستُخزَّن عليها بياناتك تحديدًا.
- راجع عقود المعالجة الفرعية. إذا كان المورّد يستخدم بنية تحتية من طرف ثالث (مثل مزوّد سحابة عالمي)، تأكد من أن تلك العلاقة موثقة وتخضع لنفس الالتزامات.
- وثّق آلية النقل القانونية إن وُجد نقل عابر للحدود. لا تفترض أن “الشركة عالمية وموثوقة” كافٍ: يجب أن توجد آلية تعاقدية محددة.
- أعد المراجعة عند كل تحديث للنموذج. ترقية نموذج AI أو تغيير مزوّد الاستضافة يُعيد فتح ملف الامتثال من جديد، وليس مرة واحدة عند التوقيع الأول.
الأسئلة الشائعة
هل يمكن استضافة نموذج AI على سحابة عالمية طالما البيانات مشفّرة؟
التشفير وحده لا يُلغي متطلبات إقامة البيانات. القاعدة تتعلق بمكان تخزين البيانات ومعالجتها فعليًا، لا بمستوى الحماية التقني المطبَّق عليها فقط. التشفير إجراء أمني إضافي، وليس بديلًا عن آلية نقل قانونية موثقة.
ما الفرق العملي بين DIFC والإطار الاتحادي الإماراتي؟
DIFC له سلطة تنظيم بيانات مستقلة وقواعده نافذة بالفعل. المؤسسات العاملة داخل حدود DIFC تخضع لقواعده تحديدًا، بينما المؤسسات خارجه تخضع للإطار الاتحادي الذي يصبح إلزاميًا بحلول يناير 2027. تحديد أي الإطارين ينطبق على مؤسستك يعتمد على مكان تسجيلها وعملها الفعلي.
هل القطاع المالي في السعودية له قواعد إضافية؟
نعم. المؤسسات الخاضعة لإشراف ساما قد تواجه متطلبات معالجة بيانات إضافية فوق ما ينص عليه PDPL العام، خاصة في أنظمة تتعلق بالتقييم الائتماني أو كشف الاحتيال المدعومة بالذكاء الاصطناعي.
هل نحتاج مستشارًا قانونيًا متخصصًا أم يكفي فريق التقنية؟
تحديد التصنيف القانوني للبيانات ومراجعة آليات النقل عبر الحدود يتطلب عادة مدخلات قانونية متخصصة، لكن فريق التقنية هو من يترجم تلك المتطلبات إلى قرارات بنية تحتية فعلية. أفضل نتيجة تأتي من تعاون الطرفين منذ مرحلة التصميم، لا من فصل القرار القانوني عن القرار التقني.
ابدأ من مكان البيانات، لا من قدرات النموذج
اختيار نموذج AI قوي لا يعني شيئًا إذا كانت البنية التحتية التي يعمل عليها تخالف متطلبات PDPL لإقامة البيانات من اليوم الأول. المؤسسات التي تنجح في نشر AI بثقة في السعودية والإمارات هي التي تبدأ من سؤال “أين يمكن لبياناتنا أن تُخزَّن قانونيًا؟” ثم تبني حول الجواب، لا العكس.
إذا كانت مؤسستك تخطط لمشروع AI ويحتاج فريقك تصميم بنية بيانات متوافقة من البداية، يمكن لفريق استشارات الذكاء الاصطناعي في AI Tech Partners مساعدتك في ربط القرار التقني بالمتطلبات التنظيمية الفعلية لسوقك.
Image credits: خوادم مركز بيانات تمثل متطلبات إقامة البيانات وفق PDPL photo by panumas nikhomkhai on Pexels. غرفة خوادم مؤسسية آمنة photo by panumas nikhomkhai on Pexels.
