نظام حماية البيانات الشخصية السعودي والذكاء الاصطناعي: كيف تشغّل الذكاء الاصطناعي على بيانات شركتك دون مخالفة نظام المملكة

واقع الإنفاذ: لم يعد الأمر نظريًا

نظام حماية البيانات الشخصية — الصادر بالمرسوم الملكي م/19 في 2021 والمعدّل بالمرسوم الملكي م/148 في 2023 — أصبح واجب التطبيق الكامل في 14 سبتمبر 2024. وانتهى في ذلك اليوم أي قراءة للنظام على أنه التزام ورقي.

وقد أثبتت الجهة التنظيمية — الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» — الجدية بالأرقام: أصدرت 48 قرار مخالفة في 2025 وحده. وجدول العقوبات له أنياب: الغرامات تصل إلى 5 ملايين ريال عن المخالفة الواحدة ويمكن مضاعفتها عند التكرار. أما الإفصاح غير المشروع عن البيانات الشخصية الحساسة فيُعامل بقسوة أكبر: حتى 3 ملايين ريال و/أو السجن سنتين.

ولمسؤول الامتثال، المهم ليس الرقم وحده بل ما يكشفه عن النهج: فجهة تنظيمية تصدر قرارات مخالفة هي جهة تفحص المؤسسات مقابل متطلبات النظام وتدوّن خلاصاتها كتابةً. والافتراض العملي لأي شركة تعالج بيانات شخصية في المملكة أن امتثالها سيُختبَر مقابل نص النظام — لا مقابل ما قالته يومًا شريحة عرض عن النص.

و«الحساسة» ليست فئة مجردة: البيانات الصحية بيانات شخصية حساسة بموجب النظام، ما يضع المستشفيات والعيادات وشركات التأمين ومنصات التقنية الصحية على بُعد تصدير واحد في غير محله من الشق الجزائي من جدول العقوبات.

ما الذي يقوله النظام فعلًا عن النقل عبر الحدود

هذا هو الادعاء الذي وُجدت هذه الصفحة لتصحيحه، لأن معظم المحتوى المتصدّر اليوم يكرره: «نقل البيانات الشخصية خارج المملكة يتطلب موافقة سدايا». هذه قاعدة قديمة تجاوزها النظام. فبموجب النظام المعدّل ولائحته الخاصة بنقل البيانات، يُسمح بالنقل خارج المملكة على ثلاث قواعد: كفاية الحماية في الوجهة؛ أو الضمانات المناسبة كالبنود التعاقدية القياسية أو الأدوات على نمط القواعد المؤسسية الملزمة؛ أو استثناءات محددة. لا يوجد شرط موافقة شامل.

والفرق عملي لا لفظي: قاعدة الموافقة تجعل كل عملية نقل طابورًا تقديريًا، أما الإطار الفعلي فيجعل كل عملية نقل قرارًا موثقًا أنت مسؤول عنه. ما يزال عليك أن تعرف أين تذهب البيانات وعلى أي قاعدة يقوم كل تدفق — لكن نموذج «بوابة الموافقات» انتهى.

ولكل قاعدة كلفة تشغيلية مختلفة: كفاية الحماية هي الأخفّ حيثما انطبقت، لأن مستوى الحماية في الوجهة نفسه يؤدي العمل. والضمانات المناسبة هي الأداة العامة: أدوات تعاقدية — كالبنود التعاقدية القياسية أو الالتزامات على نمط القواعد المؤسسية الملزمة داخل المجموعة — تُلزم المتلقي بحماية البيانات التي يتسلمها. أما الاستثناءات فهي الباب الضيق المخصص لحالات محددة. ومعظم الشركات التي تشغّل برمجيات أو أحمال عمل ذكاء اصطناعي اعتيادية ستعيش في الفئة الوسطى، ما يعني أن وثيقة الضمان ليست ملحقًا بالنقل — بل هي ما يجعل النقل نظاميًا.

ويظل استثناء واحد قائمًا بعد التصحيح: القواعد القطاعية تسري فوق نظام حماية البيانات. ومتطلبات البنك المركزي السعودي «ساما» للقطاع المصرفي هي المثال المعتاد. نظام حماية البيانات يضع الحد الأدنى، لا السقف.

لماذا يمثّل «أرسلها إلى واجهة نموذج لغوي» مشكلة في نظام حماية البيانات

النمط الافتراضي لإضافة الذكاء الاصطناعي إلى شركة — ضخّ محتويات قاعدة البيانات إلى واجهة نموذج أجنبية — يُنتج حدثي امتثال دفعة واحدة: فهو نقل للبيانات الشخصية خارج المملكة يجب أن يقوم على كفاية الحماية أو ضمانات مناسبة أو استثناء، وهو أيضًا معالجة لدى طرف ثالث يجب أن تكون قادرًا على تقديم حساب عن تعامله مع تلك البيانات. كل طلب يحمل صفًا من بيانات عميل هو الاثنان معًا.

وإذا كان أيٌّ من تلك الصفوف حساسًا — وفي الرعاية الصحية هو كذلك بحكم التعريف — يتصاعد التعرّض من الغرامات الإدارية إلى جريمة الإفصاح التي تصل عقوبتها إلى 3 ملايين ريال والسجن. وعبارة «أرسلنا خانات قليلة فقط» ليست دفاعًا حين تكون تلك الخانات تشخيصات طبية.

لا شيء من هذا يحرّم الذكاء الاصطناعي؛ إنه يحرّم المعمارية غير المدروسة. السؤال الذي يطرحه النظام على منظومة ذكائك الاصطناعي هو نفسه الذي يطرحه على أي نظام آخر: أين تذهب البيانات، وعلى أي أساس نظامي، وهل تستطيع إثبات ذلك؟

النمط المعماري الملتزم

أبسط إجابة عن سؤال «أين تذهب البيانات» هي أن تجعل الإجابة «لا إلى أي مكان». هذا هو النمط الذي بُني عليه DEBO: يُنشر DEBO داخل بيئتكم في المملكة، فتُعالج البيانات الشخصية حيث تقع نظامًا أصلًا — ولا نقل عابرًا للحدود يحتاج تبريرًا لطبقة الذكاء الاصطناعي لأنه لا يوجد نقل أصلًا. والوصول مقيد بالصلاحيات بحسب الدور، فلا يستطيع كل شخص استجواب إلا البيانات التي يخوّلها عمله رؤيتها، ويُكتب كل سؤال وكل إجابة في سجل تدقيق — الدليل، إن سألت سدايا يومًا، على كيفية معالجة البيانات الشخصية بالضبط.

المعالجة داخل المملكة، والوصول المقيد بالصلاحيات، وسجل التدقيق — ليست متطلبات غريبة؛ بل هي المعمارية التي ظل النظام يصفها منذ البداية. سواء بنيتموها أم اشتريتموها، هذا هو الشكل الذي يتخذه نشر ذكاء اصطناعي ملتزم بنظام حماية البيانات.