كل نظام ذكاء اصطناعي يعمل على بيانات شخصية في المملكة يخضع لنظام حماية البيانات الشخصية (PDPL) من لحظة تشغيله الأولى، والشركات التي تصل بمشاريعها إلى الإنتاج هي التي تبني الحوكمة قبل النشر لا بعده. يشرح هذا المقال ما يطلبه المنظِّم فعلاً من أنظمة الذكاء الاصطناعي، والسؤال الواحد الذي يحدّد كم حوكمة يحتاج كل استخدام، والوثائق الخمس التي تصمد أمام التدقيق، والمواضع التي تخسر فيها الشركات المال والوقت.
المسألة ليست نظرية. قدّرت IBM متوسط تكلفة اختراق البيانات في الشرق الأوسط بـ8.75 مليون دولار في 2024، ثاني أعلى المناطق عالمياً، مقابل متوسط عالمي قدره 4.88 مليون دولار (IBM via The National, 2024). ونظام ذكاء اصطناعي يبتلع بيانات العملاء دون سجلّ ولا ضوابط هو مدخل إضافي نحو هذا الرقم، وربّما نحو سؤال من سدايا (SDAIA) لا جواب موثّقاً لديك له.
ما يطلبه نظام حماية البيانات من مشاريع الذكاء الاصطناعي فعلاً
دخل PDPL حيّز النفاذ في 14 سبتمبر 2023، وانتهت مهلة الامتثال الكامل في 14 سبتمبر 2024، وسدايا هي الجهة التي تنفّذه (Morgan Lewis, 2024). وبالنسبة إلى أنظمة الذكاء الاصطناعي تحديداً، هذه البنود التي تعضّ.
- البيانات الشخصية تدخل النطاق بمجرّد لمسها. درّبت نموذجاً أو شغّلته على بيانات شخصية وأنت داخل النطاق: أساس نظامي، وتقليل للبيانات، وحصر للغرض، وحقوق للأفراد، وقيود على النقل خارج المملكة تحكمها المادة 29 ولوائح النقل التي أصدرتها سدايا وهي قيد التنفيذ الآن (trade.gov, 2024). «غذّينا النموذج ببيانات العملاء» فعل خاضع للتنظيم، تماماً كاستدعاء خدمة مستضافة في الخارج.
- الغرض القديم لا يغطّي الاستخدام الجديد. البيانات التي جُمعت لتقديم خدمة لم تُجمع لتدريب نموذج يقيّم أصحابها؛ والغرض الجديد يحتاج أساساً خاصاً به، موثّقاً قبل التدريب لا بعده.
- القرار المنظّم يحتاج تفسيراً. النموذج العاجز عن تبرير مخرجاته مسؤولية في كل مكان يُتخذ فيه قرار خاضع للتنظيم: الائتمان، والتوظيف، والتأمين، والرعاية الصحية.
- التحيّز تعرّض قانوني لا أخلاقي فحسب. النتائج المنحرفة تؤذي الناس وتعرّضك للمساءلة. تختبره ولا تفترض غيابه.
- لا بد من مالك باسمه. «الذكاء الاصطناعي قرّر» ليس دفاعاً؛ شخص مسمّى هو المسؤول، والمنظِّم سيطلب ذلك الاسم.
وللجانب الهندسي من الامتثال، اقرأ دليل PDPL العملي لقادة التقنية.
سؤال واحد يحدّد مستوى الحوكمة الذي يحتاجه كل استخدام
تسمع «حوكمة الذكاء الاصطناعي» فتتخيّل لجنة تعطّل المشاريع ستة أشهر. في خبرتنا، أغلب الاستخدامات لا يحتاج لجنة، بل إجابة صادقة عن سؤال واحد قبل كتابة أي كود: هل يمسّ هذا النظام بيانات شخصية، وهل يتّخذ بشأن شخص قراراً أو يؤثّر فيه تأثيراً جوهرياً؟
flowchart TD
A(["استخدام مقترح للذكاء الاصطناعي"]) --> B{"هل يمسّ بيانات شخصية؟"}
B -->|"لا"| C(["الحد الأدنى: سياسة استخدام ومالك مسمّى"])
B -->|"نعم"| D{"هل يتّخذ قراراً بشأن شخص أو يؤثّر فيه جوهرياً؟"}
D -->|"لا"| E(["أساسي: سجل بيانات وأساس نظامي وضوابط وصول"])
D -->|"نعم"| F(["كامل: تقييم أثر واختبار تحيّز ومراجعة بشرية وسجلات"])
- الحد الأدنى. مساعد صياغة يعمل على مستندات غير شخصية، أو مساعد برمجة. اكتب ما يجوز استخدامه فيه، وسمِّ مالكاً، وامضِ.
- أساسي. روبوت دعم يقرأ سجلات العملاء، أو استخراج فواتير تحمل أسماءً. البيانات الشخصية حاضرة لكن لا أحد يُحكم عليه؛ يكفي سجل بيانات وأساس نظامي وضوابط وصول.
- كامل. كل ما يرتّب شخصاً أو يقيّمه أو يوافق عليه أو يعلّمه أو يسعّره: فرز طلبات التمويل، وتصفية السير الذاتية، وإشارات الاحتيال. هنا تُبنى الوثائق الخمس كلها، ويضاف إليها تقييم الأثر.
أغلب أفكار الذكاء الاصطناعي في شركة عادية تقع في الحد الأدنى أو الأساسي، حيث الحوكمة رخيصة وسريعة، والجهد يصرف على الحفنة الواقعة في المستوى الكامل. وهذا توزيع صحيح للجهد.
خمس وثائق تجعل نشر الذكاء الاصطناعي قابلاً للدفاع
لا تحتاج إطاراً من مئتي صفحة؛ تحتاج خمس وثائق قصيرة تستطيع تسليم أي منها لمدقّق غداً.
flowchart LR A(["سجل البيانات: ماذا نحتجز ولماذا"]) --> B(["بطاقة النموذج: ماذا يفعل النظام ومن يملكه"]) B --> C(["تقرير التحيّز والدقة: أداء مقيس لا ادّعاء"]) C --> D(["سجل المراجعة: تدخّل الإنسان موثّق"]) D --> E(["سياسة الاستخدام المقبول: الحدود معلنة للجميع"])
- سجل البيانات. كل حقل، من أين جاء، ولماذا تحتفظ به، وأين يُعالَج. وأي واجهة برمجية مستضافة خارج المملكة تحتاج آلية نقل مذكورة في سطرها. للجانب العملي، اقرأ استخدام بيانات شركتك مع الذكاء الاصطناعي بأمان.
- بطاقة النموذج. صفحة واحدة: الغرض، والمدخلات، وبيانات التدريب، والحدود المعروفة، والمالك، وتاريخ المراجعة القادمة. هذه الورقة هي ما يصمد أمام التدقيق.
- تقرير التحيّز والدقة. قسّم مجموعة التقييم حسب الجنسية والجنس والفئة العمرية والمنطقة، وقارن معدلات الخطأ بحدود كتبتها قبل الاختبار، ثم أعد تشغيله وفق جدول معلوم لا عند تذكّرك.
- سجل المراجعة البشرية. إنسان في الحلقة يعتمد كل قرار، أو عليها يراجع عيّنات ويستطيع الإيقاف، بصلاحية نقض حقيقية، مع سجل يثبت أن المراجعات حدثت فعلاً.
- سياسة الاستخدام المقبول. نصف صفحة: ما يجوز وما لا يجوز استخدام الذكاء الاصطناعي فيه، وما يحدث حين يخالف أحد القاعدة. موظف يلصق بيانات عميل في روبوت محادثة عام هو الفشل الذي تمنعه هذه الورقة.
لا شيء من هذا سبب لتجنّب الذكاء الاصطناعي؛ إنه ما يتيح نشره في سوق منظّم والنوم قرير العين. وفي خبرتنا، بناء هذه الوثائق من اليوم الأول أرخص كثيراً من تركيبها بعد حادثة أو طلب من المنظِّم.
مثال محسوب: تصفية السير الذاتية في قسم الموارد البشرية
لنفترض أن شركة سعودية تنمو بسرعة توظّف 50 دوراً شهرياً وتستقبل نحو 2,000 سيرة ذاتية، وأن ثلاثة من فريق التوظيف يصرفون معظم أسبوعهم على المرور الأول. الأرقام افتراضية لتوضيح الشكل. النظام المقترح يقرأ السير الذاتية ويرتّبها ويعطي كل مرشّح درجة مع مبرّراتها، ثم تذهب قائمة مختصرة إلى المقابلات بقرار بشري.
- البوابة. النظام يرتّب أشخاصاً لقرار توظيف ← المستوى الكامل من اليوم الأول.
- البيانات. السيرة الذاتية بيانات شخصية بامتياز: اسم وجنسية وعنوان وتاريخ ميلاد وسجلّ وظيفي. الأساس النظامي موثّق لكل حقل، والاستضافة داخل المملكة (توطين البيانات) فلا نقل عبر المادة 29 أصلاً، وهو ما وفّر وحده شهر عمل قانوني.
- الإشراف. لا استبعاد تلقائي نهائياً؛ النموذج يرتّب فقط والقرار لإنسان. وتراجَع عيّنة بنسبة 10% ممن لم يصلوا إلى القائمة المختصرة، للتحقق من أن الترتيب لا يخطئ خطأً نظامياً في حقّ فئة بعينها.
- اختبار التحيّز. تشغّل النموذج على 24,000 سيرة بتاريخ توظيف العام الماضي، وتقارن معدلات الوصول إلى القائمة المختصرة حسب الجنس والجنسية والمنطقة عند تساوي المؤهلات. لنقل إن فئة واحدة تصل بمعدل 1.3 ضعف غيرها دون فرق حقيقي في الأداء الوظيفي. هذه نتيجة لا مانع: أزل الخاصية الوكيلة، وأعد الاختبار، ووثّق التشغيلتين.
- السجلات. سجل بيانات، وبطاقة نموذج، وتقرير تحيّز، وسجل مراجعة، وسياسة استخدام. نحو خمس عشرة صفحة في مجموعها.
يتفرّغ اثنان من الثلاثة للمقابلات والاستقطاب ويدير الثالث القائمة، وحين يسأل مرشّح أو منظّم «لماذا لم يُختَر فلان؟» تجيب في يوم واحد بسجلّ موثّق بدل أسبوع من الارتباك. كلفت الحوكمة نحو ثلاثة أسابيع مرة واحدة؛ ومن دونها كان المشروع سيُطلق أسرع ويصبح تعرّضاً قانونياً من يومه الأول.
أين تنهار حوكمة الذكاء الاصطناعي عادةً
أنماط الفشل متكرّرة، وأغلبها اقتصاد زائف.
- سياسة في درج. الحوكمة التي لا تظهر في الواقع ضوابط وصول وقوائم مراجعة ومهام اختبار، هي زينة لا تصمد أمام أول سؤال جدّي.
- التركيب بعد الإطلاق. إلحاق أساس نظامي ببيانات استُخدمت أصلاً في التدريب أمر بين المؤلم والمستحيل، وإلحاق مراجعة بشرية بعد الاعتماد يعني إعادة بناء سير العمل من جديد.
- تصديق كلام المورّد. «نموذجنا غير متحيّز ومتوافق مع PDPL» ادّعاء بيعي، والتعرّض تعرّضك وحدك. اطلب منهجية الاختبار ومنطقة الاستضافة وقائمة المعالجين الفرعيين، كتابةً.
- تخطّي ضوابط المخاطر تسريعاً للنشر. يتوقّع Gartner أن يُهجَر ما لا يقل عن 30% من مشاريع الذكاء الاصطناعي التوليدي بعد إثبات المفهوم بنهاية 2025، وضوابط المخاطر غير الكافية من الأسباب التي يسمّيها (Gartner, 2024). إثبات المفهوم الذي تجاهل الحوكمة لا يحصل على اعتماد الإنتاج أبداً.
- نسيان طبقة الأمن تحتها. حوكمة الذكاء الاصطناعي تقف فوق أمن سيبراني سليم، لا بديلاً عنه. إن لم تكن ضوابطك بلغت الحدّ الأدنى بعد، ابدأ بـالامتثال لضوابط NCA ECC ثم أضف طبقة الذكاء الاصطناعي فوقها.
كيف تبدأ: نظام واحد مكتمل ثم قالب يُعاد استخدامه
النمط الذي رأيناه ينجح مملّ وموثوق. احصر كل استخدام للذكاء الاصطناعي في الشركة، الرسمي وغير الرسمي معاً؛ حسابات الفريق في أدوات عامة تحسب من القائمة. مرّر كل بند عبر بوابة السؤال الواحد وصنّفه حداً أدنى أو أساسياً أو كاملاً. اختر نظاماً واحداً في المستوى الكامل، ويُفضَّل الذي يمسّ أكبر عدد من الناس، وخذه عبر الوثائق الخمس كاملة، وقِس كم استهلك ذلك من الوقت. ثم حوّل ما أنتجته إلى قوالب جاهزة: سجل بيانات، وبطاقة نموذج، وتقرير اختبار، وسجل مراجعة.
النظام الثاني يستهلك جزءاً يسيراً من وقت الأول لأنك تملأ نموذجاً بدل أن تخترع عملية. وبعد نظامين أو ثلاثة تملك ممارسة حوكمة حقيقية دون أن تكتب إطاراً قط، ويصبح سؤال المنظِّم القادم بحثاً في السجلات لا أزمة في الاجتماعات.
هل تنوي نشر الذكاء الاصطناعي على بيانات عملائك أو بيانات خاضعة للتنظيم داخل المملكة؟ تبني SDCG حوكمة الذكاء الاصطناعي المتوائمة مع PDPL ومبادئ سدايا داخل أنظمتك من اليوم الأول، فتنشر بثقة وبشكل قابل للدفاع. نحن مستقلون فلا نوجّهك نحو منتج أحد. احجز استشارة مجانية مدتها 30 دقيقة.