تمثل الترتيبات التنظيمية للهيئة السعودية للبيانات والذكاء الاصطناعي أساسًا لفهم موقع «سدايا» في منظومة البيانات والذكاء الاصطناعي داخل المملكة. ولا تقتصر أهمية هذه الترتيبات على الجهات الحكومية أو شركات التقنية؛ لأن أي منشأة تجمع بيانات العملاء أو الموظفين، أو تستخدم أنظمة تحليل آلي، أو تتعاقد مع مزود خدمة سحابية، أو تطور منتجًا يعتمد على الذكاء الاصطناعي، قد تتأثر بصورة مباشرة أو غير مباشرة بالسياسات والمعايير والضوابط الوطنية ذات الصلة.

المشكلة في كثير من الشروحات المختصرة أنها تخلط بين ثلاثة أمور مختلفة: اختصاصات الهيئة نفسها، واختصاص الجهة المشرفة على تطبيق نظام حماية البيانات الشخصية، والتزامات كل جهة تحكم أو معالجة للبيانات. لذلك يوضح هذا الدليل الإطار بصورة عملية، مع بيان ما ينبغي على المنشآت مراجعته عند بناء برنامج امتثال للبيانات أو اعتماد أداة ذكاء اصطناعي.

ما هي الهيئة السعودية للبيانات والذكاء الاصطناعي؟

الهيئة السعودية للبيانات والذكاء الاصطناعي، المعروفة اختصارًا باسم «سدايا»، جهة وطنية ترتبط برئيس مجلس الوزراء، وتعمل في نطاق البيانات والذكاء الاصطناعي وفق الترتيبات التنظيمية والقرارات ذات الصلة. ومن المهم تصحيح الاعتقاد بأن الهيئة أنشئت سنة 2023؛ فالترتيبات التنظيمية صدرت قبل ذلك، وأصبحت سدايا محورًا رئيسيًا في بناء الاستراتيجية الوطنية للبيانات والذكاء الاصطناعي وتطوير الحوكمة والمعايير والقدرات الوطنية.

ولا يعني وجود سدايا أن كل نشاط تقني يحتاج تلقائيًا إلى «ترخيص ذكاء اصطناعي» منها. فقد يحتاج المشروع إلى تراخيص من جهات قطاعية أخرى بحسب النشاط، مثل الصحة أو الاتصالات أو التمويل أو الإعلام أو التجارة، بينما تتمثل مسؤولية المنشأة في تحديد جميع الجهات والأنظمة المنطبقة على حالتها بدل الاكتفاء باسم جهة واحدة.

ماذا تنظم الترتيبات التنظيمية لسدايا؟

تحدد الترتيبات الإطار المؤسسي للهيئة، وأهدافها، واختصاصاتها، وأدواتها الإدارية، وعلاقتها بالجهات ذات الصلة. ويظهر أثرها في مجالات متعددة، من أبرزها:

• اقتراح السياسات والاستراتيجيات المتعلقة بالبيانات والذكاء الاصطناعي ومتابعة تنفيذها.
• رفع مستوى الاستفادة من البيانات بوصفها أصلًا وطنيًا واقتصاديًا مع المحافظة على الحقوق والخصوصية.
• تطوير المعايير والضوابط والأدلة المتعلقة بإدارة البيانات وجودتها ومشاركتها وتصنيفها.
• تنمية القدرات الوطنية والبحث والابتكار وبناء الكفاءات المتخصصة.
• دعم التكامل بين الجهات وتطوير البنية التحتية والمنصات الوطنية المرتبطة بالبيانات.
• تعزيز الاستخدام المسؤول والآمن لتقنيات الذكاء الاصطناعي.

هذه الاختصاصات لا تعفي كل جهة من مسؤوليتها المستقلة. فالمنشأة التي تقرر أغراض جمع البيانات ووسائل معالجتها تعد غالبًا جهة تحكم، وتتحمل التزاماتها النظامية حتى لو كانت تستخدم منصة جاهزة أو مزودًا خارجيًا.

العلاقة بين سدايا ونظام حماية البيانات الشخصية

يعد نظام حماية البيانات الشخصية الإطار الأساسي لمعالجة البيانات الشخصية في المملكة. ويشمل النظام بيانات الأفراد التي يمكن أن تؤدي إلى معرفتهم مباشرة أو بصورة غير مباشرة، مثل الاسم والهوية وبيانات الاتصال والحسابات والصور والموقع والبيانات الصحية والائتمانية وغيرها.

ويتطلب الامتثال أكثر من وضع عبارة عامة في سياسة الخصوصية. يجب على جهة التحكم تحديد المسوغ النظامي للمعالجة، والغرض، والحد الأدنى من البيانات، ومدد الاحتفاظ، والجهات التي قد تفصح لها، وضوابط الأمن، وآلية الاستجابة لحقوق صاحب البيانات. كما يجب التمييز بين الموافقة وغيرها من المسوغات؛ فليست كل معالجة مبنية على موافقة، ولا يجوز استخدام نموذج موافقة فضفاض لتغطية أغراض غير محددة.

من هي جهة التحكم ومن هي جهة المعالجة؟

جهة التحكم هي من تحدد الغرض من معالجة البيانات وكيفيتها، بينما تنفذ جهة المعالجة عمليات المعالجة لمصلحة جهة التحكم وبناءً على تعليماتها. وقد تكون شركة التجارة الإلكترونية جهة تحكم في بيانات عملائها، ويكون مزود الاستضافة أو نظام إدارة العملاء جهة معالجة في حدود الخدمة المتفق عليها.

لا يكفي وصف المورد في العقد بأنه «معالج» إذا كان في الواقع يقرر أغراضًا مستقلة لاستخدام البيانات. لذلك ينبغي تحليل العلاقة الفعلية، وتحديد البيانات، والأغراض، وتعليمات المعالجة، والتدابير الأمنية، والاستعانة بمعالج فرعي، والإخطار بالحوادث، وإعادة البيانات أو إتلافها عند انتهاء العقد.

حقوق صاحب البيانات التي يجب الاستعداد لها

يقرر النظام لصاحب البيانات حقوقًا تمارس وفق أحكامه ولوائحه، ومنها الحق في العلم، والوصول، وطلب الحصول على البيانات بصيغة واضحة، وطلب التصحيح أو الإكمال أو التحديث، وطلب الإتلاف في الحالات التي يسمح بها النظام. وعلى المنشأة ألا تنتظر وصول أول طلب ثم تبحث عن البيانات يدويًا؛ بل ينبغي إنشاء مسار مكتوب للتحقق من هوية مقدم الطلب وتحديد المدة والمسؤول عن الرد والاستثناءات الممكنة.

كما يجب أن تكون إشعارات الخصوصية مفهومة وغير مضللة. وينبغي أن توضح هوية جهة التحكم، ووسائل التواصل، والأغراض، والمسوغ، وفئات البيانات، والجهات المستلمة، ومدة الاحتفاظ أو معيار تحديدها، وحقوق صاحب البيانات، وطريقة تقديم الشكوى.

مبدأ تقليل البيانات وتحديد الغرض

من أكثر أخطاء الامتثال شيوعًا جمع كل معلومة «للاحتياط». الأصل العملي هو ربط كل حقل بغرض مشروع ومحدد. فإذا كانت الخدمة لا تحتاج إلى صورة الهوية أو تاريخ الميلاد أو الموقع الدقيق، فإن جمع هذه البيانات يزيد المخاطر ولا يضيف قيمة مشروعة.

ويجب كذلك مراجعة تغيير الغرض. فقد تجمع المنشأة بيانات العميل لتنفيذ طلب شراء، ثم ترغب لاحقًا في تدريب نموذج تنبؤي أو مشاركة البيانات مع شريك تسويقي. هذا الاستخدام الجديد يحتاج إلى تحليل مستقل للمسوغ ومدى توافقه مع الغرض الأصلي، ولا يصح افتراض جوازه لمجرد أن البيانات موجودة في النظام.

الاحتفاظ بالبيانات والإتلاف المنضبط

ينبغي تحديد جدول احتفاظ يربط فئات البيانات بالمتطلبات النظامية والتعاقدية والتشغيلية. وقد تختلف مدة الاحتفاظ بالفواتير عن تسجيلات الدخول أو طلبات التوظيف أو تسجيلات المكالمات أو ملفات النزاع. وعند انتهاء الغرض وعدم وجود مسوغ للاحتفاظ، يجب إتلاف البيانات بطريقة تجعل استعادتها أو معرفة صاحبها متعذرة وفق الضوابط المنطبقة.

ولا يقتصر الإتلاف على قاعدة البيانات الرئيسية؛ بل يشمل النسخ الاحتياطية، والملفات المشتركة، وأجهزة الموظفين، والبريد الإلكتروني، والنسخ الموجودة لدى الموردين بحسب خطة قابلة للتنفيذ والتوثيق.

الأمن السيبراني وحوادث تسرب البيانات

يلزم نظام حماية البيانات جهة التحكم باتخاذ وسائل تنظيمية وإدارية وتقنية للمحافظة على البيانات. ويتطلب ذلك تقييمًا متناسبًا مع طبيعة البيانات وحساسيتها وحجمها، لا مجرد شراء برنامج حماية. ومن الإجراءات المهمة: إدارة الصلاحيات، والمصادقة متعددة العوامل، والتشفير، وتسجيل العمليات، واختبار الثغرات، وفصل البيئات، ومراجعة الموردين، وخطة الاستجابة للحوادث.

عند وقوع تسرب أو تلف أو وصول غير مشروع، يجب تفعيل فريق الاستجابة فورًا: احتواء الحادث، وحفظ السجلات، وتحديد نطاق البيانات والأشخاص المتأثرين، وتقييم الضرر، وتوثيق القرار، والقيام بالإشعارات التي يوجبها النظام واللائحة. التأخر بسبب الخوف من السمعة قد يضاعف الأثر النظامي والتجاري.

نقل البيانات الشخصية خارج المملكة

لا ينبغي توقيع عقد خدمة سحابية قبل معرفة أماكن التخزين والدعم والنسخ الاحتياطية والمعالجين الفرعيين. انتقال البيانات أو إتاحتها من خارج المملكة قد يدخل ضمن أحكام النقل أو الإفصاح عبر الحدود، ويحتاج إلى تحقق من الشروط والضمانات والاستثناءات والحد الأدنى من البيانات.

ويفضل إعداد خريطة تدفق تبين: مصدر البيانات، والأنظمة التي تمر بها، والدول المحتمل وصولها منها، والغرض، وفترة الاحتفاظ، والضمانات التعاقدية والتقنية. هذه الخريطة تكشف كثيرًا من عمليات النقل التي لا تظهر في العقد الرئيسي.

استخدام الذكاء الاصطناعي بصورة مسؤولة

عند اعتماد نظام ذكاء اصطناعي، يجب ألا تقتصر المراجعة على الدقة التقنية. من الضروري تحديد الغرض والمستخدمين والبيانات الداخلة والمخرجات، واحتمالات التحيز، ومدى قابلية تفسير القرار، وإمكان التدخل البشري، ومخاطر الاعتماد على نتائج غير صحيحة.

تزداد أهمية المراجعة عندما تؤثر الأداة على التوظيف أو الائتمان أو الصحة أو التعليم أو الخدمات الأساسية. وفي هذه الحالات ينبغي تقييم آثار المعالجة، واختبار جودة البيانات، ومنع استخدام البيانات لأغراض غير معلنة، وتحديد مسؤولية اعتماد القرار النهائي، ووضع مسار للاعتراض والتصحيح.

الذكاء الاصطناعي التوليدي وبيانات المنشأة

قد ينسخ الموظف عقدًا أو ملف عميل أو شفرة مصدرية إلى أداة توليدية عامة طلبًا للتلخيص. هذا السلوك قد يؤدي إلى إفشاء بيانات شخصية أو أسرار تجارية أو معلومات محمية. لذلك تحتاج المنشأة إلى سياسة واضحة تحدد الأدوات المسموح بها، والبيانات المحظور إدخالها، وحالات وجوب إخفاء الهوية، وآلية مراجعة المخرجات، وحقوق الملكية الفكرية، ومسؤولية الخطأ.

كما ينبغي ألا تعتمد المنشأة على مخرجات الأداة دون تحقق بشري، خصوصًا في القرارات القانونية أو المالية أو الطبية. فالذكاء الاصطناعي يساعد في التحليل لكنه لا ينقل مسؤولية القرار من الجهة المستخدمة إلى مزود التقنية.

العقود مع مزودي التقنية والبيانات

العقد الجيد يجب أن يحدد فئات البيانات وأغراض المعالجة وتعليمات جهة التحكم والتدابير الأمنية وموقع التخزين ومدة الاحتفاظ. وينبغي أن يتناول أيضًا:

• إخطار المنشأة بالحوادث خلال مدة مناسبة تسمح لها بالامتثال.
• ضوابط استخدام المعالجين الفرعيين وتغييرهم.
• حق التدقيق أو الحصول على أدلة امتثال موثوقة.
• منع استخدام البيانات لتدريب نماذج المورد إلا وفق أساس واضح ومشروع.
• المساعدة في الرد على طلبات أصحاب البيانات.
• إعادة البيانات أو نقلها أو إتلافها عند انتهاء الخدمة.
• استمرارية الأعمال وخطة الخروج ومنع احتجاز البيانات.

يمكن ربط هذه المراجعة بخدمة الاستشارات القانونية للشركات ومراجعة إبرام العقود التجارية قبل التوقيع.

خطة امتثال عملية للمنشآت

1. تشكيل المسؤولية: تحديد مالك برنامج الخصوصية وتوزيع الأدوار بين القانوني والأمن والتقنية والموارد البشرية.
2. جرد البيانات: حصر الأنظمة والفئات والأغراض والمستلمين وعمليات النقل والاحتفاظ.
3. تحديد الصفة: بيان متى تكون المنشأة جهة تحكم أو معالجة أو جهة تحكم مشتركة.
4. تحليل المسوغات: ربط كل معالجة بمسوغ وغرض محدد وتوثيق القرار.
5. تحديث الوثائق: سياسات الخصوصية، وسجل المعالجة، واتفاقيات المعالجة، ونماذج الحقوق والحوادث.
6. إدارة الموردين: تصنيفهم بحسب المخاطر ومراجعة عقودهم وتدابيرهم الأمنية.
7. التدريب: تدريب الموظفين بحسب دورهم بدل الاكتفاء برسالة عامة سنوية.
8. الاختبار: تنفيذ تمارين حادث تسرب واختبار طلب وصول أو إتلاف بصورة دورية.
9. المراجعة المستمرة: تحديث البرنامج عند إطلاق منتج أو تغيير مورد أو إدخال أداة ذكاء اصطناعي.

أخطاء شائعة يجب تجنبها

• نسخ سياسة خصوصية من موقع آخر دون أن تعكس المعالجة الفعلية.
• اعتبار موافقة المستخدم مسوغًا دائمًا لكل غرض.
• الاحتفاظ بالبيانات بلا مدة أو مسؤول إتلاف.
• عدم حصر البيانات الموجودة في البريد والملفات غير المنظمة.
• توقيع عقد سحابي دون معرفة موقع البيانات والمعالجين الفرعيين.
• إدخال ملفات سرية في أدوات ذكاء اصطناعي عامة.
• تأخير الإبلاغ الداخلي عن الحوادث.
• الاعتقاد أن مورد التقنية يتحمل وحده مسؤولية الامتثال.

أسئلة شائعة

هل كل شركة تستخدم الذكاء الاصطناعي تحتاج إلى ترخيص من سدايا؟

لا توجد قاعدة عامة تجعل كل استخدام للذكاء الاصطناعي محتاجًا تلقائيًا إلى ترخيص واحد من سدايا. يجب فحص النشاط والقطاع والبيانات وطبيعة الخدمة والجهات المنظمة الأخرى، ثم تحديد التراخيص والضوابط المنطبقة.

هل تنطبق حماية البيانات على بيانات الموظفين؟

نعم، بيانات الموظفين بيانات شخصية، ويجب تحديد أغراض جمعها ومسوغاتها وصلاحيات الوصول إليها ومدد الاحتفاظ بها وحقوق أصحابها، مع مراعاة الأنظمة العمالية والمتطلبات النظامية الأخرى.

هل يجوز استخدام بيانات العملاء لتدريب نموذج ذكاء اصطناعي؟

لا يجوز افتراض ذلك لمجرد حيازة البيانات. يلزم تحليل الغرض والمسوغ والتوافق مع الإشعار والعقد، وتقليل البيانات، والمخاطر، وحقوق أصحاب البيانات، وأي نقل أو مشاركة مع المورد.

ما أول وثيقة تبدأ بها المنشأة؟

الأفضل البدء بجرد حقيقي للبيانات وسجل عمليات المعالجة؛ لأن السياسة والعقود وإشعارات الخصوصية لا يمكن أن تكون دقيقة قبل معرفة ما تجمعه المنشأة ولماذا وأين تحفظه ومن يصل إليه.

الخلاصة

فهم الترتيبات التنظيمية لسدايا لا يعني حفظ اختصاصات الهيئة فقط، بل تحويل مبادئ الحوكمة وحماية البيانات والاستخدام المسؤول للذكاء الاصطناعي إلى إجراءات يومية قابلة للإثبات. وكلما كانت خريطة البيانات والعقود والصلاحيات والاستجابة للحوادث أكثر وضوحًا، انخفضت مخاطر التسرب والنزاع وتعطل المنتجات.

تنبيه مهني: هذا المحتوى معلوماتي عام، ولا يغني عن مراجعة الأنظمة واللوائح والسياسات الرسمية السارية ودراسة نشاط المنشأة وبياناتها وعقودها على نحو خاص.