مشهد حوكمة الذكاء الاصطناعي في البحرين 2026: السياسة والخصوصية والأمن والتنظيم القطاعي

لماذا لا توجد وثيقة واحدة تكفي لفهم حوكمة AI في البحرين؟

أطلقت مملكة البحرين في 2025 السياسة العامة لاستخدام الذكاء الاصطناعي، وأعلنت هيئة المعلومات والحكومة الإلكترونية تدشينها رسميًا في يوليو من العام نفسه.

لكن فهم بيئة AI Governance في البحرين لا يبدأ وينتهي عند هذه السياسة.

النظام الفعلي قد يقع في الوقت نفسه ضمن عدة طبقات:

• السياسة العامة لاستخدام الذكاء الاصطناعي.
• قانون حماية البيانات الشخصية رقم 30 لسنة 2018.
• الاستراتيجية الوطنية للأمن السيبراني 2025–2028.
• متطلبات مصرف البحرين المركزي في الأنشطة المالية التي تدخل ضمن نطاقه.
• متطلبات الصيرفة المفتوحة وواجهات API.
• سياسات المؤسسة الداخلية.
• العقود مع مزودي التقنية والسحابة والنماذج.

لهذا السبب فإن السؤال الصحيح ليس:

ما هو قانون الذكاء الاصطناعي في البحرين؟

بل:

ما الطبقات القانونية والتنظيمية والسياساتية التي تنطبق على هذا AI system بالذات؟

لا يوجد Bahrain AI Act شامل

لا يوجد أساس موثق لوصف البحرين بأنها أصدرت قانونًا عامًا شاملًا للذكاء الاصطناعي على نمط تشريع أفقي واحد يغطي كل القطاعات.

الموجود حاليًا هو نموذج متعدد الطبقات.

السياسة الوطنية تعطي اتجاهًا عامًا لحوكمة الاستخدام، بينما القوانين واللوائح القطاعية تضيف التزامات بحسب نوع البيانات والقطاع والنشاط.

هذا التمييز جوهري.

Policy ليست Law.

Strategy ليست Regulation.

Sector Rule لا يطبق تلقائيًا على كل مؤسسة.

السياسة العامة لاستخدام الذكاء الاصطناعي 2025

الإصدار الأول من السياسة مؤرخ في مايو 2025، ثم أعلنت هيئة المعلومات والحكومة الإلكترونية إطلاقها رسميًا في يوليو 2025.

الوثيقة تمثل الطبقة الوطنية الأوضح لاستخدام AI بصورة مسؤولة وآمنة ومنظمة.

قيمتها العملية ليست في مجرد وجود سياسة وطنية، بل في أنها تدفع المؤسسات نحو تحويل استخدام AI من نشاط تقني غير منضبط إلى نشاط مؤسسي له:

• مالك.
• غرض.
• حدود.
• تقييم مخاطر.
• ضوابط.
• مراقبة.
• مساءلة.

لا ينبغي، مع ذلك، تحويل كل مبدأ فيها إلى التزام قانوني غير موجود.

قانون حماية البيانات الشخصية

قانون رقم 30 لسنة 2018 يمثل طبقة قانونية مستقلة عندما يتعامل النظام مع بيانات شخصية.

يمكن أن تظهر البيانات الشخصية في AI دون أن تكون المؤسسة بصدد بناء "قاعدة بيانات أشخاص" تقليدية.

مثلاً:

• prompts.
• ملفات مرفوعة.
• صور.
• تسجيلات صوتية.
• بيانات عملاء.
• سجلات موظفين.
• behavioral signals.
• support tickets.
• model logs.
• knowledge bases.

إذا كان بالإمكان ربط المعلومة بفرد، فإن تحليل حماية البيانات يصبح جزءًا من AI governance.

المسؤولية بين المتحكم والمعالج

من النقاط المهمة في القانون أن المتحكم لا يستطيع التخلص من مسؤولياته ببساطة عبر إرسال البيانات إلى مزود خارجي.

القانون يفرض على المتحكم اختيار معالج يقدم ضمانات كافية فيما يتعلق بالتدابير التقنية والتنظيمية، كما يربط المعالجة بعلاقة تعاقدية وتعليمات محددة.

هذا مهم مباشرة في بيئة:

• AI SaaS.
• cloud AI.
• hosted models.
• OCR services.
• identity providers.
• analytics platforms.

في سياق AI، Vendor Due Diligence ليست عملية مشتريات فقط؛ قد تصبح جزءًا من control environment القانوني والتقني لمعالجة البيانات.

الاستراتيجية الوطنية للأمن السيبراني 2025–2028

الاستراتيجية البحرينية الحالية هي الإصدار الثاني من الاستراتيجية الوطنية.

وتقوم على خمس ركائز:

1. المرونة السيبرانية المتقدمة.
2. حوكمة الأمن السيبراني الفعالة.
3. التعاون والشراكات الممتدة.
4. التوعية المستدامة وتطوير القوى العاملة.
5. البحث والتطوير والابتكار السيبراني.

هذه ليست استراتيجية AI.

لكنها مهمة جدًا لأن AI systems توسع سطح الهجوم وتعتمد غالبًا على سلاسل تقنية معقدة.

AI كمساحة هجوم جديدة

قد يضيف AI مخاطر مثل:

• prompt injection.
• malicious retrieval.
• insecure agents.
• exposed model endpoints.
• over-privileged service accounts.
• model supply-chain risk.
• data exfiltration.
• malicious files.
• compromised plugins.

لكن هذه المخاطر لا تلغي:

• IAM.
• network security.
• endpoint controls.
• incident response.
• business continuity.

الذكاء الاصطناعي يضيف طبقة إلى الأمن، لا يستبدله.

Cyber Resilience أهم من منع الحوادث فقط

الركيزة الأولى في الاستراتيجية الوطنية تركز على القدرة على:

• الاستباق.
• المقاومة.
• الاستجابة.
• التعافي.
• التكيف.

وهذا مهم عند تقييم AI system يعتمد على provider خارجي.

السؤال ليس فقط:

هل المزود آمن؟

بل أيضًا:

ماذا يحدث إذا توقف؟

هل لدينا fallback؟

هل يمكن استبداله؟

ما أثر توقف model API على الخدمة؟

التنظيم المالي

البحرين تمتلك بيئة مالية رقمية متقدمة، ويظهر ذلك بوضوح في إطار الصيرفة المفتوحة لدى مصرف البحرين المركزي.

إذا أصبح AI جزءًا من:

• تحليل الحسابات.
• كشف الاحتيال.
• تخصيص الخدمات.
• إدارة العملاء.
• initiation workflows.
• APIs.
• financial recommendations.

فلا يجوز تقييم النموذج بمعزل عن الخدمة المالية.

Open Banking + AI

Open Banking يزيد الترابط بين:

Bank → Customer → API → Third Party → Data → Analytics → AI

وكل وصلة تضيف مخاطر مختلفة.

AI يمكن أن يحسن القيمة المستخرجة من البيانات، لكنه في الوقت نفسه يزيد أهمية:

• consent.
• access control.
• data minimization.
• API security.
• third-party governance.
• audit trails.

Government AI

السياسة الوطنية تعطي أهمية خاصة للاستخدام المؤسسي المسؤول.

في الجهات الحكومية تصبح الأسئلة أكثر حساسية لأن النظام قد يؤثر في:

• خدمة عامة.
• طلب مواطن.
• أهلية.
• أولوية.
• تصنيف.
• مراقبة.
• توزيع موارد.

كلما اقترب AI من ممارسة سلطة عامة أو التأثير المباشر على الفرد، يجب رفع مستوى المراجعة والإشراف والأدلة حتى لو لم يوجد تصنيف قانوني مستقل باسم "High-Risk AI".

Regulatory Stack

يمكن تمثيل البيئة البحرينية بهذه الصورة:

National AI Policy + Personal Data Protection + Cybersecurity + Sector Regulation + Internal Governance + Contracts

ليس كل عنصر ينطبق بنفس الطريقة على كل use case.

Use-Case Scoping

قبل تصميم controls، اكتب بطاقة للنظام تتضمن:

• ما النظام؟
• ماذا يفعل؟
• من يستخدمه؟
• من يتأثر به؟
• هل يتخذ قرارًا؟
• هل ينفذ إجراءً؟
• ما البيانات؟
• أين تتم المعالجة؟
• من المورد؟
• ما القطاع؟

هذه البطاقة تحدد بقية التحليل.

AI Inventory

الـInventory يجب ألا يقتصر على النماذج التي بنتها IT.

أدرج:

• SaaS AI.
• copilots.
• embedded AI.
• vendor analytics.
• security AI.
• HR AI.
• customer-facing AI.
• autonomous agents.

Shadow AI

إذا استخدم الموظفون أدوات غير معتمدة، تصبح المؤسسة غير قادرة على معرفة:

• ما البيانات التي خرجت.
• أين خُزنت.
• هل استُخدمت للتدريب.
• من يملك الحساب.
• ما شروط الخدمة.

لذلك Shadow AI ليس مشكلة تدريب فقط، بل Governance Gap.

Risk Classification

يمكن بناء تصنيف داخلي باستخدام عوامل مثل:

• أثر القرار.
• حساسية البيانات.
• استقلالية النظام.
• حجم المستخدمين.
• قابلية التصحيح.
• الأثر المالي.
• الأثر القانوني.
• المورد الخارجي.
• القطاع.

الهدف ليس إنتاج رقم جميل، بل تغيير شدة controls بحسب المخاطر.

Human Oversight

وجود موظف في workflow لا يعني وجود إشراف فعلي.

الإشراف الحقيقي يحتاج:

• صلاحية رفض.
• معلومات كافية.
• وقت مناسب.
• تدريب.
• سجل للتدخلات.
• escalation.

Agentic AI

الوكلاء يرفعون المخاطر لأن AI ينتقل من:

Generate

إلى:

Act.

لذلك يجب تقييد:

• identity.
• permissions.
• available tools.
• transactions.
• approval thresholds.
• credentials.
• logging.

Third-Party AI

المورد يجب أن يخضع لتقييم يشمل:

• security.
• privacy.
• data use.
• training use.
• retention.
• subprocessors.
• incident notification.
• service continuity.
• deletion.
• exit.

ولا يكفي أن يكون المورد عالميًا أو معروفًا.

Data Flow

ارسم مسار البيانات الفعلي:

User → Application → AI Model → Retrieval → Logs → Vendor → Subprocessor → Backup

ثم حدد عند كل نقطة:

• data type.
• purpose.
• location.
• access.
• retention.
• protection.

Cross-Border Architecture

لا يمكن استنتاج موقع المعالجة من اسم الشركة أو موقع مركز البيانات الرئيسي فقط.

قد يحدث:

• inference في منطقة.
• logging في أخرى.
• support access من دولة ثالثة.
• backup في منطقة مختلفة.

لذلك architecture أهم من marketing statement.

Incident Management

حادث AI قد يكون في الوقت نفسه:

• Cybersecurity incident.
• Data protection incident.
• Model incident.
• Vendor incident.
• Operational incident.

المؤسسة تحتاج مسارًا موحدًا للتصعيد.

Evidence-Based Governance

الحوكمة التي لا تترك أثرًا لا يمكن تدقيقها جيدًا.

احتفظ بـ:

• Use Case.
• Owner.
• Risk Assessment.
• Data Assessment.
• Security Review.
• Vendor Review.
• Approval.
• Model Version.
• Monitoring.
• Incidents.
• Changes.

Change Triggers

يجب إعادة فتح التقييم عند:

• تغيير model.
• تغيير provider.
• إضافة integration.
• تغيير dataset.
• زيادة autonomy.
• تغير user population.
• تغير regulatory source.

أولويات المؤسسة البحرينية

الترتيب العملي الأفضل:

1. AI Inventory.
2. Ownership.
3. Risk Classification.
4. Data Mapping.
5. Privacy Review.
6. Security Review.
7. Vendor Due Diligence.
8. Human Oversight.
9. Monitoring.
10. Incident and Change Management.

الخلاصة

البحرين تملك أساسًا واضحًا لحوكمة AI، لكنه موزع على عدة طبقات.

السياسة الوطنية تحدد الاتجاه، قانون حماية البيانات يحكم طبقة البيانات الشخصية، استراتيجية الأمن السيبراني تضيف متطلبات المرونة وإدارة المخاطر، والتنظيم القطاعي يضيف قواعد حسب النشاط.

النضج الحقيقي هو القدرة على تحويل هذه الطبقات إلى Control Environment واحد لكل AI system، بدل التعامل مع كل وثيقة كجزيرة منفصلة.