مشهد حوكمة الذكاء الاصطناعي في مصر 2026: الخريطة الاستراتيجية والتنظيمية والمؤسسية الكاملة

لماذا يحتاج المشهد المصري إلى خريطة متعددة الطبقات؟

لم تعد حوكمة الذكاء الاصطناعي في مصر في 2026 قابلة للاختزال في وثيقة واحدة. خلال السنوات الأخيرة انتقلت المنظومة من مرحلة وضع التوجه الاستراتيجي والمبادئ الأخلاقية إلى مرحلة أكثر نضجاً تشمل إطاراً وطنياً لحوكمة AI، وإرشادات تشغيلية للمؤسسات، وتنظيماً للبيانات والبنية السحابية، وقواعد قطاعية تطبق على استخدامات بعينها.

هذا يعني أن السؤال الصحيح للمؤسسة لم يعد: هل يوجد قانون مصري للذكاء الاصطناعي؟ فقط، بل:

• ما نوع نظام الذكاء الاصطناعي المستخدم؟
• ما مستوى مخاطره؟
• هل يستخدم بيانات شخصية أو حساسة؟
• هل يعمل داخل قطاع منظم مثل الخدمات المالية؟
• هل يعتمد على مزود سحابي أو نموذج خارجي؟
• هل يتعامل مباشرة مع الجمهور؟
• هل يصدر قرارات أو توصيات تؤثر في حقوق الأفراد؟
• هل هو نظام عام للأغراض العامة أم نموذج متخصص؟
• هل يوجد إشراف بشري فعلي؟
• ما الجهة التنظيمية أو القطاعية ذات الصلة؟

من هنا تظهر الحاجة إلى قراءة المنظومة المصرية باعتبارها Regulatory and Governance Stack وليست أداة منفردة.

الطبقة الأولى: الاستراتيجية الوطنية للذكاء الاصطناعي

تمثل الاستراتيجية الوطنية المصرية للذكاء الاصطناعي — الإصدار الثاني 2025–2030 — المستوى الاستراتيجي الأعلى في المشهد الحالي.

الإصدار الثاني يبني على المرحلة الأولى من الاستراتيجية الوطنية، لكنه يأتي في بيئة مختلفة جذرياً بعد توسع النماذج اللغوية الكبيرة والذكاء الاصطناعي التوليدي والتسارع العالمي في الاستثمار والتنظيم.

تركز الاستراتيجية على عدة محاور مترابطة تشمل:

• الحوكمة والتنظيم.
• التكنولوجيا والتطوير.
• البيانات.
• البنية التحتية.
• منظومة الابتكار والأعمال.
• المهارات وبناء المواهب.
• الاستخدام الآمن والمسؤول.
• تعزيز قدرة مصر على المنافسة إقليمياً ودولياً.

لكن الاستراتيجية تظل وثيقة استراتيجية. وجود هدف داخل الاستراتيجية، مثل تطوير قانون أو منظومة تنظيمية، لا يعني تلقائياً أن هذا الهدف أصبح قانوناً نافذاً.

الطبقة الثانية: إطار حوكمة الذكاء الاصطناعي الوطني 2026

في مارس 2026 صدر دليل إطار حوكمة الذكاء الاصطناعي الوطني في مصر، الإصدار 2.0، Approved for Publication.

يمثل هذا الإطار نقلة أساسية لأنه يضع بنية صريحة لحوكمة AI تقوم على:

• نهج قائم على المخاطر.
• تصنيف الأنظمة إلى أربع فئات رئيسية.
• حوكمة دورة الحياة.
• رقابة قبل النشر وبعده.
• اختبار وتقييم وتحقيق وتثبت TEVV.
• بنية مؤسسية تحدد الأدوار.
• معالجة خاصة للأنظمة عالية المخاطر.
• التعامل مع General-Purpose AI.
• سيادة البيانات.
• البنية التحتية السيادية.
• الكفاءة والاستدامة عبر مفهوم Frugal AI.

يصنف الإطار الأنظمة إلى:

Tier 1 — Prohibited / Unacceptable Risk

أنظمة ذات مخاطر غير مقبولة على الحقوق الأساسية أو السلامة أو السيادة، وقد تشمل استخدامات مثل الاستغلال أو التلاعب أو بعض أنماط التصنيف الاجتماعي.

Tier 2 — High Risk

أنظمة يمكن أن تؤثر جوهرياً على الصحة أو السلامة أو الحقوق أو المصالح الأساسية. هذه الفئة تخضع لمتطلبات أقوى، تشمل Dual-Check Compliance.

Tier 3 — Limited Risk

تشمل أنظمة ذات مخاطر شفافية أو تضليل، مثل بعض chatbots وأدوات التعرف على الانفعالات ومخرجات الذكاء الاصطناعي التوليدي مثل deepfakes. التركيز هنا على الإفصاح والوسم والشفافية.

Tier 4 — Minimal Risk

تشمل الاستخدامات الأقل خطورة، مع اعتماد أكبر على قواعد السلوك الطوعية والحوكمة المتناسبة.

Dual-Check Compliance: الرقابة قبل وبعد النشر

من أبرز مكونات الإطار المصري نموذج Dual-Check للأنظمة عالية المخاطر.

في المرحلة السابقة للنشر يركز النموذج على مسارين:

AI Ethical Impact Assessment لتقييم الأثر الأخلاقي والاجتماعي وحقوق الأفراد والمصلحة الوطنية.

و:

Technical Conformity Assessment للتحقق من السلامة والأداء والمتانة والأمن باستخدام منهجيات مثل TEVV.

ثم تأتي الرقابة بعد النشر من خلال:

• المراقبة التشغيلية.
• مراجعة الأداء.
• تتبع الحوادث.
• إعادة التقييم.
• التدقيق.
• الإجراءات التصحيحية عند الحاجة.

هذه البنية مهمة لأنها تمنع النظر إلى اعتماد نظام AI باعتباره قراراً لمرة واحدة.

الطبقة الثالثة: الإرشادات الوطنية للذكاء الاصطناعي الموثوق والمسؤول

إذا كان إطار الحوكمة يجيب عن:

ما الذي يجب أن يخضع للحوكمة؟

فالإرشادات الوطنية للذكاء الاصطناعي الموثوق والمسؤول تجيب عن:

كيف تطبق المؤسسة الحوكمة؟

الإرشادات، الصادرة نهائياً في مارس 2026، تغطي:

• Institutional Governance.
• AI Lifecycle Governance.
• Stakeholder Engagement.
• Society & Sustainability.

كما تقدم للمؤسسات أدوات لتقييم:

• AI-Institution Readiness Level.
• Responsible AI-System Readiness Level.

وتشمل متطلبات وممارسات حول:

• سياسة حوكمة AI.
• إدارة البيانات.
• التوثيق.
• الاختبار.
• human oversight.
• vendor governance.
• AI procurement.
• إدارة المخاطر.
• الإفصاح.
• incident response.
• audit.
• monitoring.

الطبقة الرابعة: الذكاء الاصطناعي التوليدي

الإرشادات الوطنية المصرية للذكاء الاصطناعي التوليدي تضيف طبقة أكثر تخصصاً لمعالجة مخاطر مثل:

• hallucination.
• misinformation.
• deepfakes.
• synthetic media.
• privacy.
• intellectual property.
• misuse.
• transparency.
• human oversight.
• agentic systems.

هذه الطبقة مهمة لأن المخاطر لا ترتبط فقط بأداء النموذج، بل أيضاً بطريقة استخدامه وبالبيانات التي ترسل إليه وبالمحتوى الذي يولده وبدرجة الصلاحية التي تمنح له.

الطبقة الخامسة: حماية البيانات الشخصية

قانون حماية البيانات الشخصية رقم 151 لسنة 2020 ولائحته التنفيذية رقم 816 لسنة 2025 يمثلان طبقة قانونية مستقلة يجب عدم الخلط بينها وبين AI governance guidance.

أي مشروع AI يعالج بيانات شخصية قد يحتاج إلى تحليل:

• صفة Controller أو Processor.
• الأساس القانوني للمعالجة.
• الغرض من المعالجة.
• البيانات الحساسة.
• تقليل البيانات.
• الاحتفاظ.
• الأمن.
• حقوق الأفراد.
• مشاركة البيانات مع الموردين.
• النقل عبر الحدود.
• دور DPO.
• متطلبات PDPC.

وجود إطار AI وطني لا يلغي هذه الالتزامات.

الطبقة السادسة: الأمن السيبراني

الاستراتيجية الوطنية للأمن السيبراني 2023–2027 تشكل طبقة تمكينية لحوكمة AI.

في التطبيقات العملية تشمل مخاطر AI السيبرانية:

• Prompt Injection.
• Data Poisoning.
• سرقة النماذج.
• تسريب البيانات.
• اختراق واجهات API.
• التلاعب بالمخرجات.
• ضعف إدارة الهوية والصلاحيات.
• مخاطر سلسلة التوريد.
• الموردين الخارجيين.
• الاعتماد على السحابة.

هذه التفاصيل ليست كلها نصوصاً حرفية في الاستراتيجية الوطنية، لكنها تمثل [ممارسة تنفيذية] لترجمة الأمن السيبراني إلى بيئة AI.

الطبقة السابعة: السحابة ومراكز البيانات

الإطار التنظيمي الصادر عن الجهاز القومي لتنظيم الاتصالات لمراكز البيانات وخدمات الاستضافة والحوسبة السحابية يشكل طبقة مهمة لأن معظم أنظمة AI الحديثة تعتمد على بنية خارجية.

من الأسئلة التي يجب تحليلها:

• أين تتم الاستضافة؟
• من هو مزود السحابة؟
• ما حساسية البيانات؟
• هل يخضع المزود للتسجيل أو الاعتماد؟
• أين تتم المعالجة؟
• هل البيانات تنتقل عبر الحدود؟
• من هم sub-processors؟
• ما متطلبات الأمن؟
• هل النظام يستخدم external model APIs؟

هذه الأسئلة تصبح أكثر أهمية في حالات RAG وfine-tuning والنماذج السحابية.

الطبقة الثامنة: التنظيم المالي والقطاعي

في القطاع المالي يجب التفريق بين:

القطاع المصرفي

يخضع للبنك المركزي المصري والقوانين والقواعد المصرفية والمدفوعات والرقابة ذات الصلة.

حتى آخر تحقق، لم يثبت وجود إطار مستقل بعنوان AI Banking Framework مشابه لإطار البنك المركزي الأردني.

الأنشطة المالية غير المصرفية

قانون رقم 5 لسنة 2022 بشأن التكنولوجيا المالية يمثل طبقة تنظيمية مباشرة، وتشير الهيئة العامة للرقابة المالية إلى استخدام تقنيات تشمل الذكاء الاصطناعي وتحليلات البيانات الضخمة ضمن نطاق FinTech.

كما تستخدم FRA المختبر التنظيمي لاختبار حلول ومنتجات جديدة قبل التوسع التجاري.

من يحكم ماذا؟

المنظومة المؤسسية تشمل عدة جهات وليس جهة AI واحدة:

• المجلس الوطني للذكاء الاصطناعي والحوسبة الكمية والتكنولوجيات البازغة.
• وزارة الاتصالات وتكنولوجيا المعلومات.
• المركز المصري للذكاء الاصطناعي المسؤول.
• SECC / ITIDA.
• الجهاز القومي لتنظيم الاتصالات.
• EG-CERT.
• مركز حماية البيانات الشخصية.
• البنك المركزي المصري.
• الهيئة العامة للرقابة المالية.
• الجهات التنظيمية القطاعية الأخرى.

كل جهة تدخل من زاوية مختلفة.

هل يوجد قانون AI شامل في مصر؟

🔴 PENDING ADOPTION / LEGAL FORCE UNVERIFIED حتى آخر تحقق في سبتمبر 2026، توجد في مصر استراتيجية وطنية وإطار حوكمة وإرشادات تشغيلية متقدمة، لكن لا ينبغي تفسير هذه الأدوات على أنها دليل على صدور قانون مصري شامل ومستقل للذكاء الاصطناعي ودخوله حيز النفاذ. الإرشادات الوطنية نفسها تشير إلى جاهزية المؤسسات للامتثال عندما يصدر قانون أو مرسوم خاص بالذكاء الاصطناعي.

هذا لا يعني وجود فراغ تنظيمي؛ لأن أنظمة AI قد تكون خاضعة بالفعل لقواعد حماية البيانات والأمن السيبراني والقوانين القطاعية والبنية الرقمية.

قانون حوكمة البيانات

🔴 PENDING ENACTMENT تشير سياسة البيانات المفتوحة إلى قانون مستقبلي لحوكمة البيانات وإطار لتصنيف البيانات. لا ينبغي معاملته كقانون نافذ قبل إثبات صدوره رسمياً.

هيئة حوكمة البيانات

🔴 PLANNED INSTITUTION / ESTABLISHMENT NOT VERIFIED الإشارة إلى Egyptian Data Governance Authority ضمن السياسات المستقبلية لا تكفي لإثبات أنها أصبحت جهة تنظيمية قائمة ومباشرة لاختصاصاتها.

كيف تبدأ المؤسسة عملياً؟

[ممارسة تنفيذية]

المسار العملي الأكثر نضجاً يبدأ بـ:

1. إنشاء سجل لجميع أنظمة وحالات استخدام AI.
2. تحديد مالك مسؤول لكل نظام.
3. تصنيف المخاطر.
4. تحديد القوانين والأطر القطاعية المطبقة.
5. تقييم البيانات والخصوصية.
6. تقييم الموردين والنماذج الخارجية.
7. تحديد متطلبات human oversight.
8. تنفيذ TEVV قبل النشر عند الحاجة.
9. توثيق القرارات.
10. مراقبة الأنظمة بعد الإطلاق.
11. وجود آلية واضحة للحوادث والإيقاف.
12. إعادة التقييم عند تغير النموذج أو الغرض أو البيانات.

الخلاصة العملية

النظام المصري في 2026 ليس نموذجاً قائماً على قانون واحد. هو منظومة متعددة الطبقات تجمع بين الاستراتيجية والحوكمة الوطنية والإرشادات التشغيلية والقانون العام والبيانات والأمن والسحابة والقواعد القطاعية.

المؤسسة التي تبحث فقط عن “AI Law” قد تفوت التزامات حقيقية مطبقة بالفعل من خلال قوانين وأطر أخرى.