حماية البيانات أصبحت جزءًا مباشرًا من حوكمة AI
عندما يعالج نظام ذكاء اصطناعي بيانات شخصية، لا يمكن فصل حوكمة النموذج عن حوكمة البيانات. في الأردن يوفر قانون حماية البيانات الشخصية رقم 24 لسنة 2023 والمنظومة الصادرة بمقتضاه طبقة قانونية وتنفيذية يجب أن تدخل مبكرًا في دورة حياة النظام، لا بعد تشغيله.
تجمع الصفحة الرسمية لوزارة الاقتصاد الرقمي والريادة القانون مع مجموعة من الأنظمة والتعليمات والأدلة والنماذج، من بينها نظام الإفصاح عن البيانات لسنة 2025، وتعليمات عمل مجلس حماية البيانات الشخصية لسنة 2025، وتعليمات سجل مسؤولي ومعالجي ومراقبي حماية البيانات، وتعليمات التدابير الأمنية التقنية والتنظيمية لسنة 2025، ومعايير اعتماد مراقب حماية البيانات الشخصية، وأدوات ممارسة حقوق الشخص المعني، إضافة إلى الدليل الإرشادي لتقييم أثر حماية البيانات ونموذج DPIA. وهذا مهم لأن قراءة التزامات البيانات في مشروع AI يجب ألا تتوقف عند نص القانون وحده؛ فالطبقة التنفيذية تحدد إجراءات وضوابط أكثر تفصيلًا.
ما هو دور DPIA هنا؟
تقييم أثر حماية البيانات يركز على مخاطر معالجة البيانات الشخصية وآثارها على الخصوصية وحقوق أصحاب البيانات. في مشاريع الذكاء الاصطناعي يصبح DPIA مهمًا عندما تدخل البيانات الشخصية في التدريب أو الضبط أو الاستدلال أو التحليل أو اتخاذ القرار أو المراقبة.
لكن يجب التمييز بين كونه ممارسة حوكمة مفيدة وبين الحالات التي يصبح فيها متطلبًا تنظيميًا مباشرًا. وفق تعليمات التدابير الأمنية التقنية والتنظيمية لسنة 2025، يتوجب على المسؤول إعداد تقييم أثر لحماية البيانات في الحالات المحددة بالتعليمات، ومنها معالجة البيانات الشخصية الحساسة أو نقل البيانات الشخصية خارج المملكة، إضافة إلى أي حالات أخرى يقرر مجلس حماية البيانات الشخصية أنها تستوجب التقييم. كما يوضح الدليل الإرشادي الرسمي لـDPIA أن التقييم يُعد قبل البدء بعملية المعالجة.
بالنسبة لأنظمة AI، هذا يعني أن مجرد استخدام الذكاء الاصطناعي لا يجعل DPIA إلزاميًا تلقائيًا في كل مشروع؛ نقطة البداية هي طبيعة معالجة البيانات والظروف التنظيمية المنطبقة. لكن استخدام بيانات حساسة، أو ترتيبات تتضمن نقل البيانات خارج الأردن، قد ينقل DPIA من أداة حوكمة موصى بها إلى متطلب يجب التحقق منه وتنفيذه وفق الإطار الأردني.
عمليًا تحتاج المؤسسة إلى فهم مصدر البيانات، والغرض من المعالجة، والفئات التي تشملها، والأطراف التي تصل إليها، ومدة الاحتفاظ، والنقل أو المشاركة، والتدابير الأمنية، وحقوق الشخص المعني. وعندما يعتمد النظام على مورد خارجي أو خدمة سحابية، يجب أن تمتد الخريطة إلى المعالجين والموردين وسلسلة البيانات.
DPIA ليس AI Impact Assessment
وجود تقييم أثر لحماية البيانات لا يعني أن المؤسسة قيّمت أثر نظام الذكاء الاصطناعي بالكامل. قد يكون النظام منضبطًا نسبيًا من منظور الخصوصية، لكنه ما يزال يخلق مخاطر أخرى مثل التمييز، أو قرار غير قابل للاعتراض، أو أخطاء سلامة، أو آثار على العمالة، أو ضعف الإشراف البشري، أو تضليل، أو اعتماد مفرط على مورد واحد.
لذلك يجب التعامل مع DPIA كجزء من evidence stack أوسع. إذا كان نظام AI عالي الأثر، فقد تحتاج المؤسسة إلى تقييم يغطي الغرض والسياق والأطراف المتأثرة والشدة والاحتمال والضوابط والإشراف البشري والمراقبة وإعادة التقييم، إضافة إلى طبقة حماية البيانات.
من البيانات إلى القرار
الأسئلة لا تنتهي عند «هل توجد موافقة؟». يجب أيضًا فحص جودة البيانات وتمثيلها وتحولها عبر دورة الحياة، والبيانات المشتقة، وإمكانية ربطها بأفراد، وأثر الأخطاء على القرار. كما يجب معرفة من يملك سلطة تعديل المخرجات أو تجاوزها ومن يتحمل المسؤولية عن القرار النهائي.
في القطاع العام تصبح المسألة أكثر أهمية لأن سياسة AI الأردنية نفسها ربطت تبني الحلول الذكية بأمن البيانات وخصوصيتها وجودة البيانات الحكومية، وربطت حوكمة البيانات بالبيانات المفتوحة وواجهات البرمجة والمنصات السحابية.
قاعدة عملية للمؤسسات
إذا كان النظام يعالج بيانات شخصية، ابدأ بمسار حماية البيانات مبكرًا. وإذا كان للنظام أثر يتجاوز الخصوصية فلا تتوقف عند DPIA. اجمع تقييم حماية البيانات مع تقييم أوسع لأثر ومخاطر AI، واربط النتائج بالضوابط والمسؤوليات والأدلة وإعادة التقييم. بهذه الطريقة يصبح الامتثال للبيانات جزءًا من حوكمة النظام لا وثيقة منفصلة عنه.