حماية البيانات أصبحت جزءًا مباشرًا من حوكمة AI
عندما يعالج نظام ذكاء اصطناعي بيانات شخصية، لا يمكن فصل حوكمة النموذج عن حوكمة البيانات. في الأردن يوفر قانون حماية البيانات الشخصية رقم 24 لسنة 2023 والمنظومة الصادرة بمقتضاه طبقة قانونية وتنفيذية يجب أن تدخل مبكرًا في دورة حياة النظام، لا بعد تشغيله.
تجمع الصفحة الرسمية لوزارة الاقتصاد الرقمي والريادة القانون مع مجموعة من الأنظمة والتعليمات والأدلة والنماذج، من بينها تعليمات التدابير الأمنية والتقنية والتنظيمية، ومعايير اعتماد مراقب حماية البيانات الشخصية، ونظام الإفصاح عن البيانات، وأدوات ممارسة حقوق الشخص المعني، إضافة إلى الدليل الإرشادي لتقييم أثر حماية البيانات ونموذج DPIA.
ما هو دور DPIA هنا؟
تقييم أثر حماية البيانات يركز على مخاطر معالجة البيانات الشخصية وآثارها على الخصوصية وحقوق أصحاب البيانات. في مشاريع الذكاء الاصطناعي يصبح DPIA مهمًا عندما تدخل البيانات الشخصية في التدريب أو الضبط أو الاستدلال أو التحليل أو اتخاذ القرار أو المراقبة.
عمليًا تحتاج المؤسسة إلى فهم مصدر البيانات، والغرض من المعالجة، والفئات التي تشملها، والأطراف التي تصل إليها، ومدة الاحتفاظ، والنقل أو المشاركة، والتدابير الأمنية، وحقوق الشخص المعني. وعندما يعتمد النظام على مورد خارجي أو خدمة سحابية، يجب أن تمتد الخريطة إلى المعالجين والموردين وسلسلة البيانات.
DPIA ليس AI Impact Assessment
وجود تقييم أثر لحماية البيانات لا يعني أن المؤسسة قيّمت أثر نظام الذكاء الاصطناعي بالكامل. قد يكون النظام منضبطًا نسبيًا من منظور الخصوصية، لكنه ما يزال يخلق مخاطر أخرى مثل التمييز، أو قرار غير قابل للاعتراض، أو أخطاء سلامة، أو آثار على العمالة، أو ضعف الإشراف البشري، أو تضليل، أو اعتماد مفرط على مورد واحد.
لذلك يجب التعامل مع DPIA كجزء من evidence stack أوسع. إذا كان نظام AI عالي الأثر، فقد تحتاج المؤسسة إلى تقييم يغطي الغرض والسياق والأطراف المتأثرة والشدة والاحتمال والضوابط والإشراف البشري والمراقبة وإعادة التقييم، إضافة إلى طبقة حماية البيانات.
من البيانات إلى القرار
الأسئلة لا تنتهي عند «هل توجد موافقة؟». يجب أيضًا فحص جودة البيانات وتمثيلها وتحولها عبر دورة الحياة، والبيانات المشتقة، وإمكانية ربطها بأفراد، وأثر الأخطاء على القرار. كما يجب معرفة من يملك سلطة تعديل المخرجات أو تجاوزها ومن يتحمل المسؤولية عن القرار النهائي.
في القطاع العام تصبح المسألة أكثر أهمية لأن سياسة AI الأردنية نفسها ربطت تبني الحلول الذكية بأمن البيانات وخصوصيتها وجودة البيانات الحكومية، وربطت حوكمة البيانات بالبيانات المفتوحة وواجهات البرمجة والمنصات السحابية.
قاعدة عملية للمؤسسات
إذا كان النظام يعالج بيانات شخصية، ابدأ بمسار حماية البيانات مبكرًا. وإذا كان للنظام أثر يتجاوز الخصوصية فلا تتوقف عند DPIA. اجمع تقييم حماية البيانات مع تقييم أوسع لأثر ومخاطر AI، واربط النتائج بالضوابط والمسؤوليات والأدلة وإعادة التقييم. بهذه الطريقة يصبح الامتثال للبيانات جزءًا من حوكمة النظام لا وثيقة منفصلة عنه.