قانون 81/2018 والبيانات الشخصية في أنظمة الذكاء الاصطناعي في لبنان: من المعالجة والنقل إلى المساءلة

لماذا يمثل قانون 81/2018 نقطة البداية؟

أي نظام ذكاء اصطناعي يستخدم بيانات مرتبطة بأفراد لا يعمل خارج البيئة القانونية القائمة.

في لبنان، القانون رقم 81 لسنة 2018 بشأن المعاملات الإلكترونية والبيانات ذات الطابع الشخصي يمثل إحدى أهم الطبقات القانونية ذات الصلة.

لكنه ليس قانونًا للذكاء الاصطناعي.

هذا الفرق مهم لأن الهدف ليس تحميل القانون مفاهيم لم يتضمنها، بل فهم ما يفرضه فعلًا على معالجة البيانات ثم إضافة طبقة حوكمة AI فوقه عندما تصبح المعالجة أكثر تعقيدًا أو تأثيرًا.

ماذا يغطي القانون؟

القانون لا يقتصر على التجارة الإلكترونية.

يتضمن بابًا متعلقًا بالبيانات ذات الطابع الشخصي ومعالجتها.

ويعرّف البيانات الشخصية بصورة تشمل المعلومات التي تسمح بالتعرف على الشخص بصورة مباشرة أو غير مباشرة، بما في ذلك من خلال مقارنة مصادر متعددة.

كما أن مفهوم المعالجة واسع، ويشمل أنشطة مثل الجمع والتسجيل والتنظيم والحفظ والتعديل والقراءة والاستخدام والنقل والنشر والمحو وغيرها.

هذا الاتساع مهم لأن معظم مراحل دورة حياة AI تقع ضمن نوع من أنواع المعالجة.

لماذا يصبح AI أكثر حساسية من المعالجة التقليدية؟

نظام تقليدي قد يستخدم البيانات لإتمام معاملة محددة.

أما AI فقد:

يربط مصادر متعددة.

يستنتج خصائص جديدة.

يصنف الأفراد.

يتوقع سلوكًا.

يدعم قرارًا.

أو يعيد استخدام البيانات في سياق مختلف عن الغرض الأصلي.

لهذا فإن مجرد وجود البيانات داخل المؤسسة لا يكفي لتبرير كل استخدام جديد لها.

الغرض من المعالجة

المادة 96 من قانون 81/2018 تتطلب ضمن معلومات التصريح تحديد غايات المعالجة.

هذه النقطة مركزية في AI Governance.

قبل بناء النموذج يجب أن يكون الغرض واضحًا.

ليس كافيًا أن نقول:

"سنستخدم البيانات لتحسين الخدمة".

يجب تحديد ما الذي سيقوم به النظام فعليًا.

هل سيصنف؟

هل يتنبأ؟

هل يوصي؟

هل يؤثر في قرار؟

كلما كان الغرض أكثر دقة، أصبح تقييم البيانات والمخاطر أسهل.

مصدر البيانات

القانون يطلب أيضًا تحديد البيانات موضوع المعالجة ومصدرها.

هذه نقطة تتقاطع مباشرة مع Data Provenance.

نظام AI قد يستخدم بيانات من:

نظام داخلي.

سجل حكومي.

طرف ثالث.

مورد.

بيانات مفتوحة.

أو بيانات مولدة من تفاعل المستخدم.

يجب معرفة مصدر كل فئة، لا التعامل مع مجموعة البيانات النهائية ككتلة واحدة.

مصدرية البيانات

مصدرية البيانات لا تعني فقط معرفة اسم قاعدة البيانات.

يجب معرفة:

من أنشأ البيانات؟

متى؟

هل تم تعديلها؟

ما التحويلات التي مرت بها؟

هل تغير تعريف الحقول؟

هل تم دمجها مع مصادر أخرى؟

هذه المعلومات تصبح حاسمة عند التحقيق في نتيجة AI غير صحيحة.

فئات الأشخاص

المادة 96 تطلب تحديد فئات الأشخاص المعنيين بالبيانات.

في AI، هذه المسألة تساعد في فهم من يمكن أن يتأثر بالنظام.

قد تكون البيانات عن:

مواطنين.

عملاء.

موظفين.

طلاب.

مرضى.

أو مستخدمي خدمة.

لكن النموذج قد يؤثر أيضًا في أشخاص لم يكونوا الفئة المستهدفة الأصلية إذا تم تعميم استخدامه لاحقًا.

لهذا يجب تحديث تقييم المخاطر عندما يتوسع نطاق الاستخدام.

من يستطيع الاطلاع على البيانات؟

القانون يتطلب تحديد الأشخاص أو الفئات التي يمكن أن تطلع على البيانات.

في أنظمة AI، يجب توسيع السؤال ليشمل الحسابات التقنية والخدمات.

من يستطيع الوصول؟

الموظف؟

فريق البيانات؟

المورد؟

النموذج الخارجي؟

المعالج الفرعي؟

حساب خدمة؟

التطبيق نفسه؟

الوصول الآلي يجب أن يخضع للحوكمة مثل الوصول البشري.

مدة الاحتفاظ

المادة 96 تطلب تحديد مدة الاحتفاظ بالبيانات.

هذه النقطة غالبًا ما تُهمل في مشاريع AI.

الفريق قد يحتفظ بنسخة تدريب أو نسخة اختبار إلى أجل غير محدد لأن التخزين رخيص.

لكن كل نسخة إضافية تزيد المخاطر.

يجب أن تكون هناك سياسة واضحة:

ماذا نحتفظ؟

لماذا؟

إلى متى؟

ومن يوافق على التمديد؟

المسؤول عن المعالجة

القانون يطلب تحديد هوية المسؤول عن المعالجة.

في AI يجب عدم الخلط بين هذه المسؤولية وبين ملكية النموذج.

قد يكون هناك:

مسؤول عن المعالجة.

مالك للعملية.

مالك للنظام.

مالك للقرار.

فريق تقني.

ومورد خارجي.

هذه الأدوار يمكن أن تتقاطع، لكنها ليست الشيء نفسه.

المقاولون من الباطن

المادة 96 تشير أيضًا إلى المقاول الثانوي أو المتعهد من الباطن عند وجوده.

هذه نقطة شديدة الأهمية في AI الحديث.

قد تتعاقد المؤسسة مع منصة واحدة، لكن المنصة نفسها تعتمد على:

مزود سحابة.

مزود نموذج.

خدمة مراقبة.

مورد تخزين.

أو خدمة خارجية أخرى.

لذلك يجب فهم سلسلة المعالجة وليس المورد المباشر فقط.

مخاطر الأطراف الثالثة

كل طرف إضافي قد يحصل على بيانات أو Metadata أو سجلات أو القدرة على معالجة طلبات.

يجب معرفة:

ما البيانات التي تصل إليه؟

ما الغرض؟

هل يحتفظ بها؟

هل يستخدمها لتحسين النموذج؟

هل يوجد طرف رابع؟

وأين تتم المعالجة؟

AI Supply Chain قد تكون أعمق من شكل العقد الظاهر للمؤسسة.

الربط بين قواعد البيانات

المادة 96 تتناول أيضًا وسائل الربط بين البيانات والمعالجات الأخرى.

هذه المسألة شديدة الحساسية في AI.

قوة النموذج قد تأتي من الجمع بين مصادر كانت منفصلة سابقًا.

لكن الجمع يمكن أن يكشف معلومات أو أنماطًا لم تكن واضحة داخل أي مصدر منفرد.

لذلك فإن Data Linking يحتاج إلى تقييم مستقل.

الاستنتاجات الجديدة

AI يمكنه توليد استنتاجات لم تكن مخزنة أصلًا.

مثل:

احتمال التعثر.

درجة المخاطر.

تصنيف السلوك.

توقع الاحتياج.

أو مؤشر احتمالي عن الفرد.

هذه النتائج قد تصبح بيانات مؤثرة بذاتها.

يجب أن تعامل المؤسسة الاستنتاجات المهمة بحساسية مماثلة للبيانات التي بُنيت عليها، خصوصًا إذا دخلت في قرار عن الشخص.

نقل البيانات إلى دولة أخرى

القانون يطلب ضمن التصريح الإفصاح، عند الاقتضاء، عن نقل البيانات الشخصية إلى دولة أخرى.

هذه نقطة مباشرة الصلة بخدمات AI السحابية.

قد تستخدم مؤسسة لبنانية نموذجًا خارجيًا حتى لو كانت قاعدة البيانات الأساسية داخل لبنان.

إذا أرسل التطبيق Prompt أو ملفًا أو صورة أو بيانات عميل إلى خدمة خارجية، فقد يكون هناك تدفق بيانات عبر الحدود.

لذلك يجب رسم Data Flow كامل.

لا يكفي موقع قاعدة البيانات

من الأخطاء الشائعة القول إن "البيانات موجودة في لبنان" ثم اعتبار الموضوع محسومًا.

قد تكون البيانات الأصلية محلية، بينما:

الاستدلال يتم خارجيًا.

السجلات تذهب إلى مزود آخر.

الدعم الفني يصل إليها من دولة مختلفة.

النسخ الاحتياطية توجد في منطقة أخرى.

أو يستخدم المورد معالجين فرعيين.

الحوكمة يجب أن تنظر إلى دورة البيانات كاملة.

سلامة البيانات وسريتها

المادة 96 تتطلب تحديد الإجراءات المتخذة لضمان سلامة البيانات وحفظ الأسرار المحمية.

هذا يربط حماية البيانات بالأمن مباشرة.

في AI يجب أن تشمل الحماية:

التشفير.

التحكم في الوصول.

الفصل بين البيئات.

السجلات.

حماية APIs.

وحماية بيانات التدريب والاسترجاع.

الأمن ليس طبقة مستقلة عن الخصوصية.

بيئات التطوير والاختبار

نسخ بيانات الإنتاج إلى بيئة اختبار ممارسة عالية المخاطر.

الفريق قد يعتبر البيئة غير إنتاجية وبالتالي أقل حساسية.

لكن البيانات نفسها لم تتغير طبيعتها.

يجب تحديد:

هل نحتاج البيانات الحقيقية؟

هل يمكن إخفاء الهوية؟

هل يمكن استخدام بيانات تركيبية؟

ومن يستطيع الوصول إلى النسخة؟

تقليل البيانات

مبدأ استخدام أقل كمية ضرورية من البيانات يمثل ممارسة حوكمة قوية حتى عندما لا نصوره على أنه نص حرفي مستقل في قانون 81.

النموذج الذي يحتاج خمسة حقول لا يجب أن يحصل على خمسين حقلًا لمجرد أنها متاحة.

تقليل البيانات يقلل المخاطر ويجعل التدقيق أبسط.

حق الوصول

قانون 81/2018 يمنح صاحب البيانات حق الاستعلام عما إذا كانت بياناته موضوع معالجة، والحصول على نسخة من البيانات المتعلقة به وفق الشروط القانونية.

هذه النقطة تصبح أكثر تعقيدًا مع AI.

المؤسسة يجب أن تكون قادرة على تحديد البيانات المستخدمة فعليًا بدل أن تكون دورة المعالجة صندوقًا أسود تشغيليًا.

حق التصحيح

القانون يتضمن أيضًا آليات مرتبطة بالوصول والتصحيح.

هذا مهم جدًا عندما تعتمد النماذج على بيانات قد تكون خاطئة.

إذا صُححت بيانات المصدر، يجب أن تسأل المؤسسة:

هل يصل التصحيح إلى النظام التحليلي؟

هل ما تزال نسخة قديمة مستخدمة؟

هل يحتاج القرار السابق إلى مراجعة؟

Data Correction يجب أن ينتقل عبر سلسلة البيانات.

هل يوجد في القانون حق عام في تفسير AI؟

لا ينبغي الادعاء بذلك.

لا يمكنني التحقق من أن قانون 81/2018 ينشئ حقًا عامًا مستقلاً مماثلًا لمفهوم "حق تفسير القرار الخوارزمي" بالمعنى المستخدم في بعض الأنظمة الحديثة.

لذلك لا سننسب هذا الحق إلى القانون.

لكن المؤسسة التي تستخدم AI في قرار مؤثر تحتاج عمليًا إلى مستوى مناسب من التفسير والمراجعة حتى تستطيع إدارة الشكاوى والمخاطر والمساءلة.

هل يوجد AI Impact Assessment في القانون؟

لا ينبغي الادعاء بذلك أيضًا.

قانون 81/2018 لم يُصمم كإطار حديث لتقييم أثر الذكاء الاصطناعي.

لذلك AI Impact Assessment، إذا طبقته المؤسسة، يجب عرضه كضابط حوكمة حديث وليس كمتطلب قانوني مباشر من القانون ما لم يصدر سند تنظيمي آخر.

التصريح والترخيص

القانون يفرق بين فئات من المعالجة، ويضع إجراءات للتصريح والترخيص والإعفاء وفق طبيعة المعالجة.

المادة 95 تضع قاعدة للإعلام عبر تصريح بالنسبة للمعالجات غير المشمولة بالإعفاءات.

كما توجد فئات أكثر حساسية تخضع للترخيص.

هذا يعني أن المؤسسة لا يجب أن تفترض أن كل معالجة بيانات تقع تحت المسار نفسه.

التحقق القانوني يجب أن يسبق تصميم AI عندما تكون البيانات حساسة أو الحالة معقدة.

البيانات الحساسة

بعض أنواع البيانات تخلق مخاطر أعلى.

مثل البيانات المتعلقة بالصحة أو الهوية أو الحياة الخاصة أو مجالات حساسة أخرى.

المعالجة عالية الحساسية يجب ألا تدخل في مشروع AI كأنها Dataset عادية.

تحتاج إلى مراجعة قانونية وأمنية وحوكمة أعمق.

الذكاء الاصطناعي التوليدي

GenAI يخلق مشكلة عملية مختلفة.

الموظف قد يدخل بيانات شخصية داخل أداة خارجية دون أن يقصد بناء "نظام معالجة" جديد.

لكن تقنيًا يمكن أن تكون البيانات قد غادرت بيئة المؤسسة وأصبحت خاضعة لمعالجة طرف ثالث.

لذلك يجب أن تحدد سياسة GenAI البيانات التي يمنع إدخالها.

Shadow AI

الحظر غير الواقعي قد يدفع الموظفين إلى استخدام أدوات شخصية أو حسابات غير معتمدة.

عندها تفقد المؤسسة الرؤية.

الحل الأفضل هو:

أدوات معتمدة.

سياسة واضحة.

تدريب.

مراقبة مناسبة.

وقناة لطلب حالات استخدام جديدة.

تدريب النماذج

هناك فرق بين إرسال بيانات إلى نموذج للاستدلال وبين استخدامها للتدريب أو التحسين.

يجب معرفة ما إذا كان المورد يحتفظ بالمدخلات أو يستخدمها لتطوير خدماته.

لا ينبغي افتراض أن سياسة المورد واحدة لكل نوع حساب أو خدمة.

العقد والإعدادات التقنية مهمان.

البيانات المجهولة

إزالة بعض الحقول الواضحة لا تضمن دائمًا إخفاء الهوية.

عندما توجد مجموعات بيانات غنية، قد يمكن إعادة التعرف على الأشخاص عبر الربط.

لهذا يجب تقييم خطر إعادة التعرف بحسب طبيعة البيانات والسياق.

البيانات الاصطناعية

Synthetic Data قد تكون مفيدة في الاختبار والتطوير.

لكنها ليست حلًا سحريًا.

يجب التأكد من أنها لا تعيد إنتاج سجلات حقيقية بصورة تكشف أصحابها، وأنها تمثل الأنماط التي يحتاج المشروع إلى اختبارها.

القرارات المؤثرة

كلما اقترب AI من قرار يؤثر في شخص، زادت الحاجة إلى رقابة أقوى.

مثل:

رفض خدمة.

تحديد أولوية.

تقييم مخاطر.

تصنيف شخص.

أو دعم قرار قانوني أو مالي أو إداري.

حتى إذا لم يفرض القانون الحالي نموذجًا محددًا لـAI Governance، فإن أثر القرار يبرر رفع مستوى التحكم.

الإشراف البشري

الإشراف البشري يجب ألا يكون شكليًا.

الشخص الذي يراجع النتيجة يحتاج إلى:

معرفة كافية.

صلاحية لتغيير القرار.

القدرة على رؤية المعلومات الأساسية.

ومسار تصعيد.

النقر على "موافقة" دون مراجعة ليس Human Oversight حقيقيًا.

أثر التدقيق

Audit Trail مهم لحماية البيانات ولحوكمة AI معًا.

يجب أن نستطيع معرفة:

من وصل إلى البيانات؟

ما النظام الذي استخدمها؟

أي نموذج؟

متى؟

ما النتيجة؟

ومن اتخذ القرار النهائي؟

هذا يربط البيانات بالمسؤولية.

إخطار وزارة الاقتصاد والتجارة

المادة 95 تشير إلى إعلام وزارة الاقتصاد والتجارة، وفق الأصول، بالنسبة للمعالجات المشمولة بمسار التصريح.

والمادة 96 تحدد معلومات تفصيلية يجب أن يتضمنها التصريح.

هذا يعني أن Data Inventory داخل المؤسسة ليس مجرد ممارسة جيدة.

وجود سجل داخلي منظم للمعالجات يساعد عمليًا في معرفة الحالات القانونية التي تحتاج إلى تصريح أو مراجعة أو تحديث.

الفرق بين سجل البيانات وسجل AI

Data Processing Register يركز على عمليات معالجة البيانات.

AI Register يركز على الأنظمة والنماذج والاستخدامات والقرارات والمخاطر.

يجب ربط السجلين.

إذا كان النظام في سجل AI لكنه غير مرتبط بعمليات البيانات التي يعتمد عليها، تبقى الحوكمة ناقصة.

العلاقة مع MITAI

خارطة MITAI الحديثة تضع AI Policy Frameworks والأخلاقيات الرقمية ضمن المسار المستقبلي.

هذا يعني أن البيئة اللبنانية يمكن أن تتطور إلى قواعد أكثر تحديدًا للذكاء الاصطناعي.

لكن المؤسسات لا تحتاج إلى الانتظار.

يمكنها الآن بناء ضوابط تتوافق مع قانون البيانات القائم وتكون قابلة للتحديث لاحقًا.

العلاقة مع استراتيجية التحول الرقمي

استراتيجية التحول الرقمي 2020–2030 نفسها تشير إلى الحاجة إلى مراجعة وتحديث بعض عناصر البيئة القانونية للبيانات والخصوصية والتحول الرقمي.

هذا اعتراف مهم بأن التشريع والرقمنة يحتاجان إلى التطور معًا.

توسع AI يجعل هذه الحاجة أكثر وضوحًا لأن استخدام البيانات يصبح أكثر قدرة على الاستنتاج والربط والأتمتة.

نموذج حوكمة عملي

قبل إطلاق نظام AI يستخدم بيانات شخصية، يجب أن تجيب المؤسسة عن أسئلة محددة:

ما الغرض؟

ما أنواع البيانات؟

ما المصدر؟

من الأشخاص المعنيون؟

من يمكنه الوصول؟

ما مدة الاحتفاظ؟

هل يوجد طرف ثالث؟

هل تنتقل البيانات خارج لبنان؟

ما إجراءات الحماية؟

ما القرار الذي يدعمه النظام؟

ومن يتحمل المسؤولية؟

هذه الأسئلة تربط القانون بالحوكمة التقنية.

ما الذي لا ينبغي استنتاجه؟

لا ينبغي تقديم قانون 81/2018 باعتباره قانونًا عامًا للذكاء الاصطناعي.

ولا ينبغي الادعاء بأنه يفرض AI Impact Assessment بالمفهوم الحديث دون سند.

ولا ينبغي الادعاء بأنه ينشئ حقًا عامًا مستقلًا في تفسير كل قرار خوارزمي دون نص واضح.

ولا يعني امتلاك المؤسسة للبيانات حقًا غير محدود في إعادة استخدامها لأي نموذج.

ولا يعني الاستعانة بمورد خارجي انتقال المسؤولية كاملة إليه.

ماذا يجب أن تفعل المؤسسة اللبنانية الآن؟

أولًا: حصر عمليات معالجة البيانات.

ثانيًا: ربط كل نظام AI بمصادر البيانات التي يستخدمها.

ثالثًا: تحديد الغرض والمسؤول والأشخاص المتأثرين.

رابعًا: تقييم الاحتفاظ والوصول والنقل عبر الحدود.

خامسًا: مراجعة الموردين والمعالجين الفرعيين.

سادسًا: تطبيق اختبارات ومراجعة بشرية للأنظمة المؤثرة.

سابعًا: إنشاء أثر تدقيق.

ثامنًا: إعادة التقييم عند تغيير النموذج أو البيانات أو الغرض.

الخلاصة التنفيذية

قانون 81/2018 يمنح لبنان قاعدة قانونية فعلية لمعالجة البيانات ذات الطابع الشخصي.

وتتضمن هذه القاعدة عناصر شديدة الصلة بحوكمة AI:

غرض المعالجة.

مصدر البيانات.

فئات الأشخاص.

الاطلاع.

مدة الاحتفاظ.

المسؤول عن المعالجة.

المتعهدين.

الربط بين المعالجات.

النقل إلى دول أخرى.

وسلامة البيانات.

لكن القانون ليس AI Governance Framework شاملًا.

المسار الأكثر نضجًا هو عدم اختراع متطلبات ونسبتها إليه، وعدم تجاهله بحجة أنه سبق موجة Generative AI الحديثة.

يجب استخدام أحكامه كأساس قانوني للبيانات، ثم بناء طبقة إضافية لإدارة مخاطر النماذج، والقرارات المؤثرة، والموردين، والإشراف البشري، والمراقبة.

بهذه الطريقة تصبح حوكمة AI امتدادًا منضبطًا لحماية البيانات، لا نظامًا موازيًا منفصلًا عنها.