نقل البيانات خارج سلطنة عُمان في أنظمة الذكاء الاصطناعي والخدمات السحابية

نقل البيانات خارج سلطنة عُمان في أنظمة الذكاء الاصطناعي والخدمات السحابية

المشكلة تبدأ قبل أن تقول المؤسسة «نحن ننقل بيانات»

قد تستخدم المؤسسة واجهة API لنموذج عالمي أو منصة GenAI أو خدمة SaaS وتفترض أن البيانات «داخل التطبيق».

لكن من منظور حوكمة البيانات، السؤال هو: أين تذهب البيانات فعليًا عند الإرسال والمعالجة والتخزين والنسخ الاحتياطي؟

إذا كانت البيانات الشخصية تعالج خارج سلطنة عُمان، تدخل ضوابط نقل البيانات عبر الحدود الواردة في اللائحة التنفيذية لقانون حماية البيانات الشخصية.

ماذا تقول المصادر الرسمية؟

توضح وزارة النقل والاتصالات وتقنية المعلومات أن اللائحة التنفيذية تنظم نقل البيانات الشخصية خارج السلطنة، وأن الضوابط تشمل في الأصل موافقة صاحب البيانات، وألا يؤثر النقل في الأمن الوطني أو المصالح العليا للدولة، وأن يتمتع المعالج الخارجي بمستوى حماية ملائم لا يقل عن مستوى الحماية المقرر وفق القانون واللائحة، مع تقييم مستوى الحماية لدى المعالج الخارجي.

كما توضح صفحة حماية البيانات الحالية للوزارة أن:

• نقل البيانات غير الحساسة لا يحتاج، وفق الشرح المنشور، موافقة جهة أخرى لمجرد النقل، مع بقاء موافقة صاحب البيانات والالتزام بضمانات اللائحة.
• تخزين أو معالجة البيانات الحساسة خارج عُمان يتطلب موافقة مركز الدفاع الإلكتروني.
• الأصل هو الحصول على موافقة صاحب البيانات قبل نقل بياناته إلى الخارج، مع وجود استثناءات محددة تعرضها الوزارة، منها الالتزام الدولي أو النقل بطريقة لا تسمح بتحديد هوية صاحب البيانات.

هذه النقاط يجب قراءتها مع النص الرسمي الساري كاملًا عند التطبيق.

لماذا AI يجعل النقل أقل وضوحًا؟

قد يحدث النقل في أماكن متعددة:

• Prompt يرسل إلى نموذج مستضاف خارج عُمان.
• ملف يرفع إلى مساعد ذكي.
• Vector Database مستضافة خارجيًا.
• خدمة OCR أو Speech-to-Text خارجية.
• Telemetry أو Logs.
• أدوات مراقبة النموذج.
• Backup.
• خدمة دعم فني لدى المزود.
• Subprocessor يستخدمه المورد.

لذلك لا يكفي سؤال المزود: «أين تقع قاعدة البيانات الرئيسية؟»

ارسم Data Flow

[ممارسة تنفيذية] قبل اعتماد خدمة AI، ارسم المسار:

User → Application → API → Model Provider → Storage/Logs → Subprocessors → Return Output

ثم ضع على كل نقطة:

• نوع البيانات.
• الدولة أو المنطقة.
• الغرض.
• مدة الاحتفاظ.
• الطرف المسؤول.
• مستوى الحساسية.
• الضمانات.

هذا يحول سؤال نقل البيانات من تخمين إلى خريطة قابلة للمراجعة.

البيانات غير الحساسة

وفق إرشادات الوزارة الحالية، لا يتطلب نقل البيانات الشخصية غير الحساسة للخارج موافقة جهة تنظيمية إضافية لمجرد النقل، لكن موافقة صاحب البيانات تبقى هي القاعدة مع الالتزام بضمانات اللائحة.

هذا لا يعني أن المؤسسة تستطيع اختيار أي مزود دون تقييم.

فاللائحة تتطلب حماية مناسبة لدى المعالج الخارجي وتقييم مستوى الحماية.

البيانات الحساسة

الوضع أكثر تشددًا عندما تكون البيانات حساسة.

توضح الوزارة أن تخزين أو معالجة البيانات الشخصية الحساسة خارج عُمان يحتاج موافقة مركز الدفاع الإلكتروني.

وهذه نقطة حاسمة في الخدمات السحابية والذكاء الاصطناعي؛ لأن مجرد اختيار Region خارج السلطنة قد يغيّر متطلبات الامتثال.

هل Data Residency وحدها تكفي؟

لا.

وجود مركز بيانات في موقع معين لا يجيب عن جميع الأسئلة.

قد توجد:

• عمليات دعم خارج المنطقة.
• نسخ احتياطية.
• Telemetry.
• Subprocessors.
• تدريب أو تحسين خدمة.
• إدارة مفاتيح.
• نسخ مؤقتة.
• استدعاءات إلى نموذج في Region مختلفة.

لذلك يجب تحليل مكان المعالجة وليس فقط مكان التخزين.

تقييم المعالج الخارجي

تشير اللائحة، بحسب شرح الوزارة، إلى تقييم مستوى الحماية الذي يقدمه المعالج الخارجي.

يمكن ترجمة ذلك إلى Vendor Due Diligence يشمل:

• الأمن.
• الخصوصية.
• التحكم في الوصول.
• الخروقات.
• الاحتفاظ والحذف.
• المعالجين الفرعيين.
• مواقع المعالجة.
• التدقيق والشهادات.
• تغيير الشروط.
• الاستمرارية.
• إنهاء الخدمة.

لكن اسم Vendor Due Diligence ونموذجه التفصيلي ممارسة تنفيذية وليس نموذجًا رسميًا ملزمًا باسم محدد.

نقل البيانات وGenAI

في GenAI، قد يحدث النقل بمجرد إدخال المستخدم للنص.

وهذا يجعل التحكم في السلوك البشري جزءًا من الامتثال.

[ممارسة تنفيذية] يمكن للمؤسسة:

• تحديد الأدوات المعتمدة.
• منع إدخال أنواع بيانات محددة.
• استخدام DLP أو ضوابط وصول عندما يناسب السياق.
• تدريب الموظفين.
• توفير بيئات مؤسسية بعقود مناسبة.
• مراقبة الاستخدامات الحرجة.

المعالجون الفرعيون

قد يتعاقد المزود مع شركات أخرى لمعالجة أجزاء من الخدمة.

يجب أن تعرف المؤسسة من هم المعالجون الفرعيون ذوو الصلة، وأين يعملون، وما الذي يتغير إذا أضاف المورد معالجًا جديدًا.

هذه النقطة مهمة أيضًا في Sovereign Dependency Graph™ لأنها تكشف اعتماديات لا تظهر في اسم المورد الرئيسي.

النقل والسيادة الرقمية

قضية النقل لا تتعلق فقط بالخصوصية.

قد تؤثر أيضًا في:

• الاختصاص القضائي.
• الوصول القانوني للبيانات.
• الاعتماد على مورد خارجي.
• تكلفة الخروج.
• استمرارية الخدمة.
• القدرة على نقل البيانات إلى بديل.
• توفر المهارات المحلية.
• تركّز الخدمات لدى عدد محدود من المزودين.

هذه الأبعاد أوسع من متطلبات قانون حماية البيانات، لكنها مهمة في تقييم السيادة والمخاطر التشغيلية.

مثال عملي

لنفترض أن جهة تستخدم مساعدًا سحابيًا لتحليل شكاوى العملاء.

يجب أن تعرف:

1. هل الشكاوى تحتوي بيانات شخصية؟
2. هل تحتوي بيانات حساسة؟
3. أين يرسل الـPrompt؟
4. هل يحتفظ المزود به؟
5. هل يستخدمه للتدريب؟
6. هل يوجد Subprocessor؟
7. هل يوجد نقل خارج عُمان؟
8. هل توجد موافقة مطلوبة؟
9. هل يحتاج الأمر موافقة مركز الدفاع الإلكتروني بسبب حساسية البيانات؟
10. هل حماية المعالج الخارجي قُيّمت؟
11. هل يمكن تنفيذ طلب حذف؟
12. ماذا يحدث عند إنهاء العقد؟

هذه الأسئلة تجعل التقييم مرتبطًا بالتدفق الحقيقي للبيانات.

الدليل

يمكن أن تشمل الأدلة [ممارسة تنفيذية]:

• Data Flow Diagram.
• Data Transfer Register.
• تصنيف البيانات.
• موافقات صاحب البيانات عند انطباقها.
• الموافقات التنظيمية المطلوبة.
• تقييم المعالج الخارجي.
• العقد وملحق معالجة البيانات.
• قائمة المعالجين الفرعيين.
• مواقع المعالجة.
• سياسة الحذف.
• مراجعات دورية للمورد.

الخلاصة

في أنظمة AI، عبارة «لا نخزن البيانات خارج عُمان» قد تكون غير كافية إذا كانت البيانات تعالج خارجيًا ولو مؤقتًا.

الأسئلة الصحيحة هي:

ما البيانات؟ إلى أين تذهب؟ من يعالجها؟ بأي ضمانات؟ هل هي حساسة؟ وما الموافقات المطلوبة؟

عندها فقط يمكن للمؤسسة أن تعرف ما إذا كانت بنية AI أو Cloud متوافقة مع متطلبات نقل البيانات عبر الحدود.

الحالة التنظيمية راجعتها Siyada AI بتاريخ 9 سبتمبر 2026. يجب الرجوع إلى النص الرسمي الساري لقانون حماية البيانات الشخصية ولائحته التنفيذية وأي تعديلات نافذة قبل اتخاذ قرار امتثال تفصيلي.