المحفز هو معالجة البيانات الشخصية، لا مجرد وجود AI. اربط خريطة النظام بخريطة البيانات ثم اختبر قانون حماية البيانات ولائحته التنفيذية والنص المعدل الساري دون افتراض تفاصيل تعديل لم يتم التحقق منها.
حماية البيانات الشخصية في أنظمة الذكاء الاصطناعي في سلطنة عُمان
لماذا تصبح حماية البيانات جزءًا مباشرًا من حوكمة AI؟
قد يستخدم نظام الذكاء الاصطناعي بيانات شخصية في التدريب أو الاختبار أو التخصيص أو الاستدلال أو المراقبة أو التحقيق في الأخطاء. بمجرد دخول هذه البيانات في دورة حياة النظام، لا تكفي سياسة الذكاء الاصطناعي وحدها.
في سلطنة عُمان يشكل قانون حماية البيانات الشخصية الصادر بالمرسوم السلطاني 6/2022، مع لائحته التنفيذية الصادرة بالقرار الوزاري 34/2024، الطبقة القانونية الأساسية لمعالجة البيانات الشخصية.
كما تعرض وزارة العدل والشؤون القانونية، وفق الحالة التنظيمية التي راجعتها Siyada AI في سبتمبر 2026، المرسوم السلطاني 68/2026 بوصفه مرسومًا يعدل بعض أحكام قانون حماية البيانات الشخصية.
مهم: وجود تعديل 68/2026 مؤكد من الفهرس الرسمي، لكن لا ينبغي تفسير المواد المعدلة أو آثارها التفصيلية دون الرجوع إلى النص الرسمي الكامل للتعديل والنص المدمج الساري.
ما علاقة القانون بنظام AI؟
القانون ليس قانونًا خاصًا بالذكاء الاصطناعي. لكنه ينطبق عندما تتضمن المعالجة بيانات شخصية.
في AI قد تظهر المعالجة في مراحل مثل:
- جمع بيانات التدريب.
- إعداد Dataset.
- اختبار النموذج على بيانات حقيقية.
- إدخال بيانات المستخدم إلى خدمة AI.
- حفظ المحادثات أو المدخلات.
- إنتاج درجات أو ملفات تعريف مرتبطة بأفراد.
- إرسال البيانات إلى مزود أو معالج خارجي.
- الاحتفاظ بالسجلات لأغراض المراقبة أو التدقيق.
لذلك يجب رسم خريطة البيانات عبر دورة حياة النظام بدل النظر إلى واجهة الاستخدام فقط.
المتحكم والمعالج
توضح المنظومة القانونية التزامات للمتحكم والمعالج.
عمليًا، يجب على المؤسسة تحديد دورها ودور الأطراف الخارجية في كل تدفق بيانات.
في خدمة AI سحابية قد تكون المؤسسة متحكمًا في بيانات المستخدمين بينما يعمل المزود كمعالج في بعض الأنشطة، لكن التوصيف القانوني لا ينبغي افتراضه آليًا؛ يجب تحليله وفق العلاقة الفعلية وشروط الخدمة وطبيعة المعالجة.
الموافقة والضوابط القانونية للمعالجة
تعرض الوزارة قانون حماية البيانات باعتباره يضع ضوابط لمعالجة البيانات الشخصية، ومن بينها الحصول على موافقة صاحب البيانات في الحالات التي يتطلبها القانون، كما يمنح صاحب البيانات حقوقًا مثل سحب الموافقة وطلب التعديل والتحديث والمحو والإخطار بانتهاك بياناته.
بالنسبة إلى AI، يجب ألا تتحول كلمة «الموافقة» إلى مربع عام يوضع في كل حالة دون تحليل.
يجب تحديد:
- ما البيانات التي تعالج؟
- لأي غرض؟
- ما الأساس القانوني المنطبق؟
- هل تغير الغرض؟
- هل تشارك البيانات مع طرف آخر؟
- هل توجد فئة خاصة من البيانات تحتاج تصريحًا أو ضوابط إضافية؟
البيانات التي تتطلب تصريحًا
توضح اللائحة التنفيذية إجراءات الحصول على تصريح لمعالجة البيانات المشار إليها في المادة 5 من القانون.
وتوفر الوزارة خدمة مخصصة للتصاريح وتطلب ضمن إجراءاتها مستندات تشمل سياسة حماية البيانات الشخصية والتدابير الاحترازية المطبقة عند وقوع خرق للبيانات.
هذا يعني أن بعض معالجات البيانات لا يمكن التعامل معها مثل أي Dataset عادي لمجرد أن الغرض هو بناء نظام AI.
البيانات الحساسة وAI
عندما يعتمد النظام على بيانات ذات حساسية مرتفعة، ترتفع متطلبات الحوكمة.
يجب أن تشمل مراجعة AI على الأقل:
- هل النظام يحتاج هذه البيانات أصلًا؟
- هل يمكن تقليلها؟
- هل يوجد تصريح أو موافقة تنظيمية مطلوبة؟
- أين ستخزن أو تعالج؟
- من يستطيع الوصول إليها؟
- هل ستنتقل خارج عُمان؟
- هل يمكن للمورد استخدامها لأغراض أخرى؟
- ما مدة الاحتفاظ؟
هذه أسئلة تنفيذية مشتقة من التزامات حماية البيانات، وليست قائمة رسمية مغلقة.
بيانات الأطفال
تؤكد وزارة النقل والاتصالات وتقنية المعلومات أن اللائحة التنفيذية تتضمن ضوابط خاصة لمعالجة البيانات الشخصية للطفل.
لذلك فإن أي نظام AI يتعامل مع الأطفال يحتاج مراجعة أكثر تحفظًا.
وقد يشمل ذلك خدمات التعليم، والمنصات التفاعلية، والتوصيات، والمساعدات الذكية، والتحليلات السلوكية أو أدوات التقييم التي تستخدم بيانات طفل.
حقوق صاحب البيانات
توضح المصادر الرسمية أن القانون واللائحة يوفران حقوقًا وإجراءات لممارسة حقوق صاحب البيانات.
وهنا تظهر تحديات AI عملية:
- هل يمكن معرفة أين استخدمت بيانات الفرد؟
- هل يمكن تعديلها أو حذفها عندما يكون ذلك مطلوبًا؟
- هل تنتشر في سجلات أو نسخ احتياطية أو خدمات طرف ثالث؟
- هل أنتج النظام بيانات مشتقة مرتبطة بالفرد؟
- هل يستطيع المزود تنفيذ طلبات الحذف ضمن المدة والإجراء المطلوبين؟
هذه الأسئلة يجب التفكير فيها عند التصميم، لا بعد وصول أول طلب.
تقليل البيانات
[ممارسة تنفيذية] من أقوى ضوابط AI Privacy أن تجمع المؤسسة فقط ما تحتاجه فعلًا.
قبل استخدام مجموعة بيانات، يمكن السؤال:
- هل كل حقل ضروري؟
- هل يمكن استخدام بيانات مجهولة أو أقل تحديدًا؟
- هل يمكن فصل الهوية عن بيانات التحليل؟
- هل يمكن الاختبار ببيانات صناعية في بعض المراحل؟
- هل يحتاج المزود إلى كل المدخلات؟
تقليل البيانات يقلل أثر الخرق وسوء الاستخدام والنقل غير الضروري.
الخصوصية في GenAI
في خدمات GenAI، قد ينسخ المستخدم مستندًا أو بيانات شخصية إلى Prompt دون إدراك أن البيانات ستغادر بيئة المؤسسة.
لذلك يجب دمج الخصوصية مع ضوابط استخدام GenAI.
يمكن للمؤسسة تحديد فئات البيانات المسموح إدخالها، وحظر البيانات الحساسة في الخدمات العامة، وتوفير بيئات معتمدة، ومراجعة سياسات الاحتفاظ والتدريب لدى المورد.
الاحتفاظ والحذف
أنظمة AI قد تنتج آثار بيانات متعددة:
- البيانات الأصلية.
- نسخ التحضير.
- Logs.
- Prompts.
- Outputs.
- Feedback.
- نسخ المورد.
- سجلات الاختبار.
لذلك يجب أن تكون سياسة الاحتفاظ مرتبطة بالتدفق الكامل، لا بقاعدة البيانات الرئيسية فقط.
الخروقات
توضح الوزارة أن إدارة حماية البيانات تستقبل البلاغات المتعلقة بخروقات البيانات وتتابعها وفق الإجراءات المعتمدة.
في AI قد يقع الخرق بسبب:
- كشف Prompt.
- إرسال بيانات لمزود غير معتمد.
- ضعف التحكم في الوصول.
- تسريب عبر تكامل.
- حفظ غير مقصود للمدخلات.
- مشاركة مخرجات تحتوي بيانات شخصية.
لذلك يجب أن تربط خطة Incident Response بين الأمن والخصوصية ومالك نظام AI.
نموذج عملي: Privacy Gate قبل اعتماد AI
[ممارسة تنفيذية] يمكن أن تسأل المؤسسة قبل الاعتماد:
- هل توجد بيانات شخصية؟
- هل توجد بيانات تحتاج تصريحًا؟
- هل يوجد أطفال؟
- ما الغرض والأساس القانوني؟
- هل توجد موافقة مطلوبة؟
- هل يوجد معالج خارجي؟
- هل يوجد نقل خارج عُمان؟
- ما الاحتفاظ؟
- كيف تنفذ الحقوق؟
- ما ضوابط الخرق؟
إذا لم تستطع الإجابة، فالنظام غير جاهز للانتقال إلى الإنتاج.
الخلاصة
الخصوصية في AI ليست مرحلة قانونية منفصلة عن التطوير.
هي مجموعة قرارات تمتد من اختيار البيانات إلى المزود إلى التشغيل والمراقبة والحذف.
والقاعدة العملية هي:
اعرف البيانات → اعرف الغرض → اعرف الأطراف → اعرف الموقع → اعرف الحقوق → احتفظ بالدليل.
الحالة التنظيمية راجعتها Siyada AI بتاريخ 9 سبتمبر 2026. يجب الرجوع إلى النص الرسمي الكامل لقانون حماية البيانات الشخصية واللائحة التنفيذية والمرسوم السلطاني 68/2026 والنص المدمج الساري عند اتخاذ قرار قانوني أو امتثال تفصيلي.
المفاهيم الرئيسية
- حماية البيانات الشخصية
- جهة التحكم
- جهة المعالجة
- الموافقة
- حقوق صاحب البيانات
- الخصوصية حسب التصميم
- المعالج الخارجي
- الذكاء الاصطناعي
الخطوات العملية
- 1حدد البيانات الشخصية التي يعالجها كل نظام AI.
- 2وثق الغرض من المعالجة والأطراف المشاركة فيها.
- 3حدد أدوار جهة التحكم وجهات المعالجة.
- 4راجع حقوق أصحاب البيانات وآليات الاستجابة.
- 5طبق ضوابط الخصوصية والأمن منذ التصميم.
- 6راجع النص القانوني العُماني الحالي عند اتخاذ قرار امتثال.
الأخطاء الشائعة
- ⚠اعتبار قانون حماية البيانات غير ذي صلة لأنه لا يختص بـAI.
- ⚠جمع بيانات أكثر من اللازم لحالة الاستخدام.
- ⚠إرسال البيانات إلى مزود AI دون تحليل دوره.
- ⚠الاعتماد على الموافقة كحل تلقائي لكل معالجة.
- ⚠الاستناد إلى نسخة قانونية قديمة دون التحقق من التعديلات الحالية.