مسودة السياسة الوطنية للذكاء الاصطناعي في قطر: الحوكمة القائمة على المخاطر والبيانات والإشراف البشري

تنبيه تنظيمي قبل قراءة المقال

الوثيقة التي يناقشها هذا المقال هي:

Draft National Artificial Intelligence Policy

وليست سياسة وطنية نهائية مثبتة.

تم طرحها للاستشارة العامة، وأغلقت الاستشارة في 16 يناير 2026.

حتى تاريخ آخر تحقق، لا يوجد مصدر رسمي تحققنا منه يثبت إصدار نسخة نهائية تحل محل المسودة.

لهذا السبب:

• Framework status = draft.
• يجب أن تظهر Red Draft Badge.
• لا يجوز الاستشهاد بها كمتطلب نهائي دون تأهيل واضح.

لماذا نحتفظ بمسودة داخل قاعدة معرفية؟

لأن Regulatory Intelligence لا تقتصر على القوانين النافذة.

Drafts تساعد المؤسسات على فهم:

• الاتجاه القادم.
• المصطلحات المتوقعة.
• أولويات الجهة.
• المجالات التي قد تصبح منظمة.
• نوع controls التي تستحق الاستعداد.

المشكلة ليست في استخدام Draft.

المشكلة في إخفاء أنها Draft.

العلاقة مع استراتيجية 2019

قطر لديها National AI Strategy منذ 2019.

المسودة الجديدة ليست مجرد إعادة نشر للاستراتيجية.

الفرق الجوهري:

Strategy → Vision, Capability, National Direction.

Draft Policy → Governance, Institutional Controls, Risk Direction.

خمسة محاور رئيسية

المسودة مبنية على خمسة محاور:

1. Digital Infrastructure.
2. Data and Information.
3. Human Capabilities.
4. Institutional Capabilities.
5. AI Governance.

هذه البنية تعطي تصورًا متكاملًا للجاهزية الوطنية والمؤسسية.

Digital Infrastructure

AI adoption يحتاج إلى بنية قادرة على:

• compute.
• storage.
• connectivity.
• scalability.
• security.
• resilience.

لكن البنية التحتية وحدها لا تصنع AI Governance.

Infrastructure Dependency

المؤسسة يجب أن تعرف:

• أين يعمل model؟
• من يملك compute؟
• هل هناك cloud concentration؟
• ما خطط الاستمرارية؟
• هل يمكن تغيير provider؟

Data and Information

البيانات محور مستقل لأن جودة AI تعتمد على:

• availability.
• accuracy.
• relevance.
• provenance.
• governance.
• access.

Data Governance

المؤسسة تحتاج إلى:

• Data Owners.
• Classification.
• Quality Controls.
• Access Controls.
• Retention.
• Lineage.

Personal Data

إذا كانت البيانات شخصية، يدخل قانون حماية خصوصية البيانات الشخصية رقم 13 لسنة 2016 كطبقة نهائية مستقلة.

المسودة لا تلغي القانون.

Human Capabilities

تحتاج المؤسسات إلى أكثر من developers.

تشمل القدرات:

• governance.
• legal.
• cybersecurity.
• data.
• model validation.
• internal audit.
• procurement.

AI Literacy

حتى الموظف الذي لا يبني model قد يستخدم AI يوميًا.

لذلك AI Literacy يجب أن تشمل:

• limitations.
• hallucination.
• privacy.
• security.
• acceptable use.
• escalation.

Institutional Capabilities

المؤسسة الناضجة تحتاج إلى عمليات وليس فقط أشخاص.

مثل:

• use-case intake.
• risk classification.
• approvals.
• vendor review.
• monitoring.
• incident response.

AI Governance

محور AI Governance يعكس انتقالًا مهمًا من:

"كيف نتبنى AI؟"

إلى:

"كيف نتحمل مسؤولية AI؟"

Risk-Based Governance

المسودة تشير إلى نهج قائم على المخاطر.

يمكن للمؤسسة الاستعداد عبر تصنيف داخلي.

مثلاً:

Low Moderate High Critical

لكن:

[غير مؤكد]

لا ينبغي افتراض أن النسخة النهائية ستحتفظ بنفس classifications أو thresholds.

Risk Factors

يمكن استخدام عوامل داخلية مثل:

• impact.
• sensitivity.
• autonomy.
• scale.
• reversibility.
• sector.
• external dependency.

High-Risk AI

لا تستخدم مصطلح High-Risk AI وكأنه تصنيف قانوني قطري نهائي ما دام المصدر الأساسي هو Draft.

يمكن استخدامه كفئة حوكمة داخلية.

Human Oversight

الإشراف البشري يحتاج إلى تعريف.

قد يعني:

• approval before action.
• review after recommendation.
• exception handling.
• continuous monitoring.

ليس كل نظام يحتاج نفس النوع.

Effective Oversight

اختبر:

• هل يستطيع الإنسان الرفض؟
• هل يملك المعلومات؟
• هل لديه وقت؟
• هل يفهم limitations؟
• هل يسجل القرار؟

Transparency

الشفافية يمكن أن تختلف حسب الجمهور.

قد يحتاج:

Employee → technical context.

Customer → understandable notice.

Auditor → evidence.

Executive → risk summary.

Accountability

كل AI system يجب أن يكون له Accountable Owner.

"الفريق" ليس مالكًا.

Data Provenance

معرفة أصل البيانات مهمة من أجل:

• quality.
• rights.
• reproducibility.
• incident investigation.
• auditability.

Security

AI systems تخلق مخاطر متخصصة مثل:

• Prompt Injection.
• Model Abuse.
• Retrieval Poisoning.
• Agent Escalation.
• Data Exfiltration.

لكن يجب دمجها مع Cybersecurity governance القائمة.

Privacy

Privacy Review يجب أن يدخل قبل Go-Live وليس بعد incident.

Third-Party AI

AI ecosystem غالبًا متعدد الموردين.

مثال:

Application → Model Provider → Cloud Provider → Logging Platform → Security Platform → Support

كل طبقة قد تمس البيانات أو الاستمرارية.

Vendor Due Diligence

راجع:

• security.
• data usage.
• training.
• retention.
• subprocessors.
• model changes.
• incident response.
• deletion.
• portability.

Model Risk

حتى النظام الآمن سيبرانيًا قد يكون غير موثوق.

اختبر:

• accuracy.
• bias.
• robustness.
• drift.
• hallucination.
• calibration.

Generative AI

GenAI يحتاج controls تخص:

• unsupported outputs.
• source grounding.
• confidential prompts.
• prompt injection.
• output validation.

Agentic AI

Agentic AI يزيد المخاطر بسبب الصلاحيات.

حدد:

• tools.
• permissions.
• allowed actions.
• approval gates.
• transaction limits.
• kill switch.

AI Impact Assessment

حتى لو لم يتحول هذا الاسم إلى متطلب نهائي في النسخة المستقبلية، فإن تقييم الأثر ممارسة No-Regret.

يمكن أن يغطي:

• individuals.
• customers.
• employees.
• public services.
• rights.
• financial impact.
• security.

AI Assurance

الأنظمة عالية الأثر تستحق:

• testing.
• validation.
• independent review where appropriate.
• monitoring.
• evidence.

No-Regret Controls

المؤسسة تستطيع تنفيذ الآن:

1. AI Inventory.
2. Ownership.
3. Risk Classification.
4. Data Governance.
5. Privacy Review.
6. Security Review.
7. Vendor Review.
8. Human Oversight.
9. Monitoring.
10. Incident Process.

هذه الضوابط تظل مفيدة حتى لو تغيرت المسودة.

ما الذي يجب تأجيله؟

لا تكتب في سياسة المؤسسة:

"وفق المتطلبات النهائية للسياسة الوطنية القطرية..."

ما لم تكن تشير إلى وثيقة نهائية فعلًا.

Compliance Mapping

في control library، استخدم source type.

مثال:

Privacy Control Source = Final Law.

Cyber Control Source = Final Strategy / applicable regulation.

AI Proposed Control Source = Draft Policy.

Regulatory Watch

عين Owner لمتابعة:

• MCIT.
• Sharek consultation history.
• official policy publication.
• relevant government announcements.

Delta Assessment

عندما تصدر النسخة النهائية، لا تفترض أنها مطابقة للمسودة.

قارِن:

• scope.
• definitions.
• risk classes.
• obligations.
• authorities.
• timelines.
• exemptions.
• terminology.

Version Control

احفظ:

Draft version reviewed + Date + Final version when issued + Differences.

Status Communication

يجب أن يكون المستخدم قادرًا على معرفة الحالة فورًا دون قراءة المقال كاملًا.

لذلك شارة DRAFT الحمراء ليست عنصرًا تجميليًا.

هي Metadata Critical Control.

ماذا لو ظلت المسودة سنوات؟

تبقى حالتها Draft ما لم يظهر مصدر رسمي يثبت خلاف ذلك.

مرور الوقت لا يحول المسودة تلقائيًا إلى سياسة نهائية.

ما الذي يجب فعله عند تغيير الحالة؟

إذا صدر Final:

1. Verify official source.
2. Update framework document_status via reviewed SQL.
3. Update status note.
4. Update this article.
5. Remove Draft-specific warnings where no longer applicable.
6. Add final references.
7. Reassess related articles.

Lovable لا يقوم بهذه التغييرات.

قاعدة Lovable

Lovable:

• يقرأ document_status.
• يعرض badge.
• يطبق اللون.

ولا:

• يقرر الحالة.
• يغيرها.
• يكتب المحتوى.
• يولد knowledge data.

الخلاصة

Draft National AI Policy القطرية وثيقة مهمة جدًا لفهم اتجاه الحوكمة الوطنية القادمة.

لكن القيمة الحقيقية تأتي من التعامل معها بدقة.

هي ليست "غير مهمة لأنها Draft"، وليست "نافذة لأنها رسمية".

هي مصدر رسمي مقترح يجب مراقبته والاستعداد له، مع إبقاء الفرق واضحًا بين الاستعداد للمستقبل والامتثال لمتطلب نافذ.