ما وراء تنظيم الذكاء الاصطناعي: أطر البيانات والأمن السيبراني والقدرات البشرية في السعودية

الذكاء الاصطناعي لا يعمل فوق فراغ مؤسسي

قد يكون من السهل النظر إلى حوكمة الذكاء الاصطناعي باعتبارها مجموعة من المبادئ والسياسات المرتبطة مباشرة بأنظمة AI.

لكن هذه القراءة ناقصة.

النظام الذكي يعتمد على بيانات يتم جمعها وتصنيفها ومشاركتها وحمايتها، وعلى بنية تقنية قد تشمل السحابة ومورّدين خارجيين، وعلى أشخاص يطورونه ويشغلونه ويراقبونه ويتخذون القرارات المرتبطة به.

لذلك تتكون جاهزية المؤسسة الفعلية للذكاء الاصطناعي في السعودية من عدة طبقات متداخلة.

1. طبقة إدارة البيانات وحوكمتها

يتولى مكتب إدارة البيانات الوطنية NDMO، التابع لسدايا، تطوير السياسات والضوابط والمعايير المرتبطة بإدارة البيانات وحوكمتها، ودعم تطبيقها ومتابعة الالتزام بها.

ويتناول الإطار الوطني لإدارة البيانات وحماية البيانات الشخصية مجالات متعددة عبر دورة حياة البيانات، من بينها:

• حوكمة البيانات.
• الكتالوج والبيانات الوصفية.
• جودة البيانات.
• عمليات البيانات.
• بنية البيانات والنمذجة.
• البيانات المرجعية والرئيسية.
• ذكاء الأعمال والتحليلات.
• مشاركة البيانات والتشغيل البيني.
• تصنيف البيانات.
• حماية البيانات الشخصية.
• أمن البيانات وحمايتها.

بالنسبة لنظام AI، هذه المجالات ليست قضايا منفصلة عن الحوكمة.

جودة البيانات تؤثر في جودة النظام، وتصنيف البيانات يؤثر في كيفية التعامل معها، وتتبع مصدرها واستخدامها يساعد في بناء قابلية التدقيق، بينما تحدد قواعد المشاركة والحماية ما إذا كان يمكن استخدام بعض البيانات أو نقلها أو إتاحتها لطرف آخر.

2. حماية البيانات الشخصية ليست بديلًا عن حوكمة البيانات

وجود نظام حماية البيانات الشخصية لا يعني أن إدارة بيانات AI أصبحت مكتملة تلقائيًا.

هناك فرق بين:

حماية حقوق الأفراد والالتزام بمتطلبات معالجة البيانات الشخصية

و:

إدارة أصول البيانات المؤسسية التي تعتمد عليها أنظمة الذكاء الاصطناعي.

قد تحتاج المؤسسة في مشروع واحد إلى التعامل مع:

• الأساس النظامي لمعالجة البيانات الشخصية.
• الغرض من المعالجة.
• تقليل البيانات.
• الاحتفاظ والإتلاف.
• مشاركة البيانات أو نقلها.
• جودة البيانات.
• التصنيف.
• الصلاحيات.
• البيانات الوصفية.
• مصدر البيانات ونسبها.
• الأمن السيبراني.

لذلك يجب ألا تختزل حوكمة بيانات AI في سؤال واحد مثل: «هل نحن ملتزمون بـPDPL؟».

3. الأمن السيبراني يشكل طبقة مستقلة من قابلية التبني

تصدر الهيئة الوطنية للأمن السيبراني NCA عدة أنواع من الضوابط والأطر ذات نطاقات تطبيق مختلفة.

من بينها الضوابط الأساسية للأمن السيبراني ECC 2-2024، وضوابط الأمن السيبراني للبيانات DCC، إضافة إلى ضوابط أخرى مرتبطة بالسحابة والأنظمة الحساسة وغيرها وفق طبيعة الجهة والتقنية المستخدمة.

توضح DCC على وجه الخصوص الحد الأدنى من المتطلبات السيبرانية التي تساعد الجهات ضمن نطاقها على حماية البيانات خلال دورة حياتها.

وهذا مهم لأن نظام AI قد يكون محكومًا جيدًا من ناحية الموافقات والأدوار، لكنه يظل ضعيفًا إذا كانت:

• البيانات غير محمية.
• مفاتيح الوصول غير مضبوطة.
• البيئات السحابية غير محكومة.
• سلسلة التوريد التقنية غير مفحوصة.
• سجلات الأحداث غير كافية.
• صلاحيات الأنظمة أو المستخدمين أوسع من الحاجة.

الحوكمة لا تعوض ضعف الأمن السيبراني.

والأمن السيبراني بدوره لا يعوض غياب حوكمة AI.

4. ليست كل ضوابط NCA قابلة للتطبيق بالطريقة نفسها

من الخطأ التعامل مع كل وثيقة صادرة عن NCA باعتبارها التزامًا متماثلًا على كل مؤسسة سعودية.

قابلية التطبيق تعتمد على عدة عوامل، منها:

• نوع الجهة.
• القطاع.
• ما إذا كانت تدير بنية تحتية وطنية حساسة.
• طبيعة الأنظمة المستخدمة.
• استخدام الخدمات السحابية.
• وجود أنظمة حساسة أو تقنية تشغيلية.
• المتطلبات القطاعية الأخرى.

لذلك يجب تحديد Applicability أولًا قبل تحويل أي وثيقة إلى قائمة امتثال داخلية.

5. القدرات البشرية جزء من البنية الحوكمية

امتلاك السياسات والضوابط لا يعني أن المؤسسة قادرة على تشغيلها.

في يونيو 2026 أصدرت NCA نسخة محدثة من الإطار السعودي لكوادر الأمن السيبراني SCyWF.

يربط الإطار أعمال الأمن السيبراني بأدوار وظيفية ومهمات ومعارف ومهارات ومجالات كفاءة، ويضيف مسارات للتقدم المهني.

وفي مجال البيانات والذكاء الاصطناعي، تعرض سدايا كذلك أطرًا وطنية مرتبطة بالكفاءات، من بينها:

• National Occupational Standard Framework for Data & Artificial Intelligence.
• Saudi Academic Framework for AI Qualifications.

إضافة إلى منظومة لبناء القدرات تشمل SDAIA Academy وبرامج متخصصة في البيانات والذكاء الاصطناعي.

هذه الأدوات ليست «ضوابط امتثال AI» بالمعنى التقليدي.

لكنها تكشف نقطة أكثر أهمية:

المؤسسة لا تستطيع حوكمة تقنية لا تملك القدرة البشرية على فهمها وتشغيلها ومراجعتها.

6. AI Adoption Framework يجمع هذه الطبقات

يعرض إطار تبني الذكاء الاصطناعي لدى سدايا مجموعة من الممكنات التي تشمل، من بين أمور أخرى:

• البيانات.
• التقنية.
• القدرات البشرية.
• الاستخدام المسؤول للذكاء الاصطناعي.
• الاتصال وإدارة التغيير.
• المتابعة والتحسين المستمر.

وهذا مهم لأنه ينقل السؤال من:

ما الضابط التنظيمي المطلوب؟

إلى:

هل المؤسسة مهيأة فعليًا لتبني AI بصورة مستدامة ومسؤولة؟

7. أربع خرائط يجب ألا تخلط بينها المؤسسة

يمكن تنظيم البيئة المؤسسية إلى أربع خرائط منفصلة ولكن مترابطة:

وجود خريطة واحدة لا يغني عن الثلاث الأخرى.

8. مثال: شراء نموذج توليدي مؤسسي

لنفترض أن مؤسسة سعودية تريد اعتماد منصة GenAI خارجية.

القرار لا يجب أن يبدأ وينتهي بمراجعة مزود الخدمة.

يجب أن يطرح أيضًا أسئلة مثل:

البيانات

• ما نوع البيانات التي سترسل إلى الخدمة؟
• كيف صُنفت؟
• هل تحتوي بيانات شخصية أو حساسة؟
• هل توجد قيود على المشاركة أو النقل؟

الأمن السيبراني

• أين تتم المعالجة والاستضافة؟
• كيف تُدار الهوية والصلاحيات؟
• ما التكاملات المتصلة بالخدمة؟
• ما ضوابط التسجيل والمراقبة؟
• هل توجد أطراف فرعية؟

القوى العاملة

• من يستطيع استخدام النظام؟
• من يستطيع بناء التكاملات معه؟
• من يقيّم المخاطر؟
• من يراجع المخرجات؟
• هل توجد معرفة داخلية كافية لتحدي المورد تقنيًا؟

حوكمة AI

• من يوافق على الاستخدام؟
• ما الاستخدامات المسموحة؟
• ما الاستخدامات المحظورة؟
• متى يجب إعادة التقييم؟
• من يملك صلاحية إيقاف النظام؟

هذا هو الفرق بين شراء أداة وبين بناء قدرة مؤسسية.

9. قراءة سيادة AI: Capability Layer

هذا القسم تحليل تحريري من سيادة AI، وليس تصنيفًا رسميًا صادرًا عن جهة سعودية.

يمكن النظر إلى المنظومة السعودية على أنها تخلق عدة طبقات تمكينية متكاملة:

Data Governance → Cybersecurity → AI Governance → Human Capability → Operational Adoption

هذه القراءة مفيدة مستقبلًا لأن تقييم المؤسسة لا يجب أن يقيس «عدد السياسات» فقط.

بل يجب أن يكشف أين توجد فجوة القدرة.

قد تكون المؤسسة:

• قوية تنظيميًا وضعيفة تقنيًا.
• قوية سيبرانيًا وضعيفة في حوكمة البيانات.
• تملك بنية ممتازة ولكن لا تملك المواهب.
• تملك خبراء تقنيين ولكن بلا decision rights واضحة.
• تعتمد بصورة مفرطة على مورد خارجي لأنها لا تملك معرفة داخلية كافية.

وهنا تتحول Capability Layer من مفهوم تدريبي إلى متغير من متغيرات الحوكمة والسيادة المؤسسية.

10. العلاقة بالسيادة على الذكاء الاصطناعي

تعتمد قدرة المؤسسة على الاحتفاظ بالسيطرة الفعلية على AI جزئيًا على امتلاكها للقدرات التي تسمح لها بفهم ما تعتمد عليه.

إذا كان المورد وحده يعرف:

• كيف يعمل النموذج.
• كيف يتم التكامل.
• أين توجد البيانات.
• كيف يتم التحديث.
• كيف تتم المراقبة.
• وكيف يمكن الانتقال إلى بديل.

فالمؤسسة لا تعاني فقط من فجوة مهارات.

إنها تعاني من dependency risk.

لهذا يجب أن تدخل فجوات المهارات والقدرات مستقبلًا ضمن تقييم الاعتماد والسيادة، إلى جانب الاعتماد على البيانات والنموذج والبنية السحابية والواجهات البرمجية والموردين.

الخلاصة

جاهزية الذكاء الاصطناعي في السعودية ليست نتيجة وثيقة واحدة.

إنها ناتج التقاء:

حوكمة البيانات + حماية البيانات + الأمن السيبراني + حوكمة AI + القدرات البشرية + التشغيل والمراقبة المستمرة.

والسؤال الناضج للمؤسسة ليس فقط:

هل يسمح لنا الإطار التنظيمي باستخدام AI؟

بل:

هل نمتلك القدرة المؤسسية على استخدامه وحمايته وحوكمته والاستمرار في السيطرة عليه؟