خارطة حوكمة الذكاء الاصطناعي في السعودية: كيف تتكامل الاستراتيجية والبيانات والأمن والتنظيم؟

لماذا لا تكفي وثيقة واحدة لفهم حوكمة AI في السعودية؟

من الخطأ اختزال المشهد السعودي للذكاء الاصطناعي في وثيقة واحدة.

المؤسسة التي تستخدم AI قد تجد نفسها أمام عدة طبقات في الوقت نفسه:

• استراتيجية وطنية للبيانات والذكاء الاصطناعي.
• مبادئ وأطر مخصصة للاستخدام المسؤول للذكاء الاصطناعي.
• حوكمة البيانات.
• حماية البيانات الشخصية.
• الأمن السيبراني.
• الحوسبة السحابية.
• متطلبات قطاعية.
• متطلبات داخلية مرتبطة بالمخاطر والموردين والقرارات.

لذلك فإن السؤال المهني ليس:

ما وثيقة AI التي تنطبق علينا؟

بل:

ما خصائص حالة الاستخدام، وما الطبقات التنظيمية والتشغيلية التي تستدعيها؟

1. سدايا والطبقة الوطنية للبيانات والذكاء الاصطناعي

تمثل الهيئة السعودية للبيانات والذكاء الاصطناعي SDAIA مرجعًا وطنيًا محوريًا للبيانات والذكاء الاصطناعي في المملكة.

وتشمل أدوارها الاستراتيجية والتنظيمية موضوعات مثل:

• تطوير البيئة التنظيمية للبيانات.
• تعزيز تبني AI والاستخدام المسؤول له.
• بناء القدرات الوطنية.
• تطوير البنية الرقمية.
• دعم البحث والتطوير والابتكار.
• تعزيز الاقتصاد القائم على البيانات والذكاء الاصطناعي.

هذه المكانة لا تعني أن كل وثيقة تصدر عن سدايا لها القوة النظامية نفسها.

يجب دائمًا التمييز بين القانون والسياسة والاستراتيجية والإطار والدليل والمبدأ والضابط.

2. NSDAI هي طبقة استراتيجية وليست قائمة امتثال

الاستراتيجية الوطنية للبيانات والذكاء الاصطناعي NSDAI تحدد الاتجاه الوطني طويل المدى للاستفادة من البيانات والذكاء الاصطناعي وتحويل المملكة إلى اقتصاد رائد قائم عليهما.

وتغطي موضوعات مثل:

• المهارات والقدرات.
• السياسات والتنظيم.
• الاستثمار.
• البحث والابتكار.
• النظام البيئي.
• تبني البيانات والذكاء الاصطناعي في القطاعات ذات الأولوية.

لكن الاستراتيجية ليست بديلًا عن تحليل الالتزامات القانونية والتنظيمية التي تنطبق على مؤسسة أو نظام بعينه.

هي تجيب أساسًا عن:

إلى أين تتجه المملكة؟

ولا تجيب وحدها عن:

ما الالتزام القانوني المحدد على هذا النظام اليوم؟

3. طبقة AI-specific governance

إلى جانب الاستراتيجية، طورت سدايا مجموعة من الأدوات والأطر المرتبطة مباشرة بالذكاء الاصطناعي.

من بينها:

• مبادئ أخلاقيات الذكاء الاصطناعي.
• إطار تبني الذكاء الاصطناعي.
• إرشادات الذكاء الاصطناعي التوليدي.
• الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي.
• أدوات وأطر للقدرات والتقييم والاستخدام المسؤول.

هذه الطبقة تساعد المؤسسة في قضايا مثل:

• دورة حياة AI.
• الاستخدام المسؤول.
• تصنيف وتقييم المخاطر.
• الجاهزية المؤسسية.
• الإشراف البشري.
• المراقبة بعد النشر.
• الحوكمة التشغيلية.

لكن يجب تحديد الحالة التنظيمية لكل وثيقة بصورة مستقلة وعدم تحويل جميع الأدلة والمبادئ إلى «قانون AI».

4. البيانات ليست مجرد مدخل تقني للنموذج

عندما يعتمد النظام على البيانات، تدخل طبقة حوكمة البيانات.

قد تشمل الأسئلة:

• ما مصدر البيانات؟
• كيف صُنفت؟
• من يملكها؟
• ما مستوى جودتها؟
• من يستطيع الوصول إليها؟
• هل تتم مشاركتها؟
• أين تتم معالجتها؟
• ما مدة الاحتفاظ بها؟

وتصبح هذه الأسئلة أكثر حساسية عندما تحتوي البيانات على معلومات شخصية أو حساسة.

5. PDPL يدخل عندما تدخل البيانات الشخصية

نظام حماية البيانات الشخصية PDPL ليس قانونًا خاصًا بالذكاء الاصطناعي.

لكنه يصبح جزءًا مباشرًا من حوكمة حالة استخدام AI عندما توجد معالجة لبيانات شخصية.

عندها يجب تحليل موضوعات مثل:

• الغرض من المعالجة.
• المسوغ النظامي.
• أدوار جهة التحكم وجهة المعالجة.
• حقوق أصحاب البيانات.
• تقويم أثر المعالجة عندما يكون مطلوبًا.
• الموردون والمعالجون الفرعيون.
• الاحتفاظ والإتلاف.
• النقل أو الإفصاح خارج المملكة.

إذن محفز PDPL هو طبيعة معالجة البيانات، لا مجرد وجود AI.

6. الأمن السيبراني طبقة مستقلة

تصدر الهيئة الوطنية للأمن السيبراني NCA مجموعة من الضوابط ذات نطاقات مختلفة، تشمل الضوابط الأساسية وضوابط السحابة والبيانات والأنظمة الحساسة وغيرها.

نظام AI قد يحتاج إلى اختبار قابلية انطباق هذه الضوابط حسب:

• نوع الجهة.
• البنية المستخدمة.
• حساسية النظام.
• استخدام السحابة.
• طبيعة البيانات.
• القطاع.
• الدور الذي يؤديه النظام.

وجود حوكمة AI جيدة لا يلغي الأمن السيبراني.

والالتزام السيبراني لا يغني بدوره عن حوكمة مخاطر AI.

7. القطاع يضيف طبقة أخرى

قد تختلف متطلبات نظام AI باختلاف القطاع.

استخدام AI في:

• مؤسسة مالية.
• شركة تقنية.
• جهاز طبي.
• نظام نقل ذاتي.

لا ينبغي تقييمه بالمنطق نفسه.

قد تدخل جهات تنظيمية قطاعية، ومعايير فنية، ومتطلبات ترخيص أو سلامة أو حماية عملاء تختلف عن الإطار الأفقي العام.

ولهذا فإن Country Governance Pack لا يجب أن يتحول إلى Checklist وطنية واحدة تطبق على الجميع.

8. خمس أسئلة تبني بها خريطة التطبيق

قبل البحث عن الوثائق، حدد:

من؟

ما نوع المؤسسة والجهة المنظمة لها؟

ماذا؟

ما حالة استخدام AI الفعلية؟

أي بيانات؟

ما أنواع البيانات التي تدخل في النظام؟

كيف؟

هل النظام داخلي أم سحابي أم يعتمد على مورد أو API خارجي؟

ما الأثر؟

هل النظام يقدم محتوى فقط، أم يدعم قرارًا، أم ينفذ فعلًا، أم يؤثر في حقوق أو سلامة أو أموال؟

هذه الوقائع هي التي تقود Applicability.

9. قراءة سيادة AI: Regulatory Stack

هذا القسم تحليل تحريري من سيادة AI وليس تصنيفًا رسميًا حكوميًا.

يمكن قراءة البيئة السعودية من خلال طبقات مترابطة:

National Strategy → Data Governance → Personal Data Protection → AI-specific Governance → Cybersecurity → Sector Regulation → Enterprise Controls

ليست كل طبقة إلزامية لكل حالة استخدام.

لكن تجاهل أي طبقة ذات صلة قد يخلق فجوة حقيقية في الحوكمة.

الخلاصة

السعودية لا تحتاج إلى أن يكون لديها مستند واحد يجمع كل شيء حتى تكون لديها منظومة واسعة لحوكمة استخدام الذكاء الاصطناعي.

المؤسسة الناضجة لا تبحث عن:

AI checklist السعودية.

بل تبني:

AI Use Case → Applicability → Requirements → Risks → Controls → Decision → Evidence → Monitoring

وعندها تصبح المعرفة التنظيمية مدخلًا إلى القرار المؤسسي، لا مجرد مكتبة وثائق.