نقل البيانات خارج السعودية عند استخدام الذكاء الاصطناعي: ما الذي يجب فحصه؟

متى يصبح استخدام AI نقلًا للبيانات خارج المملكة؟

استخدام خدمة ذكاء اصطناعي أجنبية لا يثبت وحده أن بياناتك الشخصية نُقلت خارج المملكة.

وفي المقابل، ظهور واجهة الخدمة داخل المملكة لا يثبت أن كل المعالجة تتم داخلها.

السؤال الصحيح هو:

أين تنتقل البيانات وأين تتم معالجتها ومن يستطيع الوصول إليها؟

قد يحدث النقل عند:

• إرسال prompts تحتوي على بيانات شخصية.
• رفع مستندات إلى خدمة خارجية.
• استخدام API يعالج البيانات في بنية خارج المملكة.
• تخزين سجلات أو مخرجات خارج المملكة.
• استخدام جهة معالجة أو معالج فرعي خارج المملكة.

لذلك يجب إثبات المسار الفعلي للبيانات.

ابدأ بخريطة البيانات

التنظيم الرسمي نفسه يشير إلى استخدام وسائل مثل خرائط البيانات للمساعدة على تحديد الحاجة إلى نقل كل بيانات وربطها بغرض المعالجة.

في سياق AI يجب أن تجيب الخريطة عن:

المصدر من أين جاءت البيانات؟

النوع ما البيانات الشخصية أو الحساسة الموجودة؟

الوجهة إلى أين ترسل؟

المعالجة أين تعالج؟

التخزين أين تحفظ؟

الأطراف من جهة المعالجة ومن المعالجون الفرعيون؟

النقل اللاحق هل يستطيع الطرف المستلم نقلها إلى طرف آخر؟

الضمانات المناسبة

يحدد تنظيم نقل البيانات خارج المملكة آليات وضمانات يمكن أن تصبح ذات صلة في الحالات المحددة.

ومن الأدوات الرسمية:

• البنود التعاقدية القياسية.
• القواعد المشتركة الملزمة.
• وسائل ضمان أخرى يقررها التنظيم ضمن نطاقها.

وجود عقد تجاري عادي مع مزود AI لا يعني تلقائيًا تحقق متطلبات النقل.

يجب تحديد الآلية النظامية المناسبة للحالة الفعلية.

تقويم مخاطر النقل

في الحالات التي يحددها التنظيم، يجب على جهة التحكم إجراء تقويم لمخاطر نقل البيانات أو الإفصاح عنها خارج المملكة.

ويتناول التقويم عناصر من بينها:

• الغرض من النقل ومسوغه النظامي.
• طبيعة النقل ونطاقه الجغرافي.
• الضمانات والتدابير المطبقة.
• تقليل البيانات إلى الحد اللازم.
• الآثار المادية أو المعنوية المحتملة على أصحاب البيانات.
• التدابير الوقائية أو المخففة للمخاطر.

في حالة AI يمكن أن يضاف إلى ذلك تحليل سلسلة الموردين ومواقع المعالجة وتغير البنية المستخدمة.

عمليات النقل اللاحقة

المسار لا ينتهي دائمًا عند مزود AI الأول.

قد يعتمد المزود على:

• مزود سحابي.
• خدمة تخزين.
• مزود مراقبة.
• مزود نموذج آخر.
• معالج فرعي في دولة أخرى.

ولهذا يعالج التنظيم عمليات النقل اللاحقة للبيانات الشخصية.

عمليًا يجب ألا تسأل المؤسسة فقط:

إلى من أرسلنا البيانات؟

بل أيضًا:

إلى أين يمكن أن تنتقل بعد ذلك؟

من النقل القانوني إلى الاعتماد السيادي

الامتثال لنقل البيانات جانب واحد فقط من الصورة.

هناك أيضًا أسئلة استراتيجية:

• في أي اختصاص قضائي توجد البيانات؟
• من يملك البنية؟
• ما الموردون الحرجون؟
• هل توجد بدائل محلية؟
• ما تكلفة تغيير المزود؟
• هل يمكن استرجاع البيانات وحذفها؟
• ما أثر تعطل API أو المورد؟
• هل توجد نقطة فشل أحادية؟

هذه الأسئلة تتجاوز الخصوصية إلى الاعتماد السيادي والتشغيلي.

لكن يجب الفصل بين الاثنين:

وجود اعتماد سيادي مرتفع لا يعني تلقائيًا مخالفة PDPL، ووجود آلية نقل قانونية لا يعني أن مخاطر الاعتماد الاستراتيجي منخفضة.

قائمة فحص عملية

قبل اعتماد خدمة AI تتعامل مع بيانات شخصية:

1. ارسم مسار البيانات.
2. حدد مواقع المعالجة والتخزين.
3. حدد جهة التحكم وجهات المعالجة.
4. حدد المعالجين الفرعيين.
5. تحقق من وجود نقل أو إفصاح خارج المملكة.
6. حدد المسوغ والآلية النظامية.
7. اختبر الحاجة إلى الضمانات المناسبة.
8. اختبر الحاجة إلى تقويم مخاطر النقل.
9. راجع عمليات النقل اللاحقة.
10. وثق القرار والأدلة.
11. راقب تغير المورد أو مواقع المعالجة بعد الاعتماد.