المحفز الأساسي ليس مجرد وجود AI، بل وجود معالجة بيانات شخصية. عندما يتحقق ذلك، يجب تحليل دورة البيانات كاملة: الغرض، والأساس النظامي، والأطراف، والمخاطر، والتقويم، والأمن، والإفصاح، والاحتفاظ، والنقل خارج المملكة عند الاقتضاء.
لماذا يهم PDPL في أنظمة الذكاء الاصطناعي؟
نظام حماية البيانات الشخصية السعودي ليس قانونًا خاصًا بالذكاء الاصطناعي.
لكنه قد يصبح أحد أهم الأنظمة التي يجب تحليلها عندما تعتمد حالة استخدام AI على بيانات شخصية.
المحفز هنا هو:
معالجة البيانات الشخصية
وليس مجرد وجود نموذج ذكاء اصطناعي.
فعلى سبيل المثال، قد تدخل البيانات الشخصية في:
- المطالبات المرسلة إلى نموذج توليدي.
- المستندات التي يتم تحليلها.
- بيانات التدريب أو الضبط.
- قواعد المعرفة المستخدمة في الاسترجاع.
- بيانات العملاء أو الموظفين.
- سجلات المحادثات.
- مراقبة استخدام النظام.
- القرارات أو التوصيات الناتجة عن المعالجة الآلية.
ولهذا يجب أن تبدأ الحوكمة برسم دورة البيانات، لا بالنموذج فقط.
جهة التحكم وجهة المعالجة
أحد أهم الأسئلة هو تحديد دور كل طرف.
جهة التحكم هي الطرف الذي يحدد الغرض من معالجة البيانات الشخصية وكيفية تنفيذها ضمن التعريفات والمتطلبات النظامية ذات الصلة.
أما جهة المعالجة فتقوم بمعالجة البيانات الشخصية لصالح جهة التحكم.
في سياق AI، قد تكون المؤسسة نفسها جهة التحكم، بينما يعمل مزود النموذج أو الخدمة السحابية كجهة معالجة، بحسب طبيعة العلاقة الفعلية وأغراض المعالجة.
ولا يجب تحديد الدور بالاسم التجاري أو وصف العقد فقط.
السؤال الحقيقي هو:
من يحدد لماذا وكيف تتم معالجة البيانات؟
أين تظهر معالجة البيانات داخل دورة AI؟
قد تحدث المعالجة في أكثر من مرحلة.
عند الإدخال
قد يرسل الموظف أسماء أو مستندات أو بيانات عملاء إلى نموذج.
أثناء المعالجة
قد يقوم المزود بتحليل البيانات أو تحويلها أو الاحتفاظ بها مؤقتًا.
أثناء التخزين
قد تحفظ المطالبات أو الملفات أو المخرجات أو السجلات.
أثناء التطوير
قد تستخدم البيانات في التدريب أو الضبط أو التقييم.
بعد التشغيل
قد تحفظ telemetry أو feedback أو سجلات استخدام تتضمن بيانات شخصية.
لذلك فإن عبارة «النموذج لا يخزن البيانات» لا تكفي وحدها.
يجب فهم المسار الكامل للبيانات عبر جميع الأطراف.
تقويم أثر معالجة البيانات الشخصية
ينص نظام حماية البيانات الشخصية على تقويم أثر معالجة البيانات الشخصية وفق طبيعة النشاط والمنتج أو الخدمة، وتفصل اللائحة التنفيذية الحالات التي يجب فيها إجراء تقويم مكتوب وموثق للآثار والمخاطر.
ومن الحالات التي توضحها اللائحة:
- معالجة البيانات الشخصية الحساسة.
- ربط أو مقارنة مجموعات بيانات شخصية من مصادر مختلفة.
- بعض عمليات المعالجة واسعة النطاق أو المتكررة.
- المعالجة التي تتطلب مراقبة مستمرة.
- معالجة البيانات الشخصية باستخدام تقنيات ناشئة.
- اتخاذ قرارات مبنية على المعالجة الآلية للبيانات الشخصية.
- منتجات أو خدمات قد تؤدي معالجتها إلى أضرار جسيمة على خصوصية أصحاب البيانات.
وهذا يجعل تقويم الأثر شديد الصلة ببعض استخدامات AI.
لكن الانطباق يجب تحليله وفق الحالة الفعلية ومتطلبات النظام واللائحة، لا عبر قاعدة افتراضية تقول إن «كل AI يحتاج إلى DPIA».
مزودو AI والمعالجون الفرعيون
عند استخدام مزود خارجي، تصبح العناية الواجبة بالعلاقة التعاقدية مهمة.
تتطلب اللائحة من جهة التحكم التأكد من أن جهة المعالجة المختارة توفر ضمانات كافية لحماية البيانات الشخصية.
ويجب أن تعالج العلاقة أمورًا من بينها:
- غرض المعالجة.
- فئات البيانات الشخصية.
- مدة المعالجة.
- إشعار جهة التحكم عند حدوث تسرب للبيانات.
- ما إذا كانت جهة المعالجة خاضعة لأنظمة دول أخرى وأثر ذلك.
- الجهات أو المتعاقدون الفرعيون.
- التعليمات التي يجب على جهة المعالجة اتباعها.
بالنسبة لخدمة AI، تتحول هذه المتطلبات إلى أسئلة مباشرة:
من هم المعالجون الفرعيون؟
أين توجد البنية المستخدمة؟
من يمكنه الوصول إلى البيانات؟
ما سياسة الاحتفاظ؟
هل تستخدم البيانات لأغراض إضافية؟
ماذا يحدث عند تغيير المورد أو الخدمة؟
لماذا لا نسميه تقييم أثر AI عام؟
هذه نقطة تحريرية مهمة.
وجود متطلب لتقويم أثر معالجة البيانات الشخصية لا يعني أن السعودية أنشأت بموجب PDPL نظامًا عامًا يسمى:
AI Impact Assessment
ينطبق على كل نظام ذكاء اصطناعي.
قد يكون نظام AI سببًا في تشغيل متطلبات تقويم الأثر، خصوصًا عند وجود تقنيات ناشئة أو معالجة آلية أو حالات أخرى محددة.
لكن موضوع التقويم النظامي هنا هو:
مخاطر وآثار معالجة البيانات الشخصية على أصحاب البيانات.
أما المؤسسة فقد تختار بالإضافة إلى ذلك تنفيذ تقييم أوسع لمخاطر AI يغطي جوانب مثل:
- السلامة.
- الانحياز.
- الموثوقية.
- الأمن.
- الإشراف البشري.
- أثر القرار.
- مخاطر المورد.
وهذا تقييم حوكمة أوسع، وليس إعادة تسمية لمتطلب PDPL.
قائمة حوكمة عملية
عند تقييم نظام AI يعالج بيانات شخصية، استخدم التسلسل التالي:
1. حالة الاستخدام
ما الغرض من النظام؟
2. البيانات
ما البيانات الشخصية المستخدمة، ولماذا هي ضرورية؟
3. الأدوار
من جهة التحكم؟ ومن جهات المعالجة؟
4. الأطراف الفرعية
هل يوجد subprocessors أو مزودون آخرون؟
5. المسوغ
ما المسوغ النظامي للمعالجة؟
6. التقويم
هل تدخل الحالة ضمن متطلبات تقويم الأثر؟
7. الحماية
ما التدابير التنظيمية والإدارية والتقنية المطبقة؟
8. الحقوق
كيف يستطيع صاحب البيانات ممارسة حقوقه؟
9. النقل
هل تنتقل البيانات أو يتم الإفصاح عنها لجهة خارج المملكة؟
10. المراقبة
ماذا يحدث عند تغيير النموذج أو المورد أو الغرض أو البيانات؟
بهذه الطريقة يصبح PDPL جزءًا فعليًا من هندسة حوكمة AI، دون إعادة توصيفه كقانون للذكاء الاصطناعي.
المفاهيم الرئيسية
- نظام حماية البيانات الشخصية
- جهة التحكم
- جهة المعالجة
- البيانات الشخصية
- تقويم الأثر
- المعالجة الآلية
- المعالج الفرعي
- الخصوصية حسب التصميم
الخطوات العملية
- 1حدد ما إذا كانت حالة استخدام AI تعالج بيانات شخصية.
- 2حدد جهة التحكم وجهات المعالجة وأي جهات معالجة فرعية.
- 3وثق غرض المعالجة والمسوغ النظامي والبيانات المطلوبة.
- 4طبق الحد الأدنى اللازم من البيانات بحسب الغرض.
- 5حدد ما إذا كانت الحالة تدخل ضمن الحالات التي تستوجب تقويم الأثر.
- 6راجع ضمانات مزود AI وشروط العقد والإفصاح والتسرب والأنظمة الأجنبية.
- 7حدد ما إذا كانت البيانات ستنقل أو يُفصح عنها خارج المملكة.
- 8أدخل متطلبات الخصوصية منذ التصميم وليس بعد إطلاق النظام.
الأخطاء الشائعة
- ⚠القول إن PDPL هو قانون سعودي للذكاء الاصطناعي.
- ⚠افتراض أن كل استخدام للذكاء الاصطناعي يستوجب تقويم أثر بموجب PDPL حتى لو لم توجد معالجة بيانات شخصية.
- ⚠تسمية تقويم أثر معالجة البيانات الشخصية بتقييم أثر ذكاء اصطناعي عام.
- ⚠اعتبار مزود AI مجرد مورد تقني دون تحليل دوره كجهة معالجة محتملة.
- ⚠إغفال المعالجين الفرعيين أو أثر الأنظمة الأجنبية على المزود.
- ⚠إرسال بيانات شخصية إلى خدمة خارجية قبل تحديد موقع المعالجة ومتطلبات النقل.