عبدالله سنكر: الذكاء الاصطناعي وحماية البيانات الشخصية في السعودية

تبي تضيف بوت ذكاء اصطناعي يرد على عملائك، أو أداة تلخّص مكالمات المبيعات، أو مساعد يقرأ ملفات الموظفين. كل هذي الأفكار فيها بيانات شخصية: أسماء، أرقام جوالات، عناوين، وأحياناً معلومات صحية أو مالية. وفي السعودية، التعامل مع هالبيانات ينظّمه نظام حماية البيانات الشخصية، والجهة المختصة فيه الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا». عبدالله سنكر ما يقدّم هنا فتوى قانونية، يقدّم الأسئلة اللي لازم تسألها قبل ما تبني، عشان تروح للمختص وأنت عارف وش تسأل.

تنبيه قبل البداية: هالمقالة توعوية عامة. النظام له لوائح تنفيذية وتفاصيل وأحكام تتحدث، والمرجع الوحيد المعتمد هو النص الرسمي المنشور من سدايا والجهات المختصة. ارجع له، واستشر مختصاً قانونياً في أي قرار له أثر حقيقي.

أسئلة عن البيانات نفسها

• وش البيانات الشخصية اللي بيشوفها النظام بالضبط؟ اكتبها في قائمة: الاسم، الجوال، محتوى الرسائل، الموقع.
• هل كلها لازمة للمهمة؟ مبدأ تقليل البيانات من أساسيات أنظمة الحماية: اجمع اللي تحتاجه للغرض فقط.
• هل فيها بيانات حساسة؟ المعلومات الصحية والمالية وما يشبهها تعاملها الأنظمة عادة بحماية أعلى، وتحتاج انتباهاً أكبر.
• على أي أساس تجمعها؟ موافقة واضحة من الشخص، أو أساس آخر يسمح به النظام؟ هالسؤال بالذات للمختص القانوني.
• هل الغرض معلَن؟ البيانات اللي جمعتها لتوصيل الطلب ما تستخدمها لتدريب نموذج تسويقي بدون ما يكون هذا واضحاً ومسموحاً.

أسئلة عن مزوّد الذكاء الاصطناعي

أغلب مشاريع الذكاء الاصطناعي ترسل النصوص لنموذج يشتغل على خوادم مزوّد خارجي. يعني رسالة عميلك فيها اسمه وجواله، طلعت من نظامك لجهة ثانية، وغالباً لخارج المملكة. هنا الأسئلة تصير جوهرية:

• وين تتعالج البيانات جغرافياً؟ النظام السعودي فيه أحكام خاصة بنقل البيانات الشخصية خارج المملكة، فلازم تعرف الجواب وتعرضه على المختص.
• هل المزوّد يستخدم بياناتك لتدريب نماذجه؟ الشروط تختلف بين الاستخدام عبر الـ API والاستخدام عبر التطبيقات الاستهلاكية، وبين الخطط المجانية والتجارية. اقرأ الشروط الحالية، لا تعتمد على اللي سمعته.
• كم مدة احتفاظه بالبيانات؟ وهل تقدر تطلب حذفها؟
• هل عنده اتفاقية معالجة بيانات تقدر توقّعها؟

وفيه سؤال تصميمي يسبق كل هذا: هل تقدر ما ترسل البيانات الشخصية أصلاً؟ في حالات كثيرة تقدر تشيل الاسم والرقم من النص قبل ما يروح للنموذج، وتستبدلها برموز، ثم ترجعها في الرد. النموذج ما يحتاج يعرف إن العميل اسمه خالد عشان يلخّص شكواه. هالأسلوب ما يلغي أسئلة المزوّد، بس يقلل حجم اللي تخاطر فيه، ويخلي جواب «وش اللي طلع من نظامنا؟» أقصر وأسهل في الدفاع عنه. وطبّقه على سجلات المحادثات اللي تحفظها عندك بعد، مو بس على اللي ترسله للنموذج.

أسئلة عن حقوق صاحب البيانات

أنظمة حماية البيانات، ومنها النظام السعودي، تعطي صاحب البيانات حقوقاً مثل العلم بكيفية جمع بياناته واستخدامها، والوصول لها، وطلب تصحيحها، وطلب إتلافها في حالات محددة. السؤال العملي لنظامك: لو جاك طلب من عميل يقول «وش عندكم عني؟ احذفوه»، هل تقدر تنفّذه؟

في أنظمة الذكاء الاصطناعي هالسؤال أصعب مما يبان. بيانات العميل ممكن تكون في قاعدة البيانات، وفي سجلات المحادثات، وفي متجهات قاعدة المعرفة، وفي سجلات المزوّد الخارجي. لو ما تعرف كل الأماكن، ما تقدر تحذف من كلها. ارسم خريطة لمسار البيانات من البداية.

والخريطة ما تحتاج أداة معقدة. جدول بسيط يكفي: كل صف نوع بيانات، والأعمدة وين ينحفظ، ومين يوصله، وكم مدة يبقى، وكيف ينحذف. لو عمود «كيف ينحذف» فاضي في أي صف، فهذا أول شي تصلحه. وانتبه لسجلات الأخطاء ونسخ الاحتياط بالذات، لأنها المكان اللي تختبي فيه البيانات وينساه الكل. وفي نفس الجدول، أضف عموداً للغرض: ليش جمعنا هالبيانات أصلاً؟ لو ما لقيت جواباً مقنعاً، فهذي بيانات الأفضل تتوقف عن جمعها من الأساس.

أسئلة عن الأمان ولما يصير خطأ

• مين يقدر يشوف سجلات المحادثات داخل شركتك؟ وهل الوصول مسجّل؟
• هل مفاتيح الوصول للـ API محفوظة بأمان، مو مكتوبة في كود التطبيق؟
• هل البوت ممكن ينخدع ويكشف بيانات عميل لعميل ثاني؟ اختبر هالسيناريو بنفسك.
• لو صار تسريب، وش خطتك؟ أنظمة الحماية عادة تُلزم بإبلاغ الجهة المختصة خلال مدة محددة. اعرف المتطلب من النص الرسمي، وجهّز الخطة قبل ما تحتاجها.

أسئلة عن موظفيك قبل أنظمتك

أحياناً أكبر ثغرة مو في النظام اللي تبنيه، في الموظف اللي ينسخ ملف عميل كامل ويلصقه في أداة محادثة عامة عشان «يلخّصه بسرعة». هو ما قصد شي، بس البيانات طلعت لجهة ما عندك معها أي اتفاق، وبشروط ما قرأها أحد. هنا الأسئلة إدارية أكثر منها تقنية:

• هل عندكم سياسة مكتوبة تحدد أي أدوات ذكاء اصطناعي مسموحة، ووش نوع البيانات اللي يجوز إدخالها فيها؟
• هل وفّرتم للموظفين بديلاً معتمداً بإعدادات خصوصية مناسبة، بدل ما تمنعون بلا بديل فيستخدمون أدوات شخصية في الخفاء؟
• هل يعرف الموظف الفرق بين «تلخيص محضر اجتماع داخلي» و«تحليل ملف عميل فيه رقم هويته»؟

الخصوصية كقرار تصميم

«الخصوصية أولاً» واحد من المبادئ اللي يشتغل عليها عبدالله عبدالرحيم بن سنكر الكندي، وأوضح تطبيق له تطبيق «مَثابة»: بلا حساب، بلا تسجيل دخول، بلا تتبع ولا تحليلات ولا إعلانات. مو كل مشروع يقدر يوصل لصفر بيانات، بس الفكرة تنطبق على الكل: أسهل بيانات تحميها هي اللي ما جمعتها.

وفي منصة أزهل الرقمية، هالأسئلة تنطرح في أول اجتماع لأي مشروع ذكاء اصطناعي يمس بيانات أشخاص، مو بعد التسليم. لأن تعديل مسار البيانات بعد ما ينبني النظام أغلى بكثير من تصميمه صح من البداية. خذ هالقائمة، جاوب عليها بصراحة، وروح بها لمختص يطابقها مع النص الرسمي للنظام ولوائحه.