نظام حماية البيانات الشخصية والذكاء الاصطناعي: الأساس النظامي ونقل البيانات ومسؤول حمايتها
ماذا يعني نظام حماية البيانات الشخصية السعودي لمن يستخدم أدوات الذكاء الاصطناعي ولمزوّديها: الأساس النظامي، ونقل البيانات إلى الخارج، ومسؤول حماية البيانات الشخصية، ومسودة تعديلات 2026.
من الأخطاء الشائعة عند الحديث عن نظام حماية البيانات الشخصية والذكاء الاصطناعي أن يظن الموظف أن ما يكتبه في أداة الذكاء الاصطناعي لا يخضع للنظام. فعندما يلصق اسم عميل أو رقم هاتفه أو نص شكواه في مساعد ذكي، فهو يعالج بيانات شخصية. وإذا كانت الأداة تعمل على خوادم خارج المملكة، فقد يكون ذلك أيضاً نقلاً للبيانات إلى الخارج. لذلك نوصي بالإجابة عن ثلاثة أسئلة لكل أداة قبل كتابة أي تعليمات للموظفين: ما الأساس النظامي للاستخدام، وما الأساس الذي يسمح بنقل البيانات إلى الخارج، ومن المسؤول عن الأداة داخل الجهة.
هذه معلومات عامة وليست استشارة قانونية. فالالتزامات تتوقف على قطاع الجهة ونوع البيانات لديها، وعلى ما إذا كانت جهة رقابية قطاعية، مثل البنك المركزي السعودي، تشرف عليكم أيضاً.
هل ينطبق النظام عندما يضع الموظف بيانات في أداة ذكاء اصطناعي؟
نعم، متى احتوى النص المُدخل على بيانات شخصية. فالمادة الأولى من نظام حماية البيانات الشخصية تعرّف المعالجة بأنها أي عملية تُجرى على البيانات الشخصية، ومنها الجمع والحفظ والاستعمال والإفصاح والنقل. والنظام صادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، وعُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ. ويمكنكم قراءة نص نظام حماية البيانات الشخصية على منصة الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وتشمل المادة الثانية أيضاً معالجة بيانات المقيمين في المملكة من أي جهة خارجها.
يميّز النظام بين دورين. جهتكم هي «جهة التحكم»، أي الجهة التي تحدد سبب استخدام البيانات وطريقته. أما مزوّد أداة الذكاء الاصطناعي الذي يعالج البيانات نيابة عنكم ووفق تعليماتكم فهو «جهة معالجة». وتلزم المادة الثامنة جهة التحكم باختيار جهات معالجة تقدم ضمانات كافية، وبمتابعة التزامها. ولا تنقل شروط المزوّد هذه المسؤولية عنكم.
وتستثني المادة الثانية الاستخدام الشخصي أو العائلي فقط، بشرط ألا تُنشر البيانات أو يُفصح عنها للغير. والموظف الذي يكتب رداً على عميل أثناء عمله لا يدخل في هذا الاستثناء.
ما الأساس النظامي لاستخدام الذكاء الاصطناعي؟
الأساس النظامي هو السبب الذي يجيز المعالجة، ويسميه النظام «المسوغ النظامي». والموافقة هي القاعدة. فالمادة الخامسة تمنع معالجة البيانات أو تغيير غرض معالجتها دون موافقة صاحبها، إلا في الحالات التي ينص عليها النظام. وتذكر المادة السادسة هذه الحالات، ومنها المعالجة بموجب نظام آخر، أو تنفيذاً لاتفاق يكون صاحب البيانات طرفاً فيه، أو لمصلحة مشروعة لجهة التحكم.
وتضع المادة السادسة عشرة من اللائحة التنفيذية لنظام حماية البيانات الشخصية شروطاً مشددة للمصلحة المشروعة. فلا يحق للجهات العامة الاستناد إليها، ويجب ألا تشمل المعالجة بيانات حساسة، وأن تبقى في حدود التوقعات المعقولة لصاحب البيانات، وأن يسبقها تقييم مكتوب. وتضيف المادة الحادية عشرة أن الموافقة يجب أن تكون صريحة عندما تُتخذ القرارات بالمعالجة الآلية وحدها.
| الاستخدام | الأساس الذي تبدؤون باختباره | ما يجب الانتباه إليه |
|---|---|---|
| كتابة رد على طلب العميل نفسه | الاتفاق مع العميل (المادة 6) | أرسلوا ما يحتاجه الرد فقط |
| تنبيهات الاحتيال أو الأمن | المصلحة المشروعة (المادة 16 من اللائحة) | تقييم مكتوب أولاً، ولا تستخدمه الجهات العامة |
| إعادة استخدام سجلات قديمة لتدريب نموذج أو تحسينه | غرض جديد يحتاج موافقة أو أساساً جديداً (المادة 5) | أبلغوا الأشخاص قبل المعالجة الجديدة |
| فرز المتقدمين للوظائف آلياً بالكامل | موافقة صريحة (المادة 11 من اللائحة) | تقييم الأثر وفق المادة 25 من اللائحة |
| أي بيانات صحية أو بيانات سمات حيوية (مثل البصمة والوجه) | موافقة صريحة أو أساس نظامي محدد | لا يجوز الاستناد إلى المصلحة المشروعة |
مثال توضيحي: سلسلة متاجر تملكها عائلة في الرياض تريد أن يلخّص موظفوها شكاوى العملاء بمساعد ذكي. جُمعت الشكاوى لحل مشكلة العميل، فتلخيصها لهذا الغرض يدخل في الاتفاق الأصلي. أما إدخال الأرشيف نفسه في نموذج للتسويق فهو غرض جديد يحتاج أساساً جديداً.
نقل البيانات خارج المملكة عندما يكون المزوّد في الخارج
تسمح المادة التاسعة والعشرون من النظام بنقل البيانات أو الإفصاح عنها خارج المملكة لأغراض محددة وبشروط. فيجب ألا يضر النقل بالأمن الوطني أو بمصالح المملكة الحيوية، وأن توفر الدولة المستقبلة حماية لا تقل عن مستوى النظام، وأن يقتصر النقل على الحد الأدنى اللازم من البيانات.
وتشرح لائحة نقل البيانات الشخصية إلى خارج المملكة (الإصدار 2.0، أغسطس 2024) التفاصيل:
- الأغراض. تضيف المادة الثانية المعالجة المركزية لأنشطة جهة التحكم، وتقديم خدمة أو منفعة لصاحب البيانات، والبحث العلمي.
- الدول ذات الحماية المناسبة. تنص المادة الثالثة على أن الجهة المختصة تنشر قائمة بالدول التي توفر حماية مناسبة. راجعوا موقع سدايا لمعرفة القائمة الحالية قبل الاعتماد عليها.
- الضمانات. عند تطبيق أحد الإعفاءات، تشترط المادة الرابعة البنود التعاقدية القياسية أو القواعد المشتركة الملزمة أو شهادة الاعتماد.
- تقييم المخاطر. تشترط المادة السابعة تقييماً مكتوباً قبل النقل بموجب هذه الإعفاءات، وقبل النقل المستمر أو الواسع للبيانات الحساسة.
- النقل اللاحق. تبقي المادة الخامسة أحكام النظام سارية عندما يمرر المزوّد البيانات إلى جهات معالجة فرعية يتعاقد معها.
وهناك تغيير قيد الإعداد. فقد طرحت سدايا مسودة تعديلات على اللائحة التنفيذية لاستطلاع الرأي العام من 6 أكتوبر إلى 5 نوفمبر 2026. وبحسب ملخص نشرته شركة المحاماة Clyde & Co في أكتوبر 2026 (بالإنجليزية)، ستضيف المسودة، إن أُقرّت، التزاماً صريحاً بحفظ البيانات الشخصية داخل المملكة، مع بقاء النقل النظامي مسموحاً. هذه مسودة وليست نظاماً نافذاً، وقد يختلف نصها النهائي. اسألوا مستشاركم القانوني عن أثرها في أي عقد لأداة ذكاء اصطناعي تزيد مدته على سنة.
هل تحتاجون إلى مسؤول حماية البيانات الشخصية بسبب الذكاء الاصطناعي؟
استخدام الذكاء الاصطناعي وحده لا يفرض هذا التعيين. فالمادة الثانية والثلاثون من اللائحة التنفيذية تطلب تعيين مسؤول في ثلاث حالات: جهة عامة تقدم خدمات تتضمن معالجة بيانات على نطاق واسع، أو أنشطة أساسية تتطلب مراقبة منتظمة ومنهجية للأشخاص، أو أنشطة أساسية تقوم على معالجة بيانات حساسة. ويجوز أن يكون المسؤول من الإدارة التنفيذية أو موظفاً أو متعاقداً من خارج الجهة.
ومن مهام المسؤول الإشراف على تقييمات الأثر وتحديث سجلات المعالجة. لذلك يكون هو الشخص المناسب لاعتماد أي أداة جديدة. وتقييم الأثر هو دراسة مكتوبة للمخاطر التي قد تصيب أصحاب البيانات وطرق تقليلها. وتحدد المادة الخامسة والعشرون الحالات التي تشترطه، ومنها معالجة البيانات الحساسة، والمعالجة على نطاق واسع ومتكرر باستخدام تقنيات ناشئة (أي تقنيات جديدة) أو لاتخاذ قرارات مبنية على المعالجة الآلية. وتنشر سدايا «قواعد تعيين مسؤول حماية البيانات الشخصية» في «المركز المعرفي» على منصة سدايا لحماية البيانات الشخصية.
مثال توضيحي آخر: مجموعة عيادات في جدة تريد أداة ذكاء اصطناعي تكتب ملاحظات الزيارة. البيانات الصحية حساسة، فنشاطها الأساسي يرجّح أنها تحتاج أصلاً إلى مسؤول حماية البيانات الشخصية. وتحتاج الأداة إلى تقييم أثر، وإلى موافقة صريحة أو أساس نظامي محدد، وإلى مراجعة النقل إذا كانت التسجيلات الصوتية تُعالج خارج المملكة.
ما الذي يجهّزه مزوّد الذكاء الاصطناعي الذي يبيع في السعودية؟
إذا كنتم تبيعون منتج ذكاء اصطناعي لعملاء سعوديين، فتوقعوا أن يراجع فريق المشتريات لدى العميل عقدكم وفق المادة السابعة عشرة من اللائحة التنفيذية. فهذه المادة تحدد ما يجب أن يتضمنه الاتفاق بين جهة التحكم وجهة المعالجة. جهّزوا إجابات مكتوبة عن هذه النقاط:
- غرض المعالجة وفئات البيانات ومدة المعالجة.
- سرعة إبلاغ العميل عند تسرّب البيانات، علماً بأن العميل نفسه يبلّغ الجهة المختصة خلال 72 ساعة من علمه بالتسرّب إذا كان قد يسبب ضرراً، وفق المادة الرابعة والعشرين.
- هل تخضعون لأنظمة دول أخرى، وكيف يؤثر ذلك في الالتزام.
- قائمة بأسماء جهات المعالجة الفرعية، مع إشعار مسبق وحق العميل في الاعتراض قبل إضافة أي جهة.
- أين تُحفظ البيانات والنصوص التي يكتبها المستخدمون (الأوامر) وسجلات الاستخدام، وهل تُستخدم لتدريب النماذج. لا تذكر المادة 17 هذه النقطة، لكن العميل يحتاجها لمراجعة النقل.
وتنص المادة نفسها على أن جهة المعالجة التي تخالف تعليمات جهة التحكم تُعامل معاملة جهة التحكم وتتحمل المسؤولية مباشرة. مثال توضيحي: شركة برمجيات في عمّان تبيع أداة لفرز السير الذاتية بالذكاء الاصطناعي لأصحاب عمل في السعودية. أداتها تتخذ قرارات عن مقيمين في المملكة، فيشملها النظام بموجب المادة الثانية، وسيسألها العملاء عن الموافقة الصريحة على القرارات الآلية.
قائمة تحقق للموظفين: نظام حماية البيانات الشخصية والذكاء الاصطناعي في العمل اليومي
توصي إرشادات سدايا بشأن الذكاء الاصطناعي التوليدي الموجهة إلى العموم (2025) بأن تضع الجهات سياسات استخدام تمنع إدخال المعلومات المصنفة في أدوات تابعة لجهات خارجية. وتؤكد أن الالتزامات القائمة، ومنها حماية البيانات الشخصية، تبقى سارية عند استخدام هذه الأدوات. حوّلوا ذلك إلى قائمة قصيرة:
- استخدموا الأدوات المعتمدة فقط، ولكل أداة أساس نظامي وأساس للنقل مسجّلان.
- احذفوا الأسماء وأرقام الهوية وبيانات الاتصال إلا إذا احتاجتها المهمة.
- لا تضعوا في مساعد ذكاء اصطناعي عام أي بيانات صحية أو بيانات سمات حيوية أو بيانات ائتمانية أو أي بيانات حساسة أخرى.
- لا تتركوا الأداة تتخذ قراراً نهائياً عن شخص دون مراجعة بشرية والموافقة التي يشترطها النظام.
- أبلغوا مسؤول حماية البيانات أو المسؤول عن الخصوصية في اليوم نفسه عن أي بيانات أُدخلت بالخطأ، حتى تلتزم الجهة بمهلة الإبلاغ البالغة 72 ساعة.
يساعدكم دليلنا عن اكتشاف أدوات الذكاء الاصطناعي غير المعتمدة على بناء قائمة الأدوات المعتمدة. ويقدم قالب سياسة الاستخدام المقبول للذكاء الاصطناعي الصياغة المناسبة للموظفين. والعواقب جدية، فالمادة السادسة والثلاثون من النظام تسمح بالإنذار أو بغرامة تصل إلى 5 ملايين ريال على مخالفة النظام أو لوائحه، ويجوز مضاعفة الغرامة عند تكرار المخالفة.
من أين تبدؤون؟
ابدؤوا بحصر أدوات الذكاء الاصطناعي المستخدمة، ثم سجّلوا لكل أداة أساسها النظامي وأساس نقل بياناتها والشخص المسؤول عنها. وتشمل خدمتنا إرساء حوكمة الذكاء الاصطناعي والامتثال السياسات والسجلات والتوافق مع نظام حماية البيانات الشخصية، ضمن مختبر الحوكمة. وتشرح صفحة حماية البيانات الشخصية والجهات التنظيمية طريقتنا في العمل. وإذا أردتم نظرة أولى، فاحجزوا مسح واقع الذكاء الاصطناعي في شركتكم المجاني، وهو محادثة مدتها 45 دقيقة تنتهي بخطوة تالية مكتوبة.
أسئلة شائعة
هل استخدام ChatGPT أو Claude في العمل مخالف لنظام حماية البيانات الشخصية السعودي؟
ليس بحد ذاته. الخطر يأتي مما يضعه الموظف في الأداة. فإدخال بيانات شخصية يعد معالجة تحتاج إلى أساس نظامي، وقد يصبح نقلاً خارج المملكة وفق المادة 29 إذا كانت الأداة مستضافة في الخارج. وتقلل الجهات هذا الخطر عندما تعتمد أدوات محددة، وتسجل لكل أداة أساسها النظامي وأساس النقل، وتخبر الموظفين بالبيانات التي لا تُدخل أبداً.
هل يفرض نظام حماية البيانات الشخصية السعودي بقاء البيانات داخل المملكة؟
النظام النافذ يسمح بالنقل إلى الخارج لأغراض محددة وبالشروط الواردة في المادة 29 وفي لائحة نقل البيانات الشخصية إلى خارج المملكة، مثل الحماية المناسبة أو ضمانات كالبنود التعاقدية القياسية. وتقترح مسودة تعديل على اللائحة التنفيذية، مطروحة لاستطلاع الرأي حتى 5 نوفمبر 2026، التزاماً صريحاً بحفظ البيانات داخل المملكة. لم تصبح المسودة نافذة بعد، فتحققوا من وضعها مع مستشاركم القانوني.
متى يحتاج مشروع الذكاء الاصطناعي إلى تقييم أثر وفق النظام؟
تشترط المادة 25 من اللائحة التنفيذية تقييم أثر مكتوباً في حالات محددة، منها معالجة البيانات الحساسة، وربط مجموعات بيانات من مصادر مختلفة، والمعالجة على نطاق واسع ومتكرر باستخدام تقنيات ناشئة أو لاتخاذ قرارات مبنية على المعالجة الآلية. ويغطي التقييم الغرض والأساس النظامي والبيانات المستخدمة ومدى الحاجة إليها والضرر المحتمل وطرق تقليله، وتقدّم جهة التحكم نسخة منه إلى جهات المعالجة.
هل يلتزم مزوّد ذكاء اصطناعي خارج السعودية بنظام حماية البيانات الشخصية؟
تشمل المادة الثانية من النظام معالجة بيانات المقيمين في المملكة من أي جهة خارجها. والمزوّد الأجنبي الذي يعالج البيانات نيابة عن عميل سعودي يُعد جهة معالجة، وعلى العميل أن يلزمه بالشروط الواردة في المادة 17 من اللائحة التنفيذية، ومنها إشعار التسرب، والموافقة على جهات المعالجة الفرعية، والإفصاح عن الأنظمة الأجنبية التي تنطبق عليه.
تصلكم مقالاتنا الجديدة بالبريد
رسالة واحدة عند نشر ما يفيدكم، بلا إزعاج، ويمكنكم إلغاء الاشتراك في أي وقت.
الخدمات في هذا المقال
المختبر المرتبط: مختبر الحوكمة ↖
