شركتي تعمل في السعودية. ماذا يطلب منا القانون حين يقرأ وكيل ذكاء اصطناعي بياناتنا؟

Question

أسئلة أخرى

Answer 1 · 2026-10-28

شركتي تعمل في السعودية. ماذا يطلب منا القانون حين يقرأ وكيل ذكاء اصطناعي بياناتنا؟

الجواب المختصر

ينطبق عليك نظام حماية البيانات الشخصية، وصار الالتزام به واجبًا منذ سبتمبر 2024. والأصل في معالجة البيانات الشخصية هو موافقة صاحبها. وإذا كان النموذج الذي يخدم وكيلك يعمل خارج المملكة، فكل طلب يحمل بيانات شخصية هو نقل لها إلى الخارج، ولا يجوز إلا بشروط لائحة النقل. أما مبادئ أخلاقيات الذكاء الاصطناعي وإرشادات الذكاء الاصطناعي التوليدي التي أصدرتها سدايا فليست أنظمة.

النظام الذي ينطبق عليك

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي م/19 لعام 1443هـ، وعُدّل بالمرسوم الملكي م/148 لعام 1444هـ. وبدأ العمل به في 14 سبتمبر 2023، وكان على الشركات أن تلتزم به بحلول 14 سبتمبر 2024. والجهة التي تطبّقه هي الهيئة السعودية للبيانات والذكاء الاصطناعي، سدايا.

ويشمل النظام البيانات الشخصية للمقيمين في المملكة، حتى لو جرت المعالجة من خارجها. ولا يُستثنى إلا الاستخدام الشخصي أو العائلي، وتنص اللائحة التنفيذية على أن الاستخدام التجاري لا يُعد استخدامًا شخصيًا أبدًا. فمزوّد النموذج الأجنبي الذي يعالج بيانات عملائك يدخل في نطاق النظام.

هل يجوز للوكيل أن يقرأ البيانات الشخصية أصلًا؟

نعم، إذا كان لديك أساس نظامي. والأصل هو موافقة الشخص، ويحق له أن يسحبها في أي وقت. ويجيز النظام المعالجة دون موافقة في حالات قليلة، منها:

أن يقتضيها نظام آخر، أو اتفاق سابق يكون الشخص طرفًا فيه، مثل عقد العمل أو العقد مع العميل.
المصلحة المشروعة لشركتك. ولا يجوز الاستناد إليها في البيانات الحساسة. ويجب أن تبقى المعالجة في حدود ما يتوقعه الشخص بشكل معقول، وأن توثّق قبل أن تبدأ تقييمًا يوازن بين مصلحتك وحقوق الشخص.

وثلاث قواعد تهم الوكيل أكثر من غيرها:

موافقة مستقلة لكل غرض. الموافقة على الفوترة لا تشمل وكيلًا يقرأ السجلات نفسها لغرض آخر.
موافقة صريحة على القرارات التي تتخذها الآلة وحدها. تشترط اللائحة التنفيذية الموافقة الصريحة حين يُتخذ القرار بالمعالجة الآلية وحدها. فإذا قرر الوكيل شيئًا يخص شخصًا دون أن يتدخل إنسان، انطبقت هذه القاعدة.
الحد الأدنى اللازم. لا تعالج إلا البيانات التي يحتاجها الغرض. والوكيل الذي يستطيع أن يقرأ كل حقل في كل سجل يخالف هذه القاعدة قبل أن يرتكب أي خطأ.

مزوّد النموذج هو جهة المعالجة لديك

حين يرسل الوكيل نصًا إلى نموذج يشغّله مزوّد، يعالج المزوّد هذه البيانات نيابة عنك. ولا يجيز النظام أن تستعين إلا بجهات معالجة تقدّم الضمانات اللازمة. ويجب أن ينص عقدك مع المزوّد، ضمن أمور أخرى، هل المزوّد خاضع لأنظمة دول أخرى، وأن يسمّي جهات المعالجة الفرعية. ولا تُعتمد أي جهة معالجة فرعية إلا بموافقتك المسبقة.

نقل البيانات إلى خارج المملكة

يجيز النظام نقل البيانات إلى الخارج لأغراض محددة، وبثلاثة شروط في الأصل. ألا يضر النقل بالأمن الوطني أو بالمصالح الحيوية للمملكة. وأن توفر الجهة المستقبلة حماية لا تقل عن حماية النظام السعودي. وألا يُنقل إلا الحد الأدنى من البيانات. وتعفي لائحة النقل بعض الحالات من الشرطين الثاني والثالث، لكنها تبقى خاضعة لضمانات مناسبة.

وتشرح لائحة نقل البيانات الشخصية إلى خارج المملكة، في إصدارها الثاني، أغسطس 2024، كيف يجري ذلك:

الدول ذات الحماية الكافية. ستنشر سدايا قائمة بالدول التي تعدّ حمايتها كافية.
الضمانات حين لا تكون الحماية كافية. يجوز النقل بموجب البنود التعاقدية القياسية التي أصدرتها سدايا، أو بموجب قواعد ملزمة مشتركة داخل مجموعة شركات، أو بموجب شهادة اعتماد. وتأتي البنود القياسية في 4 نماذج ثابتة. ولا يجوز تغيير صياغتها، وتسلّم نسخة منها إلى سدايا حين تطلبها.
تقييم المخاطر أولًا. قبل أي نقل يعتمد على هذه الضمانات، وقبل أي نقل مستمر أو واسع للبيانات الحساسة، يجب أن تقيّم المخاطر. وقد نشرت سدايا في فبراير 2025 دليلًا لهذا التقييم، ومعه أداة اختيارية.

قبل أن تبدأ، وحين يقع خطأ

تقييم الأثر. تشترط اللائحة التنفيذية تقييمًا مكتوبًا للأثر إذا كان نشاطك يشمل، على نطاق واسع ومتكرر، معالجة تعتمد على تقنيات جديدة أو قرارات تُتخذ بناء على معالجة آلية. وتشترطه أيضًا عند معالجة أي بيانات حساسة. والوكيل الذي يعمل على نطاق شركتك كلها يدخل في الغالب في هذا.
الإبلاغ عن التسرب. يجب أن تبلغ سدايا خلال 72 ساعة من علمك بتسرب قد يسبب ضررًا. ويجب أن تبلغ الأشخاص المتأثرين دون تأخير غير مبرر، وبلغة بسيطة.
التسجيل ومسؤول حماية البيانات. يجب التسجيل في المنصة الوطنية لحوكمة البيانات التابعة لسدايا إذا كان نشاطك الرئيسي يقوم على معالجة البيانات الشخصية، أو إذا كنت تعالج بيانات حساسة. ويجب تعيين مسؤول لحماية البيانات في حالات معينة، منها أن تقوم أنشطتك الأساسية على بيانات حساسة.

والعقوبات حقيقية. فمخالفة النظام قد تؤدي إلى إنذار أو غرامة تصل إلى 5 ملايين ريال، وتتضاعف عند التكرار. وإفشاء البيانات الحساسة بقصد الإضرار بشخص أو لتحقيق منفعة شخصية قد يؤدي إلى السجن مدة تصل إلى سنتين.

ماذا تقول سدايا عن الذكاء الاصطناعي نفسه

نشرت سدايا مبادئ أخلاقيات الذكاء الاصطناعي، في إصدارها الأول، سبتمبر 2023. وفيها 7 مبادئ، منها الخصوصية والأمن، والشفافية وقابلية التفسير، والمساءلة والمسؤولية. ونشرت أيضًا إرشادات للذكاء الاصطناعي التوليدي، في نسخة للجهات الحكومية ونسخة للعامة. وهذه ليست أنظمة، لكن مبادئ الأخلاقيات تنص على أنها تنطبق على كل من يطوّر الذكاء الاصطناعي أو يستخدمه في المملكة. أما إرشادات الذكاء الاصطناعي التوليدي فهي إرشادات. ولم أجد نظامًا سعوديًا ينظم الذكاء الاصطناعي بذاته حتى أكتوبر 2026. فالقواعد الملزمة للوكيل الذي يتعامل مع بيانات شخصية هي نظام حماية البيانات ولوائحه.

قواعد القطاعات

تخضع البنوك وشركات التمويل أيضًا للبنك المركزي السعودي، وقد حفظ النظام صلاحياته. وعلى الجهات الحكومية ومشغّلي البنى التحتية الوطنية الحساسة أن يطبّقوا الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني. وصارت هذه الضوابط تحيل مسائل توطين البيانات إلى مكتب إدارة البيانات الوطنية.

ماذا يعني هذا لك

اكتب الأساس النظامي الذي تستند إليه لكل نوع من البيانات يقرؤه الوكيل.
اقصر وصول الوكيل على الحقول التي تحتاجها مهمته.
اعرف أين يعالج مزوّد النموذج البيانات. وإن كان ذلك خارج المملكة، فاختر طريقة النقل قبل أن تبدأ التشغيل.
أجرِ تقييم الأثر قبل أن يقرأ الوكيل أي بيانات شخصية، لا بعد ذلك.

لست محاميًا. تلخص هذه الصفحة النصوص الرسمية كما قرأتها في أكتوبر 2026. فاسأل محاميًا عن حالتك أنت.

المراجع

هشام المهدي، نُشر 28 أكتوبر 2026