شركتي تعمل في الإمارات. ماذا يطلب منا القانون حين يقرأ وكيل ذكاء اصطناعي بياناتنا؟
الجواب المختصر
القانون الاتحادي لحماية البيانات الشخصية، وهو المرسوم بقانون اتحادي رقم 45 لسنة 2021، ساري المفعول منذ 2 يناير 2022. والأصل هو موافقة الشخص. ويحق للشخص أن يعترض على القرارات التي تصدر عن المعالجة الآلية وحدها إذا مسّته مساسًا جسيمًا، وأن يطلب أن يراجعها إنسان. ولا يجوز النقل إلى الخارج إلا بالأسس التي يحددها القانون. وكثير من تفاصيله ينتظر لائحة تنفيذية، ولم أجد نشرًا رسميًا لها حتى أكتوبر 2026. وللمناطق الحرة مثل مركز دبي المالي العالمي وسوق أبوظبي العالمي قوانينها الخاصة.
القانون الذي ينطبق عليك
بدأ العمل بالمرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية في 2 يناير 2022. ويشمل المقيمين في الإمارات ومن لهم مقر عمل فيها، والشركات الموجودة في الإمارات أينما عالجت البيانات، والشركات الموجودة خارج الإمارات إذا عالجت بيانات أشخاص في الإمارات. فمزوّد النموذج الأجنبي يدخل في نطاق القانون.
ولا يشمل القانون كل شيء. فهو يستثني البيانات الحكومية، والبيانات الصحية والبنكية التي لها تشريعات خاصة بها، والشركات الموجودة في مناطق حرة لها قوانين خاصة لحماية البيانات. وأشهر هذه المناطق مركز دبي المالي العالمي DIFC وسوق أبوظبي العالمي ADGM. فإذا كانت شركتك في إحداهما، فارجع إلى قانون تلك المنطقة.
من يطبّق القانون
سمّى القانون مكتب الإمارات للبيانات جهةً رقابية. وفي 14 يونيو 2026 اعتمد مجلس الوزراء إنشاء الهيئة الاتحادية للذكاء الاصطناعي والبيانات، وتنتقل إليها اختصاصات مكتب الذكاء الاصطناعي، ومكتب الإمارات للبيانات، وقطاع الحكومة الرقمية في الهيئة العامة لتنظيم قطاع الاتصالات والحكومة الرقمية. ولم أجد نصًا رسميًا يوضح كيف ستطبّق الهيئة الجديدة هذا القانون.
ويترك القانون كثيرًا من تفاصيله للائحة التنفيذية، مثل مهلة الإبلاغ عن التسرب، وضوابط النقل إلى الخارج، وبداية مهلة 6 أشهر تُعطى للشركات لتوفّق أوضاعها. ولم أجد نشرًا رسميًا لهذه اللائحة حتى أكتوبر 2026. فالقانون ساري المفعول، لكن بعض أجزائه لا يمكن تطبيقها كاملة بعد.
هل يجوز للوكيل أن يقرأ البيانات الشخصية أصلًا؟
الأصل أنه لا تجوز معالجة البيانات الشخصية دون موافقة صاحبها، ويجب أن تستطيع إثبات هذه الموافقة. ويذكر القانون استثناءات، منها تنفيذ عقد مع الشخص، والالتزامات التي يفرضها قانون العمل، والوفاء بالتزام قانوني آخر.
وتشمل البيانات الحساسة البيانات الصحية، وبيانات القياسات الحيوية biometric، والبيانات الجينية، والمعتقدات الدينية، والآراء السياسية، والأصل العرقي، والسجل الجنائي.
القرارات التي تتخذها الآلة
هذه المادة هي الأقرب إلى وكلاء الذكاء الاصطناعي. فيحق للشخص أن يعترض على القرار الذي يصدر عن المعالجة الآلية وحدها، بما في ذلك التنميط profiling، وهو تقييم الشخص آليًا من بياناته، إذا كانت للقرار آثار قانونية على الشخص أو مسّه مساسًا جسيمًا. وعندها يجب على الشركة أن تتيح لإنسان أن يراجع القرار. ولا ينطبق هذا الحق إذا وافق الشخص عليه في عقد أو أعطى موافقة مسبقة، أو إذا فرض قانون آخر هذه المعالجة.
مزوّد النموذج، والبيانات التي تُرسل إلى الخارج
حين يرسل الوكيل نصًا إلى نموذج يشغّله مزوّد، يكون المزوّد جهة معالجة لديك، ويجب أن يعالج البيانات حسب تعليماتك. ويجب أن تحمي البيانات بإجراءات أمنية مناسبة، ويذكر القانون منها التشفير واستبدال الأسماء برموز. وفي المعالجة التي تحمل خطرًا كبيرًا، مثل المعالجة التي تستخدم تقنيات جديدة، يجب أن تقيّم أثرها أولًا، وقد تحتاج إلى مسؤول لحماية البيانات.
ويجيز القانون النقل إلى الخارج بطريقتين. الأولى أن تنقلها إلى دولة لديها قانون لحماية البيانات وجهة تطبّقه. والثانية، حين لا توفر الدولة المستقبلة هذه الحماية، أن تستند إلى أساس من أسس محددة، مثل عقد يُلزم الجهة المستقبلة بمعايير القانون الإماراتي، أو موافقة الشخص الصريحة.
قواعد القطاعات
قاعدتان في القطاعات أشد من القانون العام:
- البيانات الصحية. ينص القانون الاتحادي رقم 2 لسنة 2019 بشأن استخدام تقنية المعلومات والاتصالات في المجالات الصحية على أنه لا يجوز حفظ البيانات الصحية أو معالجتها أو نقلها خارج الدولة، إلا إذا أجازت ذلك الجهات الصحية. وهو ينطبق في المناطق الحرة أيضًا.
- البنوك. تشترط لائحة الإسناد الخارجي للبنوك، التي أصدرها المصرف المركزي، أن يبقى السجل الرئيسي للبيانات السرية داخل الدولة. ولا تجيز مشاركة البيانات السرية خارج الدولة إلا بموافقة المصرف المركزي، وبموافقة كتابية مسبقة من العميل.
ماذا تقول الإمارات عن الذكاء الاصطناعي نفسه
اعتمدت الإمارات الاستراتيجية الوطنية للذكاء الاصطناعي 2031 في 2019، وأصدرت ميثاق تطوير واستخدام الذكاء الاصطناعي في يونيو 2024. ويحدد الميثاق 12 أولوية، منها خصوصية البيانات، والإشراف البشري، والشفافية. وكلاهما إرشادات. ولم أجد قانونًا اتحاديًا للذكاء الاصطناعي حتى أكتوبر 2026.
ماذا يعني هذا لك
- اعرف أولًا أي قانون ينطبق عليك: القانون الاتحادي، أو قانون منطقة حرة، أو قانون قطاعك.
- سجّل الأساس القانوني لكل نوع من البيانات يقرؤه الوكيل، واحتفظ بما يثبت الموافقة حين تعتمد عليها.
- إذا كان الوكيل يقرر شيئًا يخص شخصًا، فوفّر طريقة يراجع بها إنسان القرار عند الطلب.
- راجع قاعدة القطاع قبل أن ترسل البيانات الصحية أو البيانات السرية للبنوك إلى مزوّد في الخارج.
لست محاميًا. تلخص هذه الصفحة النصوص الرسمية كما قرأتها في أكتوبر 2026. فاسأل محاميًا عن حالتك أنت.
المراجع
- UAE Legislation, Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data
- UAE Government portal, Data protection laws
- UAE Cabinet, Mohammed bin Rashid approves establishing the Artificial Intelligence and Data Authority, June 2026
- UAE Ministry of Justice, Federal Law No. 2 of 2019 on the Use of ICT in Health Fields
- Central Bank of the UAE, Outsourcing Regulation for Banks, Article 6
- UAE Cabinet, UAE Cabinet adopts National Artificial Intelligence Strategy 2031
- UAE Legislation, The UAE Charter for the Development and Use of Artificial Intelligence
- ADGM, Data Protection Regulations 2021 Update, August 2021