شركة مسجلة في مركز دبي المالي العالمي تضيف مساعدا ذكيا يقرأ رسائل العملاء، ويلخص ملفات فتح الحسابات، ويصوغ ردودا يعتمدها المستشار قبل إرسالها. لن يسميه أحد روبوتا، لكن قواعد حماية البيانات في المركز لها اسم له: نظام يعمل باستقلالية كاملة أو جزئية ويعالج بيانات شخصية. ومنذ 2023/09/01 تحدد اللائحة 10 ما يجب أن تستطيع الشركة التي تشغل نظاما كهذا أن تقوله للناس، وما يجب أن تستطيع إثباته.
وهي ليست ترخيصا، ولا يوجد نموذج يقدم بشأنها. إنها التزام بالدليل، يسهل الوفاء به إن صمم في النظام من البداية، ويصعب بناؤه لاحقا من الذاكرة. والفرق عملي: الشركة التي تبني الأدلة مع النظام تجيب عن سؤال المفوض أو العميل في يوم، والتي تبنيها بعد السؤال تقضي أسابيع في جمع رسائل قديمة وإعدادات تغيرت أكثر من مرة.
لماذا يختلف الجواب في المركز
البيانات الشخصية لدى الكيان المسجل في المركز يحكمها قانون حماية البيانات الخاص بالمركز، وهو القانون رقم 5 لسنة 2020، ولوائحه، لا القانون الاتحادي الذي يطبق خارج المناطق الحرة ذات التشريعات الخاصة. والقائمة الاتحادية لتوصيل نموذج ذكاء اصطناعي قائمة مختلفة. فاللائحة 10 خاصة بالمركز، ويشير ملخص مكتب كلايد آند كو لإصدارها إلى أنها تكمل القانون ولا تحل محل أي جزء منه. ولا يكفي أن يكون المزود قد امتثل لقانون آخر في بلد آخر، فالسؤال هو هل تستطيعون أنتم، بوصفكم كيانا في المركز، إثبات ما تطلبه لوائحه.
هل أنتم المشغل المستفيد أم المشغل التقني؟
تقدم اللائحة 10 دورين. الأول هو الجهة التي تأذن بالنظام أو تستفيد من عمله ومخرجاته، وتتحمل مسؤوليات تقارب مسؤوليات المتحكم في البيانات. والثاني هو المزود التقني الذي يشغل النظام بتعليمات الجهة الأولى، ويسأل كما يسأل معالج البيانات. وتشبه إرشادات مفوض حماية البيانات بشأن اللائحة 10 موقع الجهة المستفيدة بموقع صاحب العمل: النظام يعمل تحت سلطتكم، فأنتم تسألون عنه.
ولمعظم شركات المركز التي تشتري مساعدا ذكيا يحسم هذا الأمر. أنتم الجهة المستفيدة، والمزود هو المشغل التقني، ويجب أن يعكس العقد بينكما الدورين معا. وإن كان المزود يستخدم بيانات عملائكم أيضا لتحسين نماذجه، فهو يعمل لأغراضه هو كذلك، ولا يعود التقسيم بسيطا. اسألوه مباشرة وضعوا الجواب في العقد، واطلبوا منه أن يسمي فيه كل جهة أخرى تعمل لحسابه على بياناتكم، لأن المعالج الفرعي جزء من المسار لا تفصيل فيه. وتقول الإرشادات أيضا إن الأنظمة الآلية البحتة التي لا تملك أي استقلالية، ويتحكم البشر في عملها بشكل محدد مسبقا، ليست المقصودة بالتعريف. فمحرك القواعد الثابتة لا يدخل فيه، أما النموذج اللغوي الذي يصوغ الردود فيدخل.
الإشعار عند أول استخدام
أول ما تطلبه اللائحة 10 إشعار واضح وصريح عند أول استخدام للنظام أو أول دخول إليه. يجب أن ينبه الشخص إلى تقنية قد تعالج بياناته الشخصية دون أن يبادر بها إنسان أو يتحكم فيها أو يوجهها، وأن يشرح أثر ذلك في حقوقه. وبحسب كلايد آند كو، يجب أن يصف الإشعار كذلك الأغراض التي يعالج النظام البيانات من أجلها، والمبادئ التي صمم عليها، وأي مدونات أو شهادات يتبعها.
وهذه مهمة تصميم، لا فقرة في سياسة الخصوصية. قرروا أين يظهر الإشعار: الشاشة الأولى في بوابة العملاء، أو الرسالة الأولى في المحادثة، أو تذييل الرسالة التي صاغها النظام. وقرروا من يراه حين يكون المستخدم موظفا والبيانات لعميل. واكتبوه بحيث يفهم العميل ما يفعله النظام وما لا يفعله. وكمسودة أولى لمساعد البريد، قد يقول الإشعار في بوابة العملاء: «بعض الردود التي تصلكم يصوغها نظام آلي يقرأ رسائلكم ومستندات حسابكم. يصوغ الردود ليراجعها مستشارونا، ولا يرسل شيئا دون موافقة شخص. ولا يتخذ قرارات بشأن حسابكم. ويمكنكم طلب رد يكتب دونه، والسؤال عن البيانات التي استخدمها». وكل جملة من هذه ادعاء يجب أن تستطيع الشركة إثباته بعد ذلك، وهذا هو المقصود: الإشعار يصبح هو المواصفة. وإن كان النظام يعمل في أكثر من قناة فلكل قناة إشعارها، لأن العميل الذي يبدأ من واتساب لا يرى شاشة البوابة. واحفظوا كل نسخة من الإشعار مع تاريخ بدء العمل بها، لأن السؤال سيكون عما قيل للعميل في حينه، لا عما تقوله الصفحة اليوم.
أغراض مكتوبة حيث لا يستطيع النظام تغييرها
تفرق الإرشادات بين أغراض يحددها البشر وتثبت في النظام فلا يستطيع تغييرها، وأغراض قد يولدها النظام لنفسه. والأغراض التي يحددها البشر يجب أن تغلب دائما، وأي غرض يولده النظام يجب أن يبقى داخل مبادئ وضعها الناس ولا يستطيع النظام تعديلها.
وبلغة الهندسة، تكتب مهمة المساعد في إعدادات يتحكم فيها فريقكم: أي صناديق بريد يقرأ، وأي إجراءات يجوز له تنفيذها، وأيها يقترحها فقط. وتعليماته محفوظة بنسخ مرقمة، وأي تغيير فيها يمر عبر شخص مسمى. وهذه أيضا الوثيقة التي تحدد ما يجوز للوكيل الذكي أن يقرره، لكنها في ظل اللائحة 10 تصبح دليلا لا مجرد ممارسة جيدة. واختبروا ذلك عمليا: اطلبوا من المساعد أن يفعل شيئا خارج قائمته، وتأكدوا أنه يرفض، وأن الرفض مسجل.
الأدلة التي قد تطلب منكم
إلى جانب الإشعار، تتوقع اللائحة 10 أن تقدم الجهة المستفيدة عند الطلب سجلا يغطي معالجة النظام: لماذا هي ضرورية ومتناسبة، وكيف يصل الناس إلى معلوماتهم فيه، وهل يتخذ قرارات آلية بالكامل، وأين تقع الأطراف الخارجية أو الجهات التنظيمية التي تعالج البيانات، مع ضمانات أي نقل لها. وتتوقع كذلك دليلا على أي تدقيق أو شهادة تدعونها، وعلى الآليات التي تدخل إنسانا حين قد تسبب المعالجة أثرا غير عادل أو تمييزيا.
ولكل بند من ذلك مقابل يبنى. سجل للمدخلات والمخرجات والإجراءات، يحفظ مدة محددة. وقائمة بكل مزود نماذج وكل معالج فرعي، مع المنطقة التي يعمل فيها كل منهم، تحدث كلما أضاف المزود خدمة أو غير منطقة، بإخطار مسبق يشترطه العقد. وخطوة مراجعة تستخدم فعلا، ولها سجلها الخاص. فإن لم يستطع النظام إنتاج هذه الأدلة، فالشركة لا تستطيع أيضا. واسألوا كم يحفظ السجل، ومن يستطيع قراءته، وهل يمكن تصديره بصيغة يفتحها المدقق. فالسجل الذي لا يقرؤه إلا المزود ليس دليلكم.
المعالجة عالية المخاطر تغير الجواب
يعرف قانون المركز المعالجة عالية المخاطر أصلا. ومن حالاتها التقنية الجديدة التي تزيد المخاطر على حقوق الناس زيادة جوهرية، والمعالجة الواسعة التي يرجح أن تسبب مخاطر عالية، والتقييم الآلي المنهجي للأشخاص الذي ينتج آثارا قانونية أو آثارا مهمة مماثلة، ومعالجة قدر جوهري من فئات البيانات الخاصة. والشركة التي تقوم بها بانتظام يجب أن تعين مسؤولا لحماية البيانات، وتقرنها إرشادات المفوض بتقييم للأثر. ويقع تجاوز هذا الحد أسرع مما يتوقع المؤسسون: مساعد يقرأ كل ملفات العملاء في شركة لإدارة الثروات قد يحقق حالتين في وقت واحد.
واللائحة 10 تذهب أبعد في الأنظمة المستخدمة في معالجة عالية المخاطر. فبحسب كلايد آند كو، لا يجوز استخدامها تجاريا في هذه المعالجة إلا إذا وضع المفوض متطلبات التدقيق والشهادات، واستوفاها النظام، وكان يعالج البيانات لأغراض حددها البشر أو وافقوا عليها فقط، وعين مسؤول للأنظمة المستقلة. وتصف الإرشادات هذا المسؤول بأنه يؤدي دورا يشبه دور مسؤول حماية البيانات. لذلك يأتي التقييم أولا: قبل أن يقرأ المساعد ملف عميل واحدا، قرروا كتابة هل المعالجة عالية المخاطر، وإن احتمل ذلك فاحملوا الجواب إلى مكتب المفوض لا إلى اجتماع الإطلاق. واكتبوا التقييم حتى لو كانت النتيجة أن المعالجة ليست عالية المخاطر، فالقرار المكتوب بأسبابه دليل بحد ذاته.
ما الذي يتغير
في 2026/06/18 فتحت سلطة مركز دبي المالي العالمي مشاورة على لوائح معدلة، وكان آخر موعد للملاحظات 2026/07/18. وورقة المشاورة رقم 3 تقترح إضافة السلامة مفهوما أساسيا، وتفصيل واجبات المسؤول ومهاراته، ولائحة جديدة رقمها 11 تتيح للمفوض الاعتراف بأنظمة الشهادات. وتقول الورقة ألا يعمل أحد بالمسودة قبل إصدارها، فتحققوا من النص النافذ يوم تصممون. والنظام المبني حول الدليل يستوعب أيا من النسختين. ولا يعني ذلك تأجيل المشروع حتى تصدر النسخة الجديدة، بل أن تبنى الأدلة بحيث يسهل تحديثها.
أسئلة شائعة
هل تنطبق اللائحة 10 على موظفين يستخدمون مساعدا عاما متاحا للجميع؟
إن نسخ الموظفون بيانات شخصية لعملاء إليه نيابة عن الشركة، فالشركة تعالج تلك البيانات عبر نظام كهذا والقانون ينطبق. ولهذا يحتاج الاستخدام غير المعتمد إلى سياسة قبل أن يحتاج إلى أداة.
هل يجب تسجيل النظام لدى المفوض؟
تصف الإرشادات نهجا قائما على الشهادات، لا ترخيصا أو تسجيلا للنظام نفسه. لكن التزاماتكم العامة في حماية البيانات بوصفكم كيانا في المركز تبقى قائمة، ومنها الإخطار الذي يقدم إلى المفوض ويجب تحديثه إذا تغيرت المعالجة.
هل المزود هو المسؤول بدلا منا؟
لا. أنتم الجهة المستفيدة وتتحملون مسؤولية تشبه مسؤولية المتحكم، والمزود بصفته المشغل التقني يتحمل واجبات تشبه واجبات المعالج. وتتوقع الإرشادات أن تشتروا من مطورين يقدمون ضمانا تعاقديا بأن الامتثال مبني في التصميم.
ماذا يجب أن يقول الإشعار فعلا؟
أن نظاما آليا يعالج بيانات شخصية، ولأي أغراض، وعلى أي مبادئ، وبموجب أي مدونات أو شهادات إن وجدت، وكيف يؤثر ذلك في حقوق الشخص. بلغة واضحة، وفي لحظة أول استخدام.
من يتولى هذا الملف داخل الشركة؟
شخص واحد مسمى، وهو عادة من يتولى حماية البيانات، ويكتب الأدلة المالك التقني للنظام. وإن كانت المعالجة عالية المخاطر فيدخل دور مسؤول الأنظمة المستقلة.
الملف الذي يبنى قبل الإطلاق
حددوا هل أنتم الجهة المستفيدة أم المشغل التقني أم الاثنان. قيموا كتابة هل المعالجة عالية المخاطر. اكتبوا الأغراض في إعدادات يتحكم فيها فريقكم واحفظوا نسخها. صمموا الإشعار في الشاشة الأولى. ابنوا السجل، وقائمة المزودين ومناطقهم، وخطوة المراجعة. ضعوا التزامات المشغل التقني في العقد، وأجيبوا عن أسئلة الأمن التي سيرسلها العميل من الحقائق نفسها. ثم راجعوا الملف كله كل ثلاثة أشهر، أو عند كل تغيير في النموذج أو المزود، أيهما أقرب.
تحويل لائحة كهذه إلى بنية تقنية هو عمل استشاري الذكاء الاصطناعي، ويبدأ من أربعة أسئلة قبل أن يمس النموذج نظاما يعمل. وإن كانت شركتكم في المركز تخطط لمساعد يعمل على بيانات العملاء، تواصلوا معي من هنا.