سيادة البيانات في السعودية والخليج: لماذا يحتاج الذكاء الاصطناعي إلى بنية محلية؟

سيادة البيانات في المملكة العربية السعودية تعني أن البيانات التي تُنشأ أو تُعالَج داخل المملكة تبقى خاضعة للأنظمة السعودية وتحت سيطرة الجهة المسؤولة عنها. ويحددها نظام حماية البيانات الشخصية، وأنظمة حوكمة البيانات الوطنية، وضوابط الهيئة الوطنية للأمن السيبراني، والجهات التنظيمية القطاعية. وفي الذكاء الاصطناعي، تحدد مكان تشغيل النماذج وحفظ البيانات.

انتقلت سيادة البيانات من كونها بنداً في قائمة الامتثال إلى قرار استراتيجي للمؤسسات العاملة في المملكة ودول الخليج. ومع تسارع تبنّي الذكاء الاصطناعي، ستحدد قرارات البنية التحتية المتخذة اليوم ما إذا كانت المؤسسات ستحتفظ بالسيطرة على أكثر معلوماتها التشغيلية حساسية — أم ستنقلها دون قصد إلى بنية تحتية لا تملكها، وفي ولايات قضائية لم تخترها. يشرح هذا المقال الأنظمة السعودية ذات الصلة، ولماذا تنطوي واجهات الذكاء الاصطناعي الخارجية على مخاطر، وكيف تصمّم بنية ذكاء اصطناعي تحافظ على سيادة بياناتك دون أن تبطئ أعمالك.

ما الفرق بين سيادة البيانات وإقامة البيانات وتوطين البيانات؟

كثيراً ما تُستخدم هذه المصطلحات الثلاثة بالتبادل، لكن لكل منها معنى مختلفاً، والفرق بينها مهم عند التفاوض مع مزوّدي الذكاء الاصطناعي والخدمات السحابية.

المصطلح	المعنى	السؤال الذي يجيب عنه
إقامة البيانات	الموقع الفعلي الذي تُخزَّن فيه البيانات وتُعالَج	هل مركز البيانات داخل المملكة؟
توطين البيانات	اشتراط نظامي أو تعاقدي ببقاء بيانات معينة داخل الدولة	هل يُسمح أصلاً بنقل هذه البيانات إلى الخارج؟
سيادة البيانات	بقاء البيانات خاضعة للأنظمة السعودية وتحت سيطرة مالكها أياً كانت جهة الطلب	من يستطيع الوصول إلى البيانات أو إلزامنا بالإفصاح عنها أو إعادة استخدامها، وبموجب أي نظام؟

إقامة البيانات شرط ضروري لكنه غير كافٍ. فقد تكون البيانات في مركز بيانات في الرياض، ومع ذلك يمكن أن يصل إليها فريق الدعم لدى مزوّد أجنبي، أو تُستخدم لتحسين نموذج المزوّد، أو تتعرض لطلبات قانونية من ولاية قضائية أخرى. أما سيادة البيانات فتطرح السؤال الأصعب: من يتحكم فعلياً في البيانات ومفاتيح التشفير وعمليات المعالجة؟

ما الأنظمة السعودية التي تحدد سيادة البيانات؟

نظام حماية البيانات الشخصية

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم م/19 في سبتمبر 2021، وعُدّل في مارس 2023، ودخل حيز النفاذ في 14 سبتمبر 2023، وأصبح واجب التطبيق الكامل في 14 سبتمبر 2024. وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) عبر منصة حوكمة البيانات الوطنية. ويسري النظام على أي معالجة للبيانات الشخصية داخل المملكة، وعلى معالجة بيانات الأفراد المقيمين فيها من قِبل جهات خارجها.

وفي سياق الذكاء الاصطناعي، تُعد قواعد النقل خارج المملكة الجزء الأهم. فلا يجوز نقل البيانات الشخصية إلى الخارج إلا لغرض محدد، وبالحد الأدنى اللازم، ومن خلال آلية معتمدة — مثل البنود التعاقدية القياسية الصادرة عن سدايا، أو القواعد المؤسسية الملزمة، أو شهادات الاعتماد — ما لم ينطبق استثناء محدد. كما يتطلب النقل المعتمد على الضمانات، والنقل المستمر أو الواسع للبيانات الحساسة، تقييماً موثقاً للمخاطر. ويلتزم المتحكم بإبلاغ سدايا خلال 72 ساعة من علمه بأي تسرب قد يُلحق ضرراً، وقد تصل الغرامات إلى 5 ملايين ريال، ويجوز مضاعفتها عند التكرار. ويغطي دليلنا للامتثال لنظام حماية البيانات الشخصية جميع هذه الالتزامات.

تصنيف البيانات وحوكمتها على المستوى الوطني

يضع مكتب إدارة البيانات الوطنية التابع لسدايا، الذي أُنشئ في أغسطس 2019، قواعد حوكمة البيانات الوطنية، ومنها الضوابط المؤقتة لحوكمة البيانات الوطنية المنشورة عام 2020 وسياسة تصنيف البيانات. وتُصنَّف البيانات الحكومية في أربعة مستويات: سري للغاية، وسري، ومقيّد، وعام. ويحدد هذا التصنيف أين وكيف يجوز استضافة البيانات ومشاركتها.

ضوابط الهيئة الوطنية للأمن السيبراني

تنطبق الضوابط الأساسية للأمن السيبراني (ECC-2:2024) على الجهات الحكومية وعلى جهات القطاع الخاص التي تملك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة. وتكمّلها ضوابط الأمن السيبراني للبيانات (DCC-1:2022) بمتطلبات لحماية البيانات طوال دورة حياتها. ومن التفاصيل المهمة أن الإصدار السابق ECC-1:2018 تضمّن ضابطاً فرعياً يشترط استضافة معلومات الجهة وتخزينها داخل المملكة، ثم حُذف هذا الضابط من الإصدار ECC-2:2024 وأُحيل إلى اختصاص مكتب إدارة البيانات الوطنية، أي أن مسائل التوطين أصبحت ضمن قواعد حوكمة البيانات لا ضمن الحد الأدنى للأمن السيبراني.

الحوسبة السحابية والأنظمة القطاعية

تنظّم هيئة الاتصالات والفضاء والتقنية تقديم الخدمات السحابية، وتقيّد أنظمتها نقل بيانات القطاع العام خارج المملكة دون سند نظامي. وتضيف الجهات التنظيمية القطاعية متطلباتها الخاصة؛ فقواعد البنك المركزي السعودي (ساما) للبنوك وشركات التأمين، على سبيل المثال، تتضمن متطلبات بشأن حفظ بيانات العملاء داخل المملكة وضوابط الإسناد إلى أطراف خارجية. وللتعمق في خيارات الاستضافة، راجع دليلنا عن الحوسبة السحابية وإقامة البيانات في السعودية.

ماذا عن بقية دول الخليج؟

لدى دول الخليج الأخرى أنظمتها الخاصة لحماية البيانات، ولا يوجد إطار خليجي موحد يتيح انتقال البيانات بحرية بينها. ووفق نظام حماية البيانات الشخصية، فإن إرسال بيانات شخصية سعودية إلى مقر إقليمي في دولة خليجية أخرى يُعد نقلاً خارج المملكة كأي نقل آخر، ويتطلب غرضاً مشروعاً وآلية نقل معتمدة، وفي حالات كثيرة تقييماً للمخاطر. لذا ينبغي للمجموعات العاملة في المنطقة رسم خريطة لمتطلبات كل دولة، والتصميم وفق أشدها صرامة — وهو ما يعني غالباً، في أحمال الذكاء الاصطناعي التي تتضمن بيانات سعودية، معالجة تلك البيانات داخل المملكة.

لماذا تشكّل واجهات الذكاء الاصطناعي الخارجية خطراً على سيادة البيانات؟

عندما ترسل مؤسستك بيانات إلى مزوّد ذكاء اصطناعي خارجي لمعالجتها — لتحليل المستندات أو تلخيصها أو للنمذجة التنبؤية — تتواجد تلك البيانات، ولو مؤقتاً، في بيئة خارج سيطرتك. وتتمثل المخاطر تحديداً في الآتي:

• موقع المعالجة: كثير من خدمات الذكاء الاصطناعي تعالج الطلبات في مناطق خارج المملكة، ما قد يستدعي التزامات النقل وفق نظام حماية البيانات الشخصية.
• الاحتفاظ والسجلات: قد تُحفظ التعليمات والمخرجات لأغراض مراقبة إساءة الاستخدام أو معالجة الأعطال لمدد لا تحددها أنت.
• الاستخدام الثانوي: بحسب فئة العقد، قد تُستخدم البيانات المرسلة لتحسين نماذج المزوّد.
• المعالجون الفرعيون والأنظمة الأجنبية: قد يوسّع مورّدو المزوّد وأنظمة بلده الأصلي دائرة من يمكنه الوصول إلى بياناتك.
• التسعير والتوافر: التسعير حسب الاستخدام وتغييرات الخدمة يقررها المزوّد لا أنت.

وبالنسبة للبيانات المصنّفة حساسة، أو «مقيّدة» فما فوق، فهذه ليست مخاوف نظرية، بل انكشافات في الامتثال تحمل مخاطر تنظيمية ومخاطر على السمعة.

ما خيارات البنية المتاحة لذكاء اصطناعي يحافظ على سيادة البيانات؟

الخيار	مكان المعالجة	من يملك مفاتيح التشفير	الاستخدام المناسب عادة
واجهة ذكاء اصطناعي عامة (منطقة عالمية)	منطقة المزوّد، وغالباً خارج المملكة	المزوّد	المحتوى العام غير الحساس فقط
خدمات ذكاء اصطناعي لمزوّد عالمي في منطقة سعودية	داخل المملكة على بنية مشتركة	المزوّد أو مفاتيح يديرها العميل	البيانات المقيّدة بعد مراجعة العقد والتصنيف
سحابة سيادية أو خاصة داخل المملكة	داخل المملكة على سعة مخصصة	العميل	الأحمال الحساسة والخاضعة للتنظيم
ذكاء اصطناعي محلي داخل المؤسسة	مركز بياناتك الخاص	العميل	أعلى مستويات التصنيف والبنى الحساسة والاستقلال الكامل

تنتهي معظم المؤسسات إلى نموذج متدرّج: المحتوى منخفض المخاطر يمكنه استخدام الخدمات الجاهزة، بينما يعمل كل ما يمس البيانات الشخصية أو المالية أو المصنّفة على بنية تتحكم بها. وأصبح تشغيل نموذج عربي قوي على خوادمك الخاصة أمراً واقعياً اليوم — ويشرح دليلنا لتشغيل نماذج اللغة الكبيرة العربية محلياً كيفية ذلك.

ما المبررات التجارية بما يتجاوز الامتثال؟

• تكلفة متوقعة عند التوسع: دون تسعير لكل استعلام يصبح باهظاً عند أحجام الإنتاج المؤسسي.
• قابلية التخصيص: ضبط النماذج على بياناتك التشغيلية لتحسين أدائها في سياق أعمالك في المملكة.
• مرونة تشغيلية: لا اعتماد على توافر خدمات طرف خارجي أو حدود استخدامه أو قراراته التسعيرية.
• رؤية أمنية كاملة: سجلات شاملة توضح من وصل إلى أي بيانات، وعبر أي نموذج، ولأي غرض.
• موقف تفاوضي أقوى: امتلاك المنصة يعني إمكانية تبديل النماذج دون إعادة بناء تطبيقاتك.

ويضاف إلى ذلك أن امتلاك منصة ذكاء اصطناعي داخلية يبني خبرة تراكمية داخل المؤسسة: فكل حالة استخدام جديدة تستفيد من البنية نفسها والضوابط نفسها والبيانات المنظّمة نفسها، ما يخفض تكلفة التوسع ويختصر زمن الإطلاق التالي. كما يمنح فرق المراجعة الداخلية والجهات الرقابية صورة واضحة وموثقة لكيفية استخدام البيانات، وهو ما يسهّل الإجابة عن أسئلة التدقيق، ويعزز ثقة العملاء والشركاء في قدرة المؤسسة على حماية معلوماتهم.

كيف تبني بنية ذكاء اصطناعي تحافظ على سيادة البيانات؟ خطوة بخطوة

1. صنّف البيانات التي ستمسها كل حالة استخدام، وفق مستويات التصنيف الوطنية وفئات نظام حماية البيانات الشخصية، بما فيها البيانات الحساسة.
2. ارسم مسارات البيانات: أين تذهب التعليمات والمستندات المسترجعة والمخرجات والسجلات والنسخ الاحتياطية، بما في ذلك وصول فرق دعم المزوّدين.
3. حدد مستوى النشر لكل فئة بيانات، من الواجهة العامة إلى التشغيل المحلي، ووثّق مبررات القرار.
4. أبقِ المفاتيح داخل المملكة: مفاتيح تشفير تحت سيطرتك، ويُفضّل في وحدات أمن أجهزة تديرها بنفسك.
5. طبّق إدارة الهوية ومبدأ الحد الأدنى من الصلاحيات بحيث لا تسترجع أنظمة الذكاء الاصطناعي إلا ما يحق لكل مستخدم رؤيته.
6. سجّل وراقب كل شيء بما يتوافق مع ضوابط الهيئة الوطنية للأمن السيبراني، واختبر خطة الاستجابة للحوادث بما فيها مهلة الإبلاغ البالغة 72 ساعة.
7. راجع العقود من حيث الاحتفاظ والاستخدام الثانوي والمعالجين الفرعيين وشروط الخروج قبل إرسال أي بيانات.

وتنتمي الضوابط الأمنية إلى البنية منذ اليوم الأول؛ إذ تعمل خدمة الأمن السيبراني والامتثال لدينا على مواءمة منصات الذكاء الاصطناعي مع متطلبات الهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية.

كيف يبدو ذلك على أرض الواقع؟

في مشروع الذكاء الاصطناعي الخاص لجهة حكومية في المملكة، بنينا منظومة استدلال محلية بالكامل مع خطوط بيانات داخلية وصلاحيات قائمة على الأدوار وإقامة كاملة للبيانات داخل المملكة. وكانت النتيجة استقلالاً بنسبة 100% عن واجهات الذكاء الاصطناعي الخارجية، وإقامة كاملة للبيانات، وتكلفة متوقعة عند أحجام الاستخدام المؤسسي. تنفّذ أمواج للحلول بنية تحتية خاصة للذكاء الاصطناعي مهندَسة للبيئة التنظيمية في المملكة — تعرّف على خدمة الذكاء الاصطناعي الخاص وروبوتات المحادثة، أو اطلب تقييماً لسيادة البيانات في أدوات الذكاء الاصطناعي التي تستخدمها حالياً.