قانون حماية البيانات الشخصية في قطر والذكاء الاصطناعي: ما يجب حسمه قبل البناء

لماذا يهم هذا مشاريع الذكاء الاصطناعي

تتعامل معظم مشاريع الذكاء الاصطناعي في المؤسسات مع بيانات شخصية عاجلاً أم آجلاً. فوكيل خدمة العملاء يقرأ الأسماء وأرقام الهواتف وسجلات الطلبات، ومساعد الموارد البشرية يطّلع على السير الذاتية، ونظام البحث في المستندات يفهرس عقوداً تتضمن أسماء أشخاص. وفي قطر تخضع هذه المعالجة للقانون رقم 13 لسنة 2016 بشأن حماية خصوصية البيانات الشخصية.

صدر القانون قبل ظهور الذكاء الاصطناعي التوليدي بصورته الحالية، ولا يتضمن قواعد خاصة به. لكنه يشمل البيانات الشخصية التي تُعالج إلكترونياً أياً كانت التقنية، ولذلك فهو السؤال القانوني الأول لكل نظام ذكاء اصطناعي تقريباً يُبنى في قطر. أما الجهات العاملة في مركز قطر للمال فتخضع لأنظمة حماية البيانات الخاصة بالمركز.

الجهة المشرفة على القانون

انتقلت مسؤولية القانون بين أكثر من جهة على مر السنوات. فقد صدرت إرشاداته التنظيمية للمتحكمين والمعالجين عام 2021 عن إدارة الالتزام وحماية البيانات في وزارة الاتصالات، ثم وُصفت الوكالة الوطنية للأمن السيبراني بأنها الجهة المختصة بإدارته وتطبيقه. وتشير تعليقات قانونية حديثة إلى أن هذه الترتيبات لا تزال قيد التوضيح، لذا تحقق من الجهة المعنية حالياً قبل تقديم طلب تصريح أو إخطار باختراق. وقد تصل الغرامات على مخالفة القانون إلى 5 ملايين ريال قطري بحسب نوع المخالفة.

سبعة أسئلة يجب الإجابة عنها قبل البناء

1. ما البيانات الشخصية التي سيطّلع عليها النظام فعلاً؟

حدّد كل موضع تدخل منه البيانات الشخصية إلى النظام: المستندات التي تُفهرس، والطلبات التي يكتبها المستخدمون، والإجابات التي يكتبها النموذج، والسجلات، والتحليلات، وأي بيانات تُستخدم للاختبار أو لتدريب النموذج وتحسينه. كثيراً ما تحمي الفرق قاعدة البيانات الأصلية وتنسى أن البيانات نفسها أصبحت موجودة أيضاً في فهرس بحث وسجل طلبات ولوحة تحكم لدى مزوّد خارجي. اجمع واحتفظ بما تحتاجه حالة الاستخدام فقط.

2. هل الغرض واضح، وهل جُمعت البيانات لأجله؟

يتطلب القانون معالجة البيانات الشخصية بشفافية ولغرض مشروع. والبيانات التي جُمعت لتقديم خدمة ما لا يجوز إعادة استخدامها تلقائياً لتدريب نموذج أو تحسينه. وإذا كان استخدام الذكاء الاصطناعي جديداً، فتحقق مما إذا كان إشعار الخصوصية لديك يغطيه، وهل تحتاج إلى موافقة أم يمكنك الاستناد إلى أساس آخر يجيزه القانون.

3. هل تشمل المعالجة بيانات ذات طبيعة خاصة؟

يمنح القانون حماية إضافية للبيانات الشخصية ذات الطبيعة الخاصة، وهي البيانات المتعلقة بالأصل العرقي والأطفال والصحة والحالة الجسدية أو النفسية والمعتقدات الدينية والعلاقة الزوجية والجرائم الجنائية. ولا تجوز معالجتها إلا بعد الحصول على تصريح من الجهة المختصة، ومع ضمانات إضافية. وهذا يمس مباشرة تطبيقات الذكاء الاصطناعي في الرعاية الصحية والموارد البشرية والتأمين والتعليم، فأدرج التصريح وتقييم الأثر على حماية البيانات في الجدول الزمني للمشروع بدلاً من اكتشافهما عند الإطلاق.

4. أين ستُعالج البيانات، ومن سيعالجها؟

تعتمد معظم أنظمة الذكاء الاصطناعي على مزوّدين خارجيين: واجهة برمجية لنموذج لغوي، أو منصة سحابية، أو قاعدة بيانات متجهات. وتبقى الجهة التي تحدد سبب المعالجة وطريقتها (المتحكم) مسؤولة عمّا يفعله المعالجون لديها. فتحقق لدى كل مزوّد من مكان تخزين البيانات ومعالجتها، وما يُحتفظ به ولأي مدة، وهل تُستخدم بياناتك لتدريب نماذجه، وما ينص عليه العقد بشأن الأمن والاختراقات.

لا يمنع القانون نقل البيانات إلى الخارج بصورة تلقائية، لكن للجهات الحكومية والقطاعات الخاضعة للتنظيم وكثير من العملاء متطلباتهم الخاصة بإقامة البيانات. وحيث يجب أن تبقى البيانات داخل الدولة، فإن المناطق السحابية في قطر والنشر الخاص للنماذج المفتوحة خيارات عملية.

5. هل يمكنك احترام حقوق الأفراد داخل نظام الذكاء الاصطناعي؟

يحق للأفراد طلب الاطلاع على بياناتهم وتصحيحها أو حذفها، وسحب موافقتهم. وفي نظام الذكاء الاصطناعي يعني ذلك القدرة على العثور على بيانات الشخص لا في قاعدة البيانات الرئيسية فحسب، بل أيضاً في سجلات المحادثات وفهارس المستندات والذاكرة المؤقتة، وعلى حذفها منها. ابنِ ذلك منذ البداية، فإضافته لاحقاً مكلفة.

6. هل الأمن والاستجابة للاختراقات جاهزان؟

يجب على المتحكمين حماية البيانات الشخصية بتدابير تقنية وتنظيمية مناسبة. وإذا كان من المرجح أن يُلحق الاختراق ضرراً جسيماً، وجب إخطار الجهة المختصة والأفراد المتأثرين، وتحدد الإرشادات لذلك مهلة 72 ساعة. وأدرج المخاطر الجديدة التي يجلبها الذكاء الاصطناعي: حقن الأوامر، والإجابات التي تكشف بيانات لا يحق للمستخدم رؤيتها، والوكلاء الذين يملكون صلاحيات على أنظمة أخرى أوسع مما تتطلبه مهمتهم.

7. هل سيرسل النظام رسائل تسويقية؟

يحظر القانون التسويق المباشر الإلكتروني دون موافقة مسبقة من المتلقي. والنظام الذي يكتب عروضاً مخصصة ويرسلها عبر البريد الإلكتروني أو الرسائل النصية أو تطبيقات المراسلة يجب أن يلتزم بقواعد الموافقة وإلغاء الاشتراك نفسها التي تنطبق على أي حملة أخرى.

قواعد قطاعية إضافية

لبعض القطاعات متطلبات إضافية. ففي سبتمبر 2024 أصدر مصرف قطر المركزي إرشادات للذكاء الاصطناعي موجّهة إلى الجهات المرخّصة منه، تغطي الحوكمة وإدارة المخاطر والإشراف البشري وحفظ السجلات والإفصاح، وتشترط موافقة المصرف قبل نشر أنظمة الذكاء الاصطناعي المصنّفة عالية المخاطر.

كما نشرت الوكالة الوطنية للأمن السيبراني عام 2024 إرشادات للتبني والاستخدام الآمن للذكاء الاصطناعي، تتناول الأفراد والإجراءات والتقنية عبر دورة حياة الذكاء الاصطناعي. وهي إرشادات اختيارية، لكنها قائمة تحقق مفيدة لأي جهة.

طريقة عملية للبدء

لا داعي لأن يبطئ أيٌّ من ذلك المشروع إذا كان جزءاً من التصميم لا أمراً لاحقاً. ننصح ببدء كل مشروع ذكاء اصطناعي بخريطة بيانات مختصرة: ما البيانات التي يتعامل معها النظام، وكيف تتدفق، ومن يمكنه الاطلاع عليها، وكم تُحفظ. تجيب هذه الخريطة عن معظم الأسئلة السابقة، وتُظهر مبكراً الحاجة إلى تصريح أو تقييم أثر، وتصبح جزءاً من توثيق المشروع.

إذا كنت تخطط لمشروع ذكاء اصطناعي، فإن تقييم الجاهزية للذكاء الاصطناعي المجاني يوضح لك خلال دقائق موقعك من حيث البيانات والحوكمة والجوانب المهمة الأخرى. أو تحدث إلينا عن حالة الاستخدام لديك.

هذا المقال معلومات عامة وليس استشارة قانونية. تتغير القوانين والإرشادات؛ ولأي مشروع محدد، تحقق من المتطلبات الحالية لدى الجهة المختصة أو لدى محامٍ مؤهل في قطر.