ما الذي ستغيّره تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية لمن يشغّل ذكاءً اصطناعياً

نشرت سدايا في 6 أكتوبر 2026 مشروع تعديلات على اللائحة التنفيذية لـنظام حماية البيانات الشخصية. تُغلق التعليقات في 5 نوفمبر. وإن اعتُمدت، تدخل اللائحة حيز النفاذ بعد ستين يوماً من نشرها في الجريدة الرسمية.

لمن يشغّل ذكاءً اصطناعياً على بيانات شخصية، يفعل المشروع شيئين معاً، وهما يتجهان في اتجاهين متعاكسين. يوسّع الشبكة: فالمعالجة بأي تقنية ناشئة، والمعالجة التي تنتج قرارات مبنية على معالجة آلية تمسّ الحقوق أو المصالح، ستستوجب كلٌّ منهما تقويم أثر مكتوباً بذاته، دون أي عتبة نطاق. ويخفف الوثيقة: فمحتوى التقويم الواجب سيهبط من ثمانية عناصر إلى سبعة، والعنصر الذي يؤدي أكبر قدر من العمل — الجسامة مقيّمةً مادياً ومعنوياً، مع الضرر النفسي والاجتماعي والجسدي والمالي موزوناً كلٌّ باحتمال وقوعه — سيُستبدل بسطر واحد عن المخاطر المحتملة والآثار المترتبة.

منظومات أكثر تُلتقط. ومطلوبٌ أقل من كل ملف.

وإلى جانب ذلك، سيتعين تخزين البيانات الشخصية داخل المملكة، وسيكفي نقلها إلى الخارج بذاته لاستلزام التسجيل في السجل الوطني. ليس شيء من هذا نظاماً نافذاً بعد. ما يلي هو ما يقوله المشروع، مقروءاً على النص الذي سيحل محله.

أولاً. موجِبان جديدان، لا يقيّدهما نطاق

تعدد المادة 25(1) من اللائحة اليوم أربع حالات يجب فيها إعداد تقويم أثر مكتوب. ثلاث منها قائمة بذاتها: الحالة (أ)، البيانات الحساسة؛ والحالة (ب)، ربط مجموعات بيانات من مصادر مختلفة؛ والحالة (د)، منتج أو خدمة يُرجّح أن تسبب معالجتها ضرراً جسيماً للخصوصية. أما الحالة (ج) فمختلفة: تجمع أربعة أوضاع خلف مقيّد واحد — أن تتضمن أنشطة جهة التحكم، على نطاق واسع أو بصورة متكررة، معالجة بيانات ناقصي أو عديمي الأهلية، أو عمليات تتطلب مراقبة مستمرة، أو استخدام تقنيات ناشئة، أو قرارات قائمة على المعالجة الآلية.

يفكك المشروع الحالة (ج). ومكانها، ستعدد المادة 25(1) خمس حالات، بحروف جديدة. والعمود الأيسر هو ما يجب أن يتحقق أيضاً قبل انطباق الحالة أصلاً — العتبة التي يعلقها النص النافذ على معظمها:

حالتان من هذه تطالان الذكاء الاصطناعي مباشرةً، ولا تحمل أيٌّ منهما عتبة. فالمنظومة التي تستخدم تقنية ناشئة ستستوجب تقويماً سواء عملت مرة واحدة أو باستمرار، لعشرة أشخاص أو لعشرة ملايين. وكذلك المنظومة المنتِجة لقرارات تصنعها الآلة، متى مسّت تلك القرارات حقوقاً أو مصالح. وفي هذا الموجِب الأخير، لا تقول النسختان المنشورتان من المشروع الشيء نفسه: فالإنجليزية تقول «decisions based solely on automated processing» (قرارات قائمة على المعالجة الآلية وحدها)، بينما تقول العربية قرارات مبنية على معالجة آلية تؤثر على حقوق أو مصالح أصحاب البيانات الشخصية — بلا كلمة تقابل «وحدها». وليست هذه زلة ترجمة: فالصياغة ذاتها تظهر في مشروع المادة 11(2)(ج) التي تحكم متى تشترط الموافقة الصريحة، وهناك الحذف ظاهر على وجه المقارنة. النص النافذ يقول قرارات مبنية بشكل كامل على المعالجة الآلية — والمشروع يشطب بشكل كامل ويضيف مكانها أن يمسّ القرار حقوق أصحاب البيانات أو مصالحهم. وإنجليزية المشروع ذاته تعيد «وحدها» إلى النصين معاً. على القراءة العربية، ستكفّ المملكة عن تنظيم القرار المتخذ دون إنسان وحسب، وتبدأ تنظيم أي قرار مبني على معالجة آلية يمسّ حقوقاً أو مصالح. لمن وضع إنساناً في الحلقة واعتبر المسألة محسومة، هذه هي المسألة معاد فتحها. والعربية هي الحاكمة. وقد قرأها أحد المتجاوبين مع الاستطلاع على هذا النحو نفسه، مرحّباً بإزالة اشتراط أن يكون القرار آلياً بالكامل، وطالباً من سدايا أن تحدد متى يُعدّ القرار قائماً على المعالجة الآلية — مقترحاً أن يُعدّ كذلك متى كان ناتج المنظومة حاسماً أو عاملاً جوهرياً، بما في ذلك حين يعتمد موظفٌ ذلك الناتج دون سلطة حقيقية على مراجعته وتغييره.

وتغيب حالة أيضاً. فالحالة (د) النافذة — منتج أو خدمة يُرجّح أن تسبب معالجتها ضرراً جسيماً للخصوصية — لا مقابل لها في القائمة الجديدة، وكانت تلك الحالة تؤدي عملاً خاصاً: فالمادة 22 من النظام، وهي الحكم الذي توجد المادة 25 كلها لتنفيذه، تعلق الالتزام على أي منتج أو خدمة تقدم للعموم — وكانت الحالة (د) الوحيدة المصوغة بهذه الألفاظ. احذفها، فيدور كل حكم باقٍ على فئة من البيانات أو أسلوب من المعالجة؛ ولا يدور أيٌّ منها على منتج أو خدمة تقدم للعموم. وتترتب قراءتان، والمشروع لا يختار بينهما: إما أن تكون الحالات الخمس التنفيذ الكامل للمادة 22، فلا يدين منتج موجه للعموم يخرج عنها جميعاً بأي تقويم؛ وإما أن تبقى المادة 22 نافذة بألفاظها، فتلزم جهات التحكم بتقويم لم تعد اللائحة تعدّده.

ثانياً. ثمانية عناصر واجبة تصبح سبعة، والذي يؤدي العمل يذهب

التعليقات المنشورة من مكاتب المحاماة حتى الآن تمرّ على هذا مروراً. أما سجل الاستطلاع فلا: فقد طلب أحد المتجاوبين أصلاً إبقاء الضرورة والتناسب واحتمال المخاطرة وجسامتها ضمن الحد الأدنى لمحتوى التقويم. وهذا أهم من الموجِبات.

تشترط المادة 25(2) اليوم أن يتضمن التقويم ثمانية عناصر على الأقل. واثنان منها هما ما لا ينتجه قالب عام: ضرورة التدابير وتناسبها بما يمكّن جهة التحكم من معالجة الحد الأدنى من البيانات اللازمة؛ وأثر المعالجة، استناداً إلى جسامة أثرها مادياً ومعنوياً، واحتمال وقوع أي أثر سلبي على أصحاب البيانات الشخصية، بما في ذلك أي أثر نفسي أو اجتماعي أو جسدي أو مالي، واحتمال وقوعها.

في المشروع، يُحذف الأول كليةً. ويُستبدل الثاني بـ: المخاطر المحتملة للمعالجة والآثار المترتبة عليها، مادية كانت أو غير مادية.

ويذهب معها التعداد — نفسي، اجتماعي، جسدي، مالي — وشرط وزن الاحتمال الصريح. وما يبقى جملة تكاد أقسام المخاطر الأوروبية المعتادة تفي بها جميعاً.

ويتغير الواجب الختامي أيضاً. فاليوم تشترط المادة 25(4) أن تعالج جهة التحكم الأسباب وتعيد التقويم حين يدل على أن المعالجة ستلحق ضرراً بخصوصية أصحاب البيانات. وفي المشروع يصبح الموجِب ثبوت أن الأنشطة والتدابير غير ملائمة، وعندها تعيد جهة التحكم التقويم. ينتقل المعيار من الضرر اللاحق بالشخص إلى كفاية التدابير.

ثالثاً. ستُخزَّن البيانات الشخصية داخل المملكة

تقول المادة 23(2) من المشروع، كاملةً: يلتزم جهة التحكم بتخزين البيانات الشخصية داخل المملكة. ويجوز نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها وفقاً لأحكام النظام ولائحته التنفيذية.

جملتان، والثانية لا تقول ما تعنيه الأولى. ولمن يشغّل ذكاءً اصطناعياً، السؤال هو ما تطاله الأولى: نموذج مستضاف في الخارج، استدعاء استدلال إلى نقطة نهاية خارج المملكة، مخزن متجهات في إقليم آخر، خدمة مُدارة فريق دعمها خارج المملكة. كلٌّ منها موضع تستقر فيه البيانات الشخصية أو تمرّ به، وكلٌّ منها سيكون مقروءاً على شرط التخزين لا على قواعد النقل وحدها. وقد صاغ أحد المتجاوبين مع الاستطلاع حالة منها صراحةً: هل يُعدّ إرسال بيانات شخصية في طلب إلى نموذج مستضاف في الخارج نقلاً حتى حيث يقول المزوّد إنه لا يحتفظ بشيء، ما دامت البيانات قد غادرت المملكة وعولجت خارجها؟

رابعاً. النقل إلى الخارج يكفي لاستلزام التسجيل، والأفراد داخل النطاق

تنقل المادة 34 من المشروع قواعد السجل الوطني إلى اللائحة، وتضع أربعة شروط، يستلزم أيٌّ منها التسجيل: أن تكون جهة التحكم جهة عامة؛ أو أن يكون نشاطها الرئيس معالجة البيانات الشخصية؛ أو أن تعالج بيانات حساسة أو بيانات فاقدي الأهلية أو ناقصيها؛ أو أن تنقل بيانات شخصية إلى خارج المملكة أو تفصح عنها لجهات خارج المملكة.

الرابع جديد في أثره: فمؤسسة لا صلة لنشاطها الرئيس بالبيانات الشخصية، ولا تعالج بيانات حساسة، سيكون عليها التسجيل مع ذلك إن أرسلت بيانات إلى الخارج — وهذا، لمن يستدعي نموذجاً مستضافاً خارج المملكة، هو الحال المعتاد.

وتذهب فقرة ثالثة أبعد من ذلك: فالالتزام سيسري على الشخص الطبيعي حين يعالج بيانات شخصية لأغراض تتجاوز الاستخدام الشخصي أو العائلي.

الباقي باختصار

أربعة أمور لا يحسمها المشروع

ماذا يعني «التخزين داخل المملكة» إلى جانب نقل مشروع. تشترط المادة 23(2) التخزين داخل السعودية ثم تبيح النقل والإفصاح خارجها، دون أن تقول كيف يجتمع الأمران. على قراءة، يجب أن تبقى نسخة في المملكة مهما فُعل بالبيانات بعدها. وعلى أخرى، التخزين قاعدة تفسح حيث جرى نقل مشروع. والفرق بينهما هو الفرق بين إعادة هندسة منظومة وتوثيقها.

ما الذي يُعدّ تقنية ناشئة. المصطلح غير معرَّف، ولم يكن منذ دخوله اللائحة. على القراءة الضيقة يعني الطليعة؛ وعلى الواسعة يعني أي شيء لم تستخدمه المؤسسة من قبل. والمشروع يجعله موجِباً مستقلاً، فيصبح المصطلح غير المعرَّف هو من يقرر وحده ما إذا كان التقويم واجباً.

هل يُقصد محتوى أقل. حذف الضرورة والتناسب، وضغط الجسامة والاحتمال في سطر واحد، قد يكون تيسيراً وقد يكون خفضاً مقصوداً. المشروع المنشور لا يذكر أسباباً، والسؤال جدير بأن يُطرح ما دام الاستطلاع مفتوحاً، لا سيما في المعالجة التي يكون ضررها نفسياً أو اجتماعياً لا مالياً — وهو حيث كان التعداد المحذوف يؤدي عمله.

تعريف محذوف وما زال مستخدَماً. يُحذف تعريف تسرب البيانات الشخصية من المادة 1، مع ملاحظة بأن الحذف يستلزم تحرير كل نص متأثر. والمادة 24 تواصل استخدام المصطلح. يُقرأ ذلك مسألة صياغة لا خيار سياسة، لكن إلى أن يُصحَّح، يستند موجِب الإبلاغ إلى مصطلح لم تعد اللائحة تعرّفه.

ما الذي يمكن فعله قبل النفاذ

ستون يوماً بعد النشر مدة غير طويلة لعمل يمسّ مواضع البيانات. ثلاثة أشياء يمكن فعلها الآن، ولا يضيع أيٌّ منها إن تغيّر المشروع.

اعرف أين تستقر البيانات الشخصية فعلاً. ليست المنظومات التي يصرّح بها العمل، بل التي تستخدمها المنظومات: أقاليم الاستضافة، ونقاط نهاية النماذج، ومخازن المتجهات، والنسخ الاحتياطية، والمواضع التي يعمل منها موظفو الدعم. شرط التخزين لا يُجاب عنه إلا بخريطة موجودة، والتسجيل المستلزَم بالنقل لا يُجاب عنه إلا بمعرفة أيّ عمليات نقل تجري.

اكتب التقويم على المادة 25(2) النافذة، لا على المشروع. العناصر الثمانية نافذة اليوم، والتقويم الذي يجيب عنها يجيب عن السبعة أيضاً. أما من يجيب عن السبعة وحدها فلن يجيب عن الثمانية. العمل على النص الأشد لا يكلّف شيئاً وهو واجب أصلاً.

تجاوب مع الاستطلاع. يُغلق في 5 نوفمبر 2026. وثلاث نقاط جديرة بالطرح، والتعليقات المنشورة تُظهر أن لا غرابة في أيٍّ منها: أن مصطلحاً غير معرَّف لا ينبغي أن يقرر وحده ما إذا كان التقويم واجباً؛ وأن تعداد الضرر النفسي والاجتماعي والجسدي والمالي المحذوف كان يؤدي عملاً لا تؤديه الصياغة البديلة بجلاء؛ وأن إنجليزية موجِب القرار الآلي وعربيته لا تقولان الشيء نفسه حالياً.

تقرأ هذه الملاحظة المشروع المنشور للاستطلاع على اللائحة التي سيحل محلها. ليس نظاماً نافذاً وقد يتغير. وهو تعليق عام، لا مشورة بشأن موقف أي مؤسسة. الأحكام النافذة مأخوذة من النصوص العربية للنظام وللائحته التنفيذية المنشورة من سدايا، وهي الحاكمة؛ وحين تخالف الترجمة الإنجليزية الرسمية العربية في نقطة ذات معنى، تقول هذه الملاحظة ذلك.

المصدر: سدايا، «التعديلات المقترحة على اللائحة التنفيذية لنظام حماية البيانات الشخصية»، مشروع للاستطلاع العام، نُشر في 6 أكتوبر 2026 على منصة استطلاع.