ما يتطلبه منك النظام أصلاً.
النظام يُلزم كل مؤسسة تعالج بيانات شخصية في المملكة. وقد بدأت سدايا إصدار القرارات منذ 2025. فيما يلي ما يتطلبه النظام، والأسئلة التي يجب أن يصمد أمامها الملف، ومن أين تبدأ.
ما يتطلبه النظام اليوم
سجلات المعالجة
كل نشاط معالجة مسجَّل، بما فيه ما يدخل إلى الذكاء الاصطناعي وما يخرج منه، مع المصادر التي جُمعت منها البيانات والجهات التي تصل إليها.
تقويم الأثر (ويُشار إليه أيضاً بتقييم الأثر) — المادة 22 من النظام، والمادة 25 من اللائحة التنفيذية
مكتوب، واحد لكل منتج أو خدمة، بالعناصر الثمانية التي تشترطها المادة 25، بما فيها جسامة الأثر النفسي والاجتماعي والجسدي والمالي واحتمال وقوعه.
النقل عبر الحدود — المادة 29 من النظام
كل تدفق مربوط بأساس نظامي، والبنود التعاقدية القياسية الصحيحة من سدايا دون تعديل، وتقويم مخاطر نقل البيانات الشخصية موثّق.
القرارات الآلية — المادتان 4(5) و11(2) من اللائحة التنفيذية
موافقة صريحة حيثما يقوم القرار على المعالجة الآلية وحدها، وبيان واضح للشخص بذلك.
تسرب البيانات الشخصية والسجلات
الإبلاغ إلى سدايا خلال اثنتين وسبعين ساعة، مع إجراء حوادث مُختبَر لا مكتوب فقط.
البيانات الصحية والأجهزة — المادة 23 من النظام والمادة 26 من اللائحة التنفيذية، ودليل الهيئة MDS-G-027
تدابير محددة، وتوثيق لكل مرحلة، وشخص مسؤول مسمّى عند كل منها؛ وحين يكون الذكاء الاصطناعي جهازاً خاضعاً للتنظيم، تضيف إرشادات الهيئة العامة للغذاء والدواء إدارة التغيير والإشراف البشري.
تكون العقوبة إنذاراً أو غرامة تصل إلى خمسة ملايين ريال، وقد تُضاعف الغرامة عند تكرار المخالفة. وقد أصدرت سدايا قرارات في تسويق دون موافقة، وتسرب بيانات شخصية لم يُبلَّغ عنه خلال اثنتين وسبعين ساعة، وطلبات لم تُجَب في وقتها، وضمانات غائبة، وغياب مسؤول حماية بيانات حيثما يلزم.
ستة أسئلة يجب أن يصمد أمامها الملف
هل يجيب التقويم عن العناصر الثمانية كلها؟
تطلب المادة 25 الأثر مادياً ومعنوياً — الضرر النفسي والاجتماعي والجسدي والمالي، كلٌّ منها موزوناً باحتمال وقوعه — ومنفصلاً عنه حكماً على ملاءمة التدابير المزمعة. والعناوين الأربعة في المادة 35(7) من اللائحة العامة لحماية البيانات لا تعدّد هذه العناصر؛ فالملف المكتوب عليها يُقابَل بالمادة 25(2) عنصراً عنصراً، ولا يُفترض استيفاؤه لها.
هل يتجاوز السجل الأنظمة التي يعرفها الجميع؟
نظاما إدارة العملاء والموارد البشرية هما الجزء السهل. الصادرات والأقراص المشتركة وما يدخل إلى الذكاء الاصطناعي وما يخرج منه هي حيث يكفّ السجل عن الاكتمال.
هل يُظهر السجل عمليات النقل التي تجريها منظوماتكم، أم فقط تلك التي صرّح بها العمل؟
الاستضافة والمعالجون الفرعيون ووصول الدعم من الخارج، والاستدعاءات التي يوجهها الذكاء الاصطناعي إلى نموذج لا تستضيفه.
هل ثبت من يقرر فعلاً وسائل المعالجة؟
العقد يقول شيئاً والمنظومة التقنية تفعل آخر — وأوضح ما يكون ذلك حيث يضبط المورّد معايير لا تتحكم فيها.
هل يستطيع من يعتمد القرار أن يرى داخله، وأن يقلبه؟
قرارٌ اعتُمد ليس قراراً اتُّخذ.
هل إجراء تسرب البيانات الشخصية مُختبَر، أم مكتوب فقط؟
اثنتان وسبعون ساعة مدة قصيرة، ولا ينبغي أن تكون التجربة الأولى هي التسرب نفسه.
من أين تبدأ
تقييم، لا مشورة قانونية ولا شهادة. نفحص المستندات والسجلات الفنية والمنظومة وهي تعمل، ونبيّن بماذا يُثبت كل التزام.
ابدأ بمحادثة.
أخبرنا بما تعالجه وأين يقع الذكاء الاصطناعي. نرد عليك بنطاق عمل وخطوات تالية خلال يومي عمل.
اطلب تقييماًقراءة إضافية: ما الذي ستغيّره تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية لمن يشغّل ذكاءً اصطناعياً · لماذا لا يكون ملف نظام الاتحاد الأوروبي للذكاء الاصطناعي ملفاً سعودياً · ما لا تغطيه قائمة ضوابط الهيئة الوطنية للأمن السيبراني · نقل البيانات خارج المملكة بموجب نظام حماية البيانات الشخصية: قائمة تحقق تشغيلية
كل مهمة هي تقييم: نفحص المستندات والسجلات الفنية والمنظومة وهي تعمل، ونبيّن النتائج والفجوات. ليست مشورة قانونية ولا شهادة ولا اعتماداً، ولا تغني عن رأي قانوني رسمي. المسائل المتعلقة بالنظام السعودي تُعالَج مع محامين مرخّصين محلياً. النطاق والسعر يُتفق عليهما كتابةً قبل بدء أي عمل.