في هذا المقالالعناوين · 5
الملخص التنفيذي
حقيبة حوكمة صغيرة تساعد المؤسس يجهز للمراجعة. لكنها ما تثبت الامتثال وحدها: لازم تتحقق من مسوغ المعالجة والنطاق التنظيمي والنقل والمتطلبات القطاعية.
الحوكمة تعطي الفريق اللي يقوده المؤسس طريقة واضحة يشرح فيها وش يسوي النظام، وش البيانات اللي يستخدمها، ومين يتحمل المسؤولية إذا أخطأ. ابدأ بسجلات صغيرة تحدثها باستمرار، ووسّعها بحسب المخاطر الفعلية والنطاق التنظيمي.
راجعت المقال في 2 أكتوبر 2026 بالرجوع للمصادر الرسمية المرتبطة أدناه. قائمة التحقق تجهزك للتقييم؛ إكمالها ما يعني شهادة امتثال قانوني.
وش تعني الحوكمة فعلًا للمؤسس؟
أغلب الوقت ما تحتاج وثيقة من ستين صفحة. تحتاج نظام بسيط يرد على خمسة أسئلة:
- وش البيانات اللي نستخدمها؟
- ليش نستخدمها؟
- مين يملكها ومين يراجعها؟
- وش يصير لو غلط النظام؟
- كم نحتفظ بالبيانات ومتى نحذفها؟
لو ما قدرت ترد على هالأسئلة في صفحة وحدة، فالمشكلة مو في التنظيم بس. المشكلة في وضوح المنتج نفسه.
حقيبة الحوكمة الخفيفة
هذي نقطة البداية العملية للمراجعة:
- خريطة بيانات تبيّن المصادر والحساسية ومسوغ المعالجة والمسؤول والمزودين ومواقع المعالجة.
- بيان غرض يحدد الاستخدامات المسموحة والممنوعة ومين يستقبل المخرجات.
- سجل قرارات يوثق المصادر وتغييرات إصدار النموذج ومراجعة المخرجات والحوادث، مع أقل قدر لازم من البيانات الشخصية في السجلات.
- تجاوز بشري يحدد مين يراجع ويصحح ويوقف سير العمل أو يرجع للإصدار السابق.
- قاعدة احتفاظ تربط الحذف بالغرض ومتطلبات حفظ السجلات النظامية والنسخ الاحتياطية واتفاقيات المعالجين.
هالسجلات تسند المراجعة، لكنها ما تحل محل الالتزامات المنطبقة على المعالجة أو المنشأة.
أين يدخل السياق السعودي؟
تحقق من كل نطاق على حدة:
- نظام حماية البيانات الشخصية: حدد مسوغ المعالجة وقدم معلومات الخصوصية المطلوبة. الموافقة أحد المسوغات وفي النظام استثناءات؛ لا تعاملها كإذن مفتوح. للبيانات الصحية وغيرها من البيانات الحساسة ضمانات إضافية. راجع الوصول والاحتفاظ وحقوق صاحب البيانات ومسار النقل خارج المملكة. النظام الحالي لدى SDAIA.
- NDMO وNCA: تصنيف NDMO وحساسية البيانات في PDPL مفهومان مختلفان. قيّم نطاق ضوابط الجهات الحكومية والبنى التحتية الحساسة، وضوابط NCNICC للجهات الخاصة غير ذات البنى الحساسة التي عممت عليها الهيئة. اسم القطاع أو حجم المنشأة وحده ما يحسم النطاق. دليل نطاق NCA.
- ZATCA: إذا انطبقت متطلبات الفوترة الإلكترونية، استخدم عملية فوترة تحقق المتطلبات واحفظ السجلات وإمكانية الوصول لها. الذكاء الاصطناعي يساعد في المسودة أو المطابقة، لكن النص المولّد ما يثبت صحة الفاتورة نظاميًا. أسئلة الفوترة الإلكترونية الرسمية من ZATCA.
قيّم أيضًا الحاجة لتقييم أثر موثّق على حماية البيانات. المادة 25 من اللائحة التنفيذية تشمل معالجة البيانات الحساسة وحالات معالجة محددة واسعة النطاق أو متكررة تتضمن القرارات الآلية أو التقنيات الناشئة. أنجزه قبل المعالجة بمشاركة المختصين بالخصوصية والقطاع. اللائحة التنفيذية من SDAIA.
وفي الاستضافة، راجع السلسلة كاملة: قاعدة البيانات واستدعاءات النموذج والسجلات والنسخ الاحتياطية والمعالجين ووصول الدعم من الخارج. وجود منطقة سحابية سعودية يجاوب على جزء من المراجعة. دليل الاستضافة يساعدك ترتب الباقي.
كيف تطبّق الحوكمة بدون ما تقتل السرعة؟
ادمج الحوكمة جوّه إيقاع المنتج، وأنجز الموافقات والتقييمات المطلوبة قبل تشغيل المسار:
- راجع خريطة البيانات مع كل تغيير كبير في الميزة.
- اربط الـ prompt أو الـ workflow بسبب استخدام واضح.
- اكتب حدود الاستخدام جوّه المنتج نفسه، مو في ملف بينساه الكل.
- خلّ مسار الامتناع والتصعيد واضحًا: متى يوقف النظام ويسأل الإنسان؟ ثقة النموذج اللي يعلنها مو احتمال موثوق؛ اختبر هالحدود على حالات ممثلة للاستخدام.
قِس الدقة ووقت المراجعة وحوادث الخصوصية ونسبة التصعيد. تحسن التبني أو الاحتفاظ بالعملاء نتائج تقيسها، وليست وعودًا تضمنها قائمة حوكمة.
الحوكمة الهادئة ما توقّف الفريق. هي بس تمنعه يمشي بسرعة في اتجاه ضبابي.
قائمة البداية للمؤسس هذا الأسبوع
لو تبي نسخة عملية واجد، ابدأ بهذا:
- حدّد أعلى تدفق بيانات حساسية في منتجك.
- اكتب سطر واحد يشرح غرضه وحدود استخدامه.
- قرر مين يراجع المخرجات قبل ما توصل للعميل.
- اضبط مدة الاحتفاظ والحذف بدل ما تتركها على الافتراضي.
- جرّب سؤال بسيط على الفريق: "لو سألنا عميل اليوم كيف يشتغل هذا، نعرف كيف نرد؟"
لو كان الجواب "لا"، فأنت ما تحتاج مستند أكبر. تحتاج نظام أوضح.
وإذا تبي ترتّب ملاحظات الفريق، خذ قوائم وقوالب الامتثال السعودي كنقطة بداية للمراجعة.
أسئلة شائعة
وش تحتوي حقيبة حوكمة الذكاء الاصطناعي الخفيفة للمؤسس في السعودية؟
خمسة سجلات: خريطة بيانات تبيّن المصادر والحساسية ومسوغ المعالجة والمسؤول والمزودين ومواقع المعالجة، وبيان غرض يحدد الاستخدامات المسموحة والممنوعة، وسجل قرارات، وتجاوز بشري يحدد مين يراجع ويصحح ويوقف سير العمل، وقاعدة احتفاظ تربط الحذف بالغرض. هالسجلات تسند المراجعة، لكنها ما تحل محل الالتزامات المنطبقة على المعالجة أو المنشأة، وإكمال قائمة التحقق ما يعني شهادة امتثال قانوني.
هل موافقة العميل تكفي لاستخدام بياناته في الذكاء الاصطناعي حسب PDPL؟
لا، لا تعاملها كإذن مفتوح. الموافقة أحد مسوغات المعالجة في نظام حماية البيانات الشخصية، وفي النظام استثناءات. حدد مسوغ المعالجة وقدم معلومات الخصوصية المطلوبة، وانتبه إن للبيانات الصحية وغيرها من البيانات الحساسة ضمانات إضافية. وراجع كمان الوصول والاحتفاظ وحقوق صاحب البيانات ومسار النقل خارج المملكة.
هل أحتاج تقييم أثر على حماية البيانات لمنتج ذكاء اصطناعي في السعودية؟
ممكن، فقيّم الحاجة لتقييم أثر موثّق على حماية البيانات. المادة 25 من اللائحة التنفيذية تشمل معالجة البيانات الحساسة وحالات معالجة محددة واسعة النطاق أو متكررة تتضمن القرارات الآلية أو التقنيات الناشئة. أنجزه قبل المعالجة بمشاركة المختصين بالخصوصية والقطاع.
هل الاستضافة في منطقة سحابية سعودية تكفي للامتثال؟
لا، وجود منطقة سحابية سعودية يجاوب على جزء من المراجعة بس. راجع السلسلة كاملة: قاعدة البيانات واستدعاءات النموذج والسجلات والنسخ الاحتياطية والمعالجين ووصول الدعم من الخارج. وتحقق من نطاق NDMO وNCA على حدة، لأن اسم القطاع أو حجم المنشأة وحده ما يحسم النطاق.