قوائم امتثال تقدر تستخدمها فعلًا.

1. الحصر والمسؤولية

• احصر كل نظام ونموذج ومزود ذكاء اصطناعي تستخدمه، مع الغرض والمسؤول والبيانات اللي يتعامل معها.
• سجّل إذا كان النظام يتدرب على بيانات شخصية أو يسترجعها أو ينتجها.
• حدد الأنظمة اللي تتخذ قرارات عن الأشخاص أو تدعمها.

2. البيانات الشخصية (PDPL)

• حدد مسوغا نظاميا لبيانات التدريب والمطالبات ومصادر الاسترجاع والمخرجات اللي فيها بيانات شخصية.
• نفّذ تقييم أثر موثقا إذا تطلبته المادة 25 من اللائحة التنفيذية، ومنها القرارات الآلية والتقنيات الناشئة.
• اشرح معالجة الذكاء الاصطناعي في إشعار الخصوصية.
• تعامل مع استدعاء مزودي الذكاء الاصطناعي خارج المملكة كنقل بيانات شخصية، ووثّق مسار المادة 29.

3. المخاطر والأخلاقيات (إرشادات SDAIA)

• ابنِ سجل مخاطر الذكاء الاصطناعي على الإطار الوطني لإدارة المخاطر (يوليو 2026): حدد، قيّم، عالج، تابع.
• راجع كل نظام مقابل مبادئ أخلاقيات الذكاء الاصطناعي السبعة، واستفد من أداة التقييم الذاتي من SDAIA.
• للذكاء الاصطناعي التوليدي والمحتوى المصطنع، طبّق إرشادات SDAIA للذكاء الاصطناعي التوليدي والتزييف العميق عند الحاجة.

4. الأمن السيبراني (NCA)

• طبّق ضوابط NCA الملزمة لك أصلا (مثل ECC-2:2024 أو NCNICC-1:2025) على أنظمة الذكاء الاصطناعي وبياناتها.
• تابع مسودة إرشادات NCA للأمن السيبراني للذكاء الاصطناعي (انتهى استطلاعها في 5 أغسطس 2026) في الحوكمة والتحصين والصمود والأطراف الخارجية.
• مرّر حوادث الذكاء الاصطناعي عبر إجراءات التسرب عندك؛ تسرب البيانات الشخصية قد يوجب إشعار SDAIA خلال 72 ساعة.

5. الأنظمة القطاعية

• الخدمات المالية: الذكاء الاصطناعي المستخدم في مكافحة الاحتيال لازم يكون قابلا للتدقيق وما يكون «صندوقا أسود» (ضوابط SAMA).
• الأجهزة الطبية: اتبع إرشاد SFDA رقم MDS-G010 للأجهزة المعتمدة على الذكاء الاصطناعي.
• التعليم: مر موعد استطلاع بيئة NELC المذكور سابقًا في 1 أكتوبر 2026. فحصنا المسودة في 2 أكتوبر؛ ولم تتأكد حالة الإغلاق الحالية أو الاعتماد النهائي. تحقق من المركز.

6. المزودون والأدلة

• خذ من كل مزود ذكاء اصطناعي كتابيا: موقع البيانات، والمعالجين الفرعيين، ومدة الاحتفاظ، وشروط استخدام البيانات في التدريب.
• احتفظ بالأدلة: التقييمات والموافقات وتغييرات النماذج وتواريخ المراجعة.
• أعد المراجعة إذا صارت مسودة ما ملزمة؛ المسودات ليست متطلبات بعد.

1. الأساس النظامي والإشعار

• حدّد أساسًا نظاميًا لكل نشاط معالجة.
• انشر إشعار خصوصية متوافقًا مع النظام (الغرض، والبيانات، والاحتفاظ، والحقوق، وجهة الاتصال).
• إذا اعتمدت معالجة ملفات الارتباط على الموافقة، اجمعها قبل المعالجة دون خانات محددة مسبقا.

2. الموافقة والحقوق

• الموافقة محددة ومستنيرة وقابلة للسحب.
• اجمع موافقة التسويق ووفر وسيلة واضحة لإيقافه.
• عملية فاعلة للتعامل مع طلبات أصحاب البيانات (الاطلاع، والتصحيح، والحذف).

3. السجلات والحوكمة

• احتفظ بسجل أنشطة المعالجة (RoPA).
• قيم شروط تعيين مسؤول حماية البيانات وفق القواعد النافذة؛ لا تعامل مسودة تعديل كقاعدة سارية.
• القدرة على الرد على استفسارات سدايا ضمن المهلة النظامية.

4. الأمن

• ضمانات تقنية وتنظيمية متناسبة مع المخاطر.
• تطبيق تصنيف البيانات قبل التخزين/الاستضافة.
• جهز الإبلاغ لسدايا خلال 72 ساعة من العلم بالحادث عند احتمال ضرر البيانات أو أصحابها أو تعارضه مع حقوقهم أو مصالحهم.

5. النقل عبر الحدود

• تحقق مباشرة من أي قرار كفاية للوجهة؛ لم نعثر على قائمة منشورة خلال المراجعة.
• حدد مسار النقل والضمان المناسب وشروطه؛ ليست البنود المعيارية والقواعد المشتركة وشهادات الاعتماد بدائل متطابقة لكل حالة.
• أكمل تقييم المخاطر قبل نقل المادة 4، وللنقل المستمر أو واسع النطاق للبيانات الحساسة.

6. الموردون

• اتفاقيات معالجة تتضمن بنود النظام.
• توثيق ضوابط ومواقع المعالجين الفرعيين.

الخطوة 1: هل أنت بنية تحتية حرجة؟

• إذا كنت جهة حكومية أو ضمن البنية التحتية الحرجة، حدد نطاق ECC وDCC والضوابط الإضافية المنطبقة.
• للمنشأة الخاصة غير الحرجة: تحقق من تعميم NCA عليك قبل تحديد التزام NCNICC.

الخطوة 2: أي فئة؟

• الفئة A للمنشآت الكبيرة: 65 ضابطا ضمن 3 مكونات.
• الفئة B للمنشآت الصغيرة والمتوسطة: 26 ضابطا ضمن مكون واحد.
• تحقق من فئة منشآت وحدودها ومن التعميم؛ الحجم وحده لا يحسم النطاق.

الخطوة 3، الفئة A: الحوكمة

• حوكمة الأمن السيبراني وأدوار محددة.
• تقييمات مخاطر دورية.
• مراجعة السياسات واعتمادها.

الخطوة 3، الفئة A: الدفاع السيبراني

• إدارة الوصول.
• حماية الأجهزة الطرفية.
• تصنيف البيانات.
• إدارة النسخ الاحتياطي.
• المراقبة والتسجيل.
• إجراءات الاستجابة للحوادث.
• اختبار اختراق دوري.

الخطوة 3، الفئة A: الطرف الثالث والسحابة

• متطلبات الأمن السيبراني للموردين/الطرف الثالث.
• ضوابط الأمن السيبراني للحوسبة السحابية.
• توعية الموظفين وتدريبهم.

الخطوة 4: الفئة B

• طبق ضوابط الفئة B وفق الوثيقة الرسمية والتعميم، وعددها 26 ضابطا.

قبل أي نقل للخارج

• حدد غرض النقل وأساس المعالجة والوجهة.
• احصر البيانات والمستلمين والوصول من الخارج والنقل اللاحق.
• تحقق من قرار الكفاية أو حالة الإعفاء وشروط الضمان المناسب وفق المادة 4.
• أكمل تقييم المخاطر لنقل المادة 4، وللنقل المستمر أو واسع النطاق للبيانات الحساسة.
• وثق القيود القطاعية والأمن الوطني وتقليل البيانات والاستثناءات التي تنطبق فعلا.
• اعتمد الترتيبات قبل أول نقل وراجعها عند تغير التدفق.