غالباً نعم، لكن الجواب يتوقف على أربعة قرارات، لا على العلامة التجارية للنموذج: أين تُخزَّن البيانات، وأين يعمل النموذج، ومن يتولى دور معالج البيانات، وهل تعبر البيانات الشخصية الحدود في الطريق. اتخذ هذه القرارات لكل مسار عمل على حدة، ودوّنها، وأكّدها مع مستشارك القانوني. هذه ليست استشارة قانونية.
أبرز النقاط
- اسم النموذج لا يحدد الامتثال؛ ما يحدده هو التخزين، ومكان التشغيل، ومعالج البيانات، والنقل.
- مكان تشغيل النموذج مهم بقدر أهمية التخزين، لأن كل استدعاء للنموذج يعالج البيانات حيث يعمل النموذج.
- النماذج التي يقدّمها المزوّد في كل دولة تتغير كثيراً، لذا احصل على قائمة المناطق الحالية كتابةً، مع تاريخها.
- اختر الاستضافة أولاً والنموذج ثانياً، وإلا فقد لا يُسمح للتجربة بالانتقال إلى الإنتاج أبداً.
- لا شيء من هذا استشارة قانونية: يؤكد مستشارك القانوني الأساس القانوني قبل استخدام أي بيانات للعملاء.
ماذا تغطي قوانين حماية البيانات في الإمارات والسعودية؟
في الإمارات، تخضع البيانات الشخصية للمرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية (البوابة الرسمية لحكومة الإمارات). وفي السعودية، أصبح نظام حماية البيانات الشخصية (PDPL) نافذاً بالكامل في 14 سبتمبر 2024، والهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) هي الجهة التنظيمية (Clyde & Co، سبتمبر 2024).
ينظّم القانونان كيفية معالجة البيانات الشخصية ونقلها. أما ما يشترطانه لمسار عملك تحديداً، وكيف يتعاملان مع استدعاء نموذج يجري من دولة أخرى، فهي أسئلة لمستشارك القانوني. يقدّم لك هذا المقال القرارات التي تحملها إلى ذلك النقاش. وهو ليس استشارة قانونية، فأكّد كل نقطة مع مستشارك القانوني.
لماذا يهم مكان تشغيل النموذج، لا مكان التخزين فقط؟
تتحقق فرق كثيرة من مكان قاعدة البيانات وتتوقف عند ذلك. لكن في كل مرة يرسل فيها مسار العمل سجل عميل إلى نموذج، يُعالَج هذا السجل حيث يعمل النموذج. فإذا كان التخزين داخل الدولة والتشغيل في منطقة أخرى، فقد انتقلت البيانات الشخصية مع ذلك. اطلب من المزوّد منطقة التشغيل كتابةً، لكل نموذج، مع تاريخ تأكيدها.
والأمر نفسه ينطبق على السجلات، وذاكرة التخزين المؤقت للأوامر، ونسخ التقييم، وصلاحيات الدعم لدى المزوّد. فكل منها مكان قد تستقر فيه بيانات العملاء أو تُقرأ. اكتبها بجانب قاعدة البيانات الرئيسية، لا بعدها.
أي نماذج الذكاء الاصطناعي يمكن استضافتها داخل الإمارات أو السعودية؟
لن نذكر هنا نموذجاً ودولة، لأن التوفر بحسب المنطقة يحدده كل مزوّد سحابي ومزوّد نماذج، ويتغير مع الإصدارات الجديدة. اطلب من المزوّد قائمة مناطقه الحالية لإصدار النموذج الدقيق الذي تنوي استخدامه. احصل عليها كتابةً، واحتفظ بالتاريخ، وأعد التحقق منها قبل كل مسار عمل جديد.
الخيارات التي تُقارن عادةً تشمل نموذجاً يُقدَّم عبر منطقة محلية لمزوّد سحابي، ونموذجاً مفتوح الأوزان يعمل على بنية تحتية تتحكم فيها، والواجهة البرمجية الخاصة بالمزوّد. ويعطي كل منها جواباً مختلفاً عن القرارات أدناه، فقارن بينها على أساس هذه القرارات لا على أساس نتائج المقارنات المعيارية.
ماذا يجب أن تدوّن لكل مسار عمل؟
- التخزين: أين توجد بيانات المصدر والسجلات وأي نسخ، ومن يستطيع قراءتها.
- التشغيل: المنطقة التي يعمل فيها النموذج لهذا المسار، مؤكدة كتابةً من المزوّد، مع تاريخ.
- معالج البيانات: من يعالج البيانات نيابةً عنك، سواء مزوّد النموذج أو المزوّد السحابي أو كلاهما، وما الذي ينص عليه العقد.
- النقل عبر الحدود: هل ترسل أي خطوة بيانات شخصية خارج الدولة، وأي أساس قانوني أكده المستشار القانوني لذلك.
- تقليل البيانات: الحقول التي يحتاجها النموذج فعلاً. فالأسماء وأرقام الهوية وأرقام الحسابات يمكن غالباً حجبها قبل الاستدعاء.
تناولنا مسألة معالج البيانات بالتفصيل في من هو معالج البيانات حين يعمل الذكاء الاصطناعي على سحابتك. وتعامل مع نصوص العملاء أيضاً على أنها مدخلات غير موثوقة: فحقن الأوامر هو الخطر الأول في قائمة OWASP لأهم 10 مخاطر في تطبيقات النماذج اللغوية.
We are
ترسم Stennir التخزين ومكان التشغيل ومعالج البيانات والنقل لكل مسار عمل، وتستضيف حيث تقتضي قواعدك، وتترك لك ملكية الحسابات والبيانات ومفتاح الإيقاف.
We aren't
Stennir ليست مكتب محاماة ولا تقدّم آراء قانونية. يؤكد مستشارك القانوني الأساس القانوني قبل تشغيل أي شيء على بيانات العملاء.
هل يمكن أتمتة مسار عمل دون نقل البيانات إلى سحابة أمريكية؟
غالباً نعم، باختيار الاستضافة قبل النموذج. ابدأ بمسار العمل والبيانات التي يمسها، واختر نشراً يُبقي التخزين والتشغيل حيث تقتضي قواعدك، ثم اختر نموذجاً متاحاً هناك. أما اختيار النموذج أولاً فهو الطريق الذي ينتهي بالفرق إلى تجربة لن توافق الإدارة القانونية على نقلها إلى الإنتاج.
ويطرح المشترون السؤال بالعربية أيضاً: «هل يجوز استخدام ChatGPT مع بيانات العملاء في السعودية حسب نظام حماية البيانات الشخصية؟». الإطار واحد، وتعمل Stennir عليه مع فريقك بالعربية والإنجليزية.
ماذا يفعل مسؤول الامتثال أو العمليات بعد ذلك؟
اختر مسار عمل واحداً يمس بيانات العملاء، واملأ القرارات الخمسة السابقة. ثم احمل الورقة إلى مستشارك القانوني. تتضمن استشارات الذكاء الاصطناعي منطقة الاستضافة في مشروع البناء الموصى به، ويشغّل تنفيذ الذكاء الاصطناعي مسار العمل حيث تقتضي قواعدك. اطّلع على الذكاء الاصطناعي للامتثال، أو أجرِ تقييم الجاهزية المجاني، أو احجز مكالمة مدتها 30 دقيقة.
أسئلة شائعة
هل يجوز قانوناً استخدام ChatGPT مع بيانات العملاء في السعودية؟
يتوقف ذلك على طريقة معالجة البيانات وتخزينها ونقلها، لا على اسم المنتج. تتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) إنفاذ نظام حماية البيانات الشخصية، ويحتاج مستشارك القانوني إلى تأكيد الأساس القانوني لكل مسار عمل. هذه ليست استشارة قانونية. احمل إلى مستشارك قرارات التخزين والتشغيل ومعالج البيانات والنقل الخاصة بالاستخدام المحدد.
أين تبقى بياناتنا؟
حيث تقرر أنت، مساراً بمسار. تدوّن Stennir منطقة التخزين، ومنطقة التشغيل، وكل مكان قد تستقر فيه نسخة، مثل السجلات وذاكرة التخزين المؤقت. والحسابات باسمك، فتستطيع رؤية الإعدادات بنفسك وتغييرها أو إغلاقها دون الرجوع إلينا.
ماذا تحتاجون منا لنبدأ؟
مسار العمل الذي تفكر فيه، والحقول التي يمسها، وعقودك الحالية مع المزوّد السحابي والمزوّدين الآخرين، وجهة اتصال في الإدارة القانونية أو الامتثال. وبذلك يمكن اتخاذ قرار الاستضافة قبل اختيار أي نموذج، وهذا هو الترتيب الذي يُبقي التجربة قادرة على الوصول إلى الإنتاج لاحقاً.
ما الذي قد يحدث بشكل خاطئ؟
الإخفاق الشائع هو التحقق من التخزين وإغفال مكان التشغيل: تبقى قاعدة البيانات داخل الدولة بينما يذهب كل استدعاء للنموذج إلى مكان آخر. ومن الإخفاقات الأخرى سجلات محفوظة في منطقة مختلفة، وموظفو دعم لدى المزوّد يستطيعون قراءة الأوامر، ومزوّد يغيّر قائمة مناطقه بعد توقيعك. أعد التحقق من القائمة قبل كل مسار عمل جديد.
