الامتثال قبل القانون: أين تقع الالتزامات المُلزِمة فعلًا على أنظمة الذكاء الاصطناعي في المملكة

طبقتان تُقرآن كطبقة واحدة

البيئة التنظيمية للذكاء الاصطناعي في المملكة مبنية على طبقتين مختلفتين في الطبيعة والأثر، وتُقدَّمان غالباً في عرض واحد فتختلطان.

الطبقة الأولى — الإرشادية

تصدر عن الهيئة السعودية للبيانات والذكاء الاصطناعي، وتشمل:

• مبادئ أخلاقيات الذكاء الاصطناعي (2023): العدالة، والشفافية، والمساءلة، والسلامة، والشمولية، والاستدامة.
• إرشادات الذكاء الاصطناعي التوليدي للجهات الحكومية (يناير 2024): تصنيف المخاطر، وقواعد التعامل مع البيانات، وتعريف الأدوار، وقائمة تحقق للامتثال، مع تركيز على أصالة المحتوى والعلامة المائية والإشراف البشري.
• إرشادات الذكاء الاصطناعي التوليدي للعموم، وإرشادات التزييف العميق، ومبادئ الذكاء الاصطناعي في الإعلام.
• إطار تبنّي الذكاء الاصطناعي (2024): أربعة مستويات نضج ومُمكِّنات تشمل البيانات والتقنية والقدرات البشرية والاستخدام المسؤول.

هذه الوثائق تحدّد أدواراً تشغيلية — مثل مسؤول الذكاء الاصطناعي المسؤول ومقيّم أنظمة الذكاء الاصطناعي — وتقترح تقييمات أثر أخلاقي وتوثيقاً وتسجيلاً للأنظمة عالية المخاطر. وهي بمجملها بنية حوكمة جاهزة وجيدة التصميم. لكنها، بوصفها الحالي، معايير مرجعية لا نصوص جزائية.

الطبقة الثانية — المُلزمة

هنا يقع التعرّض الفعلي، وهنا لا تظهر عبارة «ذكاء اصطناعي» في العنوان:

• نظام حماية البيانات الشخصية. ينظّم المعالجة الآلية، ويتناول تحديداً الحالات التي تُتخذ فيها قرارات تؤثر تأثيراً جوهرياً في الأفراد بناءً على معالجة آلية. أي نموذج يرشّح أو يصنّف أو يسعّر أو يرفض على مستوى الفرد يقع داخل هذا النطاق، بصرف النظر عن تسميته التقنية. والجزاءات المرتبطة بالنظام قائمة ونافذة.
• ضوابط الهيئة الوطنية للأمن السيبراني. تنطبق على الأنظمة والبنية التي تستضيف نماذج الذكاء الاصطناعي وتُشغّلها، شأنها شأن أي نظام معلوماتي.
• أنظمة الجهات القطاعية. يدمج المنظّمون القطاعيون أحكام الذكاء الاصطناعي ضمن ولاياتهم القائمة — البنك المركزي في القطاع المالي، والهيئة العامة للغذاء والدواء في الصحي، وهيئة الحكومة الرقمية في القطاع العام — بمواءمة مع إطار الأخلاقيات وضوابط الأمن السيبراني.
• هيئة الاتصالات والفضاء والتقنية. تنظّم الحوسبة السحابية ومراكز البيانات، أي البيئات التي تُستضاف فيها أنظمة الذكاء الاصطناعي وتُشغَّل.

الفارق العملي بين الطبقتين ليس فارقاً في الأهمية بل في آلية الإنفاذ.

آلية الإنفاذ هي الفارق الحقيقي

الطبقة الإرشادية تعمل عبر التوقّع: تصوغ ما يُعتبر ممارسة سليمة، وتُستشهد بها في التقييم والمراجعة، لكنها لا ترتّب جزاءً مباشراً على مخالفتها. أما الطبقة المُلزمة فتعمل عبر النص والجزاء: التزام محدّد، وجهة مختصة، وأثر قابل للإنفاذ. والخلط بين الاثنتين يُنتج نمطين من الفشل يتعايشان داخل المنشأة نفسها.

النمط الأول إنفاق دفاعي على ما لا يُنفَّذ: لجان ووثائق وسياسات تُبنى حول وثيقة إرشادية لأنها الأحدث والأكثر ظهوراً، فتستهلك موارد الامتثال في مساحة لا تنشأ عنها مسؤولية مباشرة. والنمط الثاني، وهو الأخطر، إغفال التعرّض الفعلي: نظام يتخذ قراراً عن أفراد فيقع داخل نطاق نصوص قائمة ونافذة، لكنه لا يُراجَع تحت هذا العنوان لأن الفريق لا يصنّفه أصلاً كـ«نظام ذكاء اصطناعي» خاضع للتنظيم.

والخلاصة التشغيلية أن ترتيب الأولويات يجب أن يبدأ من الطبقة المُلزمة صعوداً، لا من الطبقة الإرشادية نزولاً. الإرشادي يحدّد سقف الطموح؛ المُلزم يحدّد أرضية المخاطرة. ومن يبدأ من السقف يترك الأرضية مكشوفة.

كيف تُبنى خريطة التعرّض القابل للإنفاذ

الخطأ المنهجي الشائع هو أن تبدأ الخريطة من التقنية: نوع النموذج، ومصدره، وهل هو توليدي أم تصنيفي. وهذا ترتيب مضلّل، لأن التعرّض لا ينشأ من بنية النموذج بل من القرار الذي يُسنَد إليه ومن البيانات التي يعمل عليها. ولذلك فإن وحدة التحليل الصحيحة هي حالة الاستخدام، لا النموذج ولا المنصة.

وعلى هذا الأساس تُبنى الخريطة بأسئلة مرتّبة لكل حالة استخدام على حدة:

• ما القرار الذي يُنتجه النظام؟ ترشيح، تصنيف، تسعير، قبول، رفض، تحديد أولوية. وهل ينفذ القرار آلياً أم يمرّ بمراجعة بشرية فعلية لا صورية؟
• هل يقع القرار على فرد قابل للتحديد؟ إن كان الجواب نعم، فالنظام داخل نطاق أحكام المعالجة الآلية بصرف النظر عن تسميته التقنية.
• ما البيانات المُدخَلة ومصدرها؟ وهل تشمل بيانات شخصية أو حساسة، وهل جُمعت لغرض يتسق مع هذا الاستخدام؟
• أين يُستضاف النظام ويُشغَّل؟ فالبيئة تستدعي التزامات البنية والأمن السيبراني بصرف النظر عن طبقة الذكاء الاصطناعي فوقها.
• من المنظّم القطاعي المختص؟ فالقطاع يحدّد الجهة التي ستسأل، وسياق التوقّعات الذي ستُقرأ فيه الممارسة.
• من يملك الأثر؟ أي جهة داخلية تتحمّل نتيجة القرار الخاطئ، ومن يوقّع على قبول المخاطرة.

حصيلة هذه الأسئلة مصفوفة تُقرأ في اتجاهين: أفقياً لمعرفة التزامات كل حالة استخدام، وعمودياً لمعرفة أي التزام يتكرّر عبر الحالات فيستحق معالجة مركزية بدل معالجة موزّعة. والتكرار هو ما يحوّل الامتثال من عبء متزايد إلى بنية قابلة للتوسّع.

أثر ذلك على العقود والمشتريات

معظم أنظمة الذكاء الاصطناعي المستخدمة في المنشآت ليست مبنية داخلياً بل مشتراة أو مستأجرة. وهذا يجعل العقد أداة الامتثال الأولى، لا وثيقة السياسة الداخلية. فالمنشأة قد تُسند المعالجة إلى مورّد، لكنها لا تُسند إليه المسؤولية أمام المنظّم عن قرار اتخذته في حق عميلها.

ويترتّب على ذلك بنود عملية: تحديد أغراض المعالجة ومنعها فيما عداها، وحقوق تدقيق ومراجعة قابلة للممارسة لا اسمية، وإلزام المورّد بالإفصاح عن تغيير جوهري في النموذج أو في مصادر تدريبه، ووصف واضح لحدود القدرة ومواضع الفشل المعروفة. وتغيير النموذج يجب أن يُعامل كحدث تغيير يستوجب إعادة تقييم، لا كتحديث صامت للخدمة.

لماذا تبقى الطبقة الإرشادية مهمة

القول بأن الإرشادي غير مُلزم ليس دعوة لتجاهله. فللإرشادي ثلاث وظائف تبقى قائمة: أنه يشكّل معيار العناية المتوقّعة الذي تُقاس عليه الممارسة عند وقوع الضرر؛ وأنه يُستشهد به في التعاقد والتقييم والمراجعة حتى دون جزاء نظامي؛ وأن كثيراً من الإرشادي في التجارب التنظيمية المقارنة يسبق المُلزم ويُصاغ المُلزم على أساسه.

وهنا تدخل حسبة الكلفة: قرارات التصميم لزجة. تسجيل مصادر البيانات، وتوثيق منطق القرار، وإتاحة مراجعة بشرية، وحفظ آثار التشغيل — كلها أرخص كثيراً حين تُبنى مع النظام مما لو أُضيفت إليه لاحقاً تحت ضغط التزام جديد. فالاستثمار في الطبقة الإرشادية يُقرأ بوصفه تخفيضاً لكلفة الامتثال المستقبلي، لا بوصفه امتثالاً حاضراً.

من يملك هذا الملف داخل المنشأة

الفشل المتكرّر في هذا الملف تنظيمي داخلي قبل أن يكون قانونياً. فحين يُصنَّف الذكاء الاصطناعي كموضوع تقني تُحال ملكيته إلى فريق التقنية، وهو الفريق الأقل قدرة على تقدير التعرّض النظامي والأثر على العميل. وحين يُصنَّف كموضوع قانوني تُحال إلى الإدارة القانونية، وهي الأقل اطلاعاً على ما يفعله النظام فعلاً في الإنتاج. والنتيجة ملف بلا مالك واحد.

والترتيب الذي يعمل هو فصل الأدوار الثلاثة: مالك حالة الاستخدام في وحدة الأعمال يتحمّل أثر القرار ويوقّع على قبول المخاطرة؛ والوظيفة القانونية وحدها تصنّف الالتزام مُلزماً أو إرشادياً؛ والتقنية تضمن قابلية التوثيق والتتبّع والمراجعة. وما يُرفَع إلى مجلس الإدارة ليس عدد النماذج المستخدمة، بل عدد حالات الاستخدام التي تتخذ قرارات عن أفراد، ونسبة ما جرى تقييمه منها، والقرارات التي تعمل دون مراجعة بشرية فعلية. هذه هي المؤشرات التي تصف التعرّض؛ أما عدد النماذج فهو مؤشر نشاط لا مؤشر مخاطرة.

حدود هذا التحليل

هذا التحليل يرسم منهج قراءة، ولا يقوم مقام الرأي القانوني في حالة بعينها. والبيئة التنظيمية للذكاء الاصطناعي في المملكة في طور التشكّل، وما هو إرشادي اليوم قد يصبح مُلزماً، وما هو مُلزم قد تتغيّر تفاصيل إنفاذه. ولذلك فإن الخريطة المذكورة أعلاه ليست وثيقة تُعدّ مرة واحدة، بل مراجعة دورية تُحدَّث مع كل إصدار تنظيمي وكل حالة استخدام جديدة، وتُقرأ بالتوازي مع مشورة قانونية مختصة.