في عُمان انتهت فترة السماح. قانون حماية البيانات الشخصية صار قابلاً للتطبيق بالكامل منذ 5 فبراير 2026، ثم عُدّل في سبتمبر 2026 بأحكام تمس الذكاء الاصطناعي مباشرة. وفوق القانون، توجد قواعد للسحابة وللبنوك تحدد أين يمكن أن تذهب البيانات الحساسة. هذه المقالة تلخص ما تقوله المصادر، وأين تختلف.

أولاً: القانون مطبق بالكامل منذ فبراير 2026

صدر قانون حماية البيانات الشخصية بالمرسوم السلطاني رقم 6 لسنة 2022 وسرى في فبراير 2023، وتشرف عليه وزارة النقل والاتصالات وتقنية المعلومات. وصدرت لائحته التنفيذية بالقرار الوزاري رقم 34 لسنة 2024، ثم مُددت فترة الالتزام حتى 5 فبراير 2026، وبحسب CMS صار القانون منذ ذلك التاريخ قابلاً للتطبيق بالكامل. ومعالجة البيانات الحساسة، ومنها البيانات الصحية والجينية والحيوية، تحتاج تصريحاً من الوزارة (المادة 5)، وبحسب Trowers & Hamlins تُعد عدم الرد خلال 45 يوماً رفضاً. ويُبلَّغ عن الخرق للوزارة خلال 72 ساعة.

ثانياً: تعديل سبتمبر 2026 يمس الذكاء الاصطناعي مباشرة

نُشر المرسوم السلطاني رقم 68 لسنة 2026 في الجريدة الرسمية في 6 سبتمبر 2026 وسرى في اليوم التالي. وبحسب CMS، يمنح التعديل الأفراد حق الاعتراض على القرارات التي تُتخذ آلياً مع مراجعة بشرية (المادة 14)، ويمد نطاق القانون إلى بيانات الأشخاص في عُمان حتى لو عولجت في الخارج (المادة 2)، ويوجب حذف البيانات فور انتهاء غرضها. أي نظام ذكاء اصطناعي يتخذ قرارات عن الموظفين أو العملاء يحتاج الآن طريقاً واضحاً لتدخل الإنسان.

ثالثاً: النقل إلى الخارج، والمصادر غير متفقة

لا يوجد في القانون شرط عام لإبقاء البيانات الشخصية داخل عُمان. لكن شروط النقل تُقرأ بطرق مختلفة: Trowers & Hamlins تقول إن المادة 23 تشترط أن توفر الجهة المستقبِلة حماية لا تقل عن القانون العُماني دون موافقة مسبقة من الوزارة، وPinsent Masons تقول إن الموافقة الصريحة لصاحب البيانات مطلوبة في العادة، وCMS تضيف أن البيانات الحساسة قد تحتاج موافقة مركز الدفاع الإلكتروني. اسأل مستشارك القانوني عن حالتك.

رابعاً: السحابة والبنوك تحتاج موافقة مسبقة للخروج

هنا يصبح المكان مهماً. لائحة هيئة تنظيم الاتصالات للحوسبة السحابية (سبتمبر 2024) تصنف البيانات في أربعة مستويات، والمستوى الثالث يشمل بيانات القطاعات المنظمة كالطاقة والمرافق والتأمين، والرابع يشمل بيانات الدولة والمؤسسات المالية والصحة. وبحسب SASLO، لا يجوز لمزود السحابة نقل بيانات المستويين الثالث والرابع خارج عُمان دون موافقة مسبقة من الهيئة (المادة 12). وفي البنوك، يوجه تعميم البنك المركزي العُماني BM 1185 (مايو 2022) المؤسسات المرخصة إلى مزودي السحابة المحليين قدر الإمكان، ويشترط موافقة البنك المسبقة على الترتيبات الجوهرية مع مزودين عالميين مع الإفصاح عن أماكن تخزين البيانات (البند 7.4).

وعلى مستوى السياسة، أطلقت الوزارة في مايو 2025 السياسة العامة للاستخدام الآمن والأخلاقي لأنظمة الذكاء الاصطناعي، وهي تنطبق على الجهات الحكومية والخاصة وتنص على حق التدخل البشري في القرارات الحساسة.

متى يكون التشغيل داخل المنشأة هو الخيار المنطقي في عُمان

  1. حين تكون بنكاً أو جهة حكومية أو صحية أو في قطاع الطاقة. بياناتك في المستوى الثالث أو الرابع، والسحابة الخارجية تعني موافقة مسبقة. التشغيل داخل عُمان لا يحتاجها.
  2. حين تقرأ أنظمتك بيانات حساسة. التصريح من الوزارة مطلوب في كل الأحوال، وهو أبسط حين لا يوجد نقل لتبريره.
  3. حين يتخذ النظام قرارات عن أشخاص. حق الاعتراض الجديد يعني أن تعرف ماذا قرر النظام ولماذا، وأن يستطيع إنسان مراجعته. هذا أسهل حين تملك السجلات بنفسك.
  4. حين تعمل في أكثر من دولة خليجية. تصميم واحد داخل المنشأة يصلح لعُمان وجيرانها معاً.

موقفنا

لن نقول لك إن القانون العُماني يمنع السحابة، لأنه لا يفعل. لكن للبنوك والجهات الحكومية والصحية، الطريق الأقصر هو أن تبقى البيانات داخل عُمان. Orchestra، نموذجنا العربي، يعمل داخل مركز بياناتك أو في سحابة خاصة داخل الدولة، ويفهم العربية الخليجية، وكل قرار وإجراء مسجل في سجل لا يمكن تعديله، فتستطيع أن تشرح أي قرار وتراجعه. وللمقارنة، اقرأ عن السعودية والإمارات وقطر والكويت.

هذه المقالة تلخيص لمصادر عامة وليست استشارة قانونية. الوضع التنظيمي يتغير، فتحقق من النصوص الرسمية ومن مستشارك القانوني قبل اتخاذ أي قرار.

المصادر

صفحات ذات صلة

نزّل قائمة المراجعة في صفحة واحدة: قواعد الذكاء الاصطناعي والبيانات في الخليج ومصر 2026 (PDF)، أو قارن الدول السبع في صفحة واحدة.