السعودية أكبر سوق للذكاء الاصطناعي في الخليج، وأكثرها تنظيماً في الوقت نفسه. لكن التنظيم موزع: نظام لحماية البيانات الشخصية تطبّقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وضوابط للأمن السيبراني تصدرها الهيئة الوطنية للأمن السيبراني، وقواعد قطاعية للبنوك، وأطر للذكاء الاصطناعي أغلبها إرشادية أو ما زال مسودة. هذه المقالة تجمع ما يقوله كل منها عن نظام ذكاء اصطناعي يعالج بيانات داخل المملكة، وما هو نافذ اليوم وما هو قادم.

أولاً: نظام حماية البيانات الشخصية نافذ بالكامل، وسدايا تطبّقه

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي م/19 عام 2021، وعُدّل في مارس 2023، ودخل حيز النفاذ في 14 سبتمبر 2023. ومُنحت الجهات مهلة سنة، فأصبح نافذاً بالكامل في 14 سبتمبر 2024، بحسب Clyde & Co وCMS. وأهم ما يعني نظام ذكاء اصطناعي:

  • النقل إلى الخارج مسموح، لكن بضمانات. تحكمه المادة 29 من النظام ولائحة نقل البيانات الشخصية إلى خارج المملكة، التي صدرت بصيغتها الجديدة في سبتمبر 2024. وهي تحدد ثلاث ضمانات: البنود التعاقدية المعيارية (ولا يجوز تعديلها)، والقواعد المؤسسية الملزمة، وشهادة الاعتماد. ويلزم تقييم لمخاطر النقل عند استخدام إحدى هذه الضمانات، أو عند نقل بيانات حساسة بشكل مستمر أو واسع، بحسب Mayer Brown. ولم تنشر سدايا بعد قائمة بالدول ذات الحماية الكافية.
  • لا شرط عاماً للتخزين داخل المملكة، حتى الآن. يقول Clyde & Co إن الإطار الحالي لا يفرض ذلك. لكن مسودة أكتوبر 2026 قد تغيّر هذا (انظر القسم التالي).
  • الإبلاغ عن الخرق خلال 72 ساعة. يُبلَّغ سدايا خلال 72 ساعة إذا كان الخرق قد يضر أصحاب البيانات أو يمس حقوقهم، ويُبلَّغ أصحاب البيانات دون تأخير غير مبرر.
  • مسؤول حماية بيانات وتسجيل. يلزم تعيين مسؤول لحماية البيانات في الجهات العامة التي تعالج بيانات على نطاق واسع، والجهات التي تراقب الأفراد بشكل منتظم، والجهات التي تعالج بيانات حساسة بصفة أساسية. ويجري تسجيل جهات التحكم في السجل الوطني عبر منصة حوكمة البيانات الوطنية، بحسب Digital Policy Alert.
  • غرامات تصل إلى 5 ملايين ريال. لكل مخالفة، وتُضاعف عند التكرار، بحسب CMS. وأصدرت لجان المخالفات في سدايا 48 قراراً خلال 2025، تتعلق بالمعالجة أو الإفصاح دون أساس نظامي، وضعف الحماية، والرسائل التسويقية دون موافقة، بحسب IAPP. أي أن النظام لم يعد نصاً على الورق.

ثانياً: مسودة قد تُلزم بالتخزين داخل المملكة

في 6 أكتوبر 2026 نشرت سدايا مسودة تعديلات على اللائحة التنفيذية، والتعليق مفتوح عبر منصة «استطلاع» حتى 5 نوفمبر 2026. وبحسب Reed Smith وClyde & Co، تضيف المسودة شرطاً بتخزين البيانات الشخصية داخل المملكة، وتجعل إبلاغ سدايا عن أي خرق خلال 72 ساعة بغض النظر عن الضرر، وتُلزم بالتسجيل كل جهة تنقل بيانات شخصية إلى الخارج. هذه مسودة وليست نصاً نافذاً، وهي الجولة الثانية بعد مسودة 2025 التي لم تُعتمد. فصّلناها في مقالة مستقلة: السعودية قد تُلزم ببقاء البيانات الشخصية داخل المملكة.

ثالثاً: الجهات الحكومية والبنية التحتية الحساسة

الضوابط الأساسية للأمن السيبراني (ECC-2:2024) إلزامية للجهات الحكومية والشركات التابعة لها، وللجهات الخاصة التي تشغّل بنية تحتية وطنية حساسة أو تستضيفها، بحسب الهيئة الوطنية للأمن السيبراني. أما ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024) فحذفت شروط الاستضافة داخل المملكة التي كانت في نسختها الأولى، وأحالت مسألة توطين البيانات إلى مكتب إدارة البيانات الوطنية في سدايا. وبحسب سياسة الحوسبة السحابية أولاً لوزارة الاتصالات وتقنية المعلومات، تُستضاف بيانات الجهات الحكومية المصنفة «سرية» و«سرية للغاية» لدى مزودي السحابة الحكومية.

رابعاً: البنوك

بحسب قواعد الإسناد لدى البنك المركزي السعودي (ساما)، يحتاج الإسناد الجوهري إلى عدم ممانعة كتابية من ساما. وإذا كان مزود الخدمة خارج المملكة، فعلى البنك أن يشرح لماذا لا يمكن أداء الخدمة داخلها، وأن يقدّم رأياً قانونياً، وأن يضمن وصول ساما إلى المزود. ولا يجوز مشاركة معلومات العملاء خارج البنك دون موافقة كتابية مسبقة من ساما. لم نجد مبادئ خاصة بالذكاء الاصطناعي صادرة عن ساما، لكن أي نموذج سحابي يقرأ بيانات العملاء يقع على الأرجح تحت هذه القواعد.

خامساً: الذكاء الاصطناعي نفسه: أطر إرشادية، ومسودات قيد التشاور

لا يوجد في السعودية قانون نافذ خاص بالذكاء الاصطناعي، بحسب CMS وAccess Partnership. ما يوجد:

  • مبادئ أخلاقيات الذكاء الاصطناعي (سدايا، 2023). سبعة مبادئ إرشادية، مع شارات اختيارية للمنتجات واعتماد لمزودي خدمات الذكاء الاصطناعي. وحصلت 40 جهة على الاعتماد في الدفعة الأولى في يناير 2025، بحسب وكالة الأنباء السعودية.
  • إرشادات الذكاء الاصطناعي التوليدي (يناير 2024). نسخة للجهات الحكومية وأخرى للعموم.
  • الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي (2026). يشمل الجهات الحكومية والخاصة ويذكر النماذج اللغوية الكبيرة صراحة، وهو أداة حوكمة لا تُنشئ التزامات قانونية جديدة، بحسب Gowling WLG.
  • مسودات قيد التشاور. سياسة الذكاء الاصطناعي المسؤول (سدايا، تشاور أبريل ومايو 2026) وتقترح مستويات للمخاطر وتسجيل بعض الأنظمة وتدقيق الأنظمة عالية المخاطر. وإرشادات الأمن السيبراني للذكاء الاصطناعي (الهيئة الوطنية للأمن السيبراني، تشاور يوليو وأغسطس 2026) وتشمل الذكاء الاصطناعي التوليدي والوكلاء. ومشروع نظام مراكز الذكاء الاصطناعي العالمية (هيئة الاتصالات والفضاء والتقنية، أبريل 2025) عن «سفارات البيانات». لم نجد نصاً نهائياً لأيٍّ منها حتى تاريخ هذه المقالة.

متى يكون التشغيل داخل المنشأة هو الخيار المنطقي في السعودية

  1. حين تكون جهة حكومية أو تشغّل بنية تحتية حساسة. ضوابط الهيئة الوطنية للأمن السيبراني إلزامية عليك، والبيانات المصنفة تُستضاف لدى السحابة الحكومية. نموذج يعمل داخل مركز بياناتك يبقى ضمن الحدود التي تراقبها أصلاً.
  2. حين تكون بنكاً. نموذج سحابي خارج المملكة يقرأ بيانات العملاء يعني على الأرجح عدم ممانعة من ساما وتبريراً لعدم التنفيذ داخل المملكة. التشغيل داخل البنك يزيل هذا السؤال.
  3. حين تريد ألا تتأثر بنتيجة مسودة التوطين. إذا اعتُمد شرط التخزين داخل المملكة، فالنظام الذي يعمل في الداخل اليوم لا يحتاج إلى نقل غداً.
  4. في كل الحالات: سجّل كل شيء. الإبلاغ عن الخرق خلال 72 ساعة، وقرارات المخالفات التي بدأت سدايا تصدرها، تحتاج سجلات تعرف منها بسرعة من رأى ماذا ومتى.

موقفنا

لن نقول لك إن القانون السعودي يجبرك اليوم على التشغيل داخل المنشأة، فهو لا يفعل ذلك بشكل عام. لكن الجهات الحكومية والبنوك تواجه شروطاً تجعل السحابة الخارجية أصعب، والمسودة المطروحة تتجه نحو التخزين داخل المملكة. Orchestra، نموذجنا العربي، يعمل داخل مركز بياناتك أو في سحابة خاصة داخل المملكة، ومعه الفهارس والسجلات وطبقة الأمان. وللمقارنة، اقرأ عن الإمارات وقطر والكويت وعُمان والبحرين.

هذه المقالة تلخيص لمصادر عامة وليست استشارة قانونية. الوضع التنظيمي يتغير، فتحقق من النصوص الرسمية ومن مستشارك القانوني قبل اتخاذ أي قرار.

المصادر

صفحات ذات صلة

نزّل قائمة المراجعة في صفحة واحدة: قواعد الذكاء الاصطناعي والبيانات في الخليج ومصر 2026 (PDF)، أو قارن الدول السبع في صفحة واحدة.