في 6 أكتوبر 2026 نشرت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) مسودة تعديلات واسعة على اللائحة التنفيذية لنظام حماية البيانات الشخصية، وفتحت باب التعليق العام عبر منصة «استطلاع» حتى 5 نوفمبر 2026. أبرز ما فيها، بحسب تحليل مكتبي Clyde & Co وReed Smith، شرط صريح بتخزين البيانات الشخصية داخل المملكة. هذه المقالة تلخص ما تقوله المسودة، وما يعنيه ذلك لأي نظام ذكاء اصطناعي يعالج بيانات موظفين أو عملاء سعوديين.

أين نقف اليوم

دخل نظام حماية البيانات الشخصية حيز النفاذ في 14 سبتمبر 2023، وانتهت فترة السماح في 14 سبتمبر 2024 فأصبح النظام نافذاً بالكامل. وبحسب Clyde & Co، لا يفرض الإطار الحالي شرطاً عاماً بتخزين البيانات الشخصية داخل المملكة؛ فنقل البيانات إلى الخارج تنظمه المادة 29 من النظام ولائحة نقل البيانات الشخصية إلى خارج المملكة.

ما الذي تغيّره المسودة

  • شرط تخزين داخل المملكة (المادة 23(2) في المسودة). بحسب Reed Smith، تُدخل المسودة «شرطاً صريحاً على متحكمي البيانات بتخزين البيانات الشخصية داخل المملكة»، مع نص يسمح بنقلها أو الإفصاح عنها خارجها وفق النظام ولائحته. ويشير المكتب إلى أن الصياغة غامضة: قد تعني الاحتفاظ بنسخة محلية دائماً، أو قاعدة أساسية لا تشترط نسخة محلية إذا كان النقل مشروعاً. هذا ما يجب أن يحسمه النص النهائي.
  • تسجيل إلزامي لمن ينقل البيانات إلى الخارج (المادة 34). يصبح التسجيل في السجل الوطني لمتحكمي البيانات إلزامياً على من ينقل بيانات شخصية أو يفصح عنها خارج المملكة، إلى جانب الجهات العامة ومن يعالج بيانات حساسة. ويلاحظ Reed Smith أن هذا يبدو منطبقاً أيضاً على المتحكمين من خارج المملكة.
  • تقييم أثر للقرارات المؤتمتة والتقنيات الناشئة (المادة 25). يصبح تقييم أثر حماية البيانات مطلوباً حين تنتج المعالجة قرارات مؤتمتة تؤثر في حقوق الأفراد أو مصالحهم، وحين تُستخدم «تقنيات ناشئة»، وهو مصطلح لم تعرّفه المسودة.
  • إبلاغ عن الاختراق خلال 72 ساعة في كل الأحوال (المادة 24). تُلغى عتبة «الضرر المحتمل»، فيصبح الإبلاغ مطلوباً خلال 72 ساعة من العلم بالاختراق سواء كان الضرر مرجحاً أم لا.

وتدخل التعديلات حيز النفاذ بعد 60 يوماً من نشرها في الجريدة الرسمية. حتى ذلك الحين، تبقى لائحة النقل الحالية هي المطبقة.

لماذا يمس هذا الذكاء الاصطناعي تحديداً

نظام الذكاء الاصطناعي لا يعالج البيانات في مكان واحد. البيانات الشخصية تمر في ثلاثة مسارات على الأقل، وكل مسار منها قد يكون «نقلاً إلى الخارج»:

  • الطلبات نفسها. كل سؤال يكتبه موظف أو عميل، وكل مستند يُرفق به، يذهب إلى النموذج. إذا كان النموذج واجهة سحابية خارج المملكة، فكل طلب نقل.
  • الفهارس. أنظمة الاسترجاع تحوّل مستنداتك، بما فيها ملفات الموظفين والعقود، إلى فهارس. إذا استُضيفت الفهارس في الخارج، فالمستندات عملياً في الخارج.
  • السجلات. سجلات المحادثات والتتبع تحتوي النصوص كاملة. كثير من أدوات المراقبة ترسلها إلى خدمات خارجية افتراضياً.

وإذا كان النظام وكيلاً ينفّذ إجراءات، مثل الموافقة على إجازة أو إصدار شهادة راتب، فقد يدخل في نطاق «القرارات المؤتمتة» التي تتطلب تقييم أثر.

قائمة عملية قبل أن يصدر النص النهائي

  1. ارسم المسارات الثلاثة لكل نظام ذكاء اصطناعي لديك: أين يعمل النموذج، وأين تُخزن الفهارس، وأين تذهب السجلات. أي مسار يخرج من المملكة يحتاج أساساً قانونياً للنقل اليوم، وقد يحتاج نسخة محلية وتسجيلاً غداً.
  2. صنّف ما يفعله كل نظام. مساعد يجيب عن سياسات الموارد البشرية غير وكيل يوافق على طلبات. الثاني هو المرشح لتقييم الأثر.
  3. تأكد أن السجلات تسمح لك بالإبلاغ خلال 72 ساعة: من سأل، وماذا رأى، ومتى. بدون سجل كامل لا يمكنك معرفة ما تسرّب.
  4. اقرأ المسودة وعلّق عليها عبر منصة «استطلاع» قبل 5 نوفمبر إذا كانت تمس نموذج عملك.

موقفنا

نبني بطريقة لا تجعل هذه الأسئلة تنشأ أصلاً. Orchestra، نموذجنا العربي، يعمل داخل مركز بياناتك في المملكة أو في سحابة خاصة داخلها، ومعه الفهارس والسجلات وطبقة الأمان، فلا يغادر أي طلب أو مستند أو سجل المملكة. والسجلات الكاملة وغير القابلة للتعديل تعطي فريق الامتثال ما يحتاجه لتقييم الأثر والإبلاغ. هذا لا يغني عن التزاماتك بصفتك متحكماً في البيانات، لكنه يزيل مسار النقل من المعادلة. المزيد في صفحتنا عن المملكة.

هذه المقالة تلخيص لمصادر عامة عن مسودة لم تُعتمد بعد، وليست استشارة قانونية. تحقق من النص الرسمي على منصة «استطلاع» ومن مستشارك القانوني قبل اتخاذ أي قرار.

المصادر

صفحات ذات صلة

نزّل قائمة المراجعة في صفحة واحدة: قواعد الذكاء الاصطناعي والبيانات في الخليج ومصر 2026 (PDF)، أو قارن الدول السبع في صفحة واحدة.