تنظيم الذكاء الاصطناعي في دول مجلس التعاون الخليجي لعام 2026: السعودية والإمارات وقطر، وأين يُسمح بتشغيل بياناتك وفقاً لكل دولة

التعامل مع الخليج كسوق واحد لنشر الذكاء الاصطناعي هو أسرع طريق لإعادة بناء البنية التحتية (re-architecting) في بيئة الإنتاج. السعودية والإمارات وقطر تسير على مسارات تنظيمية مختلفة. لديهم هيئات تنظيمية مختلفة، وأدوات قانونية مختلفة، ووجهات نظر متباينة حول مكان معالجة البيانات الشخصية.

لنفترض أن فريقك قام ببناء خط المعالجة للاسترجاع (retrieval pipeline) يجمع بيانات العملاء من الرياض ودبي والدوحة في قاعدة بيانات المتجهات (vector database) واحدة في فرانكفورت. العاقبة هنا ليست غرامة نظرية. بل هي هجرة قسرية: فصل الفهارس (indexes)، وإعادة نشر الاستنتاج (inference)، وإعادة توقيع اتفاقيات المعالجة، وكل ذلك بعد أن يصبح النظام حياً ويستقبل زيارات فعلية.

لماذا لم تعد استراتيجية "انشر مرة واحدة، واخدم الخليج" مجدية

نموذج أولي على حاسوب مطور يرسل بيانات مختلطة لعملاء خليجيين إلى واجهة برمجة تطبيقات (API) مستضافة في أمريكا. العرض التوضيحي يبدو ممتازاً. ثم يحاول فريق العمليات وضعه أمام مستخدمين حقيقيين، وهنا تصطدم البنية التحتية بثلاثة أنظمة بيانات مختلفة. كل نظام له رؤيته الخاصة لمعنى "المعالجة" والمكان الذي يُسمح بحدوثها فيه.

الحل الترقيعي المعتاد هو تنظيف بيانات التعريف الشخصية (PII) بناءً على الموجّه (prompt) واستخدام فلاتر regex عند المخرج. هذه الحلول قد تجتاز المراجعة الداخلية. لكنها ليست دليلاً يقبله المُنظّم، لأن تعليمات الموجّه هي مجرد طلب، وليست أداة تحكم (control).

البديل ممل ولكنه فعّال. صمم النظام بحيث تبقى البيانات فعلياً في النطاق الجغرافي والقانوني الذي تنتمي إليه، وأثبت ذلك من خلال السجلات (logs). إليك ما يعنيه ذلك في كل دولة.

السعودية: نظام حماية البيانات الشخصية (PDPL) هو الحاسم، وقانون الذكاء الاصطناعي لا يزال في طور التشكيل

تنظم السعودية الذكاء الاصطناعي من خلال نظام حماية البيانات الشخصية (المرسوم الملكي م/19)، والذي تديره سدايا (SDAIA). وتأتي اللوائح التنفيذية ولائحة نقل البيانات الشخصية خارج المملكة لتوضيح التفاصيل. تخضع معالجة بيانات الأفراد داخل المملكة لنظام PDPL بغض النظر عن مكان خوادمك. يُسمح بنقل البيانات للخارج فقط لأغراض محددة، أو إلى وجهة تتمتع بمستوى حماية كافٍ، أو بموجب ضمانات معتمدة، ويقتصر ذلك على الحد الأدنى من البيانات. تقدم حزمة سدايا الصادرة في يونيو 2026 والمكونة من عشر وثائق إرشادية لمحة عن قانون مخصص للذكاء الاصطناعي. أما اليوم، فنظام PDPL هو المعيار الذي تُحاسب بناءً عليه.

ما يعنيه ذلك لبنيتك التحتية: اجعل المعالجة داخل المملكة هي الخيار الافتراضي لأي شيء يمس البيانات الشخصية السعودية. اتخذ قرار النقل أو التوطين بشكل صريح، مع تدوين الأساس القانوني. تظل واجهات برمجة التطبيقات (APIs) المتقدمة متاحة لأعباء العمل التي لا تحتوي على بيانات شخصية. يجب فرض التوجيه (routing) عند البوابة (gateway)، وعدم تركه لانضباط الموجّه (prompt).

الإمارات العربية المتحدة: توجيهات اتحادية مع إنفاذ في المناطق الحرة

الإمارات هي الأكثر تعددية في الطبقات التنظيمية بين الدول الثلاث. تخضع المعالجة في البر الرئيسي (Mainland) لـ المرسوم بقانون اتحادي رقم 45 لسنة 2021، الساري منذ 2 يناير 2022، مع اعتبار كفاية الحماية، أو الضمانات التعاقدية، أو الموافقة كطرق مسموحة لنقل البيانات. في 14 يونيو 2026، وافق مجلس الوزراء على إنشاء الهيئة الاتحادية للذكاء الاصطناعي والبيانات. تتبع الهيئة مباشرة لمجلس الوزراء وتستوعب مكتب الذكاء الاصطناعي، وقطاع الحكومة الرقمية في هيئة تنظيم الاتصالات والحكومة الرقمية (TDRA)، ومكتب بيانات الإمارات. توقع أن تصدر سياسة الذكاء الاصطناعي الاتحادية من جهة واحدة من الآن فصاعداً.

للبيانات الصحية قواعدها الاتحادية الخاصة. تحظر المادة 13 من القانون الاتحادي رقم 2 لسنة 2019 بشأن استخدام تقنية المعلومات والاتصالات في المجالات الصحية تخزين أو معالجة أو نقل البيانات الصحية خارج الإمارات. ولا يمكن الموافقة على أي استثناء إلا من قبل الجهة الصحية أو الوزير.

مركز دبي المالي العالمي (DIFC): اللائحة 10 وما تطلبه منك من توثيق

داخل مركز دبي المالي العالمي، تتضمن لوائح حماية البيانات الصادرة بموجب قانون مركز دبي المالي العالمي رقم 5 لسنة 2020 اللائحة 10 بشأن البيانات الشخصية المعالجة من خلال الأنظمة المستقلة وشبه المستقلة. دخلت اللائحة حيز التنفيذ في 1 سبتمبر 2023. وهي تعامل الطرف الذي ينشر نظام الذكاء الاصطناعي كمتحكم (controller) والطرف الذي يشغله كمعالج (processor). وتطلب من ناشر النظام تقديم أربعة أشياء محددة.

• ▸الإشعار (Notice). عند الاستخدام الأول، يجب على ناشر النظام أن يوضح بعبارات صريحة أن النظام قد يعالج البيانات دون توجيه بشري (اللائحة 10.2.2(أ)). ويجب عليه أيضاً شرح تأثير ذلك على حقوق الشخص. يغطي الإشعار الأغراض المحددة بشرياً، والقيود المفروضة على أي أغراض محددة ذاتياً، والمخرجات واستخداماتها، وضمانات التصميم (10.2.2(ب)).
• ▸الأدلة عند الطلب. يغطي هذا الامتثال للتدقيق أو الشهادات (10.2.2(ج)). كما يغطي الآليات التي تُفعّل التدخل البشري في حال وجود مخرجات غير عادلة أو تمييزية، وتقييم المخاطر الكامن وراءها (10.2.2(د) إلى (و)).
• ▸سجل حالات الاستخدام (10.2.2(ز)). يسجل الضرورة والتناسب، وما إذا كانت القرارات مؤتمتة بالكامل، والمشاركة مع أطراف ثالثة أو سلطات. كما يسجل الأسس القانونية، وعقود المعالجين، ومواقع المعالجة مع ضمانات النقل الخاصة بها.
• ▸شروط المعالجة عالية المخاطر (10.3.3). يُحظر الاستخدام التجاري ما لم يتم استيفاء متطلبات التدقيق والاعتماد الخاصة بالمفوض. يجب أن يعمل النظام فقط لأغراض محددة أو معتمدة بشرياً، ويجب تعيين مسؤول للأنظمة المستقلة (Autonomous Systems Officer).

من الناحية الهندسية، هذا السجل وهذه الأدلة عبارة عن تصميم لعمليات التسجيل (logging) والتخزين. لأي قرار فردي، تحتاج إلى المدخلات الدقيقة، والسياق المسترجع (retrieved context)، واستدعاءات الأدوات (tool calls)، وعملية التوليد (generation)، وليس مجرد تتبع لعينة (sampled trace).

سوق أبوظبي العالمي (ADGM)

يدير سوق أبوظبي العالمي لوائح حماية البيانات لعام 2021 الخاصة به، تحت إشراف مكتب حماية البيانات. يتبع الهيكل نموذج اللائحة العامة لحماية البيانات (GDPR): الأساس القانوني، حقوق أصحاب البيانات، شروط النقل، ومفوض يتمتع بصلاحيات الإنفاذ.

ما يعنيه ذلك لبنيتك التحتية: منطقة النشر الخاصة بك تحدد التزاماتك. وكيل (agent) خدمة العملاء لتاجر تجزئة في البر الرئيسي، ووكيل اتخاذ قرارات الائتمان داخل مركز دبي المالي العالمي هما نظامان مختلفان من وجهة نظر الامتثال. حتى وإن كانا يشغلان النموذج (model) ذاته.

قطر: قانون الخصوصية هو البوابة

لا تمتلك قطر تشريعاً مخصصاً للذكاء الاصطناعي. تُحكم تطبيقات الذكاء الاصطناعي من خلال القانون رقم 13 لسنة 2016 بشأن حماية خصوصية البيانات الشخصية، تحت إشراف الوكالة الوطنية للأمن السيبراني. يجعل القانون الموافقة هي الأساس الافتراضي للمعالجة، مع وجود استثناءات لغرض مشروع. البيانات ذات الطبيعة الخاصة، والتي تشمل الصحة، وبيانات الأطفال، والأصل العرقي، والمعتقد الديني، تتطلب إذناً من الإدارة المختصة قبل معالجتها. يجب على المتحكمين إخطار الوكالة والأفراد المتأثرين بأي خرق من المحتمل أن يسبب ضرراً. كما يجب عليهم منح الأفراد وسائل للوصول إلى بياناتهم ومراجعتها وتصحيحها.

بالنسبة لنظام ذكاء اصطناعي يعالج بيانات شخصية قطرية، التبعات الهندسية هي:

• ▸يجب أن يحترم الاسترجاع (retrieval) نموذج الصلاحيات الخاص بالأنظمة المصدرية. إذا كان المستخدم لا يستطيع رؤية مستند في نظام إدارة علاقات العملاء (CRM)، فيجب ألا يظهره الذكاء الاصطناعي. هذه مشكلة تحكم في الوصول (access control) في قاعدة بيانات المتجهات (vector store)، وليست في واجهة المستخدم الخاصة بالدردشة.
• ▸يجب ألا ترسل عملية الإدخال (ingestion) البيانات الشخصية أو بيانات الشركات القطرية خلسةً إلى تدريب خارجي أو الضبط الدقيق (fine-tuning). راجع شروط كل واجهة برمجة تطبيقات (API) تستدعيها، وفضّل عمليات النشر التي يُعطل فيها التدريب على المدخلات بموجب عقد.
• ▸البيانات ذات الطبيعة الخاصة تتطلب توثيق الإذن الخاص بها قبل حساب أول تضمين (embedding).

قطر هي الولاية القضائية الأكثر عرضة للتقليل من شأنها لأنها تفتقر إلى قانون صريح للذكاء الاصطناعي. لكن قانون الخصوصية لا يزال هو البوابة.

مقارنة جنباً إلى جنب

البنية التحتية التي تنجح في اجتياز التدقيق الخليجي

ثلاثة قرارات تصميمية تتكفل بمعظم العمل.

1. قسّم قاعدة بيانات المتجهات حسب الولاية القضائية، وليس حسب المستأجر (tenant)

لا تخلط البيانات السعودية الخاضعة لنظام PDPL وبيانات البر الرئيسي الإماراتي في مجموعة (cluster) واحدة لـ Qdrant أو pgvector. تكلفة الفهارس المنفصلة لكل ولاية قضائية ضئيلة. بينما تفكيك فهرس عالمي واحد بعد اكتشاف مخالفة أثناء التدقيق سيكلفك ربعاً مالياً كاملاً.

ضع وسم الولاية القضائية على كل مقطع (chunk) عند الإدخال. يقوم مُوجّه (router) في طبقة التطبيق بقراءة الولاية القضائية للمستخدم ويرسل طلب الاسترجاع إلى الفهرس المستضاف في تلك المنطقة. يجب إيقاف النسخ المتماثل عبر المناطق (Cross-region replication) في الفهارس التي تدعم تطبيقات الذكاء الاصطناعي. الضمان الذي تحصل عليه هنا هو ما يهم. لا يمكن لخطأ برمجي في الوكيل (agent) أن يسرب بيانات قطرية لمستخدم سعودي، لأن البيانات القطرية غير قابلة للوصول من المسار السعودي.

2. وجّه الاستنتاج عبر بوابة واحدة، وافرض توطين البيانات هناك

نشر النموذج (model) لكل دولة على حدة دون بوابة (gateway) ينتج أربع "خدمات ذكاء اصطناعي" مختلفة قليلاً دون وجود سجل يوضح أي منها عالج أي طلب. تمنحك بوابة استنتاج (inference) واحدة مكاناً واحداً لفرض القاعدة. الطلبات الموسومة بأنها تحتوي على بيانات شخصية داخل المملكة تذهب إلى نقطة النهاية (endpoint) المحلية. أما أعباء العمل غير الشخصية فيمكن أن تذهب إلى واجهة برمجة التطبيقات (API) المتقدمة التي تختارها.

احسب التكلفة بناءً على مزيج الزيارات الخاص بك بدلاً من نسبة مئوية عامة. حسابات نقطة التعادل للاستنتاج المحلي توضح متى يتفوق النظام الهجين على النظام المحلي بالكامل، ومتى يكون الاعتماد الكامل على واجهات برمجة التطبيقات (all-API) غير متاح ببساطة بسبب طبيعة البيانات.

3. اجعل مسارات التدقيق حتمية، وليست مبنية على العينات

من أجل اللائحة 10 لمركز دبي المالي العالمي ولأي مراجعة جادة لنظام PDPL، يجب أن تكون قادراً على إعادة بناء قرار معين. سجل ستة أشياء لكل عملية استنتاج: هوية المستخدم ووسم الولاية القضائية. الاستعلام الخام والمُوسّع. المقاطع (chunks) المسترجعة مع معرفات المصدر. النموذج (model) الدقيق وإصداره. استدعاءات الأدوات ونتائجها. وعملية التوليد النهائية. أدوات المراقبة المصممة لتطبيقات النماذج اللغوية الكبيرة (مثل Langfuse و Weave وما شابهها) مصممة لهذا الغرض. بينما سجلات التطبيقات القياسية ليست كذلك.

النظام الذي يسجل فقط الإجابة النهائية والموجّه (prompt) الخاص بالمستخدم لا يمكنه الإجابة على سؤال "لماذا تم رفض هذا الطلب". بدون السياق المسترجع، لا يوجد لديك أي دفاع.

الأسئلة الشائعة

هل يحظر نظام PDPL السعودي واجهات برمجة التطبيقات (APIs) للنماذج اللغوية الكبيرة المتقدمة بشكل قاطع؟ لا. نظام PDPL ولائحة النقل يحكمان نقل البيانات الشخصية خارج المملكة. المحتوى غير الشخصي، مثل توليد النصوص العامة أو ترجمة المواد التي لا تحدد الهوية، لا يندرج تحت هذا الحظر. البيانات الشخصية السعودية التي تغادر المملكة تحتاج إلى أساس قانوني بموجب المادة 29 واللائحة. تعامل مع هذا كقاعدة توجيه (routing) عند البوابة، وليس كقرار "نعم أو لا" للمشروع بأكمله.

هل يمكننا استخدام مزود سحابي واحد عبر دول مجلس التعاون الخليجي مع مناطق (regions) مختلفة؟ نعم، بشرطين. يجب أن تتوافق المناطق مع الحدود التنظيمية، ويجب إيقاف النسخ المتماثل عبر المناطق لمخازن البيانات التي تغذي الذكاء الاصطناعي الخاص بك. منطقة داخل السعودية للبيانات السعودية، ومنطقة في الإمارات لبيانات البر الرئيسي الإماراتي، وهكذا. الانضباط المطلوب هو نفسه سواء استخدمت مزوداً واحداً أو ثلاثة.

قائمة التحقق قبل الإطلاق

هذا الأسبوع، سلّم هذه العناصر السبعة لشخص لم يشارك في بناء النظام، مع النص الحالي لكل لائحة مرتبطة أعلاه. وظيفته هي التحقق، وليس الثقة العمياء.

• ▸كل جزء من البيانات الشخصية في النظام يحمل وسم الولاية القضائية عند الإدخال.
• ▸قاعدة بيانات المتجهات (vector store) ونقطة نهاية الاستنتاج (inference endpoint) لكل ولاية قضائية موجودة فعلياً داخل المنطقة، والنسخ المتماثل عبر المناطق متوقف.
• ▸بوابة الاستنتاج تفرض التوجيه بناءً على وسم الولاية القضائية، وليس بناءً على تعليمات الموجّه (prompt).
• ▸كل عملية استنتاج تكتب تتبعاً كاملاً: المدخلات، السياق المسترجع مع معرفات المصدر، استدعاءات الأدوات، المخرجات، هوية النموذج (model)، والطابع الزمني.
• ▸النقل خارج السعودية، في حال حدوثه، له أساس موثق بموجب المادة 29 ولائحة النقل.
• ▸الأنظمة التي تقع ضمن نطاق مركز دبي المالي العالمي (DIFC) تمتلك سجلاً للائحة 10 وسجلات على مستوى القرار يتم الاحتفاظ بها للفترة التي يحددها مسؤول حماية البيانات (DPO) لديك.
• ▸البيانات القطرية ذات الطبيعة الخاصة تمتلك إذناً موثقاً في السجلات قبل الإدخال.