نقل البيانات الشخصية خارج المملكة وأدوات الذكاء الاصطناعي

يسهل إغفال نقل البيانات الشخصية خارج المملكة حين يبدأ فريقك باستخدام أداة ذكاء اصطناعي. فروبوت الدردشة وقارئ الفواتير ومساعد الكتابة كثيراً ما تعمل على خوادم خارج المملكة، وكل اسم عميل أو رقم جوال أو مستند ترسله إليها قد يُعد بيانات شخصية تغادر السعودية. هذا الدليل موجّه إلى ملاك الشركات ومديريها في الدمام والخبر والرياض وجدة، ويشرح ما تقوله القواعد وما يجب فحصه قبل اختيار المورّد. وهو إيجاز للأعمال وليس استشارة قانونية.

نقل البيانات الشخصية خارج المملكة: ماذا تقول اللائحة

يدعم نظام حماية البيانات الشخصية (PDPL) لائحة مستقلة من «سدايا» لنقل البيانات الشخصية إلى خارج المملكة. وبحسب اللائحة المنشورة على بوابة «سدايا» لحماية البيانات، يجوز النقل حين توفر الدولة أو المنظمة المستقبِلة مستوى حماية ترى «سدايا» أنه كافٍ. وتنشر الجهة قائمة بهذه الوجهات وتراجعها كل أربع سنوات.

وتجيز اللائحة النقل لأغراض أخرى محددة، منها المعالجة التشغيلية المركزية وتقديم خدمة أو منفعة لصاحب البيانات والبحث العلمي. وتضيف مذكرة مكتب «كينغ آند سبالدينغ» (17 نوفمبر 2025) أن اللائحة صدرت في أغسطس 2024، وأن القائمة الكاملة بالوجهات المعتمدة لم تكن قد نُشرت وقتها. ويكرر دليل «تشامبرز 2026» هذه النقطة، فتحقق من «سدايا» قبل أن تعتمد على اعتماد أي دولة.

الضمانات: ثلاثة مسارات حين لا تكون الدولة معتمدة

حين ينطبق استثناء لكن الوجهة غير معتمدة، تشترط اللائحة ضمانة مناسبة. وتذكر ثلاثاً: البنود التعاقدية القياسية، والقواعد الملزمة للمجموعات متعددة الجنسيات، وشهادات الاعتماد. وتراجع «سدايا» ملاءمة الضمانات كل سنتين أو عند الحاجة.

ويوضح «كينغ آند سبالدينغ» أن البنود التعاقدية القياسية تأتي في أربعة نماذج بحسب كون كل طرف جهة تحكم أو جهة معالجة، وأن القواعد الملزمة تغطي النقل داخل المجموعة لا النقل إلى مورّد خارجي. ولذلك فإن العقد مع مورّد الذكاء الاصطناعي هو، لدى معظم الشركات المتوسطة، موضع الضمانة.

تقويم المخاطر الذي قد تحتاجه أولاً

تشترط المادة السابعة من اللائحة تقويم المخاطر قبل النقل الذي يعتمد على ضمانات، وقبل نقل البيانات الحساسة أو النقل الواسع المستمر. ويجب أن يغطي الغرض والأساس النظامي، وطبيعة المعالجة ونطاقها الجغرافي، والضمانات، وكيفية الاقتصار على الحد الأدنى من البيانات، والضرر المحتمل وسبل تخفيفه.

وصدر الدليل الاسترشادي لتقويم المخاطر من «سدايا» في فبراير 2025. وتشير «كلايد آند كو» (18 مارس 2025) إلى أنه غير ملزم قانوناً لكنه مرجع رئيسي، وأنه يحدد أربع مراحل من التحضير إلى التأكد من أن النقل لا يضر بالأمن الوطني أو الاستقرار الاقتصادي أو المصلحة العامة. وثمة قاعدتان أخريان: تنطبق الشروط نفسها على النقل اللاحق من المستقبِل، ويجب إيقاف النقل إذا تعطلت الضمانات.

لماذا تُعد أدوات الذكاء الاصطناعي حالة خاصة

يذكر دليل «تشامبرز» أنه لا يوجد نظام مستقل للذكاء الاصطناعي، وأن نظام حماية البيانات الشخصية ينطبق كلما درّبت أنظمة الذكاء الاصطناعي بيانات شخصية أو ضبطتها أو استنتجت منها. ويقول أيضاً إن الوصول إلى البيانات عن بُعد من الخارج يُعد نقلاً، وإن قواعد القطاعات، كالصحة والمال، قد تقيّد مكان المعالجة. وتطبّق المؤسسات عموماً أشد قاعدة منطبقة.

وعند جمع هذه النقاط تكون القراءة العملية حذرة. فإذا كان مساعد واتساب أو قارئ المستندات أو أداة التقارير لديك يرسل بيانات شخصية إلى خدمة مستضافة في الخارج، أو يتيح لموظفي مورّد أجنبي الاطلاع عليها، فعامل ذلك كنقل واطلب من مستشارك القانوني التأكيد. وينطبق الأمر نفسه إذا استخدم المورّد بياناتك لتدريب نماذجه.

كلفة الخطأ

يذكر دليل «تشامبرز» أن النظام دخل حيز النفاذ في 14 سبتمبر 2023 وانتقل إلى التطبيق الفعلي في 14 سبتمبر 2024. وقد تصل الغرامات الإدارية إلى 5 ملايين ريال، وتُضاعف عند تكرار المخالفة. ومن التدابير الأخرى الإنذارات، وأوامر تعليق المعالجة أو تقييدها، ونشر القرار على نفقة المخالف.

قائمة من ست خطوات قبل شراء أداة ذكاء اصطناعي

• اكتب البيانات الشخصية التي ستصل الأداة: الأسماء وأرقام الجوال والهويات والتفاصيل الصحية أو المالية، وأيها حساس.
• اسأل المورّد أين تُعالج البيانات وتُخزّن، وهل يستطيع أحد خارج المملكة الاطلاع عليها، ومنهم فريق الدعم.
• اسأل أي ضمانة تغطي النقل، واطلب الاطلاع على بنود العقد كتابةً.
• اسأل هل تُستخدم بياناتك في تدريب نماذج المورّد، وهل يمكنك إيقاف ذلك.
• أعدّ تقويم مخاطر مكتوباً إذا كان نقلك يعتمد على ضمانات أو يشمل بيانات حساسة أو واسعة النطاق.
• أرسل البيانات التي تحتاجها المهمة فقط، وراجع الإعداد كل سنة أو عندما يغيّر المورّد استضافته.

من أين تبدأ

لا يمكنك الإجابة عن هذه الأسئلة دون صورة واضحة لحركة البيانات بين أنظمتك وأدوات الذكاء الاصطناعي. ويرسم تدقيق بنية الذكاء الاصطناعي لدينا هذه الحركة ويبيّن أين تخرج البيانات الشخصية من سيطرتك. ويمكن إعداد حل أتمتة معالجة المستندات لدينا لإبقاء البيانات داخل المملكة عند الحاجة، وتربط خدمة دمج الذكاء الاصطناعي النتيجة بأنظمتك الحالية. وللصورة الأوسع للامتثال اقرأ مقالنا عن الامتثال لنظام PDPL وقرارات سدايا الـ48. ولمناقشة حالتك احجز مكالمة استكشافية مجانية مع سكالور سيستمز عبر scalorsystems.com/contact.

المصادر

1. سدايا: لائحة نقل البيانات الشخصية إلى خارج المملكة (بوابة سدايا لحماية البيانات)
2. كينغ آند سبالدينغ: International Personal Data Transfers under Saudi Arabia’s Data Protection Law (17 نوفمبر 2025)
3. كلايد آند كو: Update on Saudi Arabia’s cross border data transfers, the new Risk Assessment Guidelines (18 مارس 2025)
4. تشامبرز آند بارتنرز: Data Protection & Privacy 2026, Saudi Arabia (GLA & Company)