إطار تبني الذكاء الاصطناعي من سدايا: هل شركتك جاهزة؟

إطار تبني الذكاء الاصطناعي من سدايا دليل إرشادي، لا نظام ملزم. يقسّم جاهزية المنشأة إلى ثلاث ركائز: التوجهات (الاستراتيجية والحوكمة)، والممكنات (البيانات والبنية التحتية والقدرات البشرية)، والمخرجات (التطبيقات والأثر). كُتب للجهات الكبيرة في الأساس، لكن الشركة الأصغر حجمًا تستطيع أن تستخدمه قائمةَ فحص لحالة استخدام واحدة [1، ص 8؛ 2].

تصدره الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وهي بنص ترتيباتها التنظيمية «المرجع الوطني» في كل ما يتعلق بالبيانات والذكاء الاصطناعي [1، ص 4]، وتتولى عبر مكتب إدارة البيانات الوطنية تنظيم حوكمة البيانات وحماية البيانات الشخصية، وتنشر نظام حماية البيانات الشخصية ولائحته التنفيذية [2]. وهذا المقال موجّه إلى أصحاب الشركات ومديريها في المملكة العربية السعودية، وإلى الشركات في دول الخليج وخارجها التي تخدم عملاء في المملكة أو تعمل فيها.

هذا المقال معلومات عامة وليس استشارة قانونية. راجع التزامات منشأتك وفق النص النافذ لنظام حماية البيانات الشخصية ولائحته التنفيذية.

ما إطار تبني الذكاء الاصطناعي من سدايا؟ وأي إصدار تقرأ؟

تصف سدايا إطار تبني الذكاء الاصطناعي بأنه «دليل إرشادي يقدم إطارًا شاملاً لتبني الذكاء الاصطناعي في جميع القطاعات» [2]. ويحدد الإطار نطاقه بنفسه: «يستهدف الإطار جميع الجهات الحكومية والخاصة»، ولا يضع «معايير تقنية تفصيلية، بل يوفر خطوطًا استرشادية وممكنات» [1، ص 6].

لكن جمهوره المستهدف المعلن فئتان: الجهات الحكومية، وصنّاع السياسات والمشرعون [1، ص 5]، وأمثلته مصمَّمة لجهات كبيرة. فالشركة الخاصة تستفيد منه، لكن لا مثال فيه بحجم شركة من 20 موظفًا.

الإصدار الأول (2024) أم الثاني (2025)؟ تحقّق قبل أن تقتبس

كشفت سدايا عن الإصدار الأول في سبتمبر 2024، وذكرت وكالة الأنباء السعودية (واس) أنه يعرض «مستويات النضج: الناشئ، والمتطور، والمتمكن، والمتقدم» [3]. أما الملف المنشور حاليًا على الرابط نفسه فهو الإصدار 2، مايو 2025 (SDAIA-P121)، ويقوم على الركائز الثلاث ولا يذكر تلك المستويات [1، ص 48].

وما زالت ملخصات كثيرة على الإنترنت تصف الإصدار الأول. فقبل أن تعتمد على أي ملخص، افتح الصفحة الأخيرة من ملف الإطار على موقع سدايا وتحقق من «رقم الإصدار».

الإطار في صفحة واحدة: ثلاث ركائز، وسبعة أبعاد، و23 بعدًا فرعيًا، كما في فصول الإطار [1، الفصول 3–5]؛ والعمود الأخير صياغتنا نحن.

هل هو إلزامي؟ ما الذي يُلزم شركتك وما الذي يُرشدها فقط

الجواب المختصر: لا. فإطار التبني إرشادي، وكذلك وثائق سدايا الأخرى عن الذكاء الاصطناعي في قراءتنا، وإن كانت مبادئ الأخلاقيات أحسم في مواضع. أما ما يُلزم الشركة فالأنظمة، وفي مقدمتها نظام حماية البيانات الشخصية، واشتراطات الجهة التنظيمية لقطاعها.

والإطار نفسه يحيل إلى النظام الملزم: «كما تلتزم هذه الجهات بتطبيق "نظام حماية البيانات الشخصية" ولوائحه التنفيذية» [1، ص 20].

تطوّر يستحق المتابعة: في 2 أبريل 2026 طرحت سدايا «مشروع سياسة الذكاء الاصطناعي المسؤول» لإبداء المرئيات عبر منصة «استطلاع»، وهدفه بحسب الخبر «تنظيم استخدام تقنيات الذكاء الاصطناعي في المملكة» [11]. تحقّق من حالته قبل أن تعتمد على هذا الجدول.

حوكمة الذكاء الاصطناعي في المؤسسات: ما تأخذه الشركة الصغيرة وما تتركه للجهات الكبيرة

أمثلة الإطار مكتوبة لجهات كبيرة، ونقلها كما هي يُثقل شركة من 20 موظفًا. والعمود الثاني قراءتنا نحن لما يناسب شركة من 10 إلى 250 موظفًا:

عادات تحتفظ بها أيًّا كان حجم شركتك:

• انطلق «من احتياجات حقيقية للمستفيدين أو تحديات تشغيلية قائمة» [1، ص 16].
• قيّم المخاطر قبل الاعتماد: نفّذ «تقييمات منهجية لجميع حالات الاستخدام قبل اعتماد أي نظام ذكاء اصطناعي» [1، ص 22].

تقييم جاهزية الذكاء الاصطناعي في 12 سؤالًا موزّعة على الركائز الثلاث

يقيس هذا التقييم جاهزية حالة استخدام واحدة في كل مرة، لا الشركة كلها: 12 سؤالًا، أربعة لكل ركيزة، ولكل سؤال من 0 إلى 2، والمجموع من 24. أجب عن الأسئلة بمشاركة الموظف الذي يؤدي المهمة: 0 (لا)، أو 1 (جزئيًا)، أو 2 (نعم، ولديك ما يثبته).

ودراسة جدوى الذكاء الاصطناعي تجيب عن سؤالين: هل نحن جاهزون؟ وهل يستحق الأمر؟ للثاني يذكر دليل سدايا للتنفيذيين دراسة «حالات الاستخدام الممكنة، وتقييم فرص نجاحها، وتقدير الالتزامات المطلوبة، والعائد المتوقع» [12، ص 14]، وفي دليلنا لاختيار أول مهمة جدول للوقت والتكلفة وتجربة لأسبوعين. أما الأول فيجيب عنه الجدول التالي، وهو استبيان جاهزية يمكنك نسخه.

وإن كانت سجلاتك في ملفات PDF عربية ممسوحة ضوئيًا، فعالج السؤال 5 أولًا بـطريقة لاستخراج بياناتها والتحقق منها.

كيف تقرأ المجموع (قاعدتنا التقريبية، لا درجة صادرة عن سدايا):

• من 18 إلى 24، ولا صفر في أي سؤال: ابدأ تجربة محدودة يعتمد فيها موظف كل ما تُخرجه الأداة قبل إرساله.
• من 11 إلى 17، أو 18 فأكثر مع أي صفر: أصلح الإجابات التي حصلت على 0 أو 1 أولًا، ثم أعد التقييم.
• من 0 إلى 10: الحالة غير جاهزة. رتّب العملية أو البيانات أولًا، أو اختر مهمة أخرى. وقد تكفي أتمتةٌ بسيطة دون ذكاء اصطناعي لبعض المهام.

قيّم المخاطر بالإطار الوطني لإدارة مخاطر الذكاء الاصطناعي: مثال تطبيقي

يقيّم الإطار الوطني مخاطر نظام ذكاء اصطناعي واحد في كل مرة، بمصفوفة 4×4 للاحتمالية والأثر. يبدأ بتحديد السياق والنطاق، ثم يدور في أربع مراحل: تحديد المخاطر، وتقييمها، ومعالجتها، والمتابعة والمراجعة [6، ص 13]. وهذه خطواته مختصرة:

1. صِف السياق قبل المخاطر: النظام وحدود استخدامه، وبياناته ونقاط الإدخال والإخراج، ومستوى الأتمتة ودور الإنسان (أين يعتمد أو يعترض أو يوقف النظام)، وخطة التغيير [6، ص 17].
2. حدّد المخاطر وصنّفها في سبعة أنواع: التحيز والتمييز والإساءة، والخصوصية والأمن، والمعلومات المضللة، والاستخدام الضار، وتفاعل الإنسان والآلة، والآثار الاجتماعية والاقتصادية والبيئية، والسلامة والمحدودية [6، ص 18–20].
3. قدّر الاحتمالية من 1 إلى 4 بالنظر إلى مدى التعرّض (حجم الاستخدام وعدد المستخدمين)، والضوابط القائمة وفاعليتها، وسهولة حدوث الخطر، والسوابق [6، ص 22–23]. والتقدير «لا يُبنى ابتداءً على أساس نسب مئوية محددة»، لكن الإطار يذكر أن مستوياته تتوافق مع نطاقات سنوية مرجعية متعارف عليها في بعض الأطر: أقل من 1%، ومن 1% إلى 10%، ومن 10% إلى 50%، و50% فأكثر [6، ص 23].
4. قدّر الأثر من 1 إلى 4: منخفض، ومتوسط، ومرتفع، وكارثي [6، ص 23].
5. احسب المستوى = الاحتمالية × الأثر: من 1 إلى 2 منخفض، ومن 3 إلى 6 متوسط، ومن 8 إلى 12 مرتفع، و16 كارثي [6، ص 24–25].
6. اختر المعالجة: التجنب، أو التخفيف، أو النقل، أو القبول. ونقل الخطر إلى طرف آخر بالعقود أو التأمين أو التزامات الموردين «لا يلغي مسؤولية الجهة عن الحوكمة والامتثال» [6، ص 26].

وهذه المصفوفة التي تقوم عليها الخطوة 5 [6، ص 25]:

ويطبّق ملحق الإطار هذه الخطوات على نموذج لغوي كبير تُعدّ به جهة حكومية تقاريرها الداخلية، فيحصر ثمانية مخاطر ويقدّرها كلها بمستوى متوسط، ويقبلها كلها: أغلبها مع استمرار المتابعة، واثنان منها، أحدهما إدخال معلومات داخلية حساسة أو تسرّبها، «قبول مشروط مع تصعيد فوري» [6، ص 32–44].

مثال تطبيقي (افتراضي للتوضيح، وليس حالة لعميل؛ والدرجات تقديرات بعد تطبيق الضوابط المذكورة، وستختلف عندك): موزّع قطع غيار في الدمام، شرق السعودية، له عملاء في المملكة ودول الخليج، يريد أن يكتب الذكاء الاصطناعي مسودات الرد على «أين طلبي؟» و«هل القطعة متوفرة؟» من نظام الطلبات وجدول المخزون، ويعتمد موظف كل رد أثناء التجربة.

والنتيجة: المخاطر الأربعة متوسطة مع ضوابطها، فيستطيع الموزّع أن يبدأ التجربة ويقبل الخطر المتبقي، ويتابع مؤشرات مثل «ارتفاع الشكاوى، وتكرار الاعتراضات على القرارات، وزيادة طلبات المراجعة البشرية» [6، ص 28].

مبادئ أخلاقيات الذكاء الاصطناعي من سدايا وأحكام نظام حماية البيانات الشخصية قبل التشغيل

المبادئ السبعة وفئات المخاطر الأربع

تضم مبادئ أخلاقيات الذكاء الاصطناعي سبعة مبادئ: النزاهة والإنصاف، والخصوصية والأمن، والإنسانية، والمنافع الاجتماعية والبيئية، والموثوقية والسلامة، والشفافية والقابلية للتفسير، والمساءلة والمسؤولية [4، ص 12–26]. وتصنّف أنظمة الذكاء الاصطناعي في أربع فئات [4، ص 9]:

• مخاطر بسيطة أو منعدمة، مثل مرشحات البريد العشوائي: لا قيود، «ولكن يوصى» بتوافقها مع الأخلاقيات.
• مخاطر محدودة: تخضع لمبادئ الأخلاقيات.
• مخاطر عالية على الحقوق الأساسية للإنسان: «تقييمات ما قبل المطابقة وبعدها»، مع المتطلبات النظامية ذات العلاقة.
• مخاطر غير مقبولة: «لا يُسمح» بها، كتلك المتعلقة «بالتصنيف الاجتماعي أو استغلال الأطفال».

وتطلب مبادئ الذكاء الاصطناعي التوليدي تقييم مخاطر الأداة وفق هذه الفئات [8، البند 4.5]. والتصنيف قرار شركتك: كثير من استخدامات الصياغة وإدخال البيانات مرشّح لفئة «مخاطر محدودة»، لكن يحسمه شخص في شركتك يستعين بالقائمة المرجعية.

ثلاثة أحكام في نظام حماية البيانات الشخصية ولائحته التنفيذية تنطبق حين تستخدم الذكاء الاصطناعي

1. القرار الآلي بالكامل والموافقة الصريحة. الموافقة هي الأصل في النظام [9، المادة 5]، وحين تعتمد عليها تشترط اللائحة أن تكون صريحة «في حال كان سيتم اتخاذ قرارات مبنية بشكل كامل على المعالجة الآلية للبيانات الشخصية» [10، المادة 11، الفقرة 2 (ج)]. وللنظام أحوال لا تلزم فيها الموافقة [9، المادة 6]، فتحقق من الأساس النظامي قبل أن يقرر الذكاء الاصطناعي وحده في شأن أي شخص. وإن تضمن نشاطك «على نطاق واسع أو بصورة متكررة» معالجةً «باستخدام تقنيات ناشئة» أو قرارات آلية، فعليك أن توضّح لأصحاب البيانات «ما إذا كان سيتم اتخاذ قرارات مبنية بشكل كامل على المعالجة الآلية» [10، المادة 4، الفقرة 5 (ج)].
2. تقويم أثر مكتوب. على جهة التحكم (أي شركتك، بوصفها الجهة التي تحدد غرض معالجة البيانات الشخصية وكيفيتها) أن تعدّ «تقويماً مكتوباً وموثقاً» للآثار والمخاطر في أحوال منها: معالجة البيانات الحساسة، أو ربط مجموعات بيانات شخصية من مصادر مختلفة، أو أن يتضمن نشاطها «على نطاق واسع أو بصورة متكررة» معالجةً باستخدام تقنيات ناشئة أو قرارات مبنية على المعالجة الآلية [10، المادة 25، الفقرة 1].
3. مزوّد الأداة غالبًا «جهة معالجة» تعالج البيانات نيابة عنك. فاختر جهة معالجة «تقدم ضمانات كافية لحماية البيانات الشخصية»، وضمّن الاتفاق معها: الغرض، وفئات البيانات، والمدة، والإشعار بالتسرب «دون تأخر غير مبرر»، وهل تخضع «لأنظمة في دول أخرى»، وجهات المعالجة الفرعية [10، المادة 17، الفقرة 1].

وإن خاطب الذكاء الاصطناعي عملاءك، فهذه توصية إرشادية لا حكم من النظام: تدعو مبادئ الذكاء الاصطناعي التوليدي إلى «التواصل بوضوح عند استخدام الذكاء الاصطناعي التوليدي في التفاعلات مع الجمهور» و«تقديم قنوات اتصال بديلة وغير مؤتمتة» [8، البند 4.3]. وإن كنت تخطط لرد آلي في واتساب للأعمال، فابنِ الأمرين فيه من البداية.

أسئلة لمزوّد الذكاء الاصطناعي مأخوذة من قائمة سدايا

إذا بنى النظامَ طرفٌ خارجي، فمبادئ الأخلاقيات تطلب من الجهة المسؤولة عنه «التأكد من الاهتمام بتطبيق أخلاقيات الذكاء الاصطناعي» قبل الشراء أو الاعتماد [4، ص 25]. وفي ملحقها قائمة مرجعية لكل مرحلة من دورة حياة النظام، فيها عمود «ملزمة لأي طرف ثالث؟»، وبعض بنودها عليها «نعم» [4، ص 41–47]. ولا تشرح الوثيقة هذا العمود، فاعرض هذه البنود على مزوّدك أسئلةً، لا التزامًا قانونيًا عليه. وبين القوسين البند المأخوذ منه:

1. أين يستطيع موظفونا مراجعة المخرج أو تعديله أو إيقافه قبل أن يصل إلى العميل؟ (التخطيط والتصميم 1 و2)
2. ماذا يقول العقد عن المسؤولية، وعن حماية أصحاب البيانات الذين نعالج بياناتهم؟ (التخطيط والتصميم 5)
3. كيف تختبرون التحيز غير العادل وتراقبونه قبل الإطلاق وبعده، ومن ذلك اللهجات الخليجية وغيرها من اللهجات العربية والأسماء غير العربية؟ (التخطيط والتصميم 10، والتطبيق والمتابعة 9؛ والمثال من عندنا)
4. كيف تكتشفون مشكلات خصوصية البيانات الشخصية وتضبطون استخدامها، بما في ذلك الموافقة والعدول عنها؟ وهل تُستخدم بياناتنا لتدريب نماذجكم؟ (تهيئة البيانات 1 و4؛ وسؤال التدريب من عندنا)
5. كيف تحفظون سرية البيانات، وهل اختبرتم النظام ضد الهجمات وتسرّب البيانات الحساسة؟ (تهيئة البيانات 5، والتطبيق والمتابعة 2)
6. هل سيعرف المستخدمون أنهم يتعاملون مع ذكاء اصطناعي؟ (التطبيق والمتابعة 1)
7. كيف نبلّغ عن الأخطاء، وكيف تصل ملاحظاتنا إلى النظام؟ (التطبيق والمتابعة 8)

وأضف إليها بنود المادة 17 أعلاه، والأسئلة العامة قبل التعاقد مع أي شركة برمجة.

إن كانت شركتك خارج السعودية

يسري نظام حماية البيانات الشخصية على معالجة بيانات الأفراد المقيمين في المملكة «بأي وسيلة كانت من أي جهة خارج المملكة» [9، المادة 2]. فإن خدمت عملاء فيها من دبي أو القاهرة أو لندن، فالأحكام الثلاثة أعلاه قد تنطبق عليك، وأطر سدايا دليل مفيد. ولأحكام النقل والتسجيل، انظر ما يطلبه النظام من الشركات خارج المملكة.

وتذكر مبادئ الأخلاقيات نفسها إطار NIST ومعايير ISO للذكاء الاصطناعي، «مثل معيار المخاطر»، ضمن مراجعها [4، ص 34]:

أربع خطوات لهذا الأسبوع

1. اختر حالة استخدام واحدة، واكتب ما تكلفك اليوم.
2. أجب عن الأسئلة الاثني عشر مع الموظف الذي يؤدي المهمة.
3. قيّم من 3 إلى 5 مخاطر في المصفوفة، مع ضوابطها.
4. أرسل أسئلة المزوّد قبل أن توقّع، واطلب الإجابات مكتوبة.

وإن لم تختر المهمة بعد، فابدأ بـاختبار الأسئلة الأربعة وجدول الوقت والتكلفة. وإن أردت من يراجع الحالة معك، فهذه طريقة عمل O AI (أو إيه آي)، شركة ذكاء اصطناعي وبرمجيات سعودية في الخبر:

ابدأ بمهمة واحدة بطيئة ومتكررة: المستندات، أو الرد على العملاء، أو التقارير، أو بيانات موزعة بين أنظمة. تدرس O AI هذه المهمة، وتقيّم جدوى الذكاء الاصطناعي فيها، ثم تدمجه في أنظمتك القائمة أو تبني نظامًا جديدًا. والاستشارة الأولى والعرض دون أي التزام.

أخبرنا بالمهمة التي تريد اختبارها واحجز استشارة مجانية، ونردّ عليك خلال يوم عمل واحد.