أُغلقت في 18 يوليو 2026 الاستشارة العامة التي استمرت 30 يومًا حول تعديلات لوائح حماية البيانات في مركز دبي المالي العالمي، لتنتقل التعديلات المقترحة إلى المرحلة التالية من العملية التشريعية. وتُحكِم هذه التعديلات صياغة اللائحة 10 — القاعدة التي تنظّم معالجة البيانات الشخصية عبر الأنظمة الذاتية وشبه الذاتية — والتي دخلت حيّز التنفيذ الكامل في 1 يناير 2026 بعد فترة انتقالية تجاوزت العامين.
بالنسبة للشركات التي تشغّل الذكاء الاصطناعي في الخليج، هذه هي المجموعة الأكثر تحديدًا من الالتزامات المُلزِمة على أنظمة الذكاء الاصطناعي في المنطقة حتى اليوم. في المقابل، لا تزال السعودية بلا تشريع خاص بالذكاء الاصطناعي، وتفرض الامتثال عبر نظام حماية البيانات الشخصية بدلًا من ذلك.
أبرز النقاط
- استمرت استشارة المركز 30 يومًا اعتبارًا من 18 يونيو 2026 وأُغلقت في 18 يوليو 2026، تحت مسمى ورقة الاستشارة رقم 3 لعام 2026.
- دخلت اللائحة 10 حيّز النفاذ في 1 سبتمبر 2023 بموعد امتثال نهائي في 1 يناير 2026، والتطبيق قائم الآن فعليًا.
- المعالجة التجارية عالية المخاطر تستوجب تعيين مسؤول أنظمة ذاتية (ASO)، واعتماد الأنظمة، وسجلات ذكاء اصطناعي، وإشعارات شفافية.
- تمنح اللائحة 11 المقترحة مفوّض حماية البيانات صلاحية الاعتراف الرسمي بمخططات الاعتماد وإصدار الشهادات.
- بعد تعديلات يوليو 2025، تتراوح الغرامات بين نحو 25 ألف و50 ألف دولار أمريكي للمخالفة، دون سقف معلن في حالات التكرار أو المخالفة الجسيمة.
التفاصيل
تنطبق اللائحة 10 على أي نظام قائم على الآلة يعمل بشكل ذاتي أو شبه ذاتي ويمكنه معالجة بيانات شخصية — وهو تعريف واسع بما يكفي ليشمل المساعدين المبنيين على نماذج لغوية كبيرة، ونماذج التقييم، والشخصيات الافتراضية التي تُعرِّف الأفراد.
وتوزّع اللائحة الالتزامات على ثلاثة أدوار. المزوّد (Provider) يطوّر النظام أو يشتريه. المُشغّل (Operator) يديره بتوجيه من طرف آخر ويُعامَل معاملة معالج البيانات. المُنشِر (Deployer) يأذن بتشغيل النظام ويستفيد منه، ويُعامَل معاملة المتحكم في البيانات. وتبقى الالتزامات على عاتق المُنشِر حتى لو اشترى النظام جاهزًا بدل بنائه داخليًا — شراء وكيل من مورّد لا ينقل المسؤولية إليه.
ويصبح الاعتماد إلزاميًا عند تحقق شرطين معًا: أن يكون النظام ذاتيًا أو شبه ذاتي، وأن يؤدي معالجة عالية المخاطر لاستخدام تجاري. ومؤشرات المخاطر العالية في اللائحة تشمل القرارات الآلية المؤثرة في التوظيف أو الائتمان أو التأمين أو كشف الاحتيال؛ ومعالجة الفئات الخاصة من البيانات الشخصية؛ والعمليات واسعة النطاق؛ واستخدام تقنيات غير مُختبَرة.
وتمنع المادة 10.3.3 تشغيل نظام عالي المخاطر تجاريًا ما لم يُعيَّن — ضمن شروط أخرى — مسؤول أنظمة ذاتية. ويحمل هذا المسؤول صفة وكفاءات ومهام مشابهة إلى حد بعيد لمسؤول حماية البيانات، لكن ضمن نطاق الأنظمة الذاتية. كما يجب على المُنشِرين الاحتفاظ بسجلات توثّق حالات استخدام الأنظمة وأنشطة المعالجة ومشاركة البيانات وضمانات النقل خارج الحدود، إضافة إلى توثيق شفافية يشرح غرض كل نظام ووظيفته ومنطق قراره.
ووصف جاك فيسر، الرئيس التنفيذي للشؤون القانونية في سلطة مركز دبي المالي العالمي، التعديلات بأنها عملية توضيح. وقال: "مع استمرار تطوّر استخدام الذكاء الاصطناعي والأنظمة القائمة على البيانات، من المهم أن يظل الإطار التنظيمي عمليًا وواضحًا وقادرًا على مواكبة الطريقة التي تُستخدم بها هذه التقنيات. تهدف هذه التعديلات إلى توفير ذلك الوضوح، مع دعم معايير عالية من المساءلة والحوكمة في المركز."
الأثر
العبء العملي يقع على التوثيق والبنية المعمارية، لا على اختيار النموذج. فالمؤسسة التي لا تستطيع إبراز سجل بالأنظمة التي تعالج بيانات شخصية، وعلى أي أساس قانوني، وبأي ضمانات نقل، لا يمكنها إثبات الامتثال مهما كان أداء نماذجها.
وهذه مشكلة مألوفة بثوب جديد. معظم المؤسسات الخليجية لا تملك جردًا واحدًا يبيّن إلى أين تذهب بياناتها بعد مغادرتها الأنظمة الأساسية — وتبنّي الذكاء الاصطناعي ضاعف هذه المخارج، غالبًا عبر استدعاءات واجهات برمجية لم يصنّفها أحد وقت كتابتها على أنها معالجة بيانات.
واللائحة 11 المقترحة أهم مما يوحي به إيجازها. فبتمكين المفوّض من الاعتراف بمخططات اعتماد وشهادات خارجية، يفتح المركز مسارًا تحمل فيه شهادة طرف ثالث معترف بها وزنًا تنظيميًا، بدل أن تتفاوض كل شركة على تفسيرها الخاص. وهذه هي الآلية التي تنخفض عبرها كلفة الامتثال مع الوقت.
الخلفية
أصدر مركز دبي المالي العالمي اللائحة 10 في سبتمبر 2023 كإضافة إلى قانون حماية البيانات لديه، متقدّمًا على معظم الولايات القضائية. وكانت الفترة الطويلة حتى 1 يناير 2026 مقصودة: منحت الشركات وقتًا لجرد أنظمة الذكاء الاصطناعي والاستعداد للاعتماد قبل بدء التطبيق.
أما المشهد الإقليمي المحيط فغير متجانس. السعودية بلا تشريع مُلزِم خاص بالذكاء الاصطناعي ولا عملية تشريعية معلنة لسنّه، لكن تطبيق "سدايا" حقيقي — إذ أصدرت لجانها 48 قرارًا تؤكد مخالفات لنظام حماية البيانات الشخصية خلال 2025 و2026، بغرامات إدارية تصل إلى 5 ملايين ريال وتتضاعف عند التكرار. وقد دخل نظام حقوق المؤلف الجديد في المملكة حيّز التنفيذ في 1 أغسطس 2026 باستثناء يسمح باستنساخ المصنفات لأغراض تدريب الذكاء الاصطناعي. وحلّت محطات تطبيق قانون الذكاء الاصطناعي الأوروبي في الشهر نفسه.
والنتيجة أن الشركة الخليجية العاملة بين دبي والرياض تواجه اليوم شكلين مختلفين من الامتثال للنظام نفسه: نظام اعتماد ومسؤول معيَّن في مركز دبي المالي العالمي، ونظام أساس قانوني ونقل بيانات في السعودية. ويغطي تحليلنا حول لماذا يُعد كل استدعاء لواجهة نموذج لغوي نقلًا عبر الحدود بموجب نظام حماية البيانات الشق السعودي من هذه المعادلة.
ما التالي
تنتقل التعديلات الآن عبر العملية التشريعية للمركز بعد إغلاق الاستشارة. ويُتوقّع أن تكون التغييرات العملية هي توضيح التزامات الاعتماد والتعريف الرسمي لمسؤول الأنظمة الذاتية، إلى جانب صلاحيات الاعتراف الجديدة للمفوّض بموجب اللائحة 11.
ومن المقرر أن تستضيف دبي ومركز دبي المالي العالمي الجمعية العالمية للخصوصية في الربع الرابع من 2026 — وهي منصة محتملة لمزيد من المواءمة بين أنظمة حماية البيانات الخليجية.
أما بالنسبة للفرق التي تطلق ميزات ذكاء اصطناعي الآن، فالترتيب لا يتغيّر: ارسم خريطة الأنظمة، ثم صنّف المعالجة، ثم اختر البنية. وإذا احتجت إلى رأي ثانٍ حول المواضع التي تلامس فيها أنظمتك بيانات شخصية وما يترتب على ذلك من توثيق، يمكننا إجراء هذه المراجعة معك.
المصدر: مركز دبي المالي العالمي — استشارة تعديل لوائح حماية البيانات