الذكاء الاصطناعي داخل مقرّك: دليل الامتثال لنظام حماية البيانات الشخصية (PDPL) بلا تعطيل

السؤال الذي يسبق أي عقد ذكاء اصطناعي مع جهة سعودية اليوم ليس «كم الدقّة؟» بل «أين تذهب بياناتنا؟». نظام حماية البيانات الشخصية (PDPL) حوّل هذا السؤال من قلق إلى التزام قانوني. هذا الدليل يشرح كيف نبني منتجات ذكاء اصطناعي تُجيب عنه معمارياً، لا بعبارات تسويقية.

المبادئ التي تهمّ المهندس فعلاً

• تحديد الغرض: لا تُعالَج البيانات إلا للغرض الذي جُمعت له. النموذج الذي «يتعلّم من كل شيء» مشكلة قانونية.
• تقليل البيانات: اجمع الحد الأدنى. حقل غير ضروري في نموذج KYC هو مسؤولية بلا فائدة.
• الاحتفاظ المحدود: لكل سجل تاريخ انتهاء. «نحتفظ إلى الأبد» ليس خياراً.
• النقل خارج المملكة: مقيّد وبشروط. استدعاء API خارجي بنموذج لغة قد يكون نقلاً عابراً للحدود.

النمط الأول: المعالجة في الذاكرة

في SLT OCR المستندات لا تُكتب على القرص. تُعالَج في الذاكرة، والمصادر تعيش 15 دقيقة ثم تُمحى. لا نسخ احتياطية للمستندات، لأنك لا تستطيع تسريب ما لا تحتفظ به. هذا النمط يحلّ نصف أسئلة مسؤول الحماية قبل أن تُطرح.

النمط الثاني: حاوية بلا شبكة

النسخة الداخلية حاوية Docker لا تتصل بأي شيء وقت التشغيل: النماذج والمعاجم مدمجة داخل الصورة، والترخيص مُوقَّع رقمياً ويُتحقّق منه محلياً. الجهة تُشغّلها في مركز بياناتها، ونحن لا نرى بايتاً واحداً. الثمن: تحديثات النموذج تصبح إصدارات، لا دفعات صامتة — وهذا في الواقع ما تريده الجهات الحكومية.

القاعدة: إن لم تستطع رسم مسار البيانات على ورقة واحدة من المصدر إلى الحذف، فأنت لست ممتثلاً بعد.

النمط الثالث: السجلات كدليل لا كعبء

Splunk Log Viewer بُني لهذا تحديداً: استيعاب السجلات، بحث متقدّم، وتخزين جاهز للتدقيق. من الذي وصل إلى أي سجل ومتى ولماذا — هذه أسئلة يجب أن تُجاب في ثوانٍ عند زيارة المدقّق، لا في أسبوع. وSMSLogger على أندرويد يطبّق المبدأ نفسه على الرسائل النصية المؤسسية: أرشفة بغرض محدّد، وصلاحيات مقيّدة، ومدة احتفاظ معلنة.

النمط الرابع: الصحة تحتاج طبقة إضافية

في MediClinic (سجلات طبية إلكترونية ووصفات) البيانات الصحية فئة حسّاسة. تشفير على مستوى الحقل، فصل مفاتيح التشفير عن البيانات، وموافقة موثّقة لكل استخدام ثانوي — مثل تدريب نموذج أو تحليل مجمّع.

قائمة فحص قبل التوقيع

1. خريطة تدفّق بيانات موقّعة من الطرفين.
2. سجل معالجة يوضّح الغرض والمدة والمسؤول.
3. آلية استجابة لطلبات أصحاب البيانات (اطّلاع، تصحيح، حذف) خلال المهلة النظامية.
4. تقييم أثر لأي نموذج يتّخذ قراراً يمسّ الفرد.
5. خطة إبلاغ عن الحوادث بمهلة واضحة.

الامتثال ليس عائقاً أمام الذكاء الاصطناعي؛ هو ما يجعل الجهات الكبيرة توقّع أصلاً. ابنِه في المعمارية، لا في العقد فقط.