السحابة والذكاء الاصطناعي وفق متطلبات SAMA

سيادة البيانات والسحابة في القطاع المصرفي

SAMA تولي اهتمام كبير بسيادة البيانات (Data Sovereignty) في القطاع المصرفي. البيانات اللي تنشأ في المملكة يجب أن تبقى خاضعة للقانون السعودي. هذا يعني إن البنوك اللي تستخدم خدمات سحابية يجب أن تتأكد إن بيانات عملائها ما تغادر المملكة بدون تصريح، وأن مزود الخدمة السحابي يخضع للضوابط السعودية.

الذكاء الاصطناعي يضيف تعقيد لهذا الموضوع. نماذج AI السحابية (زي ChatGPT أو Claude) قد تخزن البيانات اللي ترفعها في مراكز بيانات خارج المملكة. هذا يخلق توتر بين الرغبة في استخدام أحدث النماذج ومتطلبات سيادة البيانات. البنك اللي يرفع بيانات عميل لنموذج خارجي قد يخالف متطلبات SAMA بدون ما يدري.

الحل إنك ما تمنع استخدام النماذج السحابية، بس تتحكم في البيانات اللي تخرج. AI Firewall من BrightAI يفحص كل طلب قبل وصوله للنموذج السحابي، يصنّف البيانات حسب الحساسية، ويحجب المعلومات المالية الحساسة. هذا يخلي البنك يستفيد من قدرات النماذج السحابية بدون ما يخاطر بسيادة البيانات.

اختيار مزود الخدمة السحابية وتقييمه

اختيار المزود ليس قرارًا تقنيًا فقط بل قرار امتثال. SAMA و NCA يتوقعان من البنك أن يتحقق من مزود السحابة قبل الاعتماد عليه:

• الاعتماد الرسمي: هل المزود معتمد من NCA أو هيئة مختصة للخدمات السحابية في المملكة؟
• موقع مراكز البيانات: أين تُخزن البيانات فعليًا؟ هل توجد نسخ خارج المملكة؟
• الشهادات والتدقيق: هل يخضع المزود لتدقيق أمني دوري؟ هل يقبل بند التدقيق من البنك في العقد؟
• خطة الخروج: ماذا يحدث عند انتهاء العقد؟ كيف تُسترجع البيانات وتُحذف النسخ؟

البنك الذي يوثق هذا التقييم ويحتفظ بسجل عنه يملك دفاعًا واضحًا أمام SAMA وقت التفتيش، ويكتشف مشاكل مزوده قبل أن يتحول لانكشاف فعلي.

ضوابط CCC السحابية وتطبيقها على AI

الهيئة الوطنية للأمن السيبراني (NCA) أصدرت ضوابط الأمن السيبراني السحابية (Cloud Cybersecurity Controls - CCC) اللي تحدد متطلبات استخدام السحابة في المملكة. CCC تغطي: تصنيف البيانات، متطلبات مزود الخدمة السحابي، حماية البيانات، وتبادل البيانات عبر الحدود. كل هذه الضوابط تنطبق على استخدام AI في البيئات السحابية.

للذكاء الاصطناعي، CCC تعني إن البنك يجب أن يعرف: أين تخزن بيانات التدريب؟ أين يعالج النموذج الطلبات؟ هل البيانات تغادر المملكة؟ هل مزود الخدمة السحابي معتمد من NCA؟ هذه الأسئلة أساسية لأن الإجابة عليها تحدد إذا كان استخدام AI متوافق مع CCC أو لا.

التحدي إن كثير بنوك تستخدم نماذج AI سحابية بدون ما تجاوب على هذه الأسئلة. الموظف يرفع بيانات لنموذج خارجي، ولا أحد يسأل أين تخزن أو كيف تعالج. هذا يخلق فجوة امتثال قد تكتشفها SAMA وقت التفتيش. BrightAI يساعد البنك يجاوب على هذه الأسئلة بسجل تدقيق كامل يوثق كل تفاعل والبيانات اللي دخلت.

النهج الهجين: السحابة المحلية + النماذج الخارجية

كثير بنوك سعودية تتبنى نهج هجين: تستضيف البيانات الحساسة في سحابة محلية، وتستخدم نماذج AI خارجية للمهام اللي ما تتطلب بيانات حساسة. هذا النهج متوافق مع SAMA لأنه يحافظ على سيادة البيانات الحساسة بس يستفيد من قدرات النماذج الخارجية.

التحدي إن الموظف ما يقدر يميز دائمًا بين البيانات الحساسة وغير الحساسة. قد يرفع بيانات عميل للنموذج الخارجي بدون قصد، أو يستخدم النموذج المحلي لمهمة ما تحتاج بيانات حساسة. هنا تظهر قيمة AI Firewall — يصنّف البيانات تلقائيًا ويوجه الطلب للنموذج المناسب. بيانات حساسة؟ للنموذج المحلي. بيانات عامة؟ للنموذج الخارجي.

هذا التوجيه التلقائي يطبق سياسة البنك بدون ما يغير سير العمل. الموظف يكتب طلبه عادي، والـ BrightAI يحدد الوجهة بناءً على تصنيف البيانات. كل قرار موثّق في سجل تدقيق، والبنك يثبت إنه يطبق النهج الهجين بشكل منظم ومتوافق مع SAMA و CCC.

كيف يطبق BrightAI ضوابط السحابة على AI

BrightAI يوفر طبقة تحكم واحدة تطبق متطلبات SAMA و CCC على كل تفاعل مع نماذج AI سحابية. AI Firewall يفحص كل طلب، يصنّف البيانات، ويحدد إذا كان الطلب يقدر يروح للنموذج الخارجي أو يجب توجيهه للنموذج المحلي. هذا يطبق ضابط سيادة البيانات وضابط تبادل البيانات عبر الحدود.

سجل التدقيق يوثق كل تفاعل — أي نموذج استُخدم، أي بيانات دخلت، أين عولجت، وأي نتيجة طلعت. هذا يثبت للمراجع الداخلي أو لـ SAMA إن البنك يسيطر على استخدام AI السحابي ويطبق CCC. طبقة الموافقة البشرية تتطلب موافقة للطلبات اللي تحوي بيانات حساسة وتروح للنموذج الخارجي.

القيمة الحقيقية إن هذه الضوابط تطبق في الوقت الفعلي بدون ما تغير سير العمل. البنك يقدر يستمر في استخدام النماذج السحابية بكفاءة بس ضمن إطار حوكمة متوافق مع SAMA. ابدأ بتقييم الفجوة على الحالات اللي تستخدم نماذج خارجية أولًا، ثم وسّع التغطية للنماذج المحلية.

الحوادث في البيئة السحابية وتبليغ SAMA

الحادث في السحابة يختلف عن الحادث في مركز البيانات المحلي: حدود المسؤولية تتقاسم مع المزود، وأثر الحادث قد يمتد عبر أصول متعددة. SAMA تشترط إبلاغًا سريعًا عن الحوادث الجسيمة وتوقيتًا واضحًا للتبليغ.

خطة الاستجابة النموذجية تشمل: تصنيف الحادث حسب الخطورة خلال دقائق، إخطار فريق الاستجابة الداخلي، إشراك المزود وفق بنود العقد، وإعداد التقرير لـ SAMA خلال الإطار الزمني المطلوب. سجل تدقيق يوثق كل خطوة بالطابع الزمني يجعل التقارير سريعة ودقيقة، ويحول الاستجابة من فوضى إلى مسار منظم.

إدارة مخاطر مزودي الخدمة السحابية

الاعتماد على مزود سحابي نقل جزءًا من المخاطر التشغيلية لطرف ثالث، لكن SAMA لا تقبل نقل المسؤولية: البنك يبقى مسؤولًا أمام الجهة التنظيمية مهما كان المزود. هذا يفرض إدارة مستمرة لعلاقة المزود:

• مراجعة دورية: تقييم مستمر لأداء المزود وامتثاله ومؤشرات توقف الخدمة.
• بنود تعاقدية واضحة: الحق في التدقيق، التبليغ عن الحوادث، والإنهاء عند انخفاض مستوى الخدمة.
• خطط استمرارية: ما يحدث عند انقطاع المزود؟ نسخ احتياطية ومسار بديل موثق ومختبر.
• تسجيل المزودين: سجل مركزي بكل مزود وتقييمه وعقوده وسجل تدقيقه.

البنك الذي يدير هذه العلاقة بوثائق مكتملة يثبت لـ SAMA أن اعتماده على السحابة مدروس لا عشوائي.

أخطاء شائعة في تبني السحابة و AI

• الترحيل بلا تصنيف: نقل البيانات للسحابة دون تصنيف مسبق، فلا يعرف البنك أي البيانات حساسة ومتطلباتها.
• الاعتماد على أداة واحدة: ربط كل العمليات بمزود واحد دون خطة بديل، فيصبح انقطاعه شللًا كاملًا.
• إعدادات افتراضية: نشر الخدمات بإعدادات المزود الافتراضية المفتوحة، فتتعرض البيانات للوصول العام دون قصد.
• تجاهل التكلفة الخفية: تجاهل تكاليف خروج البيانات والنسخ والتشغيل عند اختيار الخدمة.
• غياب التوثيق: عدم توثيق القرارات والبنود، فلا يملك البنك دليل امتثال وقت التفتيش.

أسئلة شائعة عن السحابة و AI وفق SAMA

هل يسمح SAMA باستخدام سحابة عامة في البنوك؟

يسمح ضمن ضوابط: تصنيف البيانات، اعتماد المزود، وحماية البيانات عبر الحدود. البيانات الحساسة قد تتطلب سحابة محلية أو بيئة معزولة، بينما تسمح البيانات العامة بالاستخدام الأوسع.

هل تستطيع البنوك استخدام نماذج AI خارجية؟

نعم، مع ضوابط: فحص الطلبات قبل المغادرة، حجب البيانات الحساسة، وتوثيق كل تفاعل. النموذج الخارجي يخدم الحالات العامة، والنموذج المحلي أو المعزول يخدم البيانات الحساسة.

من يتحمل المسؤولية عند حادث عند المزود؟

البنك يبقى مسؤولًا أمام SAMA، لكنه يرجع على المزود وفق العقد. لذلك بنود العقد والتدقيق الدوري للاحتفاظ بالدليل ضروريان لا ترفيه.

ما مدة حفظ سجلات التدقيق في البيئة السحابية؟

SAMA تشترط الاحتفاظ بالسجلات لفترات محددة تختلف حسب نوع السجل، والبنوك تخزنها غالبًا عدة سنوات مع النسخ الاحتياطية. السجل غير القابل للتعديل يضمن صحة الدليل حتى بعد مرور سنوات.

هل يفرض SAMA استخدام سحابة معينة بعينها؟

لا يحدد مزودًا بعينه، بل يحدد شروطًا يحققها أي مزود: مراكز بيانات محلية متاحة، اعتماد رسمي، وبنود تحكم ووصول. البنك حر في الاختيار ضمن هذه الشروط، بشرط توثيق القرار ومبرراته في سجل المزودين.

الخلاصة

السحابة والذكاء الاصطناعي في القطاع المصرفي السعودي يتطلبان توازن دقيق بين الابتكار والامتثال. SAMA و NCA CCC يفرضان ضوابط صارمة على سيادة البيانات وتبادل البيانات عبر الحدود. البنوك اللي تستخدم AI سحابي بدون هذه الضوابط تعرض نفسها لمخاطر تنظيمية وقانونية.

BrightAI يوفر طبقة تحكم تطبق متطلبات SAMA و CCC على كل تفاعل مع نماذج AI سحابية. AI Firewall، Audit Trail، Human Approval Layer — كلها في مكان واحد تحمي البنك وتثبت امتثاله. ابدأ بتقييم الفجوة على الحالات اللي تستخدم نماذج خارجية أولًا، ثم وسّع التغطية تدريجيًا.

الخلاصة العملية: السحابة ليست عدو الامتثال، بل البوابة غير المُدارة هي العدو. من يفحص كل طلب، ويوثق كل تفاعل، ويختار مزوده بوعي، يستطيع الجمع بين سرعة السحابة وسيادة البيانات السعودية دون أي تعارض.