الخريطة التنظيمية للذكاء الاصطناعي في السعودية: سدايا + NCA + PDPL

م. ناصر العبدالله

مستشار حوكمة الذكاء الاصطناعي في BrightAI. مهندس ومستشار حوكمة ذكاء اصطناعي يركز على تحويل متطلبات الامتثال السعودية إلى ضوابط تشغيلية قابلة للتدقيق داخل المؤسسات.

ملاحظة مهمة: هذا المحتوى للتوعية وبناء برنامج حوكمة عملي، ولا يغني عن مراجعة المستشارين القانونيين أو متطلبات الجهة التنظيمية المختصة في حالتك.

أولاً: مقدمة — ليش الخريطة التنظيمية ضرورية؟

الذكاء الاصطناعي في السعودية اليوم مو خيار — صار ضرورة تنافسية. المؤسسات الحكومية والخاصة تتسابق في تبني تقنيات الـ AI عشان تزيد الكفاءة وتخفض التكاليف وتحسن الخدمة. لكن مع هالتسارع، يظهر سؤال مهم: مين ينظم هالقطاع؟ ومين يضع القواعد؟ ومين يراقب التطبيق؟

الجواب مو بسيط، لأن المشهد التنظيمي في السعودية مو جهة وحدة تتحكم بكل شي. فيه ثلاث جهات رئيسية — كل وحدة منها تركز على زاوية مختلفة من حوكمة الذكاء الاصطناعي:

• سدايا (SDAIA): تركز على الحوكمة والمبادئ الأخلاقية وتنظيم قطاع البيانات والذكاء الاصطناعي ككل.
• NCA (الهيئة الوطنية للأمن السيبراني): تركز على أمن الأنظمة والشبكات والبنية التحتية اللي تشغّل الـ AI.
• PDPL (نظام حماية البيانات الشخصية): يركز على الخصوصية — كيف تجمع، تعالج، تخزن، وتنقل البيانات الشخصية، ويشرف عليه سدايا/NDMO.

المشكلة اللي تواجهها المؤسسات السعودية اليوم مو في فهم كل جهة لحالها — المشكلة في إن الضوابط تتداخل وتتقاطع. أحياناً تطبيق متطلبات جهة يحقق متطلبات جهة ثانية، وأحياناً العكس — تطبيق ضوابط NCA بدون ما تراعي PDPL يخلق فجوة خطيرة.

الخريطة التنظيمية اللي نرسمها في هذا المقال تهدف لحل هالمشكلة: توضح العلاقات والتداخلات بين الجهات الثلاث، وتعطيك دليلك العملي اللي تقدر ترجع له كل ما احتجت تعرف مين المسؤول عن وش.

وش اللي يخلي هالمعرفة ضرورية اليوم بالذات؟ لأن السوق السعودي يشهد موجة تدقيق متزايدة. الجهات الرقابية بدأت تأخذ الموضوع بجدية، وغرامات عدم الامتثال مو رخيصة. شركة تفهم الخريطة التنظيمية اليوم بتوفر على نفسها مخاطر قانونية وتشغيلية كبيرة بكرا.

ثانياً: سدايا — المرجع الوطني للبيانات والذكاء الاصطناعي

سدايا (الهيئة السعودية للبيانات والذكاء الاصطناعي) هي الجهة الأم في هذا المشهد. تأسست بأمر ملكي في 2019 عشان تكون المرجع الوطني لكل ما يتعلق بالبيانات والذكاء الاصطناعي. دورها مو مجرد إصدار إرشادات — هي اللي تضع الاستراتيجية الوطنية، تشرف على المبادرات، وتنظم القطاع ككل.

دور سدايا في حوكمة الذكاء الاصطناعي

سدايا عندها صلاحيات واسعة تشمل:

• إصدار إرشادات حوكمة الذكاء الاصطناعي: زي إرشادات الذكاء التوليدي اللي ناقشناها بالتفصيل في مقال سابق. هالإرشادات تحدد المبادئ اللي لازم كل مؤسسة سعودية تتبعها عند استخدامها للـ AI.
• مبادئ الأخلاقيات السبعة: سدايا أطلقت سبعة مبادئ أخلاقية للذكاء الاصطناعي — العدالة، الشفافية، المسؤولية، الخصوصية، الأمان، التعاون البشري، والرقابة. كل مبدأ له تطبيقات تشغيلية داخل المؤسسات. دليلنا العملي للمبادئ السبعة يشرح كيف تحولها إلى سياسات يومية.
• الإشراف على تنفيذ PDPL: NDMO (المكتب الوطني لإدارة البيانات) اللي تحت سدايا هو المسؤول عن تنفيذ نظام حماية البيانات الشخصية. يعني سدايا مو بس جهة إرشادات — هي كمان الجهة التنظيمية للخصوصية.
• إدارة الاستراتيجية الوطنية للبيانات والذكاء الاصطناعي: سدايا تشرف على تحقيق مستهدفات رؤية 2030 في مجالات البيانات والـ AI، وتدير مبادرات ضخمة مثل توطين التقنية وبناء الكفاءات.

المؤسسات السعودية تحتاج تفكر في سدايا كـ “الطبقة العليا” من الحوكمة. كل ما تسويه في الـ AI لازم يكون متوافق مع مبادئ سدايا — مو لأنها قانون ملزم بالضرورة، لكن لأنها المرجع اللي كل الجهات الثانية تبني عليه.

نقاط التقاطع مع الجهات الثانية

سدايا ما تشتغل في فراغ. إرشاداتها تتداخل مع NCA في نقاط الأمان، ومع PDPL في نقاط الخصوصية. مثلاً: مبدأ الأمان في إرشادات سدايا يتوافق مع ضوابط NCA ECC، ومبدأ الخصوصية يرتبط مباشرة بمتطلبات PDPL. هذا التكامل مو صدفة — سدايا صممت إرشاداتها عشان تكون متوافقة مع بقية الأنظمة.

ثالثاً: NCA — الأمن السيبراني للأنظمة اللي تشغّل الذكاء الاصطناعي

الهيئة الوطنية للأمن السيبراني (NCA) هي الجهة المسؤولة عن أمن المعلومات والأنظمة في السعودية. تأسست في 2017، ودورها يركز على حماية البنية التحتية والأنظمة من الهجمات السيبرانية. مع انتشار الذكاء الاصطناعي، دور NCA صار أكثر أهمية لأن أنظمة الـ AI نفسها صارت هدف للهجمات.

ضوابط NCA الأساسية

NCA عندها عدة أطر تنظيمية، أهمها:

• ECC (Essential Cybersecurity Controls): الضوابط الأساسية للأمن السيبراني اللي تنطبق على كل الجهات في القطاعين الحكومي والخاص. تغطي 5 مجالات رئيسية: الحوكمة، الدفاع، الكشف، الاستجابة، والتعافي. شرحنا المفصل لضوابط NCA يغطي كل التفاصيل.
• ESSA (Email Security Standards): معايير أمن البريد الإلكتروني — مهمة لأن كثير من استخدامات الـ AI تبدأ من البريد (بوتات تلخيص، ردود آلية).
• CSCC (Cloud Security Controls): ضوابط أمن السحابة — ضرورية لأن أغلب نماذج الذكاء التوليدي تشتغل على بنية سحابية.

العلاقة بين NCA وسدايا

فيه تساؤل دائم: وين تبدأ مسؤولية سدايا وين تنتهي مسؤولية NCA؟ الجواب العملي هو:

سدايا تهتم بـ ماذا يفعل الـ AI (الشفافية، العدالة، المسؤولية، الخصوصية). NCA تهتم بـ كيف يحمي النظام اللي يشغّل الـ AI (التحكم في الوصول، التشفير، كشف الاختراق، إدارة الثغرات).

مثال بسيط: لو عندك بوت خدمة عملاء يستخدم ذكاء توليدي. سدايا تقول: لازم البوت يكشف للعميل إنه يتكلم مع AI (الشفافية)، ويمنع التحيز (العدالة)، ويوثق المحادثات (سجل التدقيق). NCA تقول: لازم السيرفر اللي يشغّل البوت يكون محمي، الاتصال مشفر، الصلاحيات مضبوطة، وفيه خطة استجابة للحوادث.

الجهتان مكملتين لبعض. مؤسسة تطبق ضوابط NCA بدون إرشادات سدايا عندها أنظمة آمنة لكن استخدام الـ AI ممكن يكون غير مسؤول. والعكس — تطبق إرشادات سدايا بدون NCA عندها حوكمة جيدة لكن أنظمتها ممكن تكون مكشوفة للهجمات.

رابعاً: PDPL — حماية البيانات الشخصية في عصر الذكاء الاصطناعي

نظام حماية البيانات الشخصية (PDPL) هو الإطار القانوني لحماية بيانات الأفراد في السعودية. صدر في 2021 ودخل التنفيذ الإلزامي في 2024. الجهة المسؤولة عن تنفيذه وإشرافها هي NDMO (المكتب الوطني لإدارة البيانات) اللي يتبع سدايا.

متطلبات PDPL الرئيسية للمؤسسات اللي تستخدم AI

PDPL يفرض متطلبات واضحة على كل منظمة تعالج بيانات شخصية. في سياق الذكاء الاصطناعي، هالمتطلبات تصير أكثر تعقيداً لأن الـ AI يعالج كميات ضخمة ويمكن يعيد استخدام البيانات لأغراض غير متوقعة:

• الإفصاح والموافقة: لازم تخبر الأفراد إنك بتستخدم بياناتهم في أنظمة AI، وتاخذ موافقتهم الصريحة على الغرض المحدد.
• تحديد الغرض: ما تقدر تجمع بيانات شخصية عشان هدف ما بعده واضح. لازم تحدد الغرض من معالجة البيانات في سياق الـ AI قبل ما تبدأ.
• تقليل البيانات: اجمع أقل كمية من البيانات اللازمة للغرض. لا تجمع كل شي “عشان بعدين نشوف”.
• سجل المعالجة: وثق كل عملية معالجة — مين، متى، ليش، وش البيانات، وين تروح.
• حقوق الأفراد: الأفراد عندهم حق الوصول، التصحيح، الحذف، ونقل بياناتهم. أنظمة الـ AI لازم تكون مصممة عشان تقدر تلبي هالطلبات.
• نقل البيانات عبر الحدود: لو النموذج اللي تستخدمه شغال على سيرفرات خارج السعودية، لازم تتأكد من وجود ضمانات كافية وفق متطلبات PDPL.

التداخل مع سدايا و NCA

PDPL يتقاطع مع سدايا عند مبدأ الخصوصية في إرشادات الذكاء التوليدي — الاثنان يطالبون بحماية البيانات الشخصية وتقليل المخاطر. ويتقاطع مع NCA عند ضوابط حماية البيانات والتشفير — PDPL يطلب حماية البيانات، و NCA تحدد المعايير التقنية لهذه الحماية.

المؤسسات اللي تطبق PDPL بدون ما تراعي متطلبات سدايا التوسعية لأنظمة الـ AI ممكن تكتشف إن عندها فجوات في مجالات ما غطاها PDPL مباشرة — زي الشفافية تجاه العملاء، أو المراجعة البشرية للقرارات الآلية.

خامساً: جدول مقارنة — الجهات التنظيمية الثلاث

سادساً: سيناريوهات التكامل — كيف تطبق الثلاث مع بعضها

التطبيق النظري سهل، لكن التحدي الحقيقي هو في الواقع التشغيلي. هنا ثلاثة سيناريوهات عملية توضح كيف تتداخل الجهات الثلاث في مؤسسة سعودية.

السيناريو الأول: بنك سعودي يطبق AI في خدمة العملاء

بنك محلي يبي يستخدم ذكاء توليدي للرد على استفسارات العملاء في قنواته الرقمية. وش يحتاج من كل جهة؟

من سدايا: يطبق إرشادات الذكاء التوليدي — يكشف إن البوت AI، يوثق كل محادثة، يصنف حالات الاستخدام حسب المخاطر، ويضمن وجود مراجعة بشرية للقرارات الحساسة (زي رفض تمويل أو تغيير عقد).

من NCA: يطبق ضوابط ECC على البنية التحتية — البوت يشتغل على سيرفرات آمنة، الاتصال مشفر، الصلاحيات مضبوطة (شنو يقدر يشوف البوت من بيانات، وشنو لا)، وفيه مراقبة للاختراقات.

من PDPL: يضمن موافقة العميل على معالجة بياناته، يحدد الغرض من المعالجة بدقة، يطبق سياسة الاحتفاظ بالبيانات، ويضمن حق العميل في طلب حذف بياناته من سجلات البوت.

التطبيق المتكامل: البنك يستخدم جدار حماية الذكاء الاصطناعي لمنع تسرب البيانات الحساسة للنموذج السحابي (يحقق متطلبات NCA + PDPL بنفس الوقت)، ويسجل كل طلب في سجل تدقيق يثبت الامتثال للجهات الثلاث (سدايا، NCA، PDPL).

السيناريو الثاني: جهة حكومية تطبق منصة حوكمة AI في خدمات المواطنين

جهة حكومية — زي وزارة أو هيئة — تستخدم الذكاء الاصطناعي في تحليل طلبات المواطنين، التصنيف، والرد الآلي.

من سدايا: تطبق مبادئ الأخلاقيات السبعة — العدالة في معالجة الطلبات (ما في تحيز ضد منطقة أو فئة)، الشفافية للمواطن، والمراجعة البشرية للقرارات اللي تأثر على حقوق الأفراد.

من NCA: تطبق ضوابط ECC و CSCC (لأن الأنظمة غالباً على السحابة الحكومية). التصنيف العالي للبيانات الحكومية يتطلب تشفير متقدم، تدقيق وصول، واستجابة سريعة للحوادث.

من PDPL: الحفاظ على خصوصية المواطنين، تحديد غرض معالجة البيانات، وضمان عدم استخدام البيانات لأغراض غير مصرح بها.

الحل المتكامل: حوكمة الذكاء الاصطناعي للقطاع الحكومي من BrightAI تقدم منصة موحدة تربط متطلبات الجهات الثلاث في لوحة تحكم واحدة — تشوف فيها مستوى امتثالك لكل جهة في الوقت الفعلي.

السيناريو الثالث: شركة تأمين تستخدم AI في تقييم المطالبات

شركة تأمين تطبق نموذج ذكاء اصطناعي لتحليل وتقييم مطالبات العملاء بشكل آلي.

من سدايا: تصنيف المطالبات حسب المخاطر (منخفضة = أتمتة كاملة، متوسطة = مراجعة بشرية، عالية = لا يدخل AI). الشفافية مطلوبة للعميل إن التقييم استخدم AI، ويعرف إنه يقدر يطلب مراجعة بشرية.

من NCA: حماية قاعدة بيانات المطالبات اللي فيها معلومات حساسة عن العملاء، تطبيق ضوابط الوصول الصارمة، والتشفير الكامل.

من PDPL: المطالبات تحتوي على كمية كبيرة من البيانات الشخصية (حالة صحية، دخل، سجل). الشركة لازم تلتزم بكل متطلبات PDPL: الموافقة، تحديد الغرض، تقليل البيانات، وسجل المعالجة.

التداخل الأهم هنا: تصنيف المخاطر حسب إرشادات سدايا يتوافق مع متطلبات تقليل البيانات في PDPL — البيانات الأقل حساسية تمر بمعالجة أقل، والبيانات العالية الحساسية تحتاج حماية أشد (NCA) + موافقة أوسع (PDPL).

سابعاً: الأسئلة الشائعة

ثامناً: أهم النقاط