نظام PDPL السعودي وهيئة SDAIA: ما يجب على الشركات الدولية التحقق منه قبل دخول المملكة

مقدمة

كثيرًا ما تفترض الشركات غير المنشأة فعليًا في المملكة أن نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية شأن محلي. هذا الافتراض خاطئ، وتزداد أهميته الآن أكثر من المعتاد، في وقت تقدّم فيه المملكة العربية السعودية نفسها مركزًا إقليميًا للتقنية والذكاء الاصطناعي وتدرس فيه الشركات الدولية دخول سوقها. يشمل النظام معالجة البيانات الشخصية التي تتم داخل المملكة أو تتعلق بأفراد مقيمين فيها، من قِبل أي جهة، بصرف النظر عن موقعها. فالشركة التي لا تملك مكتبًا في السعودية، وتعالج بيانات المقيمين فيها من أي مكان في العالم، تقع ضمن نطاق تطبيق النظام.

هيئتان ونظام واحد

يُدار مشهد حماية البيانات في المملكة العربية السعودية عبر جهتين مستقلتين بصلاحيات متكاملة. فالهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) هي الجهة المختصة التي تشرف على تطبيق نظام حماية البيانات الشخصية نفسه، أي التسجيل ومتطلبات الموافقة والتصاريح الخاصة بنقل البيانات عبر الحدود وحقوق أصحاب البيانات. وتعمل الهيئة الوطنية للأمن السيبراني إلى جانبها، إذ تشرف على ضوابط الأمن السيبراني التي يجب على المؤسسات الحفاظ عليها لحماية البيانات التي يحكمها النظام. ودخول السوق السعودية على النحو الصحيح يعني التعامل مع الهيئتين معًا، لا افتراض أن التسجيل بموجب النظام وحده يغطي متطلبات الأمن السيبراني المضافة إليه.

لماذا تهم الصلاحيات المزدوجة لهيئة SDAIA عمليات نشر الذكاء الاصطناعي تحديدًا

ليس اسم الهيئة السعودية للبيانات والذكاء الاصطناعي مصادفة، فالجهة نفسها المسؤولة عن إنفاذ حماية البيانات هي أيضًا الجهة الوطنية المعنية بالذكاء الاصطناعي في المملكة. وبالنسبة إلى أي شركة تنشر أنظمة ذكاء اصطناعي تعالج بيانات المقيمين في السعودية، يعني ذلك أن الامتثال لمتطلبات حماية البيانات وتوقعات حوكمة الذكاء الاصطناعي يقعان لدى جهة تنظيمية واحدة، بدلًا من جهتين منفصلتين تعملان وفق أطر مختلفة. وقد يسهّل هذا التوحيد التعامل مع الجهة التنظيمية، لكنه يعني أيضًا أن SDAIA في موقع يتيح لها التدقيق في حوكمة بيانات الذكاء الاصطناعي (مصدر بيانات التدريب، وتدفقات البيانات عبر الحدود لتدريب النماذج، واستمرار دقة البيانات) بالصلاحية نفسها التي تستخدمها لإنفاذ الأحكام الأساسية لنظام حماية البيانات الشخصية.

1. التحقق من انطباق نظام حماية البيانات الشخصية بناءً على ما إذا كانت أي عملية معالجة تمس بيانات المقيمين في السعودية، بصرف النظر عن مقر مؤسستك
2. التسجيل لدى SDAIA والتواصل معها مباشرة، بدلًا من افتراض أن الامتثال العام لقواعد الخصوصية في أماكن أخرى يغطي المتطلبات السعودية
3. حصر ضوابط الهيئة الوطنية للأمن السيبراني بمعزل عن التزامات النظام المتعلقة بحقوق أصحاب البيانات، فهي مترابطة لكنها متمايزة
4. في أنظمة الذكاء الاصطناعي، توقُّع أن تتلاقى خبرة SDAIA في حماية البيانات وحوكمة الذكاء الاصطناعي عند التدقيق نفسه في مصدر بيانات التدريب ودقتها

معيار الإثبات واحد، وإن اختلفت الولاية القضائية

كما هو الحال في أنظمة الاتحاد الأوروبي، DORA وNIS2 وقانون الذكاء الاصطناعي، والأطر المتداخلة في الإمارات العربية المتحدة، يطرح الإطار السعودي في نهاية المطاف السؤال الجوهري نفسه: هل تستطيع المؤسسة أن تثبت، بصورة مستمرة، أن بياناتها، والأنظمة المبنية عليها، لا تزال تمامًا كما قُدِّمت؟ إن برنامج الامتثال القائم على أدلة مستمرة وقابلة للتحقق، بدلًا من التقارير الذاتية الدورية، يصلح للتطبيق في جميع هذه الولايات القضائية، لأن التوقع الجوهري متسق حتى حين تختلف الصياغة التشريعية المحددة وأسماء الجهات المختصة.

يمتد نظام حماية البيانات الشخصية السعودي إلى أبعد مما تفترضه معظم الشركات الدولية، وتقع الجهة المعنية بالذكاء الاصطناعي ضمن الجهة التنظيمية نفسها التي تتولى إنفاذ حماية البيانات. اكتشف كيف تبني ROOTKey طبقة أدلة واحدة قابلة للتحقق باستمرار عبر الولايات القضائية.