أي شات بوت يجمع اسم العميل أو رقمه أو محتوى رسائله في السعودية يعالج بيانات شخصية، فيخضع لنظام حماية البيانات الشخصية (PDPL) الذي نفذ في 14 سبتمبر 2023. وأهم متطلبات PDPL لأي شات بوت: إبلاغ العميل بالغرض والجهة المسؤولة عند الجمع، وسياسة خصوصية معلنة، وتنفيذ طلبات الحقوق خلال 30 يوماً، وإشعار الجهة المختصة بأي تسرّب خلال 72 ساعة.
تنبيه: هذا المقال شرح معلوماتي مبني على النصوص الرسمية المنشورة على منصة حوكمة البيانات التابعة للهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وليس استشارة قانونية. راجع مستشاراً قانونياً مختصاً قبل اتخاذ أي قرار امتثال.
هذا الدليل مكتوب للشركات في السعودية التي تستخدم أو تنوي استخدام روبوت محادثة أو وكيل ذكاء اصطناعي على واتساب أو الموقع الالكتروني. وتبني NourSky (نور سكاي) حلول الذكاء الاصطناعي للشركات، ولذلك نطرح هذه الأسئلة في مرحلة التصميم، لا بعد الإطلاق.
هل يخضع الشات بوت لنظام حماية البيانات الشخصية؟
نعم، متى عالج بيانات شخصية. والشات بوت يفعل ذلك في أبسط محادثة: رقم الهاتف في واتساب بيانات شخصية، وكذلك الاسم، والمدينة، والميزانية، وأي معلومة يكتبها العميل عن نفسه. والنظام لا يفرّق بين موظف يسجّل هذه البيانات يدوياً ونظام اتمتة يسجّلها تلقائياً؛ المسؤولية تقع على المنشأة بوصفها «جهة التحكّم».
الجدول الزمني الرسمي: يذكر دليل سدايا لنظام حماية البيانات الشخصية أن النظام «دخل حيّز النفاذ في 14 سبتمبر 2023»، مع مهلة سنة للامتثال انتهت في 14 سبتمبر 2024. ومنذ ذلك التاريخ أصبح التطبيق كاملاً.
ما الذي يفرضه نظام PDPL على الشات بوت تحديداً؟
| الالتزام | المصدر الرسمي | ماذا يعني للشات بوت عملياً |
|---|---|---|
| الإبلاغ عند الجمع | المادة 13 من النظام | إبلاغ العميل بالمسوّغ النظامي والغرض من الجمع وهوية الجهة المسؤولة وحقوقه، قبل المعالجة أو عندها |
| سياسة الخصوصية | المادة 12 من النظام | سياسة معلنة يسهل الوصول إليها، ويُفضَّل ربطها في أول رسالة |
| الموافقة | المادة 5 من النظام | لا معالجة إلا بموافقة صاحب البيانات، ما لم تنطبق حالة استثناء نظامية، ويحقّ له سحب موافقته |
| حقوق صاحب البيانات | المادة 4 من النظام | العلم، والوصول، والحصول على نسخة مقروءة، والتصحيح، والإتلاف |
| مدة تنفيذ الطلبات | المادة 3 من اللائحة التنفيذية | تنفيذ طلبات الحقوق خلال مدة لا تتجاوز 30 يوماً |
| التسويق المباشر | المادة 29 من اللائحة التنفيذية | الحصول على موافقة صاحب البيانات قبل إرسال رسائل تسويقية |
| الإبلاغ عن التسرّب | المادة 20 من النظام والمادة 24 من اللائحة | إشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من العلم بالحادثة |
| النقل خارج المملكة | المادة 29 من النظام ولائحة النقل | ضمانات محدّدة إن كانت البيانات تُخزَّن أو تُعالَج خارج السعودية |
وتنصّ المادة 24 من اللائحة التنفيذية حرفياً على أن: «تُشعر جهة التحكم الجهة المختصة في حالة وقوع حادثة تسرّب للبيانات الشخصية خلال مدة لا تتجاوز (72) ساعة من وقت علمها بالحادثة».
هل يجوز أن تُعالَج بيانات الشات بوت خارج السعودية؟
هذا السؤال عملي جداً، لأن أغلب نماذج الذكاء الاصطناعي ومنصّات المحادثة تعمل على خوادم خارج المملكة. وتنظّم ذلك لائحة نقل البيانات الشخصية خارج المملكة الصادرة عن سدايا، ومن أبرز أحكامها:
- قائمة الدول الملائمة (المادة 3): تحتفظ الجهة المختصة بقائمة دول توفّر مستوى حماية للبيانات الشخصية «لا يقلّ عمّا يقرّره النظام واللوائح»، وتُراجَع كل أربع سنوات.
- الضمانات البديلة (المادة 4): عند غياب الملاءمة يمكن النقل بضمانات مثل البنود التعاقدية القياسية، أو القواعد المشتركة الملزمة، أو شهادة اعتماد.
- تقييم المخاطر (المادة 7): مطلوب قبل النقل بموجب المادة 4، أو عند نقل بيانات حسّاسة إلى خارج المملكة بشكل مستمر أو واسع.
عملياً، يجب أن تعرف المنشأة أين تُخزَّن سجلّات المحادثات، وأين يعالجها النموذج اللغوي، وما الأساس النظامي للنقل.
هل يجب إخبار العميل أنه يتحدّث مع ذكاء اصطناعي؟
نظام حماية البيانات الشخصية لا يتناول هذا السؤال نصّاً، لكن مبادئ أخلاقيات الذكاء الاصطناعي الصادرة عن سدايا (الإصدار 1.0، سبتمبر 2023) تتناوله. فمن أسئلة قائمة التحقّق فيها:
«في حالة روبوت المحادثة أو أنظمة الاتصال الأخرى، هل يدرك المستخدمون النهائيون أنهم يتفاعلون مع طرف غير بشري؟»
وينصّ مبدأ الشفافية وقابلية التفسير في الوثيقة نفسها على أن أنظمة الذكاء الاصطناعي «يجب أن تُبنى بدرجة عالية من الوضوح وقابلية التفسير». ويتّفق ذلك مع توقّعات العملاء: ففي استطلاع أجرته Gartner في فبراير ومارس 2026 على 3,566 عميلاً، قال 87% إن الشركات التي تستخدم الذكاء الاصطناعي التوليدي في خدمة العملاء يجب أن توفّر الوصول إلى موظف بشري. ولتفصيل أوسع، اقرأ هل يعرف العميل أنه يكلّم ذكاءً اصطناعياً؟
ما عقوبات مخالفة نظام حماية البيانات الشخصية؟
- المادة 36: الإنذار أو غرامة لا تزيد على 5 ملايين ريال (نحو 1,333,333 دولار بسعر الربط 3.75)، ويجوز مضاعفتها عند التكرار دون تجاوز الضعف.
- المادة 35: السجن مدة لا تزيد على سنتين وغرامة لا تزيد على 3 ملايين ريال (نحو 800,000 دولار بسعر الربط 3.75) لمن أفصح عن بيانات حسّاسة أو نشرها بقصد الإضرار أو تحقيق منفعة شخصية.
والتطبيق لم يعد نظرياً. فبحسب تحليل نشرته شركة المحاماة Clyde & Co في مارس 2026، أعلنت سدايا حتى منتصف يناير 2026 صدور 48 قرار إنفاذ في قطاعات متعدّدة، وتملك المنشأة المُبلَّغة بمخالفة مدة قصيرة للرد.
كيف تبني شات بوت ممتثلاً لنظام PDPL؟ قائمة من 10 خطوات
- أفصح في أول رسالة: عرّف العميل بأنه يتحدّث مع مساعد آلي، وباسم المنشأة، وأرفق رابط سياسة الخصوصية.
- اجمع الحدّ الأدنى: لا تطلب إلا ما يحتاجه الغرض المعلن. الشات بوت الذي يحجز موعداً لا يحتاج رقم الهوية.
- حدّد الغرض كتابةً: لكل حقل يجمعه الشات بوت غرض واحد واضح.
- تجنّب البيانات الحسّاسة: صمّم المحادثة بحيث لا يُطلب من العميل كتابة بيانات صحية أو غيرها من البيانات الحسّاسة إلا عند الضرورة وبأساس نظامي واضح.
- افصل الخدمة عن التسويق: لا ترسل رسائل تسويقية إلا بعد موافقة مستقلّة.
- حدّد مدة الاحتفاظ: متى تُحذف سجلّات المحادثات أو تُجهَّل، ومن ينفّذ ذلك.
- اضبط الصلاحيات: من يرى المحادثات داخل الفريق، ومع سجلّ للوصول.
- اعرف مكان البيانات: أين تُخزَّن، وأين يعالجها النموذج، وما أساس النقل إن كانت خارج المملكة.
- جهّز قناة للحقوق: طريقة واضحة لطلب الوصول أو التصحيح أو الإتلاف، وتنفيذها خلال 30 يوماً.
- جهّز خطة للتسرّب: من يكتشف، ومن يقرّر، وكيف يُبلَّغ خلال 72 ساعة.
ناقش متطلبات البيانات قبل أن تطلق الشات بوت
في جلسة تعريفية مع NourSky نراجع معك ما سيجمعه موظف الذكاء الاصطناعي من بيانات، ولماذا، وأين ستُخزَّن، حتى تدخل هذه القرارات في التصميم من البداية، مع مستشارك القانوني.
الأسئلة الشائعة
هل يحتاج الشات بوت إلى موافقة العميل قبل جمع بياناته؟
الأصل في المادة 5 من النظام أنه لا تجوز معالجة البيانات الشخصية إلا بموافقة صاحبها، مع حالات استثناء محدّدة في النظام ولائحته التنفيذية، منها المصلحة المشروعة بشروط. تحديد الأساس النظامي المناسب لكل غرض قرار يُتّخذ مع مستشار قانوني.
ما المدة المسموحة للإبلاغ عن تسرّب بيانات من الشات بوت؟
تنصّ المادة 24 من اللائحة التنفيذية على إشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من وقت العلم بالحادثة.
هل أستطيع استخدام نموذج ذكاء اصطناعي يعمل على خوادم خارج السعودية؟
النقل خارج المملكة منظَّم لا ممنوع مطلقاً. تحدّد لائحة نقل البيانات الشخصية خارج المملكة الحالات والضمانات المطلوبة، كالدول الملائمة أو البنود التعاقدية القياسية، وتشترط تقييماً للمخاطر في حالات معيّنة.
