إشعار الخصوصية للذكاء الاصطناعي: ما الذي يجب أن يتضمنه وكيل الذكاء الاصطناعي (AI agent) لديكم

نشرتم وكيل ذكاء اصطناعي (AI agent) يتحدث مع عملائكم على الموقع أو على WhatsApp، وسياسة الخصوصية لم تُحدَّث منذ سنوات. إشعار الخصوصية للذكاء الاصطناعي مسألة مختلفة عن الوثيقة العامة التي كتبها المستشار القانوني قبل سنوات. الوكيل يجمع محادثات كاملة، ويستنتج نوايا، ويُخزِّن سجلاً سلوكياً لكل مستخدم، وكل ذلك يستوجب إفصاحاً صريحاً بموجب المرسوم الاتحادي رقم 45 لسنة 2021.

يستعرض هذا الدليل العناصر الواجب توفرها في الإشعار، والفروق بين الإطار الفيدرالي وأنظمة مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM)، والأخطاء التي تُفرغ الإشعار من قيمته حتى لو كان مكتوباً بلغة قانونية سليمة.

أهم النقاط

• إشعار الخصوصية لوكيل الذكاء الاصطناعي يختلف عن سياسة الخصوصية العامة — سياسة الخصوصية تصف إجراءات المؤسسة الداخلية تجاه البيانات عموماً، بينما الإشعار يُعلِم المستخدم لحظة التفاعل بأن الوكيل يُخزِّن نص المحادثة الكامل ويستنتج نواياه ويبني سجلاً سلوكياً لتحسين الردود.
• المرسوم الاتحادي رقم 45 لسنة 2021 يُلزم بالإفصاح الصريح عن معالجة الوكيل — القانون الساري منذ 2 يناير 2022 يشترط تحديد أغراض الجمع والمعالجة بدقة؛ عبارة قد نستخدم بياناتكم لتحسين الخدمة لا تكفي، إذ يجب النص صراحةً على أن المحادثات تُعالَج بواسطة نموذج لغوي ولأي غرض تُستخدم مخرجاته.
• DIFC وADGM يفرضان نظامَي حماية بيانات مستقلَّين عن الإطار الفيدرالي — الشركة المُرخَّصة في DIFC تخضع لقانون حماية البيانات الخاص بالمركز، وفي ADGM لنظامها الخاص، لا للمرسوم الاتحادي رقم 45 لسنة 2021؛ الوكيل الذي يخدم عملاء من الموقعين معاً يحتاج إشعاراً طبقياً أو إشعارَين منفصلَين.
• نقل المحادثات إلى خوادم خارج الإمارات يستوجب تحديد الدولة والضمانة — عبارة قد تُعالَج البيانات في بلدان أخرى لا تستوفي شرط الإفصاح؛ يجب ذكر الدول أو المناطق المستقبِلة بالاسم والضمانات المطبَّقة، كالشروط التعاقدية المعيارية أو شهادات الامتثال.
• الإشعار يحتاج مراجعة فورية مع أي تغيير جوهري في بنية الوكيل — تغيير مزود النموذج اللغوي، أو إضافة أداة جديدة، أو ربط قاعدة بيانات جديدة، كلها تستوجب مراجعة الإشعار قبل النشر؛ المراجعة الدورية السنوية هي الحد الأدنى المذكور في المقال.

ما هو إشعار الخصوصية لوكيل الذكاء الاصطناعي ولماذا يختلف عن سياسة الخصوصية التقليدية؟

إشعار الخصوصية (Privacy Notice) يُعلِم الفرد بكيفية جمع بياناته ومعالجتها لحظة التفاعل. سياسة الخصوصية تصف الإجراءات الداخلية للمؤسسة تجاه البيانات عموماً. الفارق يُصبح حرجاً عند نشر وكيل ذكاء اصطناعي، لأن الإشعار مطلوب في السياق الذي يحدث فيه الجمع الفعلي.

وكيل الذكاء الاصطناعي (AI agent) يُوسِّع نطاق الجمع إلى ما لم تعتد المؤسسات على الإفصاح عنه. لا يلتقط اسم المستخدم وبريده فقط، بل يُخزِّن كامل نص المحادثة، ويستنتج نية المستخدم، ويبني سجلاً سلوكياً لتحسين الردود لاحقاً. هذه فئات معالجة لم تكن موجودة في سياسات الخصوصية المكتوبة قبل انتشار الذكاء الاصطناعي.

ما الذي يُعدّ بيانات شخصية داخل محادثة مع الوكيل؟ التفاصيل في مقال منفصل يستعرض حدود البيانات الشخصية في محادثات الروبوت، والقاعدة العملية أن كل ما يسمح بتمييز الفرد، بما فيه المحتوى الحر الذي يكتبه بنفسه، يدخل في نطاق الإفصاح.

الإشعار الجيد يُكتب بلغة يفهمها المستخدم العادي. الصياغة القانونية المُبهمة التي تُخفي أكثر مما تُفصح لا تستوفي الغرض التنظيمي ولا تحمي الشركة عند الشكوى.

إن هيئة تنظيم الاتصالات والحكومة الرقمية هي الجهة التي ترخّص خدمات الاتصالات في الإمارات وتضع قواعد التواصل التسويقي غير المرغوب فيه.

الإطار القانوني في الإمارات: ما الذي يُلزمكم به المرسوم الاتحادي رقم 45 لسنة 2021؟

تصوير: Pavel Danilyuk عبر Pexels

الإطار الفيدرالي لحماية البيانات في الإمارات هو المرسوم الاتحادي رقم 45 لسنة 2021 (PDPL) الساري منذ 2 يناير 2022. يُطبَّق على أغلب الشركات التي تعالج بيانات أفراد داخل الدولة، بما فيها من تُشغِّل وكلاء ذكاء اصطناعي يخاطبون العملاء بالعربية والإنجليزية.

المكتب الاتحادي لحماية البيانات، المُنشأ بالمرسوم الاتحادي رقم 44 لسنة 2021، هو الجهة التنظيمية المسؤولة عن الإشراف. أي شكوى تتعلق بإفصاح غير كافٍ عن معالجة الذكاء الاصطناعي تعود إليه لا إلى المحاكم مباشرة.

القانون يشترط الإفصاح عن أغراض الجمع والمعالجة بشكل محدد. الجملة العامة "قد نستخدم بياناتكم لتحسين الخدمة" لا تكفي عند تشغيل وكيل ذكاء اصطناعي؛ يجب النص صراحةً على أن المحادثات تُعالَج بواسطة نموذج لغوي وأن مخرجاتها تُستخدم لأغراض محددة.

الشركة التي تُشغِّل وكيلاً دون تحديث إشعاراتها تقع في ثغرة امتثالية حتى لو كانت تمتلك سياسة خصوصية عامة سارية. المفتش لا يسأل هل عندكم وثيقة، بل يسأل هل وثيقتكم تصف ما يحدث فعلياً الآن.

ينظّم المعهد الوطني الأمريكي للمعايير والتقنية إطار إدارة مخاطر الذكاء الاصطناعي حول أربع وظائف: الحوكمة والتوصيف والقياس والإدارة.

العناصر الأساسية التي يجب أن يتضمنها إشعار الخصوصية لوكيل الذكاء الاصطناعي

الغرض من الجمع أولاً. الإشعار يُحدد بالضبط ما الذي يجمعه الوكيل ولماذا: محتوى المحادثات لأغراض الرد المباشر، النوايا المُستنتَجة لأغراض التوجيه داخل النظام، السجل التاريخي للطلبات لأغراض الاستمرارية بين الجلسات. لكل فئة غرض مستقل مذكور، لا صياغة شاملة تُدرِج كل شيء تحت مظلة "تحسين الخدمة".

ثانياً الأطراف الثالثة. هل تُشارَك بيانات المحادثات مع مزود النموذج اللغوي؟ الإشعار يُذكر أسماء الأطراف أو فئاتها بوضوح، لا الإشارة العامة إلى "شركاء خارجيين". إذا كان الوكيل يعمل عبر واجهة برمجية لنموذج مستضاف خارج الشركة، فذلك مشاركة يجب الإفصاح عنها.

ثالثاً مدة الاحتفاظ. كم تحتفظ الشركة بسجلات المحادثات؟ 30 يوماً؟ سنة؟ إلى ما لا نهاية للتدريب؟ وما الإجراء المتبع عند انتهاء المدة، حذف آلي أم أرشفة في تخزين بارد؟ الأرقام المحددة مطلوبة، لا العبارات المطاطة كـ"لأطول مدة ضرورية".

رابعاً آلية الموافقة وحقوق الأفراد. كيف يستطيع المستخدم سحب موافقته أو طلب حذف بياناته؟ الإشعار يُحدد قناة فعلية قابلة للاستخدام: بريد إلكتروني محدد، أو رقم WhatsApp، أو نافذة داخل التطبيق يضغط عليها الفرد بيديه. "التواصل مع فريق الخصوصية" ليست قناة.

لكل عنصر من هذه العناصر صياغة دقيقة مطلوبة، وصياغة فضفاضة شائعة تُفرغه من قيمته:

يتابع مرصد سياسات الذكاء الاصطناعي التابع لمنظمة التعاون الاقتصادي والتنمية كيفية تنظيم الدول المختلفة للذكاء الاصطناعي، وهو ما يهم فور العمل في أكثر من سوق.

أين تُخزَّن بيانات وكيل الذكاء الاصطناعي وكيف يؤثر ذلك على الإشعار؟

عندما تُعالَج محادثات الوكيل على خوادم خارج الإمارات، فهذا نقل عابر للحدود يستوجب إفصاحاً صريحاً. كثير من الوكلاء يعملون عبر واجهات نماذج مستضافة في الولايات المتحدة أو أوروبا، ما يجعل هذه المسألة حاضرة في أغلب عمليات النشر.

الإشعار الجيد يُحدد الدول أو المناطق التي قد تُنقَل إليها البيانات والضمانات المطبَّقة لحمايتها، سواء كانت شروطاً تعاقدية معيارية أو شهادات امتثال معترف بها. عبارة "قد تُعالَج البيانات في بلدان أخرى" لا تستوفي شرط الإفصاح؛ فهي تُخفي أكثر مما تكشف.

بعض الشركات تتفادى هذا التعقيد عبر استضافة النموذج داخل الإمارات. خيارات الاستضافة المحلية للذكاء الاصطناعي تُبسِّط الإشعار جوهرياً لأنها تُلغي الحاجة إلى الفصل الطويل حول النقل عبر الحدود.

النماذج اللغوية المستضافة خارج الإمارات تُنشئ التزام إشعار إضافياً لا تُغطيه معظم سياسات الخصوصية الحالية. هذه إحدى أكثر الثغرات شيوعاً عند مراجعة الوثائق.

أما في أمن المعلومات عموماً فالمعيار المرجعي هو ISO/IEC 27001، وهو ما تزال معظم قوائم المشتريات في الإمارات تبدأ به.

مركز دبي المالي العالمي وسوق أبوظبي العالمي: هل تختلف متطلبات الإشعار؟

تصوير: Josh Eleazar عبر Pexels

نعم، وبفارق جوهري. مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) يُشغِّلان نظامَي حماية بيانات مستقلَّين لا يخضعان للمرسوم الاتحادي رقم 45 لسنة 2021. الشركة المُرخَّصة في DIFC تخضع لقانون حماية البيانات في المركز، والشركة في ADGM لنظامها الخاص، وكل منهما يستوجب صياغة الإشعار وفق متطلباته لا الإطار الفيدرالي.

هذا يخلق موقفاً معقداً للشركات التي تخدم عملاء داخل وخارج هذين المركزين. وكيل واحد يستقبل رسائل من عميل في دبي البر الرئيسي وآخر داخل DIFC يعمل تحت نظامَين مختلفَين، وكل نظام يفرض متطلبات مغايرة على المستخدم النهائي.

المعالجة الصحيحة أن يُخاطب الإشعار هذه الحالة صراحةً. النموذج الموحَّد الذي يفترض إطاراً قانونياً واحداً يترك ثغرة لنصف عملائكم. الأفضل إشعار طبقي يوضح النظام المنطبق حسب موقع العميل، أو إشعارَين منفصلَين.

إذا كنتم غير متأكدين من النظام المنطبق على نشاطكم، حديث سريع مع فريق مختص يوضح الخريطة قبل صياغة الإشعار.

الأخطاء الشائعة التي تُفرغ إشعار الخصوصية للذكاء الاصطناعي من قيمته

الصياغة الفضفاضة أوّلها. عبارات مثل "قد نستخدم تقنيات متقدمة لتحسين الخدمة" لا تُعلِم المستخدم بأن وكيل ذكاء اصطناعي يعالج محادثاته. تفشل في اختبار الغرض المحدد لأن المستخدم يخرج دون فكرة عمّا يجري ببياناته.

الخطأ الثاني الخلط بين روبوت الدردشة (chatbot) البسيط ووكيل الذكاء الاصطناعي (AI agent). الأول يتبع قواعد ثابتة. الثاني يستدل ويتخذ قرارات ويستدعي أدوات خارجية، وهذا يُوسِّع نطاق المعالجة ويستوجب إفصاحاً أشمل عن الاستدلال والقرارات الآلية.

الخطأ الثالث إغفال آلية التحديث. إشعار يُكتب مرة واحدة دون مراجعة دورية يتحول إلى ثغرة مع كل نموذج جديد أو أداة تُضاف. تغيير مزود النموذج يُغيِّر جهة معالجة البيانات، وهو تحديث جوهري يستوجب مراجعة الإشعار.

الخطأ الرابع غياب قناة تواصل واضحة للاعتراض وطلب الحذف. المستخدم الإماراتي يتوقع قناة عملية مثل بريد إلكتروني محدد أو رقم WhatsApp، لا إحالة مبهمة إلى فريق داخلي بلا اسم ولا رقم.

خطوات عملية لصياغة إشعار الخصوصية لوكيل الذكاء الاصطناعي في شركتكم

ابدؤوا برسم خريطة تدفق البيانات قبل كتابة الإشعار. ما الذي يجمعه الوكيل؟ أين يُخزَّن؟ من يصل إليه، وإلى أين يُنقَل ولأي أغراض؟ هذه الخريطة أساس كل عنصر لاحق، والكتابة قبل إنجازها تُنتج وثيقة عامة لا تعكس النظام الفعلي.

قيِّدوا الإشعار بالأغراض الفعلية الحالية لا الافتراضية المستقبلية. كثير من المستشارين يُدرجون كل غرض ممكن تحسباً، والنتيجة إشعار بأغراض غير مُفعَّلة يُضعف مصداقية الوثيقة. الإشعار الصادق عن الأغراض الحالية أكثر امتثالاً.

راجعوا الإشعار مع كل تغيير جوهري في بنية الوكيل. تغيير مزود النموذج، أو إضافة أداة جديدة، أو ربط قاعدة بيانات، كلها تستوجب مراجعة قبل النشر. اجعلوا هذه المراجعة جزءاً ثابتاً من قائمة النشر التقنية.

اختبروا قابلية الفهم. اعرضوا مسودة الإشعار على شخص لا خلفية قانونية له في شركتكم، واسألوه ماذا يجمع الوكيل وكيف يستطيع حذف بياناته. إن عجز عن الإجابة بدقة، فالإشعار يحتاج إعادة صياغة؛ اللغة الواضحة ليست تنازلاً عن الدقة القانونية بل شرطها.

إشعار خصوصية وكيل ذكاء اصطناعي يستحق مراجعة خارجية قبل النشر. احجزوا استشارة مجانية مدتها 30 دقيقة مع فريقنا لمراجعة الإشعار الحالي وتحديد الثغرات في ضوء المرسوم الاتحادي رقم 45 لسنة 2021 وأنظمة DIFC وADGM حيث تنطبق. المكالمة استماع أولاً وتوصية صريحة، وتتم عبر الموقع أو عبر WhatsApp على الرقم +971 50 195 1590.

الأسئلة الشائعة

هل إشعار الخصوصية لوكيل الذكاء الاصطناعي إلزامي بموجب المرسوم الاتحادي رقم 45 لسنة 2021 في الإمارات؟

نعم. القانون يشترط الإفصاح عن أغراض الجمع والمعالجة، ومعالجة وكيل الذكاء الاصطناعي فئة يجب النص عليها صراحةً. سياسة الخصوصية العامة السارية قبل النشر لا تُعفي الشركة من هذا الالتزام.

ما الفرق بين إشعار الخصوصية وسياسة الخصوصية عند نشر وكيل الذكاء الاصطناعي؟

سياسة الخصوصية تصف الإجراءات الداخلية للمؤسسة تجاه البيانات عموماً، بينما إشعار الخصوصية يُعلِم الفرد لحظة التفاعل بما يحدث لبياناته تحديداً. عند نشر وكيل ذكاء اصطناعي، الإشعار هو الوثيقة التي يجب أن تصل إلى المستخدم في نقطة الجمع الفعلية.

هل يجب الإفصاح في الإشعار عن اسم مزود النموذج اللغوي الذي يشغِّل الوكيل؟

الإشعار يُذكر أسماء الأطراف الثالثة التي تُشارك معها البيانات أو فئاتها بوضوح لا مجرد الإشارة العامة. الإفصاح عن اسم المزود بالتحديد ممارسة أفضل من الاكتفاء بفئة عامة، خاصةً عندما يكون النموذج مستضافاً خارج الإمارات.

كيف يتعامل إشعار الخصوصية مع نقل بيانات المحادثات خارج الإمارات إلى خوادم خارجية؟

يجب أن يُحدد الإشعار الدول أو المناطق التي قد تُنقَل إليها البيانات والضمانات المطبَّقة لحمايتها. عبارة "قد تُعالَج البيانات في بلدان أخرى" غير كافية؛ يجب ذكر الجغرافيا بالاسم والضمانة القانونية التي تحمي البيانات هناك.

هل تختلف متطلبات الإشعار بين الشركات العاملة في مركز دبي المالي العالمي وتلك الخاضعة للإطار الفيدرالي؟

نعم. مركز دبي المالي العالمي وسوق أبوظبي العالمي يُشغِّلان نظامَي حماية بيانات مستقلَّين لا يخضعان للمرسوم الاتحادي رقم 45 لسنة 2021. الشركة المُرخَّصة داخل أحدهما تصيغ الإشعار وفق النظام المنطبق على نشاطها لا وفق الإطار الفيدرالي.

ما الذي يُعدّ بيانات شخصية داخل محادثة مع وكيل الذكاء الاصطناعي ويستوجب الإفصاح عنه؟

كل ما يسمح بتمييز الفرد، بما فيه المحتوى الحر الذي يكتبه بنفسه، يدخل في نطاق البيانات الشخصية. هذا يشمل الاسم والبريد ورقم الهاتف، وكذلك السياق التلقائي الذي يذكره المستخدم في المحادثة عن حالته الصحية أو المالية أو الأسرية.

كم مرة يجب مراجعة إشعار الخصوصية الخاص بوكيل الذكاء الاصطناعي وتحديثه؟

مراجعة دورية سنوية كحد أدنى، ومراجعة فورية مع أي تغيير جوهري في بنية الوكيل مثل تغيير مزود النموذج اللغوي أو إضافة أداة جديدة أو ربط قاعدة بيانات لم تكن مربوطة. الإشعار الذي لا يُراجَع مع التغييرات يتحول تدريجياً إلى وثيقة لا تعكس الواقع.