لا يوجد نظام سعودي للذكاء الاصطناعي، ولهذا تموت تجربتك في المشتريات

لا يوجد في المملكة نظام للذكاء الاصطناعي يُمتثل له. هذا هو التصحيح، ومعظم ما يُباع بوصفه حوكمة للذكاء الاصطناعي هنا مبنيّ على نظام غير موجود. فأداة CMS لرصد تنظيمات الذكاء الاصطناعي، وآخر تحديث لها في 17 فبراير 2026، لا تسجّل في السعودية نظامًا ملزمًا خاصًا بالذكاء الاصطناعي. أما مبادئ أخلاقيات الذكاء الاصطناعي الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وإرشادات الذكاء الاصطناعي التوليدي، وإطار التبنّي، وإرشادات التزييف العميق، فهي إرشادات لا أنظمة ملزمة. ومشروع نظام المركز العالمي للذكاء الاصطناعي الذي طُرح للاستطلاع العام في أبريل 2025 لم يُسنّ بعد، وقد كُتب في استضافة البيانات السيادية و«سفارات البيانات». وبرنامج الامتثال المكتوب لهذا النظام بلا مخاطَب، وستدفع ثمنه مع ذلك.

والذي صدر فعلًا جاء من جهة لم تكن برامج حوكمة الذكاء الاصطناعي تنظر إليها. فنظام حقوق المؤلف الجديد، الصادر بالمرسوم الملكي رقم م/169 والمنشور في الجريدة الرسمية في 13 فبراير 2026، نافذ اليوم. وفيه استثناء صريح يبيح نسخ المصنَّف لأغراض تطوير منتجات الذكاء الاصطناعي وخوارزمياته، بشروط: أن يكون المصنَّف قد نُشر نشرًا مشروعًا، وأن تكون النسخة الأصلية قد اقتُنيت اقتناءً مشروعًا، وألّا يتجاوز النسخ ما يخدم الغرض. ولم تصدر لائحته التنفيذية بعد، فالشرط الثالث بلا مقياس حتى الآن. واقرأ نطاقه بدقة؛ فهذا النص يتكلم عمّا يجوز نسخه للتدريب، ولا يتجاوز ذلك إلى ما بعده.

فالصيغة الصادقة للدعوى أضيق من الشعار، وهي الصيغة التي تصمد في نقاش. لا يوجد نص سعودي يخبرك كيف تبني نموذجًا، ولا كيف تشتريه، ولا كيف تشرف على القرارات التي يمسّها. وثمة نصوص ملزِمة عدة تخبرك أي بيانات يجوز أن يراها، وأين يجوز أن تُستضاف، وما الذي يجوز لك نسخه لتدريبه. والفجوة في الوسط، والوسط هو موضع تجربتك الآن.

وأول ما تلقاه من هذه النصوص نظام حماية البيانات الشخصية، وهو في إنفاذ حيّ. دخل حيّز النفاذ في 14 سبتمبر 2023، وانتهت المهلة الانتقالية في 14 سبتمبر 2024، وخلال الاثني عشر شهرًا المنتهية في منتصف يناير 2026 أصدرت لجان النظر في المخالفات ثمانية وأربعين قرارًا بثبوت المخالفة. وللّجان أن توقّع غرامات تصل إلى خمسة ملايين ريال، تُضاعف عند تكرار المخالفة. والمُهل الإجرائية قصيرة؛ فمتى أبلغتك الهيئة بمخالفة منسوبة إليك، فأمامك خمسة أيام لتقديم ردك إلى اللجنة، وخمسة عشر يومًا لإبلاغ اللجنة قرارها، وستون يومًا للاعتراض أمام المحكمة المختصة.

وخمسة أيام لا تكفي لتجميع جرد بيانات لم تبنِه من قبل.

والنص الوحيد المكتوب للذكاء الاصطناعي تحديدًا ما زال مسودة. فتحت الهيئة الوطنية للأمن السيبراني استطلاعًا عامًا على «إرشادات الأمن السيبراني للذكاء الاصطناعي» في 5 يوليو 2026، وأغلقت باب المرئيات في 5 أغسطس 2026. وهي تخاطب الجهات التي تستخدم أنظمة الذكاء الاصطناعي في المملكة أو تعتزم تبنّيها، توليدية كانت أو وكيلة، وتنتظم في أربعة مجالات: حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأمن السيبراني للأطراف الخارجية. ولم يُنشر النص النهائي. ولستُ أصمّم ضوابط في مواجهة مسودة، ولا أوقّع سياسة تستشهد بها. أما ما سأستعمله فهو العناوين الأربعة، فهي أصلًا الأمور الأربعة التي تملكها أي إدارة تقنية في منشأة خاضعة للتنظيم، والمسودة توجّهها إلى فئة أصول جديدة.

يمرّ بند الذكاء الاصطناعي في اللجنة بيسر. يشغّل أحدهم نموذجًا أمام الحاضرين على وثيقة تأمين أو على ملاحظة مطالبة، وتبدو الدقة معقولة، فتوافق الغرفة على المضيّ. وبعد أربعة أشهر يظل البند مفتوحًا. لم يتغير شيء في النموذج. سألت الإدارة القانونية أي بيانات سيرى النظام، وسألت المشتريات من هو الطرف المقابل فعلًا، ولم يكن لأيٍّ من السؤالين جواب مكتوب.

نشرت ديلويت الشرق الأوسط في 24 فبراير 2026 استطلاعًا لقيادات الضرائب والمالية في السعودية والإمارات وقطر والكويت: 18٪ يجرّبون فعليًا حالات استخدام للذكاء الاصطناعي التوليدي، و9٪ يوسّعون نطاقها، و10٪ لديهم استراتيجية وأطر حوكمة للذكاء الاصطناعي على مستوى المنشأة. وهذه وظيفة غير وظيفتي، وليس في العينة تفصيل لقطاع التأمين، لكن الشكل هو الشكل الذي أراه. والمسافة بين التجربة والتوسع هي المسافة بين تشغيل حيّ وملفٍّ يستطيع المدقق قراءته.

ستة أسئلة تحسم هل تُطلق المبادرة أم لا: أي فئات بيانات يراها النظام؟ وأين يجري الاستدلال وتحت أي ولاية قضائية؟ ومن جهة المعالجة، تعاقديًا وواقعًا؟ وماذا يحدث للمخرجات وكم مدة حفظها؟ ومن يتحمل المسؤولية، باسمه، حين يكون المخرَج خاطئًا؟ وكيف تُثبت كل ما سبق لجهة مشرفة بعد اثني عشر شهرًا؟

أسقِط هذه الأسئلة الستة على المجالات الأربعة، فتزول الحيرة في الملكية. أي بيانات يراها النظام وأين يجري الاستدلال: هذا تعزيز. ومن جهة المعالجة وهل يمكن الخروج من عبء العمل: فهذا مجال الأطراف الخارجية. ومن يجيب عن مخرَج خاطئ: هذه حوكمة. وماذا تفعل العملية في الرابعة عصرًا حين تتعطل نقطة الاستدلال في ذروة المطالبات: هذا صمود. ومعاملة الذكاء الاصطناعي بوصفه مجالًا خامسًا هي الطريق إلى لجنة توجيهية للذكاء الاصطناعي بلا جرد بيانات.

الترتيب الذي ألقاه دائمًا مقلوب. يختار فريقٌ أداةً، ثم ينفّذ إثبات مفهوم، ثم يطلب من فريق الأمن أن يصنّف البيانات التي لامسها. والتصنيف هو المدخل الذي يحدد أيّ المورّدين يصلح للقائمة القصيرة أصلًا، ومكانه الغرفة قبل أول مكالمة مع مورّد.

وتوجب اللائحة التنفيذية لنظام حماية البيانات الشخصية، الصادرة في 7 سبتمبر 2023، تقييم أثرٍ موثقًا حين تشمل المعالجة بيانات حساسة أو استخدام تقنية جديدة؛ والنموذج التوليدي المطبَّق على سجلات العملاء تقنية جديدة بأي قراءة لهذه العبارة. وفي التأمين ليست مسألة البيانات الحساسة هامشية؛ فالبيانات الصحية في صميم المحفظة، واللائحة التنفيذية تتوقع توثيق كل مرحلة من مراحل معالجتها بحيث يمكن تحديد المسؤول عن كل مرحلة. واقرأها مرتين قبل أن يلصق أحدهم تاريخ مطالبة في نافذة المُوجّهات (prompts). ويصل الجانب السيبراني إلى الموضع نفسه من طريق آخر؛ فضوابط الأمن السيبراني للمنشآت الخاصة غير المصنّفة بنية تحتية وطنية حساسة، الصادرة عن الهيئة الوطنية للأمن السيبراني تحت الرمز NCNICC-1:2025، تضع لاستخدام خدمات السحابة والاستضافة توقعات تبدأ من تصنيف البيانات، وفصل بيئة المنشأة عن بيئات المستأجرين الآخرين، وإعادة البيانات بصيغة قابلة للاستخدام عند إنهاء الخدمة. وموضع هذه الضوابط هو مكوّن الأطراف الخارجية والحوسبة السحابية في ذلك الإطار، لا مكوّن التعزيز، وهذا موضعها الصحيح؛ فنقطة الاستدلال عندك خدمة مستضافة تخصّ غيرك.

فصنّف على مستوى الحقل. «نظام إدارة وثائق التأمين» ليس تصنيفًا. أما «رقم الهوية الوطنية، وتاريخ الميلاد، ورمز التشخيص، ومبلغ المطالبة، وملاحظة المُخمِّن» فهو تصنيف، وهو النسخة التي تخبرك ما إذا كانت نقطة الاستدلال هذه مؤهلة أصلًا، قبل أن تنفق ربع سنة لتكتشف أنها ليست كذلك.

نقطة الاستدلال طرف خارجي له موقع. فحين يجيب النموذج عن مُوجَّه يحوي بيانات عميل، تكون بنية تحتية تخصّ جهة أخرى قد عالجت تلك البيانات، في مكان، وتحت نظام قانوني، وبعقدٍ إما أن ينصّ على ذلك أو لا ينصّ.

تحكم المادة التاسعة والعشرون من نظام حماية البيانات الشخصية نقل البيانات خارج المملكة، وتضع ضوابط نقل البيانات الشخصية خارج المملكة، الصادرة في 1 سبتمبر 2024، الشروطَ التفصيلية. وتوجب المادة السابعة من هذه الضوابط تقييم مخاطر قبل نقل البيانات الشخصية أو إفصاحها خارج المملكة. ونشرت سدايا دليل تقييم المخاطر لهذا الغرض في 25 فبراير 2025؛ وهو دليل استرشادي غير ملزم، من أربع مراحل، رابعتها تسأل عن الآثار على المصالح الحيوية للمملكة لا عن حقوق الفرد وحدها. أما قائمة الدول ذات المستوى المناسب من الحماية التي تفترضها الضوابط فلم تُنشر بعد، فتبقى عمليًا ثلاثة مسارات للضمانات: البنود التعاقدية النموذجية (SCC)، أو القواعد الملزمة المشتركة (BCR)، أو شهادة الاعتماد. وليس في الثلاثة مسارٌ يمكن الإشارة إليه في اجتماع بوصفه قرار كفاية لدولة بعينها.

ويضيف القطاع المالي بوابة ثانية. فإطار الأمن السيبراني للبنك المركزي السعودي (SAMA)، في بند الحوسبة السحابية المؤرخ 24 مايو 2017، ينص على أن تحصل المنشأة العضو على موافقة البنك المركزي قبل استخدام الخدمات السحابية أو توقيع العقد، وعلى أن تُستخدم من حيث المبدأ خدمات سحابية داخل المملكة، وأن ما عداها يستلزم موافقة صريحة. وقد انتقل الإشراف على التأمين بعد ذلك إلى هيئة التأمين، التي باشرت أعمالها في 23 نوفمبر 2023 جهةً تنظيمية وحيدة للقطاع، وتبقى النصوص التي أصدرها SAMA لشركات التأمين سارية إلى أن تصدر الهيئة ما يحل محلها. ونقطة نموذج مستضافة خدمةٌ سحابية بكل المعاني التي قصدها واضعو النص.

ثم يأتي البند الذي تكتشفه المشتريات متأخرًا. فعلى قراءة مكتب واحد للائحة التنفيذية، وهي القراءة الصريحة الوحيدة التي وجدتها، يجب أن تؤكد جهة المعالجة أنها لا تخضع لأنظمة في دول أخرى تؤثر في قدرتها على الالتزام بنظام حماية البيانات الشخصية. ضع هذا الإقرار أمام مزوّد نماذج عالمي، وستعرف كم ستستغرق تجربتك فعلًا. فاطرحه في الشهر الأول؛ ففي الشهر الخامس يصير هو السبب في بقاء البند مفتوحًا.

«النموذج هو من قرر» وصفٌ لإخفاق في الضبط، لا وصفٌ لقرار. فالجهة المشرفة حين تسأل عن سبب رفض عميل لا تسأل عن أوزان الانتباه داخل الشبكة، بل تسأل: من كان يملك النتيجة، وماذا عُرض عليه قبل وقوعها، وماذا كان بوسعه أن يفعل. وهذه أسئلة هيكل تنظيمي، إجاباتها وثائق.

تصنّف مبادئ وضوابط أخلاقيات الذكاء الاصطناعي، الصادرة عن سدايا في 1 سبتمبر 2023، أنظمةَ الذكاء الاصطناعي في أربع درجات خطورة: بلا خطورة أو خطورة ضئيلة، ومحدودة، وعالية، وغير مقبولة؛ وتذكر المساءلة والإشراف البشري وقابلية التفسير ضمن مبادئها. وهي غير ملزمة، وكثيرًا ما يُقرأ «غير ملزم» على أنه «اختياري». والإنفاذ يأتي من النصوص الملزِمة تحتها، ومن الجهة المشرفة التي ترى أنك وضعت نفسك في الدرجة الخطأ. وفي الغرف التي جلست فيها يُسمع هذا كله على أنه طلبٌ لقابلية التفسير، فيشتري الفريق أداة تُخرج إسنادًا للسمات. والمطلوب شخص مسمّى، ومسار موثق يستطيع عبره نقض المخرَج، وسجل بكل مرة فعل فيها ذلك.

وعلى التجربة أن تثبت ثلاثة أمور لا يثبتها العرض التوضيحي: أن المنشأة تستطيع تشغيله، وتوثيقه، وإيقافه. فدوّن وثائق الخروج قبل أن تبدأ: جرد بيانات على مستوى الحقل مع تصنيف مقابل كل حقل؛ وتقييم الأثر حين تدخل بيانات حساسة أو تقنية جديدة في النطاق؛ وتقييم مخاطر النقل حين يخرج الاستدلال من المملكة؛ واتفاقية معالجة تحمل إقرار جهة المعالجة؛ وموقفًا واضحًا من حفظ المُوجّهات والمخرجات وحذفها، لا من السجلات المصدرية وحدها؛ وسجلًّا لحالات النقض؛ وسجلًّا للأخطاء بمالك مسمّى لكل صنف منها؛ وجوابًا موثقًا عمّا تفعله العملية حين تتعطل نقطة الاستدلال، مُختبَرًا لا مُدّعى؛ وبند خروج يعيد بياناتك بصيغة قابلة للاستخدام.

فإن انتهت المدة ولم توجد هذه الملفات، فلم تقع تجربة، بل وقع عرض.

هذا عمل مشتريات في وسطه نموذج، والأداة أداةٌ بنيتها من قبل. في تبار القابضة كتبت كتالوج خدمات يضم أكثر من مئة خدمة من الصفر، لكل خدمة فيه مستوى خدمة، في شركة لم تكن فيها اتفاقيات مستوى خدمة (SLA) قبل ذلك. ثم قِسْتُ كل مورّد على المستوى الذي وقّعه، من بيانات التذاكر لا من تقرير المورّد نفسه، وأعدت التفاوض مع المقصّرين أو استبدلتهم. وخفّض ذلك الإنفاق التعاقدي على المورّدين بنسبة أربعين في المئة، ونجح لأن القياس كان موجودًا قبل أن تبدأ المحادثة. فعرّف ما معنى «خاطئ» لهذا النظام، بصيغة قابلة للقياس، قبل أن يخبرك المورّد برقم الدقة عنده، ثم شغّله على طابور حقيقي بحجم حقيقي مع قارئ بشري لكل مخرَج. أسبوعان على مدخلات منتقاة سيقولان لك إن النموذج جيد. وشهران على الطابور الحيّ سيقولان لك ماذا يحدث يوم تتغير صيغة المدخلات في نظام أعلى السلسلة ولا يذكر ذلك أحد.

لم أُشغّل نموذجًا توليديًا في مسار قرار خاضع للتنظيم، ولن أدّعي غير ذلك. فاقرأ ما يلي بوصفه مواقف أدافع عنها أمام لجنة. لن أضع نموذجًا على مسار قرار يرفض استحقاق عميل أو يخفّضه دون مراجعٍ بشري يستطيع نقضه ويُسجَّل أنه نظر فيه. فالمسؤولية عن تلك النتيجة يجب أن تلتصق بشخص يمكن سؤاله عنها بعد وقوعها، والنموذج لا يُسأل.

ولن أرسل سجلات عملاء خامًا إلى نقطة استدلال لا أستطيع تسمية موقع معالجتها في عقد، ولن أقبل «بنيتنا التحتية العالمية» جوابًا عن ذلك السؤال. ولن أمنح وكيلًا مستقلًا صلاحية الكتابة في نظام إنتاج بناءً على تجربة؛ فنمط الإخفاق هناك فعلٌ خاطئ لم يوافق عليه أحد ولا يستطيع أحد التراجع عنه.

وبعض هذا غير مستقر، وأقوله كما هو. أُغلق استطلاع الهيئة الوطنية للأمن السيبراني في 5 أغسطس 2026 ولم يُنشر نص نهائي. ولم تنشر سدايا قائمة الدول ذات المستوى المناسب من الحماية التي تفترضها ضوابط النقل، ونشرةٌ واحدة كهذه تغيّر عدة حسابات مما سبق. ولا أعرف كيف ستعامل هيئة التأمين القرارات المسنودة بنماذج في دفتر القواعد الذي ما زالت تجمعه؛ وهذه جهتي المشرفة أنا أتكلم عنها، وهو الجواب الذي أودّ لو أملكه. وحيث لا تستقر القاعدة أوثّق القرار وسببه، حتى إذا استقرت على أي وجه كان، شرح الملف ما الذي كنا نعرفه حين اخترنا.

أما أين أضع نموذجًا اليوم، ففي العمل الداخلي القابل للتراجع عنه ومنخفض التصنيف، حيث يقرأ إنسانٌ المخرَج قبل أن يراه أحد خارج الفريق. تلخيص التوثيق الداخلي. صياغة مسودة أولى لحالات الاختبار. فرز طابور التذاكر الداخلية. لا شيء من ذلك يُبهر لجنة، وكله يُنتج سجل حالات النقض وسجل الأخطاء وموقف الحفظ الذي ستحتاجه يوم تصير حالة تمسّ العميل قابلة للإجابة كتابةً.