لائحة DIFC رقم 10، مشروحة لمالكي المنصات

كان مركز دبي المالي العالمي من أوائل الاختصاصات القضائية التي نظّمت الأنظمة ذاتية التشغيل وشبه ذاتية التشغيل مباشرة. إذا كنت تشغّل ذكاءً اصطناعياً على بيانات شخصية في DIFC، فاللائحة رقم 10 هي دليل تشغيلك — وبنيتك المعمارية تحدد مدى صعوبته.

ما تغطيه اللائحة رقم 10

تتناول اللائحة رقم 10، الصادرة بموجب قانون حماية البيانات في DIFC، معالجة البيانات الشخصية عبر الأنظمة ذاتية التشغيل وشبه ذاتية التشغيل — وهو تعريف يشمل مباشرة مساعدي ووكلاء الذكاء الاصطناعي الحديثين. ستبدو مطالبها الأساسية مألوفة لكل من يتابع قانون الاتحاد الأوروبي للذكاء الاصطناعي (EU AI Act)، وهذا مقصود: فقد واءم DIFC نهجه مع المعايير الدولية الناشئة. والالتزامات المهمة تشغيلياً هي سجلات المعالجة، والإشراف البشري الفعلي، والشفافية بشأن متى يتصرف النظام ذاتياً، والمساءلة عن النتائج. وإذا كانت مؤسستك تخدم أيضاً أصحاب بيانات في الاتحاد الأوروبي، فلاحظ أن مجموعة الضوابط نفسها تؤدي مهمة مزدوجة — إلى جانب قيود المادة 22 من اللائحة العامة لحماية البيانات (GDPR) على القرارات المؤتمتة كلياً ذات الآثار الجوهرية.

سجلات المعالجة، عملياً

لا يُستوفى متطلب إمساك السجلات بجدول بيانات لجرد البيانات. فبالنسبة لمنصة ذكاء اصطناعي، أسئلة الجهة التنظيمية معاملاتية: ما البيانات التي عالجها النظام، ونيابة عمّن، وبأي نموذج، وما المخرجات، وإلى أي إجراء أفضت؟ والإجابة تتطلب تسجيلاً لكل تفاعل — الأمر النصي، والسياق المسترجَع، وإصدار النموذج، والاستجابة، والأثر اللاحق — محفوظاً بصيغة يمكنك تقديمها لتاريخ ومستخدم محددين عند الطلب. المؤسسات التي تتعامل مع هذا كمشكلة تقارير ينتهي بها الأمر إلى إعادة تركيب التاريخ من سجلات تطبيقات لم تُصمَّم لذلك قط. أما المؤسسات التي تتعامل معه كمشكلة بنية معمارية فتكتب السجل لحظة الاستدلال ولا تعيد تركيب أي شيء.

الإشراف البشري ومقاومة التلاعب

يوازي متطلب الإشراف في اللائحة رقم 10 المنطق وراء المادة 14 من EU AI Act: يجب أن يستطيع شخص فهم سلوك النظام والتدخل فيه وتجاوزه — وإثبات قدرته على ذلك. والضابط العملي هو بوابة موافقة على الإجراءات ذات العواقب مع مسار قرارات مسجَّل. أما مقاومة التلاعب فهي المتطلب الأهدأ ذو الأنياب الأحدّ: سجل الامتثال الذي يمكن تعديله بصمت ليس دليلاً، بل شهادة قول. توقّع أن يسبر المقيّمون سلامة السجلات — فالتخزين بالإلحاق فقط والتسلسل التشفيري يجيبان عن السؤال قبل طرحه؛ أما قوائم صلاحيات الكتابة في قاعدة البيانات فلا.

لماذا تحسم بنية النشر عملية التدقيق

إليك النمط الذي يعيد مالكو المنصات في المراكز المالية اكتشافه باستمرار: الذكاء الاصطناعي السحابي المشترك يحوّل كل تدقيق إلى تفاوض ثلاثي الأطراف بينك وبين جهتك التنظيمية ومزوّدك — سلاسل معالجين فرعيين، وتحليلات نقل عبر الحدود، وحقوق تدقيق تعاقدية تتوقف عند حدود المزوّد. أما النشر داخل المنشأة لكل مؤسسة على حدة فيطوي تلك المحادثة. إذ تجري المعالجة على بنية تحتية تتحكم بها المؤسسة، في الاختصاص القضائي الذي تشرف عليه الجهة التنظيمية، بسجلات تستطيع المؤسسة تسليمها دون تعاون طرف ثالث. وللشركات المشمولة أيضاً بنظام مخاطر الأطراف الثالثة التقنية في DORA أو بـNIS2، فإن تقليص سطح التبعيات الخارجية يبسّط تلك الملفات كذلك.

• سجلات معالجة لكل استدعاء، تُكتب لحظة الاستدلال، وقابلة للاسترجاع بالمستخدم والتاريخ.
• بوابات موافقة بقرارات بشرية مسجَّلة على الإجراءات ذات العواقب.
• تخزين سجلات بالإلحاق فقط وكاشف للتلاعب داخل محيط المؤسسة.
• خريطة نشر لا دولة ثالثة فيها ولا طرف ثالث في مسار البيانات.

أتقن هذه الأربعة وتتحول محادثة اللائحة رقم 10 إلى عرض عملي بدلاً من تفاوض.

استعرض حزمة أدلة DIFC ←