قانون DPDP الهندي والذكاء الاصطناعي المؤسسي: ما تتوقع MeitY وCERT-⁠In وRBI أن تثبتوه

تبني الهند اقتصادها للذكاء الاصطناعي ونظامها للمساءلة في آن واحد. فقد أقرّ مجلس الوزراء الاتحادي في مارس 2024 مهمة IndiaAI Mission بميزانية قدرها 10,371.92 كرور روبية، بينما تدفع إرشادات NASSCOM للذكاء الاصطناعي المسؤول الصناعةَ نحو الحوكمة بالتصميم. وعلى جانب الالتزامات، أصدرت MeitY في 14 نوفمبر 2025 قواعد DPDP لعام 2025 التي تُفعّل قانون DPDP لعام 2023 مع فترة امتثال متدرجة تصل إلى 18 شهراً. وتفرض CERT-In منذ 2022 مهلة ست ساعات للإبلاغ عن الحوادث السيبرانية. أما تقرير لجنة FREE-AI الصادر عن RBI في 13 أغسطس 2025 فيضع سبعة مبادئ توجيهية و26 توصية للذكاء الاصطناعي في القطاع المالي. الرسالة إلى المؤسسات واحدة: اعتمدوا الذكاء الاصطناعي — لكن كونوا مستعدين لإثبات كيفية تصرفه.

ماذا يطلب قانون DPDP من الذكاء الاصطناعي المؤسسي؟

يعامل قانون DPDP كل منظمة تعالج بيانات شخصية رقمية بوصفها Data Fiduciary — وخطوط أنابيب الذكاء الاصطناعي معالجةٌ بحد ذاتها. ثلاثة واجبات هي الأشد وطأة:

• الموافقة وتحديد الغرض — البيانات الشخصية الداخلة في المطالبات أو فهارس RAG أو مجموعات الضبط الدقيق يجب أن تقابل غرضاً مُبلَّغاً عنه؛ فإعادة توظيف سجلات العملاء كسياق للنموذج معالجةٌ تحتاج أساساً قانونياً.
• الإبلاغ عن الاختراقات — بموجب قواعد DPDP لعام 2025 يجب إبلاغ المتضررين دون تأخير، وتزويد Data Protection Board بتقرير مفصل خلال 72 ساعة.
• واجبات Significant Data Fiduciaries — تقييمات سنوية لأثر حماية البيانات، وتدقيقات، وعناية واجبة خوارزمية للكيانات المصنفة كذلك.

تصل الغرامات بموجب القانون إلى 250 كرور روبية لكل فئة مخالفة. ومنصة الذكاء الاصطناعي العاجزة عن إظهار أي بيانات شخصية دخلت أي نموذج، ومتى ولماذا، لا تستطيع الإجابة عن أي من ذلك.

هل يصمد نظامكم للذكاء الاصطناعي أمام مهلة الست ساعات لدى CERT-In؟

تُلزم توجيهات CERT-In الصادرة في 28 أبريل 2022 الكيانات المشمولة بالإبلاغ عن الحوادث السيبرانية خلال ست ساعات من ملاحظتها، وبالاحتفاظ بالسجلات 180 يوماً داخل الهند. ست ساعات لا تكفي لإعادة بناء الأحداث من سحابة مورّد غير شفافة. المطلوب هو مسارات تدقيق للذكاء الاصطناعي موجودة مسبقاً: سجلات لكل استدعاء توضح مَن استدعى أي نموذج، وبأي بيانات، وعبر أي موصّل، وما الذي عاد. وإذا كان جمع تلك الأدلة يتطلب تذكرة دعم لدى منصة طرف آخر، فستسبقكم الساعة.

MeitY تُسرّع وRBI يدعو إلى الحذر

تموّل IndiaAI Mission التابعة لـMeitY الحوسبة والنماذج التأسيسية والذكاء الاصطناعي الآمن والموثوق، وتشير تنبيهاتها إلى تدقيق أوثق في النماذج المنشورة. أما للكيانات المالية فإطار FREE-AI الصادر عن RBI أكثر تحديداً: مساءلة على مستوى مجلس الإدارة، وقابلية للتفسير، ومرونة، ورقابة متناسبة على حالات الاستخدام عالية المخاطر. والقراءة العملية لأي بنك أو شركة تمويل غير مصرفية هي أن حوكمة الذكاء الاصطناعي يجب أن تعيش في مسار التنفيذ — مع موافقات بشرية ضمن الحلقة قبل الإجراءات ذات العواقب، لا وثائق سياسات بعدها.

ماذا ينبغي أن تطلب المؤسسة الهندية من منصة الذكاء الاصطناعي؟

• إقامة البيانات عبر البنية المعمارية — الاستدلال والاسترجاع والسجلات داخل محيطكم، مع قابلية العزل الكامل عن الإنترنت؛ لا وعود تعاقدية بشأن مناطق أجنبية.
• أدلة عند الطلب — سجل غير قابل للتعديل لكل إجراء ذكاء اصطناعي، جاهز لـData Protection Board أو CERT-In أو مشرفي RBI.
• رقابة بشرية — بوابات موافقة على إجراءات الوكلاء، مع إبلاغ صادق عن الحالة.
• ضبط التكاليف — أحمال RAG والوكلاء كثيفة التوكنات تحتاج ميزانيات وتوجيهاً، وإلا تعثّر التبني.
• ملاءمة أصيلة للعمليات الهندية — الفوترة الإلكترونية لضريبة GST عبر IRP، وتوليد IRN، وموصّلات محوكمة لـTally وZoho Books.

اتجاه الهند متسق عبر MeitY وCERT-In وRBI: من سيكسب بالذكاء الاصطناعي هي المؤسسات القادرة على أن تثبت، داخل محيطها الخاص، ما فعله ذكاؤها الاصطناعي بالضبط.