نظام حماية البيانات الشخصية PDPL وهيئة SDAIA وتوطين البيانات في الإمارات: تشغيل الذكاء الاصطناعي على البيانات المالية دون إرسالها خارج البلاد

يقوم مدير مالي في الرياض بنسخ ميزان المراجعة المجمّع للربع الماضي ولصقه في روبوت محادثة لصياغة ملخص لمجلس الإدارة. النموذج مستضاف في منطقة أمريكية. وبهذه الضغطة الواحدة على لوحة المفاتيح، تكون بيانات شخصية ومالية خاضعة للتنظيم قد غادرت المملكة، وعبرت الحدود دون أي تقييم للمخاطر، واستقرت في نظام لا تستطيع الشركة تدقيقه. وبموجب نظام حماية البيانات الشخصية السعودي (PDPL)، هذه ليست منطقة رمادية. فقد انتهت فترة السماح للامتثال في 14 سبتمبر 2024. وتجري هيئة SDAIA الآن عمليات تدقيق، وقد أصدرت لجان الإنفاذ التابعة لها بالفعل عشرات القرارات التي تؤكد مخالفات للنظام، بغرامات إدارية تصل إلى 5 ملايين ريال سعودي وتتضاعف في حالات التكرار.

والجانب المُقلق بالنسبة لقادة الإدارة المالية: معظم أدوات الذكاء الاصطناعي التي يستخدمها فريقك بالفعل لم تُصمَّم أصلًا مع وضع هذه الحدود في الحسبان.

القواعد أصبحت دقيقة، وهي تستهدف بياناتك لا نواياك

لسنوات، كانت “حماية البيانات” في الخليج شأنًا تتولاه الإدارة القانونية وتتجاهله الإدارة المالية. وقد انتهى ذلك. هناك تحوّلان أدخلا المدير المالي إلى دائرة القرار.

أولًا، حوّلت المملكة العربية السعودية نقل البيانات عبر الحدود إلى فعل موثّق وقابل للدفاع عنه. ففي أغسطس 2024، أصدرت هيئة SDAIA لائحة نقل البيانات الشخصية خارج المملكة، وأتبعتها في فبراير 2025 بدليل تقييم المخاطر لعمليات النقل تلك. يمكنك نقل البيانات إلى الخارج، لكن وفق شروط: أساس نظامي، وتقييم لمدى ملاءمة الجهة المستقبِلة، وضمانات معتمدة مثل البنود التعاقدية النموذجية أو القواعد المؤسسية المُلزِمة، وتقييم للمخاطر في حالات النقل المستمر أو واسع النطاق للبيانات الحساسة. كما تحتفظ الهيئة بحقها في إيقاف عمليات النقل التي تمسّ الأمن الوطني أو المصالح الحيوية للمملكة. ولا شيء من هذا يحدث بهدوء حين يستخدم أحد الموظفين تطبيق ذكاء اصطناعي موجّهًا للمستهلك.

ثانيًا، جعلت الإمارات من توطين البيانات خطًا أحمر بالنسبة للمؤسسات المالية. فقواعد البنك المركزي الإماراتي تُلزم المؤسسات المرخّصة بالاحتفاظ ببيانات العملاء والمعاملات داخل الإمارات، وبإبقاء “السجل الرئيسي الأساسي” (Master System of Record) مُحدّثًا باستمرار داخل الدولة. أما إسناد وظيفة جوهرية أو بيانات سرية إلى مزوّد خدمة سحابية فيتطلب الحصول على عدم ممانعة مسبقة من البنك المركزي. وفي فبراير 2026 ذهب البنك المركزي الإماراتي إلى أبعد من ذلك، فأطلق سحابة مالية سيادية تبقى فيها البيانات المالية، بحكم تصميمها، ضمن الولاية القضائية الإماراتية. ولم يعد تفضيل الجهة التنظيمية خفيًا.

إذًا، السؤال ليس “هل الذكاء الاصطناعي لدينا دقيق؟” بل “هل نستطيع إثبات أين ذهب كل رقم خاضع للتنظيم، ومن كان بإمكانه الاطلاع عليه، وهل كان لدينا الحق في إرساله إلى هناك؟” هذا سؤال معماري. فالسياسة التي تقول “لا تلصق البيانات المالية في ChatGPT” ليست سوى ورقة ملاحظات لاصقة على مشكلة تحتاج إلى بنية تحتية فعلية.

لماذا “النموذج متوافق” هو الادعاء الخاطئ

سيخبرك المورّدون أن نموذجهم مُدقَّق وفق معيار SOC 2، ومشفّر، ومستضاف في منطقة متوافقة. حسنًا. لكن بالنسبة لذكاء اصطناعي يجيب عن أسئلة مالية، هناك ثلاثة أشياء تتحرك، وكل منها يُعدّ عملية نقل:

• البيانات التي ترسلها (سياق الموجّه: أرصدة الحسابات، أسماء العملاء، قيم العقود).
• عملية الاسترجاع التي يجريها النظام (سحب الأرقام من نظام تخطيط موارد المؤسسة لديك، ومن مستودع بياناتك، ومن قوائمك المالية).
• المخرجات والسجلات (الإجابة، إضافة إلى أثر ما تم الوصول إليه، والمُخزَّن في مكان يصعب تحديده).

قد يكون النموذج آمنًا تمامًا ويظل مع ذلك في الولاية القضائية الخاطئة. فالتوطين يتعلق بالجغرافيا والتحكم، لا بالتشفير وحده. وفي اللحظة التي يستوعب فيها نموذج لغوي كبير (LLM) سطرًا واحدًا من دفتر الأستاذ العام لديك كي “يستدل” عليه، يكون ذلك السطر قد عولج بواسطة النموذج. وإذا كان النموذج يقع في الخارج ولم تُجرِ أي تقييم، فلديك مخالفة مرصودة، أيًّا كانت جودة الإجابة.

وهنا تحديدًا يحدد تصميم طبقة الأرقام الكامنة تحت الذكاء الاصطناعي حجم انكشافك. فإذا كانت الأرقام مبعثرة عبر QuickBooks وNetSuite ومستودع بيانات ومجلّد من ملفات PDF، فإن كل استعلام للذكاء الاصطناعي يتحول إلى عملية نقل ارتجالية دون سجل لما عبر إلى أين. لا يوجد مكان واحد لفرض التوطين، ولا سجل نظيف يمكن تقديمه للمدقق.

أبقِ الحسابات داخل الولاية القضائية، وأبقِ النموذج اللغوي خارج الحسابات

ترى Rexfin أن الحل بنيوي. اربط منصات المحاسبة والبيانات المالية، أو حمّل القوائم المالية، ثم ابنِ نموذجًا ماليًا واحدًا مُسوّى يتطابق مع دفتر الأستاذ. هذا النموذج هو المصدر الوحيد للحقيقة، ويوجد حيث تقرر أنت أن يوجد. وحين يتلقى مساعد الذكاء الاصطناعي سؤالًا، فإنه لا ينقل بيانات دفتر الأستاذ الخام إلى نموذج أجنبي لإجراء العمليات الحسابية. بل يسترجع الأرقام من النموذج المُسوّى ويُجري الحساب عبر محرك حتمي (deterministic)، لا عبر النموذج اللغوي. يتولى النموذج اللغوي الصياغة والاستدلال حول أي رقم ينبغي جلبه؛ أما الأرقام والحسابات فتبقى داخل الحدود الخاضعة للحوكمة.

هذا الفصل يحقق غرضين في آنٍ واحد على صعيد التوطين.

فهو يقلّص ما يحتاج إلى المغادرة من الأساس. إذ يحسب المحرك الحتمي معدلات النمو والنِّسب والتجميع وسيناريوهات “ماذا لو” في مكانها. ولا يُطلب من النموذج أن “يتذكر” إيراداتك ويعيد إنتاجها؛ بل يسأل الطبقة، وتجيبه الطبقة من المصدر. فتصبح كمية البيانات الخاضعة للتنظيم التي تحتاج إلى ملامسة نموذج خارجي أقل بكثير، وما يلامسه منها يمكن حوكمته أو تنقيحه أو إبقاؤه داخل المنطقة بحكم التصميم.

وهو يُنتج السجل الذي تريده الجهة التنظيمية. فلأن كل رقم يعود إلى مصدره وكل عملية حسابية قابلة لإعادة التشغيل، تحصل على سجل وصول يبيّن مَن وماذا لامس أي رقم ومتى. وهذا هو التسلسل (lineage) الذي تفترض تقييمات مخاطر SDAIA أنك قادر على إنتاجه، ومسار التدقيق الذي تتوقعه قواعد الإسناد لدى البنك المركزي الإماراتي. ويشرح دليلنا حول القوائم المالية المدققة كيف أصبحت إمكانية التتبّع شرطًا للدخول بالنسبة للأرقام التي يولّدها الذكاء الاصطناعي في المنطقة.

الحدود الصريحة

هذا لا يجعل التنظيم يتلاشى. فإن اخترت توجيه أي بيانات إلى نموذج خارجي، فأنت ما زلت مَدينًا بالأساس النظامي والتقييم والضمانات. والاستضافة السيادية وداخل المنطقة قد تحمل كلفة وعقوبة في زمن الاستجابة (latency)، كما أن سوق النماذج المحلية أحدث عهدًا من السوق العالمية. الطبقة المُسوّاة تقلّص مساحة الانكشاف وتمنحك السجلات، لكنها لا توقّع عقودك ولا تكتب نيابةً عنك تقييم مخاطر النقل. وكل من يَعِدك بـ”ذكاء اصطناعي متوافق بالكامل جاهز للاستخدام” إنما يبيعك الورقة اللاصقة.

أما ما تفعله فعلًا فهو نقل القرار إلى المكان الذي يمكن التحكم فيه فعليًا: البنية المعمارية. أنت من يقرر أين يوجد مصدر الحقيقة. وأنت من يقرر أن تُجرى الحسابات بشكل حتمي داخل تلك الحدود. وأنت من يقرر ألا يصبح النموذج اللغوي أبدًا بابًا خلفيًا غير مُسجَّل لخروج ميزان مراجعتك. والانضباط نفسه الذي يمنع أرقامك من الانحراف عبر أربعين شركة ذات غرض خاص (SPV) هو ما يمنعها من الانحراف عبر الحدود. ويجعل مقال التجميع متعدد الكيانات هذا الربط ملموسًا للمجموعات التي تدير عشرات الهياكل.

وللاطّلاع على الصورة الأوسع للبنية التحتية السيادية حين تلتقي بالأرقام السيادية، راجع المحور المتعلق بطبقة أرقام موثوقة للذكاء الاصطناعي في الخليج.

الخلاصة صريحة: في الخليج عام 2026، يُحسم الامتثال قبل كتابة أول موجّه على الإطلاق، بحسب المكان الذي تعيش فيه أرقامك وكيفية وصول الذكاء الاصطناعي إليها. وإذا لم تستطع الإجابة عن سؤال “أين ذهب ذلك الرقم” بسجلّ بدلًا من تخمين، فإن دقة النموذج لا تُغني شيئًا. احجز عرضًا توضيحيًا وسنريك كيف يبدو فعلًا تشغيل الذكاء الاصطناعي على نموذج مُسوّى وداخل الولاية القضائية.