السؤال الذي يصل إلى كل مسؤول مشتريات في شركة سعودية قبل توقيع عقد ذكاء اصطناعي هو نفسه: «هل تبقى بياناتنا داخل المملكة؟». والجواب الذي يعود من المورّد يكون غالباً: «لدينا منطقة في الدمام» أو «نحن متوافقون مع نظام حماية البيانات الشخصية». الجملتان قد تكونان صحيحتين ولا تجيبان عن السؤال. فوجود منطقة سحابية داخل المملكة يعني أن أقراص التخزين وخوادم الحوسبة العامة موجودة هنا، لكنه لا يعني أن نموذج اللغة الذي يقرأ طلبك يعمل على تلك الخوادم، ولا أن المورّد يلتزم تعاقدياً بذلك. في هذا الدليل فصلنا الطبقات الثلاث التي يخلطها كلام التسويق: أين تُخزَّن البيانات، وأين يُعالَج الطلب داخل النموذج، وما الذي يطلبه النظام السعودي فعلاً. قرأنا صفحات المناطق والتوثيق الرسمي لعشر منصات، والوثائق المنشورة على منصة حوكمة البيانات الوطنية، وضوابط الهيئة الوطنية للأمن السيبراني، ولوائح هيئة الاتصالات والفضاء والتقنية. لم نختبر شيئاً بأيدينا، وهذا المقال ليس استشارة قانونية.
ما يطلبه النظام فعلاً: لا تعريب إجباري للبيانات، بل شروط للنقل
صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم م/١٩ في ١٦ سبتمبر ٢٠٢١، وعُدِّل بالمرسوم رقم م/١٤٨ في مارس ٢٠٢٣، ودخل حيز النفاذ في ١٤ سبتمبر ٢٠٢٣ مع مهلة تصحيح انتهت في ١٤ سبتمبر ٢٠٢٤. النقطة التي يغفلها أغلب العروض التجارية: النظام الحالي لا يفرض تخزين البيانات الشخصية داخل المملكة، بل يضع شروطاً لنقلها إلى خارجها في المادة التاسعة والعشرين وفي لائحة نقل البيانات الشخصية إلى خارج المملكة، الصادرة في سبتمبر ٢٠٢٣ والمعدَّلة في الأول من سبتمبر ٢٠٢٤. يجوز النقل لأغراض محددة، بشرط ألا يمسّ الأمن الوطني، وأن تتوافر في الدولة المستقبِلة حماية مناسبة تقرّرها سدايا، وأن يقتصر على الحد الأدنى من البيانات. وحتى تاريخ هذا الدليل لم تُنشر قائمة بالدول ذات الحماية المناسبة، ولذلك يعتمد النقل عملياً على الضمانات البديلة: البنود التعاقدية القياسية التي نشرتها سدايا وتُستخدم دون تعديل، أو القواعد المشتركة الملزمة داخل المجموعة الواحدة، أو شهادة اعتماد صالحة لسنتين، مع تقويم مخاطر موثَّق وفق الدليل الاسترشادي لتقويم مخاطر النقل.
تجد كل هذه الوثائق في المركز المعرفي لمنصة حوكمة البيانات الوطنية: النظام، واللائحة التنفيذية، ولائحة النقل، والبنود التعاقدية القياسية، ودليل القواعد المشتركة الملزمة، وقواعد تعيين مسؤول حماية البيانات، والقواعد المنظمة لإصدار شهادات الاعتماد لجهات التحكم والمعالجة، والقواعد المنظمة للسجل الوطني لجهات التحكم. وعلى المنصة نفسها خدمات التسجيل في السجل الوطني، والإشعار عن تسرّب البيانات، وتقييم الأثر على معالجة البيانات، وخدمة اعتماد مقدمي خدمات الذكاء الاصطناعي التي تبدأ بتسجيل الجهة وتعيين مسؤول ذكاء اصطناعي ثم استبيان تراجعه لجنة. أما العقوبات فتصل الغرامة فيها إلى خمسة ملايين ريال وقد تُضاعَف عند التكرار.
الأهم لمن يتعاقد الآن: نشرت سدايا في ٦ أكتوبر ٢٠٢٦ مسوَّدة تعديلات واسعة على اللائحة التنفيذية للاستشارة العامة عبر منصة استطلاع حتى ٥ نوفمبر ٢٠٢٦، وتتضمن المسوَّدة فقرة تقول إن على جهة التحكم تخزين البيانات الشخصية داخل المملكة، مع بقاء النقل جائزاً وفق النظام. إن اعتُمدت بهذه الصياغة فستغدو النسخة المحلية المخزَّنة في المملكة التزاماً أساسياً لا خياراً، وهو ما يجب أن يسأل عنه كل عقد يُوقَّع هذا العام. حتى ٨ نوفمبر لم تُنشر نتيجة الاستشارة.
الجهات الحكومية والبنية الحرجة والقطاع المالي: هنا الإقامة إلزامية
الصورة تختلف تماماً للجهات الحكومية والبنية التحتية الحرجة. الضوابط الأساسية للأمن السيبراني في نسختها الثانية الصادرة سنة ٢٠٢٤ حذفت الضابط القديم الذي كان ينص حرفياً على أن «استضافة وتخزين معلومات الجهة يجب أن يكون داخل المملكة»، وأحالت ضوابط توطين البيانات إلى مكتب إدارة البيانات الوطنية في سدايا، وأبقت على اشتراط أن تكون مراكز خدمات الأمن السيبراني المدارة داخل المملكة بالكامل. وضوابط الأمن السيبراني للحوسبة السحابية في نسختها الثانية فعلت الشيء نفسه وطلبت من الجهات «الرجوع إلى مكتب إدارة البيانات الوطنية بخصوص توطين البيانات قبل اتخاذ أي إجراء». أما لائحة تقديم خدمات الحوسبة السحابية من هيئة الاتصالات والفضاء والتقنية، في نسختها الرابعة النافذة منذ أكتوبر ٢٠٢٣، فتمنع نقل محتوى يتضمن بيانات الجهات الحكومية إلى خارج المملكة لأي غرض، بما في ذلك النسخ الاحتياطي، وتشترط إشعار المشترك والحصول على موافقته قبل نقل محتواه خارج المملكة، وتصنّف مقدمي الخدمة في فئات تسجيل: الفئة «ج» وحدها مؤهلة لجميع مستويات البيانات الحكومية حتى السري جداً.
في القطاع المالي يطلب البنك المركزي السعودي عدم ممانعة مسبقة على الإسناد الخارجي، ونماذجه الرسمية تسأل البنك صراحة عن «موقع التخزين» وعن أسباب عدم الاستعانة بمزوّد داخل المملكة إن كان المزوّد خارجها، ولا يجوز التعاقد من الباطن دون موافقة البنك وعدم ممانعة البنك المركزي. وفي ما يخص الذكاء الاصطناعي تحديداً، أصدرت سدايا مبادئ أخلاقيات الذكاء الاصطناعي في سبتمبر ٢٠٢٣، وأدلة الذكاء الاصطناعي التوليدي للجهات الحكومية في يناير ٢٠٢٤، وإطار تبنّي الذكاء الاصطناعي في سبتمبر ٢٠٢٤؛ وهذه كلها أدلة استرشادية لا نصوص إلزامية، ولم نجد حتى تاريخه نظاماً سعودياً خاصاً بالذكاء الاصطناعي نافذاً. وتجدر الإشارة إلى أن مسوَّدة أكتوبر ٢٠٢٦ تضيف «التقنيات الناشئة» والقرارات الآلية الكاملة إلى موجبات تقييم الأثر.
السحابات الكبرى: ما الموجود في المملكة وما المعلن فقط
غوغل كلاود هي الأقدم على الأرض: منطقة الدمام مفتوحة منذ ١٥ نوفمبر ٢٠٢٣، وشركة سي إن إكس تي الموزّع الحصري للشراء عبر كيان سعودي، ومنصة فيرتكس للذكاء الاصطناعي متاحة في الدمام منذ مايو ٢٠٢٤ مع ضوابط السيادة التي تشغّلها سي إن إكس تي مع سايت. وتُدرج صفحة مواقع نماذج جيميني الدمام والدوحة ضمن الشرق الأوسط بقائمة واحدة من النماذج، ولكن صفحة إقامة البيانات نفسها تقول بوضوح إن التزامات غوغل بمعالجة التعلم الآلي داخل المنطقة تشمل ثلاث عشرة منطقة فقط، من أمريكا وأوروبا إلى الهند وسنغافورة واليابان وكوريا، وليس من بينها الدمام أو الدوحة. التخزين في الدمام مضمون؛ المعالجة داخل الدمام غير مضمونة تعاقدياً. وأما مركز الذكاء الاصطناعي المشترك بين صندوق الاستثمارات العامة وغوغل بقيمة عشرة مليارات دولار، المعلَن في مايو ٢٠٢٥، فما زال معلَناً لا مُطلَقاً حسب كل ما وجدناه.
أوراكل لديها منطقتان تجاريتان في جدة والرياض، والثانية مستضافة لدى سنتر ثري منذ أغسطس ٢٠٢٤. خدمة الذكاء الاصطناعي التوليدي من أوراكل متاحة في الرياض منذ ١٨ أغسطس ٢٠٢٥ مع «معالجة محلية للنماذج»، وتشمل نماذج كوهير للمحادثة والتضمين وإعادة الترتيب، ونماذج لاما من ميتا، ونماذج أوبن إيه آي ذات الأوزان المفتوحة؛ أغلبها عبر عناقيد مخصّصة لا عند الطلب. جدة غير مدرجة في مناطق الخدمة، ونماذج غروك من إكس إيه آي غير متاحة في مناطق الشرق الأوسط، وتقول أوراكل إن استدعاءها يمرّ على موقع تابع لإكس إيه آي. وسحابة إس تي سي السيادية المبنية على أوراكل ألوي معلَنة منذ أبريل ٢٠٢٤ دون تاريخ إطلاق منشور.
مايكروسوفت أعلنت في ١٠ فبراير ٢٠٢٦ منطقة «السعودية الشرقية» في المنطقة الشرقية بثلاث مناطق توافر، ثم حدّدت في ٣١ أغسطس ٢٠٢٦ موعد الإتاحة في نوفمبر ٢٠٢٦. حين قرأنا قائمة الأسعار الرسمية في ٨ نوفمبر كانت المنطقة مدرجة لنحو ثلاثين خدمة أساسية من الحواسيب الافتراضية والتخزين وقواعد البيانات، ولا عدّاد واحد فيها لخدمات الذكاء الاصطناعي. وفي الساعة نفسها فتحنا جدول «توافر المنتجات حسب المنطقة» الرسمي من مايكروسوفت في متصفح آلي: لا توجد «السعودية» بين الجغرافيات الثلاث والثلاثين التي يعرضها الجدول، ولم يعد «أزور أوبن إيه آي» اسم منتج فيه أصلاً، إذ صار اسمه «نماذج فاوندري»، وهو متاح عموماً في الإمارات الشمالية والإمارات الوسطى وقطر الوسطى؛ ومن يبحث في الجدول عن الاسم القديم لن يجد شيئاً. ويصف هذا الجدول توافر المنتج في المنطقة، لا مكان معالجة كل نموذج. أما منطقة الإمارات الشمالية التي يُحال إليها العميل السعودي اليوم، فتوثيق توافر النماذج المؤرَّخ في سبتمبر ٢٠٢٦ يرسم صورة دقيقة: المعالجة داخل المنطقة مضمونة فقط في نشر السعة المحجوزة الإقليمي لأحد عشر نموذجاً من أوبن إيه آي، وفي النشر القياسي الإقليمي لنماذج التضمين ونموذج التفريغ الصوتي؛ وكل ما عداه، ومنه نماذج ديب سيك وميسترال وكوهير وغروك في الإمارات الشمالية، نشرٌ «عالمي» قد تُعالَج طلباته في أي جغرافيا تُقدَّم فيها الخدمة. ومناطق البيانات التي تحصر المعالجة في جغرافيا واحدة موجودة لأمريكا وأوروبا فقط. وأضف إلى ذلك أن المملكة ليست من مواقع مراكز بيانات مايكروسوفت ٣٦٥، فمساعد كوبايلوت للمؤسسات السعودية يُخزَّن في جغرافيا أخرى؛ أقربها الإمارات وقطر.
أمازون تشغّل منطقتَي البحرين والإمارات، وأكدت في ٣١ أغسطس ٢٠٢٦ أن المنطقة السعودية «في طريقها للإطلاق في ديسمبر ٢٠٢٦» باستثمار يتجاوز ١٩٫٨٨ مليار ريال، مع منطقة ذكاء اصطناعي مشتركة مع هيومين بقدرة تصل إلى خمسين ميغاواط بحلول ٢٠٢٨. خدمة بيدروك تعمل اليوم في الإمارات والبحرين، لكن توثيق النماذج يفرّق بين ثلاثة أنماط: نماذج أمازون نوفا متاحة داخل منطقة الإمارات، بينما نماذج أنثروبيك في الإمارات والبحرين متاحة عبر الاستدلال العالمي عبر المناطق فقط، أي أن البيانات قد تُعالَج في أي منطقة تجارية. ولا توجد جغرافيا «شرق أوسط» ضمن مجموعات الاستدلال عبر المناطق. ولم يُوثَّق بعد ما سيكون متاحاً من بيدروك يوم افتتاح المنطقة السعودية.
علي بابا وشركة الحوسبة السحابية السعودية تقولان إن البيانات تبقى في مركزَي بيانات الرياض، لكن صفحة مناطق منصة النماذج من علي بابا، المحدَّثة في ٦ نوفمبر ٢٠٢٦، تذكر بكين وسنغافورة وفرجينيا وفرانكفورت وطوكيو وهونغ كونغ فقط؛ الرياض ليست بينها، وتبقى الصيغة المتاحة محلياً هي نشر نماذج كيوين المفتوحة على حوسبة الرياض بنفسك. أما خدمات الذكاء الاصطناعي في منطقة هواوي كلاود بالرياض وموعد افتتاح منطقة تنسنت فلم نجد لهما توثيقاً رسمياً.
هيومين والمزوّدون السعوديون: ما يعمل اليوم
شركة هيومين التابعة لصندوق الاستثمارات العامة هي الاسم الذي يتكرر في كل إعلان، ولذلك يلزم الفصل بين الموجود والموعود. الموجود: تطبيق هيومين تشات المبني على نموذج علّام منذ أغسطس ٢٠٢٥، ومنصة هيومين فويس التي يذكر توثيقها إقامة البيانات داخل المملكة، ومنصة هيومين ون للوكلاء التي أعلنتها مع تورينغ ثم مع أمازون ومايكروسوفت دون أسعار منشورة. الموعود: سحابة هيومين نفسها «غير عاملة بعد» وفق تقارير أكتوبر ٢٠٢٦، وأول أربعة عشر ميغاواط من حواسيب بلاكويل مقررة للربع الأخير من ٢٠٢٦، وشراكات كوهير وميسترال مع هيومين لنماذج عربية سيادية تتحدث عن بنية تشغيلية في الربع الأخير من ٢٠٢٧. لم نتمكن من فتح موقع هيومين الرسمي أثناء الإعداد، فما نقلناه هنا من توثيق هيومين فويس ومن بيانات صحفية مؤرَّخة.
تحت هيومين توجد طبقة من المزوّدين الذين يكتبون كلمة «السعودية» في توثيقهم لا في إعلاناتهم فقط: همس للكلام تقول إن الصوت والنص «يبقيان في مراكز بيانات سعودية» وإن المعالجة تجري فيها افتراضياً؛ ونبرة من الرياض تستضيف بياناتها محلياً مع شهادة الأيزو؛ وهمسة مع أومني أوبس تعمل عبر «بنية تحتية مُدارة داخل المملكة» منذ يوليو ٢٠٢٦ وتدعم النشر المعزول عن الإنترنت. أما رايتكس من ليسان، فموقعها يقول إن النشر على خوادم العميل أو داخل مركز بياناته متاح، لكن الشركة مسجَّلة في منطقة حرة إماراتية بمكتب في الرياض، ودراسة الحالة المنشورة مع أمازون تتحدث عن إقامة للبيانات داخل الإمارات؛ وهذا تصحيح لما ورد في صفحتها لدينا. وفي التفريغ الصوتي، منصت من سي إن إكس تي تقدّم منذ مايو ٢٠٢٦ حاويات للنشر داخل مركز البيانات دون إرسال ثانية صوت إلى سحابة خارجية، وسبيتشماتيكس توثّق حاويات محلية برخصة لا تحتاج اتصالاً بالإنترنت، ومناطقها السحابية أوروبا وأمريكا وأستراليا فقط.
مزوّدو النماذج العالميون: من يمنح إقامة قريبة ومن لا يمنحها
أوبن إيه آي وسّعت إقامة البيانات في ٢٥ نوفمبر ٢٠٢٥ إلى أوروبا وبريطانيا وأمريكا وكندا واليابان وكوريا وسنغافورة والهند وأستراليا والإمارات؛ المملكة ليست في القائمة، والخيار متاح لعملاء الخطط المؤسسية، ومشروع ستارغيت في أبوظبي يُتوقَّع تشغيل أول مئتَي ميغاواط منه في ٢٠٢٦. أنثروبيك توثّق خيارَي استدلال فقط: «عالمي» أو «أمريكا» بسعر أعلى، ولا منطقة أوروبية أو خليجية، وما يُقدَّم من نماذجها عبر بيدروك في الإمارات أو عبر فاوندري عالمي المعالجة. غوغل، كما رأينا، لا تلتزم بمعالجة جيميني داخل الدمام. ميسترال توثّق النشر الذاتي عبر محرّكات الاستدلال المفتوحة، ووقّعت في أغسطس ٢٠٢٦ شراكة مع هيومين قد تنقل حوسبتها إلى المملكة. كوهير توثّق النشر الخاص داخل مركز بيانات العميل أو سحابته بحيث «لا تخرج البيانات من بيئتك»، ونموذجها للتفريغ العربي متاح برخصة أباتشي.
وهنا يظهر الطريق الذي يسلكه كثير من الجهات الحكومية بهدوء: النماذج ذات الأوزان المفتوحة على حوسبة داخل المملكة. رخصة أباتشي تسمح بالاستخدام التجاري الذاتي لعائلة جيس من الإمارات، ونماذج كيوين، ونماذج أوبن إيه آي المفتوحة، والنسخة التجريبية المصغّرة من علّام؛ بينما تأتي نماذج لاما برخصة مجتمعية خاصة بشروطها، ونماذج جيما بشروط استخدام من غوغل، ونماذج فالكون برخصة خاصة بها. هذا الطريق يعطي إقامة كاملة بثمن تشغيلي: فريق يدير العناقيد ويحدّث النماذج ويتحمّل أمنها.
قائمة الأسئلة للمورّد قبل التوقيع
- أين تُخزَّن بياناتنا عند السكون، وأين يُعالَج الطلب داخل النموذج، وهل الالتزام الثاني مكتوب في العقد أم في صفحة تسويق؟ اطلب اسم المنطقة ونمط النشر حرفياً.
- ما الأساس النظامي للنقل إن خرجت البيانات: بنود تعاقدية قياسية من سدايا دون تعديل، أم قواعد مشتركة ملزمة، أم شهادة اعتماد؟ ومَن يُعدّ تقويم مخاطر النقل؟
- هل يلتزم العقد بما تشترطه المادة السابعة عشرة من اللائحة التنفيذية: الغرض، وأنواع البيانات، والمدة، وخضوع المعالج لأنظمة دول أخرى وأثر ذلك، وأسماء المعالجين من الباطن، والإشعار عند تسرّب البيانات؟
- هل يمكن الاحتفاظ بنسخة مخزَّنة داخل المملكة اليوم، استعداداً لتعديل اللائحة المقترح في أكتوبر ٢٠٢٦؟
- هل تُستخدم طلباتنا لتدريب النماذج، وهل يتوافر خيار عدم الاحتفاظ بالبيانات، وما مدة الاحتفاظ بسجلات الطلبات؟
- للجهات الحكومية والبنية الحرجة: ما فئة تسجيل المزوّد لدى هيئة الاتصالات، وهل البيئة معزولة كما تطلب ضوابط الحوسبة السحابية، وهل خدمات الأمن المدارة والدعم من داخل المملكة؟
- للجهات المالية: هل حصلتم على عدم ممانعة البنك المركزي، وهل يسمح العقد بالتعاقد من الباطن دون موافقتكم؟
- هل سجّلت جهتكم في السجل الوطني لجهات التحكم، وهل عُيِّن مسؤول حماية بيانات، وهل أُجري تقييم أثر يشمل الذكاء الاصطناعي بوصفه تقنية ناشئة؟
ما لم نتمكن من التحقق منه
لم نصل إلى النص الرسمي للنظام ولوائحه بصيغة قابلة للاقتباس على موقع سدايا أو هيئة الخبراء، فاعتمدنا على فهرس الوثائق في المركز المعرفي للمنصة الوطنية وعلى تحليلات مكاتب قانونية مؤرَّخة، ولذلك لم نذكر أرقام مواد غير مؤكدة كمادة الحبس في الإفصاح عن البيانات الحساسة. لم نعرف ما إذا كانت منطقة مايكروسوفت السعودية صارت تعمل في ٨ نوفمبر، ولا قائمة نماذج الذكاء الاصطناعي فيها عند الافتتاح، ولا نتيجة استشارة مسوَّدة اللائحة. لم نتحقق من خدمات الذكاء الاصطناعي في منطقة هواوي بالرياض، ولا من موعد تنسنت، ولا من حالة مركز غوغل وصندوق الاستثمارات، ولا من قدرة تشغيلية فعلية لسحابة هيومين، ولا من أي رقم على موقع هيومين نفسه. لم نتحقق من نصوص ضوابط البيانات السيبرانية ولا من لائحة البنك المركزي للحوسبة السحابية ولا من قواعد توطين البيانات الصحية. وكل ما ورد عن العقود والأنظمة قراءة محرّرين لا قانونيين.
ماذا تختار
إذا كنت جهة حكومية أو بنية حرجة، فالسؤال ليس «أي نموذج» بل «أي مزوّد من الفئة ج وأي بيئة معزولة»، والخيارات العملية اليوم هي الذكاء الاصطناعي التوليدي من أوراكل في الرياض على عناقيد مخصّصة، أو النماذج المفتوحة على حوسبة محلية، أو منتجات هيومين حين تُنشر أسعارها وتوثيقها. إذا كنت شركة خاصة تعالج بيانات شخصية، فيمكنك اليوم استخدام نماذج أوبن إيه آي في الإمارات الشمالية بنشر محجوز إقليمي، أو نماذج نوفا في بيدروك الإمارات، أو خدمات غوغل في الدمام مع إدراك أن المعالجة غير مضمونة، بشرط بنود تعاقدية قياسية وتقويم مخاطر موثَّق. وإذا كانت بياناتك صوتاً أو نصاً عربياً حساساً، فالمزوّدون الذين يكتبون «السعودية» في توثيقهم، همس ونبرة وهمسة وهيومين فويس، والحاويات المحلية من منصت وسبيتشماتيكس وكوهير، هي ما يجيب عن سؤال المشتريات بنعم موثَّقة. وفي كل الأحوال، اطلب من المورّد صفحة توثيق واحدة تكتب اسم المنطقة ونمط النشر، لا شعار «سيادي»، وأعد قراءتها بعد شهر؛ ففي هذا الملف تحديداً، تتغير الوقائع أسرع من العقود.