كل المقالات
٢١ مايو ٢٠٢٦ PDPL بيانات تدريب ذكاء اصطناعي

امتثال PDPL لبيانات تدريب الذكاء الاصطناعي — الدليل التشغيلي

لماذا PDPL مهمّ لبيانات تدريب الذكاء الاصطناعي

قانون حماية البيانات الشخصية السعودي (PDPL، مرسوم ملكي M/19 لعام 2021، لوائح تنفيذية 2023) يحكم معالجة البيانات الشخصية للمقيمين في KSA. خلافًا للعديد من أنظمة الخصوصية، PDPL ينطبق خارج الإقليم — شركة أمريكية تعالج بيانات مقيم سعودي خاضعة لـ PDPL.

لبيانات تدريب الذكاء الاصطناعي تحديدًا:

PDPL لديه رأي في كل الأربعة.

الأبعاد التشغيلية الستّة لـ PDPL

1. إقامة البيانات

اللوائح التنفيذية لـ PDPL تحدّد فئات من البيانات الشخصية يجب أن تبقى داخل المملكة للمعالجة:

لمجموعات بيانات تدريب الذكاء الاصطناعي التي تحتوي على هذه الفئات، خطّ أنابيب التأشير يجب أن يعمل داخل المملكة — إمّا في منطقة سحابية KSA أو داخل الموقع في مرفق العميل السعودي.

تضمين تشغيلي: منصّات التأشير SaaS المُسْتَضافَة في الولايات المتحدة لا يمكن أن تعالج هذه الفئات بشكل قانوني.

2. المادة 27 — إخطار خرق خلال 72 ساعة

المادة 27 من PDPL تتطلّب إخطار SDAIA + أصحاب البيانات المتأثّرين خلال 72 ساعة من الوعي بخرق البيانات الشخصية. هذا متطابق تشغيليًا مع ساعة المادة 33 من GDPR التي مدتها 72 ساعة.

لخطوط أنابيب التأشير، يشمل “الخرق”:

تضمين تشغيلي: منصّة التأشير يجب أن يكون لها:

3. تتبّع الأساس القانوني

PDPL يتطلّب أن ترتكز معالجة البيانات الشخصية على أساس قانوني: موافقة، ضرورة تعاقدية، التزام قانوني، مصالح حيوية، مصلحة عامّة، أو مصلحة مشروعة.

لبيانات تدريب الذكاء الاصطناعي، السؤال القانوني يصبح:

تضمين تشغيلي: منصّة التأشير يجب أن تتتبّع الأساس القانوني لكل مجموعة بيانات. المجموعات المختلطة (موافقة + مصلحة مشروعة عبر مصادر مختلفة) تتطلّب تتبّع أساس لكل سجل، ليس فقط لكل مجموعة بيانات.

4. حقوق صاحب البيانات

PDPL يمنح المقيمين في KSA حقوقًا في:

لبيانات تدريب الذكاء الاصطناعي، أسئلة الحقوق تصبح:

تضمين تشغيلي: منصّة التأشير يجب أن تدعم:

5. إدارة المعالج الفرعي

PDPL يتطلّب أن يضمن المُتَحَكِّمون في البيانات حماية مكافئة من المعالجين الفرعيين. لبيانات تدريب الذكاء الاصطناعي، المعالجون الفرعيون يشملون عادةً:

تضمين تشغيلي: بائعو التأشير يجب أن:

6. النقل عبر الحدود

PDPL أكثر صرامة من GDPR في النقل عبر الحدود. الموضع الافتراضي: البيانات الشخصية للمقيمين في KSA تبقى داخل المملكة. الاستثناءات تتطلّب أساسًا قانونيًا محدّدًا + آليات موافقة SDAIA.

تضمين تشغيلي: إذا كان سير عمل التأشير يتضمّن أيّ بيانات تعبر الحدود السعودية (كادر خارج KSA، بنية تحتية خارج KSA، دعم العملاء خارج KSA)، آلية النقل عبر الحدود يجب أن تكون موثّقة + قانونية.

كيف يبدو التشغيل الجيّد لـ PDPL

خطّ أنابيب تدريب ذكاء اصطناعي مُتَوَائِم مع PDPL يشمل:

  1. نشر داخل المملكة — منطقة سحابية KSA أو داخل الموقع للفئات المنظَّمَة
  2. سير عمل إخطار خرق 72 ساعة — كتاب تشغيل + مناوبة + قالب
  3. تتبّع الأساس القانوني لكل مجموعة بيانات — مفروض في طبقة منصّة التأشير
  4. سير عمل حقوق صاحب البيانات — بحث، ظهور، تحرير، حذف، تصدير، تدقيق
  5. إفصاح المعالج الفرعي + حقوق اعتراض — شروط DPA معيارية
  6. توثيق النقل عبر الحدود — حيث ينطبق
  7. DPO مُعَيَّن + قابل للاتّصال — متطلّب المادة 32
  8. DPIA للمعالجة عالية المخاطر — موصى به حتى حيث ليس إلزاميًا

إذا كان بائعك الحالي يقدّم أقلّ من 5 من هذه، فأنت في عرضة PDPL.

أين يقع Annota8

Annota8 بُنِيَت حول PDPL منذ اليوم الأوّل. صفحة الامتثال PDPL تفصّل الوضع الكامل. أبرز النقاط:

PDPL تشغيلي. ليس مربّع تأشير. ليس خريطة طريق.

PDPL مقابل GDPR — أيّهما ينطبق على حملك للذكاء الاصطناعي؟

كلاهما يمكن أن ينطبق معًا. مصفوفة قرار سريعة:

موضوع البياناتموقع المعالجةPDPL ينطبق؟GDPR ينطبق؟
مقيم KSAKSAنعملا
مقيم KSAEUنعمربّما
مقيم EUKSAربّمانعم
مقيم EUEUلانعم

لمجموعات تدريب ذكاء اصطناعي متعدّدة الولايات، كلا النظامين ينطبقان على أصحاب البيانات المعنيين. منصّة التأشير يجب أن تدعم كليهما.

ناقش التأشير المُرتَبِط بـ PDPL → جلسة 30 دقيقة اقرأ نظرة الامتثال PDPL