استخدام الذكاء الاصطناعي وفق اللائحة العامة لحماية البيانات: قائمة تحقق للشركات

مساعد الذكاء الاصطناعي الذي يقرأ الأدلة والعقود وملفات العملاء يعالج في الغالب الأعم بيانات شخصية: أسماء جهات الاتصال والموظفين والعملاء. وبذلك تسري اللائحة العامة لحماية البيانات (GDPR) بكامل نطاقها. ولا تغيّر أداة الذكاء الاصطناعي شيئاً في ذلك. إنها تغيّر فقط كمية البيانات التي تُقرأ في موضع واحد دفعة واحدة، ومن يطّلع عليها في الطريق.

يتوجه هذا المقال إلى الإدارة العليا ورؤساء الشؤون القانونية والموارد البشرية والامتثال في الشركات المتوسطة. وهو يذكر الأسئلة التي يجب الإجابة عنها قبل أي أداة، ويلخصها في قائمة تحقق من عشر نقاط، ويقارن ثلاثة خيارات للتشغيل.

لماذا لا تغيّر أداة الذكاء الاصطناعي الوضع القانوني

ترتبط اللائحة العامة لحماية البيانات بمعالجة البيانات الشخصية، لا بالتقنية. سواء فتح إنسان مستنداً أو قرأه نموذج لغوي: تحتاج المعالجة إلى غرض وأساس قانوني ومستوى حماية ملائم. الجديد مع الذكاء الاصطناعي هو في المقام الأول أن مستندات من مصادر كثيرة تجتمع في فهرس واحد، وأن مزوداً خارجياً يستطيع قراءتها في كثير من الأحيان، وأن مخرجات النموذج نفسها قد تحتوي بدورها على بيانات شخصية.

ما الأسئلة الواجب حسمها قبل أي أداة ذكاء اصطناعي؟

الغرض والأساس القانوني (المادة 6 من GDPR)

تحتاج كل عملية معالجة إلى غرض محدد وأساس قانوني بموجب المادة 6 من اللائحة. بالنسبة إلى الموظفين والعملاء يكون ذلك عادةً تنفيذ عقد أو مصلحة مشروعة يجب موازنتها مع مصالح أصحاب البيانات وتوثيقها. «نريد تجربة الذكاء الاصطناعي» ليس غرضاً. «الإجابة عن أسئلة حول السياسات الداخلية من الأدلة المعتمدة» غرضٌ.

تقليل البيانات إلى الحد الأدنى

لا تُعالج إلا البيانات اللازمة للغرض (المادة 5 الفقرة 1 البند ج من اللائحة). ويعني ذلك لأداة الذكاء الاصطناعي: ربط المجموعات التي يتطلبها الغرض فقط، وتعمية البيانات الشخصية أو إزالتها حيثما تسمح المهمة بذلك. فمساعد تعليمات العمل لا يحتاج إلى ملفات الموظفين.

أين تُعالج البيانات، ومن يعالجها؟

اسألوا المزود عن موقع كل خطوة من خطوات المعالجة: التخزين، والفهرس، واستدعاء النموذج، والسجلات، والنسخ الاحتياطية، والدعم. واطلبوا قائمة المعالجين من الباطن، مع مقر كل منهم ومكان المعالجة.

هل المزود معالج بالتكليف؟ إذاً عقد معالجة البيانات إلزامي

إذا عالج مزود بيانات شخصية نيابة عنكم، فهو معالج بالتكليف. وعندها توجب المادة 28 من اللائحة إبرام عقد معالجة بيانات بالتكليف (بالألمانية: AV-Vertrag) بمحتوى محدد: موضوع المعالجة ومدتها وغرضها، وفئات البيانات، والمعالجة وفق التعليمات فقط، والسرية، والتدابير الأمنية، والمعالجون من الباطن، والحذف عند الانتهاء، والإثباتات وحقوق التدقيق. وتوفر المفوضية الأوروبية لذلك بنوداً تعاقدية نموذجية (القرار التنفيذي (EU) 2021/915). أما الأداة التي لا يقدم مزودها عقد معالجة بالتكليف فهي مستبعدة للبيانات الشخصية.

نقل البيانات إلى بلدان خارج الاتحاد الأوروبي

إذا عولجت البيانات خارج المنطقة الاقتصادية الأوروبية، يسري الفصل الخامس من اللائحة (المادة 44 وما يليها). ويُسمح بالنقل إذا كانت المفوضية الأوروبية قد أقرت بأن البلد يوفر مستوى حماية ملائماً (قرار الملاءمة)، أو إذا اتُّفق على البنود التعاقدية النموذجية (القرار التنفيذي (EU) 2021/914) مع تقييم موثق لما إذا كان قانون بلد المقصد يقوّض هذه البنود. وبالنسبة إلى الولايات المتحدة يوجد منذ يوليو 2023 إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة (EU-US Data Privacy Framework) للشركات الأمريكية المعتمدة. وقد طُعن فيه قضائياً؛ فتحققوا من وضعه وقت اتخاذ قراركم. ولا يفيد مركز بيانات في فرانكفورت إذا كان الدعم أو استدعاء النموذج يجري من الولايات المتحدة.

هل التدريب على بياناتكم مستبعد تعاقدياً؟

تحتفظ خدمات ذكاء اصطناعي كثيرة في باقات المستهلكين بحق استخدام المدخلات لتحسين نماذجها. يجب أن يرد الاستبعاد في العقد، لا في مجرد إعداد يمكن لأحدهم إعادة ضبطه. واحصلوا كذلك على تعهد بمدة الاحتفاظ بالمدخلات والمخرجات لدى المزود، لأغراض رصد إساءة الاستخدام مثلاً.

مدة الاحتفاظ والحذف

يحتوي الفهرس وسجلات الأسئلة والأجوبة والذاكرة المؤقتة والنسخ الاحتياطية على نسخ من مستنداتكم. حددوا متى تُحذف كل نسخة ومن يؤكد الحذف كتابياً. والشخص الذي يمارس حقه في المحو بموجب المادة 17 من اللائحة يجب أن يختفي من الفهرس أيضاً.

متى يلزم تقييم الأثر على حماية البيانات؟ (المادة 35 من GDPR)

تقييم الأثر على حماية البيانات (DPIA) إلزامي عندما يُرجح أن تؤدي المعالجة إلى خطر مرتفع على أصحاب البيانات. ومع الذكاء الاصطناعي يكون ذلك مثلاً عند تقييم الموظفين بصورة منهجية، أو عند معالجة فئات خاصة بموجب المادة 9 من اللائحة كالبيانات الصحية على نطاق واسع، أو عندما تجمع تقنية جديدة مصادر بيانات كثيرة. وتنشر سلطات الرقابة الألمانية قائمة بعمليات المعالجة التي يلزم لها التقييم دائماً. ومساعد المعرفة لتعليمات العمل لا يحتاج عادةً إلى تقييم أثر؛ أما المساعد الذي يحلل ملفات الموظفين فيحتاج إليه على الأرجح.

إشراك مسؤول حماية البيانات ومجلس العمال

في ألمانيا يجب تعيين مسؤول لحماية البيانات بمجرد أن يعمل، كقاعدة عامة، 20 شخصاً على الأقل بصفة دائمة في المعالجة الآلية للبيانات الشخصية (المادة 38 من قانون حماية البيانات الاتحادي BDSG). وإذا عالجت الأداة بيانات الموظفين، فلمجلس العمال (Betriebsrat) حق المشاركة في القرار عندما يكون النظام قادراً على مراقبة السلوك أو الأداء (المادة 87 الفقرة 1 البند 6 من قانون تنظيم المنشآت BetrVG). ولا يُشترط وجود نية للمراقبة؛ فالقدرة عليها تكفي. ومنذ 2021 يذكر قانون تنظيم المنشآت الذكاء الاصطناعي صراحةً في حقوق الإعلام والتشاور (المادة 90 من BetrVG).

الشفافية تجاه أصحاب البيانات (المادتان 13 و14 من GDPR)

يجب أن يعلم الموظفون والعملاء والمتقدمون للوظائف أن بياناتهم تُعالج بنظام ذكاء اصطناعي، ولأي غرض، ولدى أي مزود. ويجب استكمال إشعارات الخصوصية للموظفين والعملاء وفقاً لذلك. ويسري هذا أيضاً عندما لا تكون البيانات قد جُمعت من الشخص مباشرة (المادة 14 من اللائحة).

يجب أن تظل حقوق الوصول سارية

لا يجوز لمساعد الذكاء الاصطناعي أن يعرض على شخص مستنداً لا يستطيع فتحه من دون المساعد. يبدو ذلك بديهياً، لكنه الخطأ الأكثر شيوعاً: توضع كل المستندات في فهرس واحد، وتضيع صلاحيات نظام الملفات. يجب أن يجري التحقق قبل أن يقرأ النموذج، لا بعد ذلك في الإجابة. ويجب ألا يختلف الرد «غير موجود» عن «غير مسموح»، وإلا كشف عن وجود المستند.

قائمة التحقق: عشر نقاط قبل المستند الأول

1. الغرض مدوّن كتابياً، والأساس القانوني بموجب المادة 6 من اللائحة مسمى، وفي حالة المصلحة المشروعة الموازنة موثقة.
2. لم تُربط إلا مصادر البيانات التي يتطلبها الغرض؛ والبيانات الشخصية معمّاة حيثما أمكن.
3. معروف لكل خطوة معالجة أين تجري ولدى من؛ وقائمة المعالجين من الباطن متوفرة.
4. عقد معالجة البيانات بالتكليف (AV-Vertrag) بموجب المادة 28 من اللائحة مبرم، مع ملاحق عن البيانات وأصحابها والتدابير التقنية والتنظيمية.
5. عند المعالجة خارج المنطقة الاقتصادية الأوروبية: قرار ملاءمة أو بنود تعاقدية نموذجية مع تقييم؛ والوضع وقت القرار مسجل.
6. التدريب على بياناتكم واستخدامها لأغراض المزود الخاصة مستبعدان تعاقدياً؛ ومدة احتفاظ المزود بالمدخلات والمخرجات معروفة.
7. مُهل الحذف للفهرس والسجلات والذاكرة المؤقتة والنسخ الاحتياطية محددة؛ والحذف يؤكَّد كتابياً.
8. فُحص ووُثق ما إذا كان تقييم الأثر على حماية البيانات بموجب المادة 35 من اللائحة لازماً؛ وإن كان كذلك فقد أُجري.
9. مسؤول حماية البيانات، ومجلس العمال في حالة بيانات الموظفين، مشاركان قبل القرار؛ وإشعارات الخصوصية بموجب المادتين 13 و14 من اللائحة مستكملة.
10. تُفحص حقوق الوصول قبل أن يقرأ النموذج؛ وسجل الأسئلة والوصول والإجراءات موجود وقابل للقراءة من مسؤول حماية البيانات.

ثلاثة خيارات تشغيل بالمقارنة

عدد نقاط القائمة التي يمكن استيفاؤها يتوقف على مكان تشغيل الأداة وعلى العقد الذي تعمل بموجبه. ثلاثة خيارات نموذجية:

كيف تبني Sovern ذلك

Sovern Ask، مساعد المعرفة لدينا، في المرحلة التجريبية. والمبادئ ثابتة: يعمل النظام على خوادمكم أو على خوادم تشغّلها Sovern في ألمانيا. وأنتم تختارون النموذج: Claude أو Azure OpenAI أو نموذج مفتوح على عتادكم الخاص؛ ولا يُربط نموذج سحابي إلا بموافقتكم الكتابية. وتُفحص الصلاحيات قبل أن يقرأ النموذج أي مقطع نصي؛ وما لا يستطيع الشخص فتحه لا يُبحث فيه. وتذكر كل إجابة الصفحة والاقتباس اللذين تستند إليهما. ولا تُستخدم بياناتكم لتدريب النماذج، لا من Sovern ولا، وفق تعهداتهم التعاقدية، من مزودي النماذج. ونقدم عقد معالجة بالتكليف في كل الأحوال، حتى عندما يعمل النظام حصراً لديكم.

هذا المقال معلومات عامة وليس استشارة قانونية. قبل اتخاذ قرار، تحققوا مع مسؤول حماية البيانات أو مستشار قانوني من: مواد اللائحة العامة لحماية البيانات المذكورة هنا وكيفية انطباقها على حالتكم، والوضع الحالي لإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة، وقوائم سلطات الرقابة الخاصة بتقييم الأثر على حماية البيانات، وعتبة تعيين مسؤول حماية البيانات بموجب المادة 38 من BDSG، وحقوق مجلس العمال في المشاركة في القرار بموجب المادتين 87 و90 من BetrVG.