الخصوصية والذكاء الاصطناعي والقواعد السارية
قانون حماية البيانات السويسري يشمل الذكاء الاصطناعي أصلًا، والاتحاد الأوروبي أجّل مواعيده، وإصلاح اللائحة العامة لحماية البيانات لم يصبح قانونًا بعد. ما الذي يسري الآن، وماذا ينبغي فعله.
تعمل الشركة السويسرية التي تستخدم الذكاء الاصطناعي بموجب قانون حماية البيانات السويسري منذ أول طلب يتضمن اسمًا. وإن كانت تخدم أشخاصًا في الاتحاد الأوروبي، فإن اللائحة العامة لحماية البيانات (GDPR) وقانون الذكاء الاصطناعي الأوروبي (EU AI Act) يدخلان في الحساب أيضًا. وقد تغيّر عدد من هذه القواعد هذا العام.
غير أن الخطر الأكبر كثيرًا ما يكمن في العادة لا في القانون. فقد وجدت دراسة IBM لعام 2025 حول اختراقات البيانات أن مؤسسة من كل خمس مؤسسات تعرضت لاختراق مرتبط بما يُسمى الذكاء الاصطناعي الخفي، أي الأدوات التي يستخدمها الموظفون دون موافقة رسمية، وأن ارتفاع مستواه أضاف في المتوسط 670,000 دولار إلى كلفة الاختراق الواحد. وفي المؤسسات التي تعرّض فيها نموذج أو تطبيق للذكاء الاصطناعي لاختراق، افتقرت نسبة 97 بالمئة منها إلى ضوابط وصول سليمة للذكاء الاصطناعي.
هذه خريطة القواعد كما تقف في أكتوبر 2026، وما تفعله الشركة الحريصة. إنها نظرة عامة وليست استشارة قانونية.
سويسرا: القانون يسري فعلًا
ليس في سويسرا قانون للذكاء الاصطناعي حتى الآن، لكن هذا لا يعني أنه بلا ضوابط. فقانون حماية البيانات الاتحادي المعدّل يسري منذ 1 سبتمبر 2023، وقد أكد المفوّض الاتحادي لحماية البيانات والشفافية (FDPIC) منذ نوفمبر 2023، ثم مجددًا في مايو 2025، أنه ينطبق مباشرة على معالجة البيانات الشخصية بالاستعانة بالذكاء الاصطناعي.
ينتظر المفوّض شفافية بشأن الغرض من معالجة الذكاء الاصطناعي وآلية عملها ومصادر بياناتها. وللناس الحق في معرفة ما إذا كانوا يتعاملون مع آلة، وما إذا كان ما يدخلونه يُستخدم لتحسين النظام. أما المعالجة عالية المخاطر فتستلزم تقييمًا لأثر حماية البيانات، ويجب دائمًا أن يُوسَم بوضوح أي وجه أو صورة أو صوت جرى التلاعب به لشخص يمكن تحديد هويته. ويصنّف المفوّض التعرف الشامل على الوجوه في الزمن الفعلي والتصنيف الاجتماعي ضمن الممارسات المحظورة.
ويطبّق ذلك على المنصات الكبرى أيضًا. ففي مارس 2025 أغلق تحقيقًا أوليًا في استخدام المنشورات على X لتدريب Grok، ونبّه إلى أن للمستخدمين حق الاعتراض.
وهناك إطار خاص قادم. تُعدّ وزارة العدل والشرطة الاتحادية مشروع قانون يُطرح للاستشارة بحلول نهاية 2026 لتنفيذ اتفاقية مجلس أوروبا بشأن الذكاء الاصطناعي، ويركّز على الشفافية وحماية البيانات وعدم التمييز والرقابة.
قانون الذكاء الاصطناعي الأوروبي بعد الحزمة الشاملة
دخل قانون الذكاء الاصطناعي الأوروبي حيّز النفاذ في 1 أغسطس 2024، ويُطبَّق على مراحل. فالممارسات المحظورة وواجب الإلمام بالذكاء الاصطناعي يسريان منذ 2 فبراير 2025، والتزامات النماذج ذات الأغراض العامة منذ 2 أغسطس 2025. ويسري معظم القانون اعتبارًا من 2 أغسطس 2026، ومنه قواعد الشفافية: يجب إبلاغ الناس بأنهم يتحدثون إلى روبوت دردشة، ويجب وسم مواد التزييف العميق.
دخلت الحزمة الرقمية الشاملة للذكاء الاصطناعي، اللائحة (EU) 2026/1744، حيّز النفاذ في 27 يوليو 2026. وهي تؤجّل قواعد الأنظمة عالية المخاطر: فالأنظمة المستخدمة في مجالات مثل القياسات الحيوية والتعليم والتوظيف تخضع لالتزاماتها اعتبارًا من 2 ديسمبر 2027، والأنظمة المدمجة في منتجات منظَّمة، كالمصاعد أو الألعاب، اعتبارًا من 2 أغسطس 2028. كما تحظر اعتبارًا من ديسمبر 2026 الذكاء الاصطناعي الذي يولّد صورًا جنسية للأشخاص دون موافقتهم أو مواد الاعتداء الجنسي على الأطفال، وتوسّع نطاق التوثيق المبسّط ليشمل الشركات الصغيرة متوسطة الرسملة.
بالنسبة إلى معظم الشركات التي تستخدم الذكاء الاصطناعي ولا تبنيه، فإن التأجيل لا يغيّر الكثير. فواجبات الشفافية والإلمام تسري الآن. أما المهلة الإضافية فهي للأنظمة التي تقرر بشأن الناس، مثل من يُوظَّف.
اللائحة العامة لحماية البيانات، وإصلاح لم يصبح قانونًا
اللائحة العامة لحماية البيانات نفسها لم تتغير. ففي ديسمبر 2024 بيّن المجلس الأوروبي لحماية البيانات كيف يقرؤها بالنسبة إلى نماذج الذكاء الاصطناعي. فالنموذج المدرَّب على بيانات شخصية لا يُعدّ مجهول الهوية إلا إذا كان تحديد هوية الأشخاص منه، مباشرة أو عبر أسئلة تُوجَّه إلى النموذج، احتمالًا ضعيفًا جدًا، ويُحكم في ذلك لكل حالة على حدة. والمصلحة المشروعة لا تصلح أساسًا قانونيًا إلا إذا كانت المعالجة ضرورية بدقة وكان التوازن بين الحقوق قائمًا. أما النموذج المبني على بيانات عولجت بصورة غير مشروعة فقد يؤثر في مشروعية استخدامه لاحقًا، ما لم يكن قد جرى إخفاء هوية بياناته على الوجه الصحيح.
وتقترح حزمة شاملة منفصلة تخفيف بعض أحكام اللائحة وقانون البيانات الأوروبي. وفي 7 أكتوبر 2026 أجّل سفراء الدول الأعضاء التصويت على موقف مجلس الاتحاد الأوروبي، بعد أن طلبت ألمانيا وفرنسا مزيدًا من الوقت، وفي اجتماعهم يوم 11 أكتوبر لم يُناقَش النص ولم يُطرح للتصويت. وتريد برلين فئة من المسؤولين عن المعالجة منخفضي المخاطر تعفي الشركات الصغيرة والمنظمات غير الربحية من كثير من الواجبات. لا شيء من هذا يسري بعد، ونخطط على أساس اللائحة كما هي مكتوبة اليوم.
العقود ونقل البيانات
معظم الذكاء الاصطناعي في العمل يجري عبر مزوّد يعالج بيانات شخصية نيابة عن الشركة، والعقد هو المكان الذي تعيش فيه قواعد الشركة. وينبغي أن ينص على ما يجوز للمزوّد فعله بالطلبات والملفات، ومدة احتفاظه بها وبسجلاته، والمعالجين الفرعيين الذين يستعين بهم وأين، وما يحدث للبيانات عند انتهاء العقد. وإذا قال المزوّد إنه لا يدرّب نماذجه على بياناتكم، فابحثوا عن هذه الجملة في العقد الذي وقّعتموه.
البيانات التي تغادر سويسرا إلى الولايات المتحدة تحتاج إلى أساس قانوني. ومنذ 15 سبتمبر 2024 يتيح الإطار السويسري الأمريكي لخصوصية البيانات نقل البيانات إلى شركات أمريكية معتمدة دون ضمانات إضافية، فتحقّقوا من شهادة الاعتماد لدى كل مزوّد وكل معالج فرعي. أما نظيره الأوروبي فقد صمد أمام أول طعن أمام المحكمة العامة للاتحاد الأوروبي في 3 سبتمبر 2025. والاستئناف المقدَّم في 31 أكتوبر 2025 لم يُفصل فيه، بحسب علمنا. اعرفوا أي أدواتكم تعتمد على نقل البيانات إلى الولايات المتحدة، وماذا ستفعلون بدلًا منها.
ما تفعله الشركة الحريصة الآن
لا يحتاج شيء من هذا إلى برنامج ضخم. يحتاج إلى قائمة، وبضعة قرارات، وشخص يتولى أمرها.
أعدّوا القائمة: كل أداة ذكاء اصطناعي قيد الاستخدام، والبيانات التي تدخلها، والمزوّد، والدولة، والعقد. اسألوا الفرق عمّا تستخدمه فعلًا، لا عمّا جرى اعتماده.
صنّفوا البيانات إلى عامة وداخلية وسرية، وحدّدوا في صفحة واحدة أي فئة يجوز إدخالها في أي أداة.
قدّموا بديلًا جيدًا. ينمو الذكاء الاصطناعي الخفي حيث تكون الأداة المعتمدة أسوأ من المجانية. والمساعد المعتمد الذي يؤدي عمله يزيل معظم دوافع لصق بيانات العملاء في حساب خاص.
تحكّموا في الوصول. أدوات الذكاء الاصطناعي تأخذ الأدوار نفسها وتسجيل الدخول نفسه وإجراءات المغادرة نفسها كأي نظام آخر. والمساعد الذي يستطيع قراءة كل شيء سيعرضه يومًا على الشخص الخطأ.
أخبروا الناس وقيّموا الحالات الخطرة. اذكروا على الموقع متى يتحدث الزبون إلى آلة، وأجروا تقييم الأثر قبل أن يلمس الذكاء الاصطناعي بيانات حساسة أو يقرر بشأن أشخاص.
عيّنوا له مسؤولًا. في دراسة Cisco لعام 2026، كان لدى ثلاث من كل أربع مؤسسات هيئة لحوكمة الذكاء الاصطناعي، ولم يصفها بالناضجة سوى 12 بالمئة. وأبقوا إنسانًا عند زر الإرسال: ما يجوز فعله ببيانات شخص ما حكم تقديري، والحكم التقديري يبقى للناس.
كيف نبني وفق ذلك
منتجاتنا تتبع القواعد نفسها. يكتب Kontor العروض والفواتير في bexio ولا يخزّن شيئًا بنفسه: تبقى البيانات في bexio، ويبقى الإرسال والدفع والتذكيرات بيد شخص.
يمنح Twin كل دور الجزء الذي يحتاجه فقط من دماغ الشركة، وتُنفَّذ كل عملية كتابة بتسجيل دخول كل مستخدم على حدة. ويعمل في سويسرا أو الاتحاد الأوروبي، أو على عتاد العميل نفسه، ولا تدرّب بياناتُه نموذجًا عامًا أبدًا.
وحين يجب ألا تغادر البيانات الشركة إطلاقًا، يعمل Eigna، الذي يبنيه شريكنا Eigna Labs، نموذجًا خاصًا في سحابة الشركة نفسها أو على خوادمها، ومصمَّمًا وفق اللائحة العامة لحماية البيانات وقانون الذكاء الاصطناعي الأوروبي.
ستواصل القواعد تحركها. والشركة التي تعرف أين تذهب بياناتها تستطيع مجاراتها.
