لشركات المراجعة والمحاماة والخدمات المهنية في السعودية
هل يجوز لمكتب تدقيق أو محاسبة سعودي استخدام ChatGPT في ملفات العملاء بموجب نظام حماية البيانات الشخصية؟
لا — ليس بالنسبة لبيانات العملاء الحساسة. فلصق رقم هوية عميل، أو آيبانه (IBAN)، أو رقم ضريبة القيمة المضافة أو السجل التجاري، أو سجلاته المالية في ChatGPT يعني تسليم هذه المعلومات لطرف ثالث لا يسيطر عليه المكتب، وهو ما يخالف واجب السرية المهنية ويتعارض مع أحكام نظام حماية البيانات الشخصية الخاصة بنقل البيانات عبر الحدود ومشاركتها مع طرف ثالث. أما الأعمال اليومية غير الحساسة فيمكن الاستمرار في استخدام الذكاء الاصطناعي السحابي بشأنها بأمان، ما دامت المواد الحساسة بعيدة عنها.
ماذا يحدث فعلياً عند لصق بيانات العميل في ChatGPT
عندما يكتب أحد الموظفين ميزان مراجعة عميل، أو ملف رواتب، أو رقم هوية وطنية داخل ChatGPT، فإن هذا النص يخرج من أجهزة المكتب وشبكته الخاصة. يتحول إلى طلب (prompt) يُرسَل عبر الإنترنت إلى خوادم يديرها المزوّد، تقع خارج البنية التقنية للمكتب، وبالنسبة لمكتب سعودي، خارج المملكة العربية السعودية تماماً. ما يحدث بعد ذلك يعتمد على نوع الحساب. في الحسابات الاستهلاكية العادية، يمكن تسجيل هذا الإدخال، ومراجعته لأغراض السلامة، والاحتفاظ به لفترة، واستخدامه — ما لم يُلغِ المستخدم ذلك صريحاً أو يكن على خطة أعمال أو مؤسسات بضوابط بيانات مختلفة — في تحسين النماذج المستقبلية. وحتى إن أعلن المزوّد أنه لا يستخدم بيانات حسابات الأعمال في التدريب، فإن المحتوى يظل يعبر ويستقر، ولو مؤقتاً، على بنية تقنية لا يملكها المكتب ولا يتحكم بها، تديرها شركة لا تربطها بالمكتب اتفاقية سرية تغطي هذا الاستخدام بالتحديد.
المشكلة ليست أن مزوداً معيناً غير حريص. المشكلة أن لحظة إرسال الطلب، تتغيّر السيطرة على البيانات وموقعها الفعلي معاً — وهذا التغيّر بالضبط هو ما يستدعي أسئلة السرية وحماية البيانات أدناه.
لماذا يتعارض ذلك مع واجب السرية المهنية ومع نظام حماية البيانات الشخصية
يعمل المدققون والمحاسبون بموجب واجب سرية مهنية أقدم من أدوات الذكاء الاصطناعي: القوائم المالية، وهياكل الملكية، وبيانات الرواتب، والمراكز الضريبية، وشروط الصفقات، يُفترض أن تبقى داخل دائرة محدودة من الأشخاص الملتزمين بحمايتها. هذا الواجب يتعلق أساساً بمن يملك حق الوصول إلى معلومات العميل، لا بنوع البرنامج الذي يتعامل معها. لصق ميزان مراجعة غير مُنقّى أو رقم إقامة عميل في أداة ذكاء اصطناعي عامة تديرها شركة غير ذات صلة، هو من حيث الجوهر مشاركة لهذه المعلومات مع طرف ثالث — وغالباً دون علم العميل، ودون الضمانات التعاقدية التي يشترطها المكتب عادةً قبل الإفصاح عن أي معلومة لطرف خارجي.
ويضيف نظام حماية البيانات الشخصية (PDPL) طبقة ثانية أكثر تحديداً. فهو ينظّم كيفية جمع البيانات الشخصية ومعالجتها، ويشترط أساساً نظامياً واضحاً لذلك، ويتعامل مع فئات معينة منها بحذر أكبر، ويقيّد نقل البيانات الشخصية إلى خارج المملكة إلا وفق شروط محددة. أرقام الهوية الوطنية والإقامة، وأرقام الهواتف والبريد الإلكتروني المرتبطة بشخص يمكن تحديده، وبيانات الحسابات البنكية مثل الآيبان، والسجلات المالية للعملاء، هي تماماً نوع البيانات الشخصية — والحساسة غالباً — التي يتعامل معها العمل في التدقيق والمحاسبة يومياً. أما رقم ضريبة القيمة المضافة ورقم السجل التجاري فيحددان المنشأة، لكنهما في الشركات الصغيرة أو المملوكة لعدد محدود من الأفراد يقودان مباشرة إلى أشخاص محددين. وإرسال أي من ذلك إلى أداة ذكاء اصطناعي عامة هو، من الناحية العملية، نقل عابر للحدود إلى معالج من طرف ثالث — نقل لا يستطيع المكتب في العادة تتبعه بالكامل، فضلاً عن إثبات استيفائه لشروط نظام حماية البيانات الشخصية الخاصة بذلك.
ليست كل الطلبات بنفس درجة الخطورة
الهدف الواقعي ليس منع الذكاء الاصطناعي تماماً، بل معرفة — طلباً بطلب — أي فئة ينتمي إليها ما تكتبه.
- أرقام الهوية الوطنية أو الإقامة
- الآيبان (IBAN) وبيانات الحسابات البنكية الأخرى
- رقم ضريبة القيمة المضافة ورقم السجل التجاري
- أرقام هواتف أو بريد إلكتروني مرتبطة بعميل يمكن تحديد هويته
- القوائم المالية، وبيانات الرواتب، أو المراكز الضريبية
- أي نص يجمع بين اسم العميل وأرقام أو تفاصيل حسابات
أما الأعمال اليومية غير الحساسة فتبدو مختلفة تماماً: صياغة نموذج بريد إلكتروني عام، أو التحقق من صياغة معيار محاسبي، أو تلخيص لائحة تنظيمية متاحة للعموم، أو صياغة أفكار للمحتوى التسويقي الخاص بالمكتب نفسه. لا شيء من ذلك يحدد هوية عميل أو يفصح عن أرقامه.
اختبار سريع: قبل لصق أي نص في أداة ذكاء اصطناعي عامة، اسأل نفسك: "لو كان هذا النص يذكر عميلاً حقيقياً، وقرأه هذا العميل من فوق كتفك، هل ستكون مرتاحاً؟" إن كانت الإجابة لا، فهذا النص لا مكان له في أداة ذكاء اصطناعي عامة.
كيف تستمر في استخدام الذكاء الاصطناعي المتقدم دون هذا الخطر
الحل العملي هو فحص كل طلب قبل أن يخرج من سيطرة المكتب، بدل ترك هذا التقدير لأي موظف يكتب في تلك اللحظة. الطلبات التي تحتوي على الفئات الحساسة أعلاه ينبغي معالجتها والرد عليها على أجهزة يملكها المكتب فعلاً، داخل مكتبه، ولا تُعرض أبداً على أي مزوّد سحابي. أما الطلبات التي لا تحتوي على بيانات شخصية أو بيانات عميل حساسة فيمكن أن تستمر في الذهاب إلى نموذج متقدم مثل ChatGPT أو Claude — على مفتاح API الخاص بالمكتب — لأنه لا يوجد فيها أصلاً ما يخلق مشكلة تتعلق بنظام حماية البيانات الشخصية أو بالسرية. وينبغي أن يحدث قرار التوجيه هذا تلقائياً وباستمرار، لا حالة بحالة في ذهن أحد الموظفين.
ما الأدلة التي ينبغي أن يحتفظ بها المكتب
بصرف النظر عن الأسلوب الذي يتبعه المكتب، ينبغي أن يكون قادراً على إظهار — بعد وقوع الأمر لا فقط في السياسة المكتوبة — ما جرى لطلب معين. وهذا يعني القدرة على الإجابة عن:
- هل بقي هذا الطلب على أجهزتنا الخاصة، أم ذهب إلى مزوّد سحابي؟
- متى حدث ذلك، وكيف صُنِّف في تلك اللحظة؟
- هل يمكن إثبات أن هذا السجل لم يُعدَّل بهدوء بعد ذلك؟
- هل يمكننا تقديم تقرير مبسّط لعميل أو لمُقيّم دون الإفصاح عن محتوى الطلب الفعلي في هذه العملية؟
هذه النقطة الأخيرة مهمة: سجل امتثال يعيد إظهار التفاصيل المالية للعميل هو بنفسه خطر سرية جديد. النسخة المفيدة من هذا السجل تسجّل بيانات وصفية — الأوقات، وقرارات التصنيف، ونتائج التوجيه — لا المحتوى الأصلي نفسه.
كيف يعالج إثبات هذه المشكلة
بُني إثبات حول هذا الفصل بالضبط. فهو بوابة ذكاء اصطناعي محلية (on-premise) تُثبَّت على أجهزة يملكها المكتب فعلاً، وتشغّل نماذج عربية أولاً مثل ALLaM أو SILMA محلياً، إلى جانب نقطة وصول متوافقة مع OpenAI. يُصنَّف كل طلب قبل معالجته: الطلبات التي تطابق أنماطاً حساسة سعودية — أرقام الهوية أو الإقامة، والآيبان، وأرقام ضريبة القيمة المضافة والسجل التجاري، والسجلات المالية للعملاء، والكلمات المفتاحية المرتبطة بها — تُبقى وتُعالَج على أجهزة المكتب نفسها، ولا تُعرَض أبداً على أي مزوّد سحابي، كضمانة صارمة لا كخيار قد يُنسى تفعيله. أما الطلبات اليومية غير الحساسة فيمكن أن تستمر في التوجّه إلى نموذج متقدم مثل Claude أو ChatGPT، على مفتاح API الخاص بالمكتب، مع إدارة وتسجيل كامل في الحالتين.
كل عملية استدلال — محلية أو موجّهة إلى السحابة — تُنتج سجل أدلة مقاوماً للتلاعب ومترابطاً تشفيرياً. ولا يصل إلى لوحة التحكم المركزية سوى البيانات الوصفية فقط؛ أما محتوى الطلبات والردود، وأي مفاتيح API سحابية، فتبقى على جهاز المكتب نفسه. يغذّي هذا السجل تقرير ضمان سرية العميل الثنائي اللغة، المرتبط بنظام حماية البيانات الشخصية ومكتب إدارة البيانات الوطنية. ولأن البيانات الشخصية الحساسة تُعالَج محلياً داخل المملكة العربية السعودية بدل نقلها إلى مكان آخر، فإن أسئلة النقل العابر للحدود والطرف الثالث التي تُعقّد استخدام أدوات الذكاء الاصطناعي العامة لا تنشأ إلى حد كبير مع هذه البيانات — مع أن الاعتماد الرسمي لا يزال يُستكمَل مع الجهة المُقيِّمة الخاصة بالمكتب نفسه. وتبدأ المكاتب عادةً بتجربة محددة النطاق لمدة ستة أسابيع، تبدأ من 15,000 ريال سعودي لمكتب واحد، قبل تحديد نطاق الترخيص السنوي.