هل يجوز إدخال بيانات العملاء في أنظمة الذكاء الاصطناعي؟
يُطرَح السؤال في الغالب متأخّراً — أي بعد أن تكون البيانات الأولى قد أُدخِلت فعلاً. يضع هذا المقال الوضع القانوني في نصابه، ويسمّي النقاط الثلاث التي يجب توضيحها قبل أول استخدام، ويقدّم الأسئلة التي ينبغي أن تطرحها على المزوِّد.
أهم ما في الأمر باختصار
- يجوز إدخال البيانات الشخصية في نظام ذكاء اصطناعي إن وُجد عقد معالجة بالوكالة، وكان مكان المعالجة موضّحاً، واستُبعِد الاستخدام للتدريب تعاقدياً.
- لا يكفي إعدادٌ في الحساب. المهمّ هو التعهّد التعاقدي — فالإعدادات يمكن تغييرها، ولو سهواً.
- الوصولات المجانية والحسابات الشخصية غير ملائمة مبدئياً لبيانات العملاء، بمعزل عن المزوِّد.
- أكثر المخالفات شيوعاً ليست القرار الواعي، بل الموظّف الذي يُدرِج نصّ عميل لإعادة صياغته.
لا يكاد موضوعٌ يثير في الشركات هذا القدر من عدم اليقين — وهذا القدر القليل من التنظيمات الملموسة. عملياً يجري الأمر غالباً هكذا: يستخدم أحدهم أداة ذكاء اصطناعي للعمل اليومي، فيُدرِج في لحظةٍ ما استفسار عميل، ولم يحدّد أحدٌ قطّ إن كان ذلك مسموحاً.
الخبر الجيد: الوضع القانوني أوضح مما يوحي به مستوى النقاش. الأمر يتعلّق بثلاثة أسئلة.
الأسئلة الثلاثة
ما يجب توضيحه قبل أول إدخال
- 1. هل يوجد عقد معالجة بالوكالة؟
- من يجعل مزوِّد خدمة يعالج بيانات شخصية يحتاج لذلك عقداً — في الاتحاد الأوروبي وفق المادة 28 من DSGVO، وفي سويسرا وفق قانون حماية البيانات المنقَّح. من دون هذا العقد تكون المعالجة غير مشروعة، بمعزل عن مدى أمان عمل المزوِّد تقنياً.
- 2. أين تُعالَج البيانات؟
- داخل الاتحاد الأوروبي أو سويسرا لا إشكال. أما عند المعالجة في دول ثالثة فيلزم أساسٌ متين — مثل قرار كفاية أو بنود تعاقدية معيارية. تحقّق مما يتعهّد به المزوِّد في هذا الشأن، وهل يتيح مكان معالجة في أوروبا.
- 3. هل استُبعِد الاستخدام للتدريب؟
- النقطة التي تختلف عندها وصولات الأعمال والوصولات الشخصية بأوضح صورة. الحاسم ليس مفتاحاً في الإعدادات، بل تعهّدٌ تعاقدي. المفتاح يمكن قلبه، من شخص، سهواً، عند تبديل منتج.
هل كنت تعلم؟
يسري DSGVO على الشركات السويسرية أيضاً ما إن تعالج بيانات أشخاص في الاتحاد الأوروبي — مثل عملاء أو مهتمّين أو مشتركي نشرة بريدية من نطاق الاتحاد. المقرّ في سويسرا وحده لا يُعفي.
وعلى العكس، يسري قانون حماية البيانات السويسري المنقَّح على المعالجات ذات الصلة بسويسرا. فكثيرٌ من الشركات مضطرّ إذاً إلى استيفاء الاثنين — وهو ما يعني عملياً في الغالب التوجّه نحو المعيار الأصرم.
ما هو شخصيٌّ أصلاً
هنا يكمن أكثر أنواع سوء التقدير شيوعاً. الشخصيّ ليس الاسم في حقلٍ فحسب، بل كل ما يجعل شخصاً قابلاً للتحديد.
شخصيٌّ بوضوح
الأسماء، عناوين البريد الإلكتروني، أرقام الهاتف، العناوين، أرقام العملاء مقترنةً باسم، الصور.
المعالجة: ضمن إطار منظَّم فقطكثيراً ما يُغفَل
استفسار عميل بنصّه الحرفي. محضر حديث. عرضٌ باسم شركة وجهة اتصال. رسالة شكوى لإعادة صياغتها.
المعالجة: نفسها أعلاه — يُستهان بذلك بانتظامبلا إشكال غالباً
أرقام مجمّعة بلا صلة بأفراد. بيانات سوق متاحة للعموم. نصوصٌ خاصة بلا صلة شخصية.
المعالجة: حسب التقدير الخاصجديرٌ بحماية خاصة
البيانات الصحية، ومعطيات الدين، والانتماء النقابي، والحياة الجنسية، والبيانات البيومترية. هنا تسري متطلبات أصرم بوضوح.
المعالجة: ليس بلا فحص قانوني في كل حالةما ينبغي أن تسأله المزوِّد
هذه الأسئلة الستة يمكن طرحها عبر البريد وينبغي الإجابة عنها كتابةً. ومن يراوغ في واحد منها فقد أجاب عن السؤال.
1. هل تُتيحون عقد معالجة بالوكالة وفق المادة 28 من DSGVO؟ يرجى إرسال العقد النموذجي إلينا. 2. في أي بلدان تُعالَج البيانات وتُخزَّن؟ هل تتيحون معالجةً داخل الاتحاد الأوروبي حصراً؟ 3. هل استخدام مدخلاتنا لتدريب النماذج مُستبعَدٌ تعاقدياً — لا عبر إعداد في الحساب فحسب؟ 4. كم تُخزَّن المدخلات والمخرجات، وكيف يمكننا طلب الحذف؟ 5. أي معالِجين من الباطن تستعينون بهم، وكيف نُبلَّغ بالتغييرات؟ 6. كيف تدعموننا في طلبات الاطّلاع والحذف من الأشخاص المعنيين؟
القاعدة التي تعمل فعلاً
معظم المخالفات لا تنشأ من قرار واعٍ للإدارة، بل في العمل اليومي: أمام أحدهم رسالة عميل صعبة فيُدرِجها ليُصاغ له ردّ. هذا مفهوم وفعّال — وبحسب الإطار غير مشروع.
ما ينفع عملياً ليس تدريباً على الأسس القانونية، بل قاعدةٌ واحدة واضحة يستطيع الجميع حفظها. وعندنا تقول: ما يتضمّن اسماً لا يذهب إلا إلى النظام المُعتمَد. وكل ما عدا ذلك حرّ.
هذه الصياغة غير مكتملة قانونياً — فثمّة بيانات شخصية بلا اسم. لكنها تُتَّبَع، وهذا أثمن من قاعدة صحيحة لا يذكرها أحد.
إخفاء الهوية كطريق وسط
حيث لا يتوفّر نظامٌ مُعتمَد، يمكن غالباً إزالة الصلة الشخصية قبل إدخال النصّ. فمن «السيد ماير من شركة البناء شميت يشتكي من التسليم المتأخّر بتاريخ 12 يونيو» يصير «عميلٌ يشتكي من تسليم متأخّر».
ويأتي مع ذلك قيدان. الأول: إن بقي ما يكفي من التفاصيل، صار الشخص قابلاً للتحديد من جديد — إشارات المكان وتسميات القطاع والتواريخ مجتمعةً تكفي لذلك غالباً. الثاني: ما هو جوهريٌّ للمهمة لا يجوز أن يسقط، وإلّا فالنتيجة بلا قيمة.
وكقاعدة عامة: لأجل المساعدة في الصياغة يعمل إخفاء الهوية جيداً. أما لكل ما يحتاج إلى الحالة الملموسة فلا يعمل — وهناك لا مفرّ من نظام منظَّم.
الخلاصة
السؤال قابل للإجابة، وقابلٌ للإجابة قبل أن يحدث شيء. توضيح ثلاث نقاط، وإبرام عقد، واعتماد نظام، وصياغة قاعدة يمكن حفظها — هذا نصف يوم عمل وفاتورة من المحامي.
أما ما يكلّفه ترك ذلك فأصعب تقديراً. إطار الغرامات جانب. والجانب الآخر هو العميل الذي يسأل ماذا جرى لبياناته — ولا تملك له جواباً متيناً.
أسئلة شائعة
هل يجوز إدخال بيانات العملاء في ChatGPT؟
فقط بعقد معالجة بالوكالة، ومكان معالجة موضّح، واستخدامٍ للتدريب مُستبعَد تعاقدياً. وللوصولات المجانية والحسابات الشخصية لا تتحقّق هذه الشروط عادةً. أما لعروض عملاء الأعمال فيمكن فحصها — وهذا مكانه قبل أول إدخال.
هل يسري DSGVO على الشركات السويسرية؟
نعم، ما إن تُعالَج بيانات أشخاص في الاتحاد الأوروبي. المقرّ في سويسرا وحده لا يُعفي. وإضافةً إلى ذلك يسري قانون حماية البيانات السويسري المنقَّح. وكثيرٌ من الشركات مضطرّ إلى استيفاء الاثنين ولذلك يتوجّه نحو المعيار الأصرم.
هل يكفي إيقاف التدريب في الإعدادات؟
لا. الإعداد يمكن تغييره — من شخص، سهواً، أو عند تبديل منتج. المهمّ هو التعهّد التعاقدي. ومن يكتفي بقلب المفتاح لا يملك أساساً متيناً.
ما الذي يُعدّ بياناً شخصياً؟
كل ما يجعل شخصاً قابلاً للتحديد — لا الاسم فحسب. ويشمل ذلك أيضاً استفسارات العملاء بنصّها الحرفي، ومحاضر الأحاديث، والعروض بجهة اتصال. وهذه الحالات بالذات هي الأكثر إغفالاً في العمل اليومي.
هل يفيد إخفاء هوية النصّ مسبقاً؟
لمهام الصياغة نعم. والمهمّ ألّا يعود الشخص قابلاً للتحديد فعلاً بعد ذلك — فالمكان والقطاع والتاريخ مجتمعةً تعطي صلةً من جديد غالباً. أما للمهام التي تحتاج إلى الحالة الملموسة فإخفاء الهوية ليس بديلاً عن إطار منظَّم.
ما أكثر قاعدة عملية لفريق؟
قاعدةٌ يمكن حفظها: ما يتضمّن اسماً لا يذهب إلا إلى النظام المُعتمَد. غير مكتملة قانونياً، لكنها تُتَّبَع في العمل اليومي — وهذا أنجع من قاعدة صحيحة لا يذكرها أحد. والأهمّ من القاعدة مع ذلك أن يكون نظامٌ مُعتمَد متاحاً أصلاً.
تسويق يُعِدّ نفسه بنفسه
النسخة التجريبية من Studio Engine متاحة الآن. احجز مكانك وشارك في تشكيلها منذ البداية.
انضمّ إلى النسخة التجريبية ←