Key Takeaways
- PDPL = المرسوم الملكي M/19 (صدر في 16 سبتمبر 2021، وعُدّل بالمرسوم M/148 عام 2023): دخل حيز التنفيذ في 14 سبتمبر 2023، والامتثال الكامل مطلوب منذ 14 سبتمبر 2024. الجهة المنظمة: SDAIA (الهيئة السعودية للبيانات والذكاء الاصطناعي).
- لا يوجد تفويض توطين مطلق. النظام هو إطار *نقل* منظَّم (المادة 29)، وليس قاعدة تخزين مطلقة داخل المملكة — لكن شروط النقل صارمة ولم تنشر SDAIA بعد قائمة الدول الملائمة.
- تطبيق فعّال: أصدرت لجان الإنفاذ في SDAIA 48 قراراً رسمياً بمخالفات منذ بدء الإنفاذ الكامل في سبتمبر 2024.
- العقوبات: حتى 5,000,000 ريال سعودي (~1.33 مليون دولار)، تُضاعَف للمخالفين المتكررين؛ وغرامات جنائية حتى 3,000,000 ريال إضافة إلى الملاحقة للإفصاح المتعمد عن البيانات الحساسة.
- مخاطر CLOUD Act: يمكن إجبار مزودي السحابة الأمريكيي المقر (AWS، Azure، Google Cloud) على تسليم البيانات بموجب 18 U.S.C. § 2713 حتى من مراكز البيانات في المنطقة السعودية. لا توجد اتفاقية CLOUD Act ثنائية أمريكية-سعودية.
- SAMA أكثر صرامة: يجب على المؤسسات المالية إبقاء بيانات الأنظمة المصرفية الأساسية والعملاء والمعاملات فيزيائياً داخل المملكة والحصول على موافقة SAMA المسبقة قبل استخدام أي خدمة سحابية.
- الذكاء الاصطناعي المحلي يلغي المادة 29 كلياً: إذا لم يغادر الاستدلال منشأتك أبداً، فلا يوجد نقل عبر الحدود يُنظَّم، ويختفي سطح هجوم CLOUD Act.
- ليست استشارة قانونية. استشر مسؤول حماية البيانات ومستشاراً مؤهلاً في السعودية قبل الاعتماد على أي موقف امتثالي في هذه المقالة.
تجعل المادة 29 من PDPL السعودي وقواعد القطاع المالي من SAMA وقانون CLOUD Act الأمريكي مجتمعةً الذكاء الاصطناعي المحلي داخل المنشأة المسار الأكثر قابلية للدفاع امتثالياً للبيانات الشخصية في المملكة.
لا يُجبر القانون السعودي كل البيانات على البقاء داخل البلاد، لكن نقل البيانات للخارج مقيّد بشدة. وأبسط طريقة للبقاء ممتثلاً هي تشغيل الذكاء الاصطناعي على أجهزتك الخاصة داخل السعودية، بحيث لا تعبر أي بيانات الحدود مطلقاً.
PDPL وSDAIA: المشهد التنظيمي
صدر نظام حماية البيانات الشخصية السعودي بالمرسوم الملكي رقم M/19 في 16 سبتمبر 2021، وعُدّل جوهرياً بالمرسوم الملكي رقم M/148 (27 مارس 2023)، ودخل حيز التنفيذ مع لائحته التنفيذية في 14 سبتمبر 2023. تلت ذلك فترة سماح مدتها عام واحد؛ والامتثال الكامل إلزامي لجميع الجهات العامة والخاصة منذ 14 سبتمبر 2024.
SDAIA (الهيئة السعودية للبيانات والذكاء الاصطناعي) هي الجهة المنظِّمة المختصة. تشرف على النظام وتطبّقه، وتدير لجان إنفاذ متخصصة، وهي مسؤولة عن حوكمة البيانات الوطنية واستراتيجية الذكاء الاصطناعي ضمن رؤية 2030.
الإنفاذ حقيقي وليس نظرياً. منذ بدء الإنفاذ الكامل، أصدرت لجان الإنفاذ في SDAIA 48 قراراً رسمياً تؤكد مخالفات للنظام. تشمل فئات المخالفات الشائعة معالجة البيانات الشخصية دون أساس قانوني صحيح، والإفصاح غير المصرّح، والإخفاق في تطبيق ضمانات تقنية وتنظيمية، والتسويق غير المرغوب فيه.
النطاق خارج الحدود: ينطبق النظام على أي معالجة للبيانات الشخصية للأفراد المقيمين في السعودية، بغض النظر عن موقع الجهة المعالِجة — وهو نموذج النطاق الواسع نفسه الموجود في GDPR.
البيانات الشخصية الحساسة فئة متميزة عالية الحماية تغطي سبعة أنواع: الأصل العرقي أو الإثني؛ المعتقدات الدينية أو الفكرية أو السياسية؛ السجلات الجنائية؛ البيانات الحيوية المستخدمة للتعريف؛ البيانات الوراثية؛ البيانات الصحية؛ والبيانات التي تشير إلى نسب مجهول. تتطلب عمليات النقل المستمرة أو واسعة النطاق عبر الحدود للبيانات الحساسة تقييم مخاطر إلزامياً بموجب لائحة النقل.
العقوبات: غرامات إدارية حتى 5,000,000 ريال سعودي (~1.33 مليون دولار)، يمكن مضاعفتها للمخالفات المتكررة؛ وغرامات جنائية حتى 3,000,000 ريال إضافة إلى احتمال السجن للإفصاح المتعمد عن البيانات الشخصية الحساسة بقصد الإضرار أو لتحقيق منفعة شخصية.
مخاطر الذكاء الاصطناعي السحابي عبر الحدود: المادة 29 وCLOUD Act وملاءمة SDAIA
إرسال موجّه (prompt) إلى واجهة برمجة سحابية للذكاء الاصطناعي يُعدّ نقل بيانات عبر الحدود في اللحظة التي يحتوي فيها الموجّه على بيانات شخصية ويقع خادم الاستدلال خارج المملكة. تحكم المادة 29 من PDPL هذا السيناريو بالضبط.
تفرض المادة 29 ثلاثة شروط تراكمية على أي نقل عبر الحدود: (1) ألا يضر النقل بالأمن الوطني أو المصالح الحيوية للمملكة؛ (2) أن توفر الجهة المستقبِلة مستوى حماية بيانات لا يقل عن PDPL، وفقاً لتقييم SDAIA؛ (3) ألا تُنقل سوى الحد الأدنى الضروري من البيانات الشخصية (تقليل البيانات).
لم تنشر SDAIA بعد قائمة الدول الملائمة. وحتى تفعل، لا يمكن للمنظمات الاعتماد على تحديد بسيط بأن "هذه الدولة ملائمة". وعملياً، تعتمد عمليات النقل القانونية على البنود التعاقدية القياسية (SCCs، أربع صيغ معيارية) الصادرة عن SDAIA، أو القواعد الملزمة المشتركة (BCRs) للنقل داخل المجموعة، أو شهادة اعتماد — وكلٌّ منها يضيف عبئاً قانونياً والتزامات تقييم مخاطر مستمرة.
قانون CLOUD Act الأمريكي (18 U.S.C. § 2713) هو المشكلة البنيوية التي تتجاهلها معظم المؤسسات السعودية. يُلزم مزودي السحابة الأمريكيي المقر — AWS، Microsoft Azure، Google Cloud — بحفظ البيانات وتسليمها استجابةً لأمر حكومي أمريكي صحيح، *بغض النظر عن المكان الفيزيائي لتخزين تلك البيانات*. البيانات الموجودة في منطقة AWS الرياض أو Azure السعودية تظل قابلة للوصول.
يخلق هذا تعارضاً قانونياً مباشراً. يحظر إطار تنظيم الحوسبة السحابية السعودي (CCRF) على مزودي الخدمة السحابية الإفصاح عن بيانات المشتركين إلا حسبما يقتضي القانون السعودي. مزود أمريكي يُبلَّغ بأمر CLOUD Act يكون في الوقت نفسه ملزماً بالقانون الأمريكي بالإفصاح ومحظوراً عليه بالقانون السعودي ذلك. لا توجد اتفاقية CLOUD Act تنفيذية ثنائية أمريكية-سعودية (وقّعت المملكة المتحدة وأستراليا فقط مثل هذه الاتفاقيات مع الولايات المتحدة)، فلا توجد آلية حل نظيفة.
يقارن الجدول أدناه نماذج النشر الثلاثة مقابل أبعاد الامتثال السعودية الرئيسية.
| العامل | واجهة سحابية أمريكية | سحابة بالمنطقة السعودية (AWS/Azure) | ذكاء اصطناعي محلي داخل المنشأة |
|---|---|---|---|
| نقل المادة 29 من PDPL | يُفعَّل — تتطلب موافقة SDAIA + ملاءمة + SCCs | البيانات في المملكة لكن المزود أمريكي المقر — الملاءمة لم تُحسم بعد | لا يُفعَّل — لا نقل عبر الحدود |
| التعرض لـ CLOUD Act | عالٍ — يمكن للحكومة الأمريكية إجبار التسليم | عالٍ — خوادم المنطقة السعودية لا توفر حماية من CLOUD Act | لا شيء — الأجهزة في المملكة خارج الولاية القضائية الأمريكية |
| SAMA (القطاع المالي) | غير ممتثل | جزئي — مركز بيانات داخل المملكة + موافقة SAMA مطلوبة | ممتثل بالكامل |
| مخاطر إنفاذ SDAIA | عالية | متوسطة — تبقى فجوة CLOUD Act | ضئيلة |
| تقييم مخاطر البيانات الحساسة | إلزامي عند الحجم الكبير | مطلوب لنقل البيانات الحساسة | غير مطلوب — لا نقل عبر الحدود |
كيف يحل الذكاء الاصطناعي المحلي داخل المملكة تحدي الامتثال
تشغيل الذكاء الاصطناعي على أجهزة موجودة فيزيائياً داخل السعودية يلغي النقل عبر الحدود كلياً — ومعه أصعب أجزاء امتثال PDPL.
المادة 29 لا تنطبق ببساطة. إذا لم يغادر الموجّه واستدلاله منشأتك أبداً، فلا يوجد نقل لتقييمه، ولا تحديد ملاءمة لانتظاره، ولا SCCs لتنفيذها، ولا تقييم مخاطر نقل لتقديمه. يُزال أعقد التزام في النظام على مستوى البنية المعمارية.
يختفي سطح هجوم CLOUD Act. البيانات المعالَجة على وحدات GPU خاصة بك، خلف جدار الحماية الخاص بك، ليست محفوظة لدى مزود أمريكي المقر وبالتالي لا يمكن الوصول إليها بأمر تسليم حكومي أمريكي.
يصبح امتثال SAMA مباشراً. المؤسسات المالية التي يجب أن تبقي بياناتها المصرفية الأساسية وبيانات العملاء داخل المملكة يمكنها تشغيل استدلال الذكاء الاصطناعي على البنية التحتية نفسها داخل البلاد، دون موافقة سحابية منفصلة ودون خروج للبيانات لمراقبته.
تحتفظ بمسار تدقيق كامل. يبقى كل موجّه ونموذج ومخرج في سجلات تتحكم بها — وهو بالضبط ما تتوقع SDAIA وSAMA وNCA رؤيته عند تدقيق تدفقات البيانات وسجلات الوصول.
يتوافق هذا مع التوجه الوطني. أعلنت السعودية 2026 عاماً للذكاء الاصطناعي، ويعامل مشروع قانون مركز الذكاء الاصطناعي العالمي (2025) سيادة البيانات كأولوية استراتيجية. الذكاء الاصطناعي المحلي داخل المملكة ليس حلاً التفافياً — بل البنية التي يوجّه نحوها البيئة التنظيمية بفعالية.
الأدوات والنماذج للنشر المحلي داخل المملكة
تحتاج حزمة ذكاء اصطناعي محلي إنتاجية إلى بيئة تشغيل استدلال، وطبقة خدمة، ونموذج — وكلها مفتوحة المصدر وقابلة للنشر على أجهزة مستضافة في السعودية.
- Ollama — أبسط طريقة لتشغيل النماذج المفتوحة محلياً؛ سحب نماذج بسطر واحد، وواجهة API متوافقة مع OpenAI، وتسريع GPU جاهز. راجع ما هي نماذج LLM المحلية؟ للأساسيات.
- llama.cpp — محرك الاستدلال الأساسي لنماذج GGUF المكمَّمة؛ أقصى تحكم في التكميم وطول السياق وضبط الأجهزة لوحدات CPU أو GPU.
- vLLM — خدمة عالية الإنتاجية لأعباء العمل المؤسسية متعددة المستخدمين؛ انتباه مُصفَّح وتجميع مستمر للطلبات العربية المتزامنة.
- Open WebUI — واجهة محادثة مستضافة ذاتياً بتحكم وصول قائم على الأدوار وتسجيل تدقيق، مناسبة للفرق الداخلية.
- ALLaM 7B — النموذج العربي المطوَّر سعودياً (NCAI/SDAIA، والآن HUMAIN)، صادر برخصة Apache 2.0 مع تكميمات GGUF على Hugging Face تعمل مباشرة في Ollama وllama.cpp. النموذج العربي الرائد القابل للاستضافة الذاتية علناً.
- Qwen2.5 — بديل متعدد اللغات قوي عندما تحتاج تغطية لغوية واسعة إلى جانب العربية؛ راجع المقايضات في نماذج LLM المحلية متعددة اللغات.
- تحجيم الأجهزة — يحتاج نموذج 7B نحو 6–8 GB من VRAM عند Q4_K_M؛ ويحتاج نموذج 70B إلى 40–48 GB. استخدم حاسبة VRAM لتحجيم وحدات GPU داخل المملكة قبل الشراء.
ملاحظات قطاعات SAMA والحكومة والصحة
تُضاف القواعد الخاصة بالقطاعات فوق PDPL وغالباً ما تكون أكثر صرامة — خصوصاً في توطين البيانات.
الخدمات المالية (SAMA). تُلزم "مبادئ الذكاء الاصطناعي للمؤسسات المالية" (2023) الصادرة عن البنك المركزي السعودي جميع الجهات المرخّصة من SAMA بمتطلبات حوكمة الذكاء الاصطناعي وإدارة المخاطر والمساءلة. ويتطلب إطار تنظيم الحوسبة السحابية من SAMA موافقة مسبقة قبل استخدام أي خدمة سحابية، وموافقة منفصلة للسحابة خارج المملكة، ويفرض أن تُستضاف الأنظمة المصرفية الأساسية وبيانات العملاء وسجلات المعاملات وبيانات اعتماد الدفع فيزيائياً في السعودية. وتطبّق الهيئة الوطنية للأمن السيبراني (NCA) ضوابط الأمن السيبراني الأساسية (ECC) بالتوازي. بالنسبة للذكاء الاصطناعي المالي، يُعد الاستدلال داخل المنشأة مسار أقل مقاومة تنظيمية.
الحكومة والبنية التحتية الحرجة. يقيّد إطار تنظيم الحوسبة السحابية الجهات الحكومية والبنية التحتية الوطنية الحرجة من استخدام الخدمات السحابية الأجنبية لأعباء العمل الحساسة. ويعزز مشروع قانون مركز الذكاء الاصطناعي العالمي (2025) نماذج مراكز البيانات السيادية. ينسجم نشر الذكاء الاصطناعي المحلي مع هذا الموقف مباشرة.
الرعاية الصحية. البيانات الصحية واحدة من فئات البيانات الحساسة السبع في PDPL، فتجذب أصرم شروط النقل وتقييمات مخاطر إلزامية عند الحجم الكبير. وتدفع توقعات التعامل مع البيانات لدى وزارة الصحة بقوة نحو المعالجة داخل البلاد. يبقي الذكاء الاصطناعي المحلي بيانات المرضى داخل المنشأة من البداية للنهاية. راجع قائمة تحقق أمن وخصوصية نماذج LLM المحلية لخطوات التحقق.
هذه ليست استشارة قانونية. يعتمد التفسير التنظيمي على بياناتك وقطاعك وأنشطة معالجتك المحددة. استشر مسؤول حماية البيانات ومستشاراً قانونياً مؤهلاً في السعودية قبل التصرف بناءً على أي شيء في هذا الدليل.
الأسئلة الشائعة: PDPL السعودي والذكاء الاصطناعي المحلي
هل يتطلب PDPL السعودي بقاء كل البيانات داخل السعودية؟
لا — PDPL ليس قانون توطين بيانات مطلقاً. مادته 29 إطار نقل عبر الحدود منظَّم: يُسمح بالنقل للخارج فقط إذا استوفى شروط الأمن الوطني والحماية الكافية وتقليل البيانات. لكن لأن SDAIA لم تنشر بعد قائمة الدول الملائمة ولأن قواعد القطاع (SAMA، الصحة) قد تفرض التخزين داخل المملكة، فإن إبقاء البيانات داخل البلاد غالباً ما يكون المسار الممتثل الأبسط.
ما هي SDAIA وما صلاحياتها؟
SDAIA (الهيئة السعودية للبيانات والذكاء الاصطناعي) هي الجهة المنظِّمة المختصة لـ PDPL. تشرف على الامتثال، وتدير لجان إنفاذ، وتصدر البنود التعاقدية القياسية وإرشادات النقل، ويمكنها فرض غرامات إدارية حتى 5,000,000 ريال — تُضاعَف للمخالفين المتكررين. أصدرت 48 قراراً رسمياً بمخالفات منذ بدء الإنفاذ الكامل في سبتمبر 2024.
كيف تنطبق المادة 29 من PDPL على خدمات الذكاء الاصطناعي السحابية؟
عندما يحتوي موجّه على بيانات شخصية ويُرسَل إلى خادم استدلال خارج المملكة، فذلك نقل عبر الحدود خاضع للمادة 29. عليك استيفاء فحص الأمن الوطني، وإثبات حماية مكافئة في الجهة المستقبِلة (عادةً عبر SCCs من SDAIA، إذ لا توجد قائمة ملاءمة بعد)، ونقل الحد الأدنى الضروري من البيانات فقط. تشغيل الاستدلال محلياً يتجنب كل هذا.
هل تحميني AWS الرياض أو Azure السعودية من مخاطر PDPL؟
جزئياً. استضافة البيانات في منطقة سحابية سعودية تساعد على إقامة البيانات فيزيائياً، لكن المزود يظل أمريكي المقر وبالتالي خاضعاً لـ CLOUD Act الأمريكي الذي يمكنه إجبار تسليم البيانات بغض النظر عن موقع التخزين. الذكاء الاصطناعي المحلي داخل المنشأة هو النموذج الوحيد الذي يزيل مشكلتي CLOUD Act والملاءمة معاً.
ما هو CLOUD Act ولماذا يهم المؤسسات السعودية؟
قانون CLOUD Act الأمريكي (18 U.S.C. § 2713) يُلزم مزودي السحابة الأمريكيي المقر بتسليم البيانات استجابةً لأمر حكومي أمريكي صحيح، حتى عندما تقع البيانات في مركز بيانات أجنبي. وبالنسبة للمؤسسات السعودية، يتعارض هذا مباشرة مع إطار تنظيم الحوسبة السحابية الذي يحظر على المزودين الإفصاح عن البيانات إلا حسبما يقتضي القانون السعودي. لا توجد اتفاقية CLOUD Act ثنائية أمريكية-سعودية للتوسط في التعارض.
ما العقوبات التي يمكن أن تفرضها SDAIA؟
غرامات إدارية حتى 5,000,000 ريال سعودي (~1.33 مليون دولار)، تُضاعَف للمخالفات المتكررة. والإفصاح المتعمد عن البيانات الشخصية الحساسة بقصد الإضرار أو لتحقيق منفعة شخصية يحمل عقوبات جنائية — غرامات حتى 3,000,000 ريال واحتمال السجن.
هل لدى SAMA متطلبات توطين بيانات منفصلة؟
نعم، وهي أكثر صرامة من PDPL العام. تتطلب SAMA من المؤسسات المالية إبقاء الأنظمة المصرفية الأساسية وبيانات العملاء وسجلات المعاملات وبيانات اعتماد الدفع فيزيائياً في السعودية، والحصول على موافقة مسبقة قبل استخدام أي خدمة سحابية، وموافقة منفصلة لأي سحابة خارج المملكة. الذكاء الاصطناعي داخل المنشأة ممتثل بالكامل تلقائياً.
أي فئات البيانات الحساسة تحظى بمعاملة أكثر صرامة في PDPL؟
سبع فئات: الأصل العرقي أو الإثني؛ المعتقدات الدينية أو الفكرية أو السياسية؛ السجلات الجنائية؛ البيانات الحيوية المستخدمة للتعريف؛ البيانات الوراثية؛ البيانات الصحية؛ والبيانات التي تشير إلى نسب مجهول. تتطلب عمليات النقل المستمرة أو واسعة النطاق عبر الحدود لهذه الفئات تقييم مخاطر إلزامياً.
هل يلغي تشغيل الذكاء الاصطناعي محلياً جميع التزامات PDPL؟
لا — يلغي التزام النقل عبر الحدود (المادة 29)، وهو الأصعب، لكنك لا تزال بحاجة إلى أساس قانوني للمعالجة، ويجب احترام حقوق أصحاب البيانات (الوصول، التصحيح، المحو)، وتطبيق ضمانات تقنية وتنظيمية، والاحتفاظ بسجلات تدقيق. النشر المحلي يجعل تلك الالتزامات المتبقية أسهل في الاستيفاء لأن كل شيء يبقى تحت سيطرتك.
ما هو مشروع قانون مركز الذكاء الاصطناعي العالمي السعودي؟
هو مشروع قانون لعام 2025 يركّز على البنية التحتية السيادية للذكاء الاصطناعي وأطر مراكز البيانات المصممة لإبقاء البيانات ومعالجة الذكاء الاصطناعي داخل المملكة مع جذب الاستثمار الأجنبي. ومع إعلان مجلس الوزراء 2026 عاماً للذكاء الاصطناعي، يشير ذلك إلى توجه وطني واضح نحو قدرة ذكاء اصطناعي داخل المملكة، وهو ما يدعمه النشر المحلي مباشرة.
المصادر
- SDAIA — نظام حماية البيانات الشخصية (الرسمي) — sdaia.gov.sa
- ICLG — قوانين ولوائح حماية البيانات: السعودية 2025–2026 — iclg.com
- A&O Shearman — إنفاذ PDPL السعودي — aoshearman.com
- Clyde & Co — إنفاذ نظام حماية البيانات السعودي قائم (مارس 2026) — clydeco.com
- King & Spalding — عمليات نقل البيانات الشخصية الدولية بموجب PDPL السعودي — kslaw.com
- Chambers & Partners — حماية البيانات والخصوصية 2026: السعودية — chambers.com
- ITIF — لائحة نقل البيانات عبر الحدود في السعودية (يونيو 2025) — itif.org
- Kiteworks — امتثال SAMA للحوسبة السحابية وإقامة البيانات — kiteworks.com
- الكونغرس الأمريكي — نظرة عامة على CLOUD Act (18 U.S.C. § 2713) — congress.gov
- Simmons & Simmons — إطار تنظيم الحوسبة السحابية (CCRF) في السعودية — simmons-simmons.com