الخصوصية بالتصميم في تدفّقات الذكاء الاصطناعي

حين يصل الذكاء الاصطناعي إلى طاولة فريق الخصوصية، يصل غالبًا متأخّرًا: التدفّق يعمل بالفعل، والبيانات تتحرّك بالفعل، والسؤال صار «كيف نُصلح هذا؟» بدل «كيف نبنيه صحيحًا؟». الخصوصية بالتصميم (Privacy by Design) تقلب الترتيب: تجعل قرارات الخصوصية جزءًا من تصميم التدفّق نفسه، لا طبقةً تُضاف بعد أن يبدأ التشغيل. هذا المقال يشرح كيف يُبنى تدفّق ذكاء اصطناعي بهذه الطريقة عمليًّا: وأين يقف حدّ ما تستطيع الأداة فعله. (هذا مقال تعليمي، لا استشارة قانونية.)

ماذا نعني بالخصوصية بالتصميم هنا؟

المبدأ بسيط في صياغته، صعبٌ في تطبيقه: أقلّ بيانات ممكنة، لأقصر مدّة ممكنة، لأضيق غرض ممكن، داخل أضيق حدود ممكنة: وكلّ ذلك مقرَّرٌ قبل أن يعمل التدفّق، لا بعده. في سياق الذكاء الاصطناعي تحديدًا، يكتسب هذا المبدأ حدّة إضافية: التدفّق لا يقرأ البيانات فحسب، بل قد يرسلها إلى نموذج، ويولّد منها مخرجات جديدة، ويمرّرها إلى خطوة تالية. كل واحدة من هذه اللحظات نقطة قرار خصوصية.

في السياق السعودي، نظام حماية البيانات الشخصية (PDPL) يجعل أسئلة «أي بيانات؟ ولأي غرض؟ وأين تقيم؟ ومن اطّلع؟» أسئلةً يجب أن تملك إجاباتها الموثّقة. الأنظمة التي تُبنى على هذا المبدأ صُمّمت لتدعم رحلتك نحو امتلاك تلك الإجابات: لكنها لا تساوي الامتثال وحدها، ولا تغني عن سياسة، ولا عن مسؤول، ولا عن قرار بشري. الأداة تجعل القرار الصحيح ممكنًا وقابلًا للإثبات؛ القرار نفسه يبقى مؤسسيًّا.

1) تقليص البيانات عند المصدر

أكثر خطأ متكرّر هو وصل التدفّق بمصدر بيانات كامل ثم الاعتماد على النموذج ليأخذ «ما يحتاجه». هذا مقلوب. التقليص يبدأ قبل أن تغادر البيانة مصدرها:

• اختر الحقول، لا الجداول. إن كان التدفّق يحتاج اسم المدينة لتقدير مدّة الشحن، فلا يحتاج رقم الهوية ولا العنوان الكامل. اسحب الحقل المطلوب فقط، لا السجلّ كاملًا.
• أخفِ ما لا يلزم تمييزه. كثير من المهام تعمل على بيانات مُقنّعة أو مُجمّعة دون أن تخسر دقّتها: استبدال المعرّف الشخصي برمز، أو تمرير شريحة عمرية بدل تاريخ ميلاد دقيق.
• اقطع عند الخطوة، لا عند المخرج. إن استُخدم حقل حسّاس في خطوة وسطى ولم يَعُد لازمًا بعدها، يجب أن يسقط من السياق قبل الخطوة التالية، لا أن يرافق التدفّق حتى نهايته.

القاعدة العملية: كل حقل يدخل التدفّق يحتاج مبرّرًا. الحقل الذي لا تستطيع تسمية سبب وجوده لا ينبغي أن يكون هناك.

2) غرضٌ محدّد لكل خطوة

«تحليل بيانات العملاء» ليس غرضًا؛ هو عنوان. الغرض القابل للحوكمة يُكتب على مستوى الخطوة: هذه الخطوة تقرأ سجلّ الطلب الأخير لتصنيف نية رسالة الدعم، ولا تستخدمه لأي شيء آخر. حين يُربط كل إجراء بغرضه المعلن، يصبح ممكنًا أن تجيب لاحقًا: بدليل: عن سؤال المدقّق: «لماذا لمس هذا التدفّق هذه البيانة؟».

هذا يحقّق ثلاثة أشياء دفعة واحدة: يمنع زحف الغرض (أن تُعاد البيانة المجموعة لغرضٍ لاستخدامٍ آخر لم يُعلَن)، ويجعل مراجعة التدفّق سريعة لأن كل خطوة تُفسّر نفسها، ويحوّل «الغرض» من بند في سياسة مكتوبة إلى خاصية مفروضة في التشغيل. والفرق جوهري: السياسة التي لا يقابلها ضابط تقني تبقى تمنّيًا موثّقًا.

3) حدود الإقامة: أين تعيش البيانة، وأين تُعالَج

الإقامة (data residency) سؤالان لا سؤال واحد: أين تُخزَّن البيانة، وأين تُعالَج لحظة مرورها بالنموذج. التدفّق قد يخزّن داخل بيئتك بينما يرسل المحتوى للمعالجة إلى خدمة في نطاق آخر: وهذه لحظة المغادرة التي يجب أن تكون قرارًا واعيًا، لا أثرًا جانبيًّا للإعداد الافتراضي.

التصميم السليم يجعل حدّ الإقامة مرئيًّا وقابلًا للضبط: تعرف لكل خطوة أين تجري، وتستطيع أن تشترط بقاء فئات بعينها داخل حدود محدّدة. والأهم أن يكون هذا القرار مسجّلًا: لا يكفي أن تكون الإقامة صحيحة، بل أن تستطيع إثبات أنها كانت كذلك في كل تشغيلة: وهنا يلتقي مطلب الإقامة بمطلب جاهزية التدقيق.

4) ما الذي يجب أن يبقى داخل بيئتك؟

ليست كل البيانات متساوية. التصميم الواعي يفرز قبل التشغيل بين ثلاث فئات صريحة:

• يبقى داخل البيئة دائمًا: أكثر الفئات حساسية: معرّفات شخصية مباشرة، بيانات مالية، أي شيء يضع المؤسسة في موضع مساءلة إن غادر. القاعدة الافتراضية لهذه الفئة: لا تغادر، ولا يُستثنى إلا بقرار موثّق.
• يغادر مُقنّعًا أو ملخّصًا: ما يمكن أن تؤدّى المهمة عليه بعد تقليص أو تجريد من معرّفاته: فيستفيد التدفّق من القدرة دون أن تغادر البيانة الخام.
• منخفض الحساسية: محتوى عام لا يحمل بيانة شخصية، تنطبق عليه ضوابط أخفّ.

الفائدة أن هذا الفرز يُتّخذ مرة واحدة في التصميم: بهدوء، مع فريق الخصوصية: لا في كل تشغيلة وعلى عجل. وحين يُفرض الفرز تقنيًّا، يصبح خطأ تسريب الفئة الأولى إلى خدمة خارجية ممتنعًا بالبنية، لا متروكًا لانتباه الموظف.

أين يقف حدّ الأداة؟ (الجزء الصادق)

هنا التزامٌ بالصدق نلتزم به: لا أداة: مهما كانت: تساوي امتثالًا. ما تستطيع البنية الجيّدة فعله هو أن تجعل القرار الصحيح هو المسار الأسهل، وأن تترك أثرًا يثبت أنه اتُّخذ. لكن الامتثال يبقى ممارسةً مؤسسية: سياسةٌ مكتوبة، ومسؤول حماية بيانات، وتقييم أثرٍ على الخصوصية حيث يلزم، وقرارات بشرية عن المخاطر المقبولة. التصميم الجيّد للتدفّقات يدعم هذه الممارسة ويجعل إثباتها أيسر؛ لا يحلّ محلّها. من يَعِدك بغير ذلك يبيعك راحة بال زائفة: وهي أغلى ما يُشترى.

كيف تبدأ عمليًّا؟ الخطوة الأولى

لا تبدأ بإعادة بناء كل شيء. اختر تدفّقًا واحدًا قائمًا يلمس بيانات شخصية، واجلس معه ساعةً واحدة بهذه الأسئلة الأربعة، خطوةً خطوة:

• أي حقول تدخل فعلًا؟ اشطب كل حقل لا تستطيع تسمية سبب وجوده.
• ما غرض كل خطوة؟ اكتبه بجملة واحدة محدّدة: فإن عجزت، فالخطوة تحتاج مراجعة قبل أي شيء آخر.
• أين تُعالَج البيانة عند كل مغادرة؟ حدّد لحظات الخروج، وقرّر أيُّها مقبول وأيُّها يحتاج بديلًا.
• ما الذي يجب ألّا يغادر أصلًا؟ صنّف الفئة الأولى، واجعل خروجها ممتنعًا بالبنية لا بالنية.

هذا التمرين على تدفّق واحد يمنحك نموذجًا مرجعيًّا: مكتوبًا، ومُثبَتًا: تقيس عليه البقية، وتقدّمه دليلًا حين يأتي السؤال الخارجي. ولا تجعل الكمال عدوّ البداية: تدفّقٌ واحد مصمَّمٌ بخصوصيةٍ صادقة هذا الشهر خيرٌ من إطارٍ مثالي يُناقَش حتى نهاية السنة.

لتفهم كيف تترجم هذه المبادئ إلى ضوابط في السياق السعودي، راجع صفحة نظام حماية البيانات الشخصية، ولترى كيف تنعكس قرارات الإقامة و«ما يبقى داخل البيئة» على طريقة التشغيل، اطّلع على خيارات النشر.