تشخيص كامل من ٣٠ سؤالاً لمدى جاهزية مؤسستكم وفق نظام حماية البيانات الشخصية، ومبادئ سدايا لأخلاقيات الذكاء الاصطناعي، وضوابط الأمن السيبراني NCA ECC-2:2024، والمعيار الدولي ISO/IEC 42001:2023. يعكس هذا النموذج مجموعة تجزئة سعودية متوسطة الحجم مفترضة.
النتيجة أقل من ٤٠ تعني أن أسس نظام إدارة الذكاء الاصطناعي ليست مطبقة بعد. الضوابط موجودة بشكل غير رسمي، ولا شيء موثّق، ولا يوجد مسؤول حماية بيانات للرد إن طلبت سدايا أو أحد العملاء. الأبعاد الخمسة أدناه توضح أين يتركز العمل، ولكل بُعد صفحة تفصيلية في هذا التقرير.
تتكون بطاقة Profectus من ٣٠ سؤالاً موزّعة على خمسة أبعاد. كل سؤال مرتبط ببند محدد من نظام حماية البيانات الشخصية، أو مبادئ سدايا لأخلاقيات الذكاء الاصطناعي v2.0، أو ضوابط NCA ECC-2:2024، أو معيار ISO/IEC 42001:2023. لا توجد أسئلة عامة حول الممارسات الفُضلى. كل إجابة تؤثر على واحد أو أكثر من مقاييس التغطية.
يقيس ما إذا كانت لديكم سياسة ذكاء اصطناعي، ونظام إدارة، وسجل أنظمة، وعملية تصنيف للمخاطر. الحوكمة هي الطبقة الهيكلية التي تجعل بقية الأبعاد قابلة للاستدامة. بدونها، الضوابط تبقى غير رسمية وتفشل في اختبار التوثيق.
البند ٥.٢ يشترط سياسة موثّقة للذكاء الاصطناعي معتمدة من الإدارة العليا. لا يوجد مستند من هذا النوع. صرّح الرئيس التنفيذي بمبادئ شفهية؛ لا شيء مكتوب أو مُبلَّغ للموظفين.
الملحق A.6.2.6 يشترط سجلاً لأنظمة الذكاء بمجموعة بيانات وصفية محددة لكل بند. لا يوجد سجل. الأنظمة الأربعة في الإنتاج تُتابع بشكل غير رسمي في مجلدات فرق مختلفة.
المبدأ ٣.٢ يلزم المتحكمين بتصنيف أنظمة الذكاء حسب الأثر على الأفراد. فرز المرشحين هو حالة استخدام عالية الأثر وفق تعريف سدايا، ويجب أن يكون في أعلى الدرجات. حالياً يُعامل كأي نظام تقني روتيني.
أداة فرز المرشحين دخلت الإنتاج في ٢٠٢٥ دون تقييم أثر. نموذج توقع الطلب في عامه الثاني من التشغيل؛ لا مراجعة مجدولة.
يقيس ما إذا كانت تدفقات البيانات الشخصية مستندة إلى أساس قانوني موثّق، ومسؤول حماية بيانات معيّن، وسجل أنشطة معالجة، والإفصاحات التي يفرضها النظام على المتحكم. النظام مُفعَّل من قبل سدايا منذ الربع الثالث ٢٠٢٤، وهو الأكثر قراراتٍ إنفاذيةٍ علنية حتى الآن.
تشترط المادة ٣٢ تعيين مسؤول حماية بيانات للمتحكمين الذين يعالجون بيانات حساسة أو يراقبون أصحاب البيانات بشكل منهجي. التحليل الشرائي لعملاء ١٤ متجراً يتجاوز هذين الحدّين. بدون مسؤول حماية بيانات، يتعذّر الالتزام بمهلة الاستجابة ٣٠ يوماً لطلبات أصحاب البيانات.
المادة ٦ تُعدِّد الأسس القانونية الستة لمعالجة البيانات الشخصية. أرقام الهواتف والهويات الوطنية (للضمان) وتاريخ الشراء تُجمع في جميع المتاجر. التسجيل في برنامج الولاء يعتمد على موافقة مفترضة عند الدفع. لا شيء من هذا مربوط بأساس موثّق من المادة ٦.
تشترط المادة ٣١ على المتحكم الاحتفاظ بسجل لأنشطة المعالجة. الجدول الحالي يغطي الموارد البشرية فقط، دون بيانات عملاء التجزئة أو التجارة الإلكترونية أو روبوت المحادثة. سجل متقادم يفشل في اختبار التوثيق وفق PDPL وISO 42001 البند ٧.٥.
المادة ١٢ من النظام تلزم المتحكم بإعلام صاحب البيانات بكيفية معالجة بياناته. مبدأ سدايا ٣.٣ يمدّ ذلك إلى القرارات الآلية. روبوت المحادثة يعرّف نفسه؛ أداة فرز المرشحين لا تظهر في إشعار خصوصية صفحة التوظيف؛ تحليل بيانات الولاء غير مُفصَح عنه عند التسجيل.
يقيس ما إذا كانت المخاطر الخاصة بالذكاء الاصطناعي (انحراف النموذج، حقن التعليمات، تغيير نموذج المورّد، خطأ القرار الآلي) مُسمَّاة ومُتابَعة ومُخفَّفة في سجل، وكذلك الانضباط في مخاطر مورّدي الذكاء ومراجعتهم الأمنية.
سجل المخاطر المؤسسي يُدرج "الذكاء الاصطناعي" كبند علوي دون فروع. لا توجد إدخالات على مستوى الأنظمة. لا مالكون للتخفيف. لا دورة مراجعة.
عقود مورّدي الذكاء الأربعة خالية من بنود حول إشعار تغيير النموذج، أو مصدر بيانات التدريب، أو سلوك الاحتياط عند إنهاء خدمة المورّد.
عقود مورّدي الذكاء الأربعة وُقّعت دون تقييم ECC-2. مورّد فرز المرشحين مستضاف خارج المملكة، والعقد لا ينصّ على إقامة بيانات سعودية.
البندان ٩.١ و١٠.٢ يتوقعان من المتحكم مراقبة أداء أنظمة الذكاء وتفعيل إجراء تصحيحي عند تراجعه. نموذج توقع الطلب بلا مقياس انحراف؛ أداة فرز المرشحين بلا تتبع دقّة؛ روبوت المحادثة بلا مراجعة لمعدل الرضا أو التصعيد.
يقيس ما إذا كانت مراجعة بشرية فعّالة مدمجة في قرارات الذكاء، وما إذا كان اختبار العدالة يُجرى، وما إذا كانت التزامات الشفافية لأصحاب البيانات مستوفاة، وما إذا كانت قرارات الذكاء مسجَّلة للمراجعة. أداة فرز المرشحين وروبوت المحادثة هما السطحان الأعلى مخاطرة هنا.
المبدأ ٣.٤ يشترط إشرافاً بشرياً فعّالاً على قرارات الذكاء التي تمسّ الأفراد. تحويل المحادثة من الروبوت إلى موظف بشري متوفر. أداة فرز المرشحين لا توجد لها خطوة مراجعة موثّقة قبل اعتماد القائمة المختصرة، ونموذج توقع الطلب يصدر أوامر شراء تلقائية دون عتبة موافقة مشترٍ.
تذكر المواد التسويقية للمزوّد أن الأداة "خالية من التحيّز". لا يوجد اختبار داخلي، ولا تفكيك ديموغرافي، ولا تحليل لمعدلات الرفض حسب الجنسية أو الجنس أو العمر.
المبدأ ٣.٣ يلزم بإعلام أصحاب البيانات عندما يتخذ نظام آلي قراراً يمسّهم أو يدعمه بشكل جوهري. ثلاثة أسطح تفشل: إشعار خصوصية صفحة التوظيف، تسجيل برنامج الولاء، إشعار التحويل من روبوت المحادثة إلى موظف بشري.
البند ٨.٤ يشترط على المتحكمين الاحتفاظ بأدلة كافية على تشغيل أنظمة الذكاء لإثبات المطابقة. أداة فرز المرشحين تستبدل القوائم السابقة. روبوت المحادثة يخزّن آخر ٣٠ يوماً فقط. نموذج توقع الطلب لا يحتفظ بالمدخلات.
يقيس إجراء استجابة الخروقات الموثّق لأحداث PDPL (إبلاغ سدايا خلال ٧٢ ساعة)، وكتيب حوادث الذكاء الاصطناعي (حقن التعليمات، انحراف النموذج، خطأ القرار الآلي)، والتحكم بالوصول والتسجيل اللذين يجعلان الاكتشاف ممكناً.
المادة ٢٠ تحدد مهلة ٧٢ ساعة لإبلاغ سدايا بخروقات البيانات الشخصية. فريق تقنية المعلومات لديه سلسلة تصعيد غير رسمية، دون إجراء مكتوب أو تدريب أو قائمة مكلَّفين.
الضابط الفرعي ٢-١٣-٣ يشترط استجابة موثّقة. الخطة تغطي الفدية والتصيد، لكن لا يوجد كتيب لحوادث الذكاء مثل انحراف النموذج، أو حقن التعليمات على روبوت المحادثة، أو خطأ قرار من أداة فرز المرشحين.
الضابط الفرعي ٢-١٢ يشترط تسجيلاً مركزياً للأحداث الأمنية. روبوت المحادثة، وأداة فرز المرشحين، ونموذج توقع الطلب، كلها تسجّل محلياً فقط. لا يوجد احتفاظ ٩٠ يوماً. لا توجد تنبيهات على النشاط الشاذ.
الضابط الفرعي ١-٣-٣ يشترط مسؤولية فردية للوصول المميّز. ثلاثة مشترين يتشاركون حساب مسؤول واحد على منصة التوقع. لا يوجد سجل تدقيق يربط تجاوزات المعاملات بشخص محدد.
مرتبة حسب التعرض التنظيمي والاعتمادية. البنود ١ و٢ تفتح الباب لكل ما عداها: بدون مسؤول حماية بيانات وسجل أسس قانونية، كل مهلة استجابة PDPL تبدأ بـ"سنبحث عن شخص ما". البند ٣ يعطي عمل الذكاء إطاراً هيكلياً. البندان ٤ و٥ هما أعلى إصلاحات ECC-2 أثراً.
| # | الفجوة | المرجع | المالك | الجهد |
|---|---|---|---|---|
| 01 | لا يوجد أساس قانوني موثّق لمعالجة البيانات الشخصيةرسم خريطة لكل تدفقات البيانات وإسنادها إلى سجل أسس قانونية. افتراضياً: الموافقة (التسويق)، التعاقد (الضمان)، المصلحة المشروعة (مكافحة الاحتيال). | PDPL Art. 6 | مسؤول حماية البيانات (مؤقت) | ٣–٤ أسابيع |
| 02 | لم يُعيَّن مسؤول حماية البياناتتعيين مؤقت من القانون أو الامتثال، ثم خلال ٩٠ يوماً التقييم بين تعيين دائم أو التعاقد مع مسؤول جزئي. | PDPL Art. 32 | الرئيس التنفيذي والإدارة القانونية | أسبوعان |
| 03 | لا يوجد نظام إدارة للذكاء أو سجل للنماذجبناء سجل ١٢ حقلاً قبل أي شراء جديد لأنظمة ذكاء. صياغة واعتماد سياسة ذكاء من صفحة واحدة في اجتماع المجلس القادم. | ISO 42001 Cl. 4–10 | مدير تقنية المعلومات | ٤ أسابيع (السجل) |
| 04 | بيانات اعتماد مسؤول مشتركة على منصات الذكاءإصدار حسابات مسؤول فردية لمنصات التوقع وفرز المرشحين وروبوت المحادثة؛ تدوير البيانات المشتركة فوراً. | NCA ECC-2 1-3-3 | مدير تقنية المعلومات | أسبوعان |
| 05 | لا اختبار عدالة على أداة فرز المرشحينطلب نتائج اختبار العدالة كتابياً من المورّد؛ إن لم تكن متوفرة، تنفيذ فحص داخلي للأثر التفاضلي على آخر ٩٠ يوماً من القرارات. | SDAIA AI Ethics 3.1 | مدير الموارد البشرية ومسؤول حماية البيانات | ٣ أسابيع |
نعمل مع الشركات السعودية الخاصة متوسطة الحجم، من ١٠٠ إلى ١٠٠٠ موظف، حيث الذكاء الاصطناعي في الإنتاج لكن الحوكمة ليست كذلك. لا نخدم المؤسسات الكبرى ولا الجهات الحكومية ولا العملاء الدوليين. لا نكتب أُطراً عامة عليها غلاف سعودي. كل مخرج ننتجه مربوط ببند محدد من PDPL أو سدايا أو NCA أو ISO 42001.
مجموعة نجم للتجزئة كيان وهمي بُني لهذا النموذج. أي تشابه مع كيان حقيقي غير مقصود. النتائج والفجوات والتوصيات تعكس واقعاً معقولاً للسوق السعودية المتوسطة الحجم في ٢٠٢٦. أما الاقتباسات التنظيمية فحقيقية ومُحدَّثة.