إطار جديد لخصوصية الذكاء الاصطناعي يتجاوز اللائحة العامة لحماية البيانات

نشر مجلس أوروبا مسودة مبادئ توجيهية بموجب معاهدة الاتفاقية 108+ التي من شأنها وضع متطلبات خصوصية الذكاء الاصطناعي عبر 55 دولة، وهو نطاق يمتد إلى ما هو أبعد بكثير من اللائحة العامة لحماية البيانات في الاتحاد الأوروبي. وفي حين تظل اللائحة العامة لحماية البيانات القانون الأكثر شهرة في العالم لحماية البيانات، فإن الاتفاقية 108+ هي معاهدة دولية ملزمة منفصلة تغطي الدول الأعضاء في مجلس أوروبا، بما في ذلك الدول غير الأعضاء في الاتحاد الأوروبي. وهذا النطاق الأوسع يعني أن المسودة الجديدة للمبادئ التوجيهية قد تشكل كيفية تعامل أنظمة الذكاء الاصطناعي مع البيانات الشخصية في دول تقع خارج نطاق اختصاص اللائحة العامة لحماية البيانات تمامًا.

وتتناول المسودة ثلاثة مجالات محددة لمخاطر خصوصية الذكاء الاصطناعي: إعدادات ذاكرة chatbots، ونطاق الأذونات الممنوحة لوكلاء الذكاء الاصطناعي، وضعف نماذج الذكاء الاصطناعي أمام هجمات استخراج بيانات التدريب. ويعكس كل من هذه المجالات قلقًا حقيقيًا ومتزايدًا مع تزايد اندماج أدوات الذكاء الاصطناعي في الاستخدامات اليومية للمستهلكين والشركات.

ما تتطلبه المسودة فعليًا

وفقًا للمسودة، ستحتاج روبوتات المحادثة المدعومة بالذكاء الاصطناعي إلى إيقاف تشغيل ميزات الذاكرة افتراضيًا. وهذا يعني أنه ما لم يقم المستخدم بتفعيل الخيار بشكل نشط، فإن chatbot لن يحتفظ بتفاصيل من المحادثات السابقة. وقد أصبحت ميزات الذاكرة شائعة لأنها تتيح لمساعدي الذكاء الاصطناعي تخصيص الردود بمرور الوقت، لكنها أيضًا تنشئ سجلًا دائمًا من المعلومات الحساسة المحتملة التي تتم مشاركتها خلال المحادثات العادية. إعداد الإيقاف الافتراضي يزيح العبء على الشركات لكسب موافقة المستخدم بدلاً من افتراضها.

كما تدعو المبادئ التوجيهية إلى أن يتم تحديد نطاق وكلاء الذكاء الاصطناعي، وهي الأدوات الشائعة بشكل متزايد التي يمكنها اتخاذ إجراءات نيابة عن المستخدم مثل حجز المواعيد أو إدارة الحسابات، بأقل بيانات اعتماد ضرورية لإكمال المهمة. هذا مبدأ أمني يُعرف بوصول الامتياز الأقل، ويُطبق تحديدًا على أنظمة الذكاء الاصطناعي. فبدلاً من منح وكيل الذكاء الاصطناعي وصولًا واسعًا إلى بيانات المستخدم أو حساباته، ستكون بيانات الاعتماد محدودة فقط بما هو مطلوب للمهمة المحددة في متناول اليد، مما يقلل الضرر المحتمل إذا تم اختراق الوكيل أو إساءة استخدامه.

المجال الثالث الذي تغطيه المسودة هو هجمات استخراج بيانات التدريب، وهي تقنية يحاول فيها الجهات الخبيثة سحب معلومات حساسة أو شخصية من نموذج ذكاء اصطناعي بناءً على كيفية استجابته لاستفسارات معينة. وتشير المسودة إلى أن هذه الهجمات يمكن تنفيذها بتكلفة منخفضة، وهو جزء مما يجعلها مصدر قلق ملح للجهات التنظيمية. إذا كان استخراج بيانات التدريب الخاصة لا يتطلب موارد كبيرة أو براعة تقنية متقدمة، فإن الحافز للجهات الخبيثة لمحاولة القيام بذلك يزداد بشكل كبير.

لماذا تهم الاتفاقية 108+ للامتثال العالمي للذكاء الاصطناعي

من الجوانب الأكثر إغفالًا في هذه المسودة هي المعاهدة التي تندرج تحتها. غالبًا ما توصف الاتفاقية 108+ بأنها أول صك دولي ملزم في العالم بشأن حماية البيانات، وهي تسبق اللائحة العامة لحماية البيانات. ويشمل الموقعون عليها دولًا تتجاوز بكثير حدود الاتحاد الأوروبي، مما يعني أن الشركات التي تشغل منتجات ذكاء اصطناعي دوليًا قد تحتاج إلى الامتثال لإطارين متداخلين لكنهما متميزان: اللائحة العامة لحماية البيانات للعمليات في الاتحاد الأوروبي والاتفاقية 108+ للمجموعة الأوسع من 55 دولة.

هذا المشهد المزدوج للامتثال يعكس نمطًا يتجلى بالفعل في أماكن أخرى. كما تم تناوله في نظرة حديثة حول كيف أن غرامات اللائحة العامة لحماية البيانات وقواعد الذكاء الاصطناعي تعيد تشكيل الامتثال، تعالج الشركات بشكل متزايد حماية البيانات كأولوية تشغيلية أساسية بدلاً من كونها خانة قانونية يجب تحديدها. وبالمثل، أظهرت غرامات اللائحة العامة لحماية البيانات التي تصل إلى 20 مليون يورو أن الامتثال والوضع الأمني الفعلي ليسا الشيء نفسه، وهو تمييز سيكون مهمًا بنفس القدر بموجب التوجيهات الخاصة بالذكاء الاصطناعي في الاتفاقية 108+. كما تتحرك مناطق أخرى بالتوازي: إنفاذ هيئة التنظيم البريدي والاتصالات في زيمبابوي (POTRAZ) لقانون حماية البيانات في زيمبابوي اعتبارًا من سبتمبر 2026 هو مثال آخر على توسع إنفاذ حماية البيانات إلى ما وراء النطاق التنظيمي التقليدي للاتحاد الأوروبي.

ماذا يعني هذا بالنسبة لك

بالنسبة للمستخدمين اليوميين لروبوتات المحادثة ووكلاء الذكاء الاصطناعي، تشير هذه المبادئ التوجيهية المسودة إلى تحول نحو تصميم الخصوصية الافتراضية. إذا تم اعتماد هذه المبادئ، فقد تبدأ في رؤية المزيد من منتجات الذكاء الاصطناعي مع إيقاف تشغيل ميزات الذاكرة ما لم تقم بتمكينها تحديدًا، ووكلاء ذكاء اصطناعي يطلبون أذونات أضيق بدلاً من وصول واسع إلى الحسابات. بالنسبة للشركات التي تبني أو تشغل أدوات الذكاء الاصطناعي، خاصة تلك العاملة في دول متعددة، تمثل المسودة تذكيرًا بأن امتثال خصوصية الذكاء الاصطناعي في أوروبا 2026 لن يكون معيارًا موحدًا واحدًا. ستحتاج الشركات إلى تتبع المتطلبات عبر كل من نطاقات اللائحة العامة لحماية البيانات والاتفاقية 108+، وتصميم أنظمة يمكنها تلبية المعيار الأكثر صرامة من الاثنين أينما تعمل.

النقاط الرئيسية

  • الاتفاقية 108+ تلزم 55 دولة، وهو نطاق أكبر بكثير من نطاق اللائحة العامة لحماية البيانات المقتصر على الاتحاد الأوروبي، لذلك يجب أن يأخذ تخطيط الامتثال للذكاء الاصطناعي في الاعتبار كلا الإطارين.
  • تدعو المبادئ التوجيهية المسودة إلى أن تكون ذاكرة chatbot مضبوطة على الإيقاف افتراضيًا، مما يمنح المستخدمين مزيدًا من التحكم في البيانات المحادثاتية المحتفظ بها.
  • ستحتاج وكلاء الذكاء الاصطناعي إلى بيانات اعتماد محددة بأقل وصول ضروري، مما يحد من التعرض إذا تم اختراق الوكيل.
  • يتم الإشارة إلى هجمات استخراج بيانات التدريب على أنها منخفضة التكلفة وعالية المخاطر، مما يؤكد سبب تحول امتثال خصوصية الذكاء الاصطناعي في أوروبا 2026 إلى أولوية للجهات التنظيمية.
  • يجب على الشركات العاملة دوليًا أن تبدأ في مراجعة إعدادات منتجات الذكاء الاصطناعي الآن، بدلاً من انتظار الانتهاء من المبادئ التوجيهية.