حماية البيانات الشخصية عند استخدام أدوات الذكاء الاصطناعي

لم تعد أدوات الذكاء الاصطناعي أمراً ثانوياً، بل أصبحت جزءاً رئيسياً من الاستخدامات الشخصية ومن ممارسة الأنشطة والأعمال التجارية والمهنية، وأخذت تحل محل العنصر البشري أو تسانده في أداء الكثير من المهام، وذلك نظراً لما توفره من سرعة في إنجاز الأعمال، وتوفير الوقت والجهد. ولغايات هذا المقال، فيمكن تعريف أدوات الذكاء الاصطناعي بأنها: “البرامج والأنظمة والتطبيقات الرقمية التي تعتمد على تقنيات تكنولوجية لتحليل البيانات والمعلومات ومعالجتها، والتعلّم منها أو الاستدلال بناءً عليها بهدف تنفيذ مهام بصورة آلية أو شبه آلية، وذلك من خلال دراسة الأنماط واستعادة المعلومات من مصادر مختلفة.”

إلا أن استخدام هذه الأدوات قد يتطلب في كثير من الأحيان وبشكل أساسي، لغايات الاستفادة منها، إدخال بيانات تتعلق بأشخاص طبيعيين؛ وهنا تبرز مسألة قانونية مهمة، وهي: إلى أي مدى يجوز استخدام البيانات الشخصية من خلال أدوات الذكاء الاصطناعي في ضوء قانون حماية البيانات الشخصية الأردني رقم (24) لسنة 2023 (“القانون“)، والذي أخضع معالجة البيانات الشخصية لمجموعة من الأحكام والضوابط التي تهدف إلى حماية الشخص المعني وضمان عدم معالجة بياناته خارج الحدود التي يسمح بها القانون.

ميّز القانون بين البيانات الشخصية والبيانات الشخصية الحساسة؛ فالبيانات الشخصية تشمل أي بيانات أو معلومات تتعلق بشخص طبيعي ومن شأنها التعريف به بصورة مباشرة أو غير مباشرة، في حين تشمل البيانات الشخصية الحساسة، على وجه الخصوص، المعلومات المتعلقة بالأصل أو العرق، والآراء أو الانتماءات السياسية، والمعتقدات الدينية، والوضع المالي، والحالة الصحية أو الجسدية أو العقلية أو الجينية، والبصمات الحيوية، وسجل السوابق الجنائية، أو أي بيانات يؤدي كشفها إلى إلحاق الضرر بأصحابها.

لم يتناول قانون حماية البيانات الشخصية الأردني رقم (24) لسنة 2023 أدوات الذكاء الاصطناعي بصورة مباشرة، ولم يضع لها تعريفاً أو أحكاماً خاصة تنظم استخدامها في معالجة البيانات الشخصية. إلا أن عدم النص عليها صراحةً لا يعني خروج عمليات معالجة البيانات التي تتم من خلالها عن نطاق تطبيق القانون.

فقد عرّف قانون حماية البيانات الشخصية “المعالجة” بصورة واسعة تشمل العمليات التي تجرى على البيانات، ومنها جمعها وتسجيلها ونسخها وتخزينها وتنظيمها واستعمالها وإرسالها وربطها ببيانات أخرى وإتاحتها ونقلها وإخفاء هويتها وتعديلها والإفصاح عنها ومحوها. ومن هذا المنطلق، فإن التكييف القانوني لاستخدام أدوات الذكاء الاصطناعي يجب ألا يقوم على اسم التقنية المستخدمة، وإنما على طبيعة العملية التي تتم على البيانات والدور الفعلي لكل طرف فيها. وبناءً عليه، فيمكن القول بأن إدخال البيانات الشخصية إلى أداة ذكاء اصطناعي يشكل معالجة للبيانات الشخصية بالمعنى القانوني.

عرّف القانون “المسؤول” بأنه: “الشخص الطبيعي أو الاعتباري، سواء أكان داخل المملكة أم خارجها، الذي تكون البيانات في عهدته.” كما عرّف “المعالج” بأنه الشخص الطبيعي أو الاعتباري المختص بمعالجة البيانات. وعند استخدام أدوات الذكاء الاصطناعي، تبقى الجهة التي تكون البيانات في عهدتها خاضعة للالتزامات المقررة على المسؤول، ولا يؤدي مجرد الاستعانة بأداة مقدمة من جهة خارجية إلى انتقال هذه الالتزامات عنها. أما مقدم أداة الذكاء الاصطناعي، فقد ينطبق عليه وصف المعالج متى كان يقوم بمعالجة البيانات لصالح المسؤول وفي حدود الغرض المحدد لها، أما إذا كان يستخدم البيانات أو يحتفظ بها لأغراض مستقلة، فيتعين إعادة تقييم صفته القانونية وفقاً لطبيعة دوره الفعلي وذلك بالنظر إلى الأشخاص أو الجهات القائمة خلفها ودور كل منها فعلياً في معالجة البيانات.

عرّف القانون في المادة (2) منه الإخلال بأمن وسلامة البيانات بأنه: “أي وصول غير مشروع أو أي عملية أو نقل أو إجراء غير مصرح به على البيانات”. كما نصت المادة (14) من ذات القانون على أنه لا يجوز نقل البيانات أو تبادلها بين المسؤول وأي شخص آخر، بمن فيهم المتلقي، إلا بموافقة الشخص المعني ووفقاً للشروط المحددة فيها، ومن أهمها أن يكون لدى الشخص المعني علم كافٍ بالمتلقي والأغراض التي ستستخدم البيانات من أجلها. كما ألزمت الفقرة (ب) من المادة ذاتها المسؤول والمتلقي بالاحتفاظ بسجلات توثق البيانات التي تم نقلها أو تبادلها، والغرض من ذلك، والحصول على موافقات الأشخاص المعنيين على النقل، وأخضعت المتلقي للمسؤوليات والواجبات القانونية المقررة على المسؤول. وبناءً عليه، فإن استخدام أدوات الذكاء الاصطناعي في معالجة البيانات الشخصية لا يكون مشروعاً أو غير مشروع لمجرد استخدام هذه الأدوات، وإنما يتوقف ذلك على طبيعة المعالجة التي تتم من خلالها ومدى استيفائها للمتطلبات التي يفرضها القانون. فإذا كان استخدام الأداة يترتب عليه نقل البيانات أو إتاحتها لمقدم الأداة أو لأي جهة أخرى، وجب أن يتم ذلك وفقاً للشروط والضوابط المقررة قانوناً، بما في ذلك علم الشخص المعني بالمتلقي والغرض من استخدام البيانات والحصول على موافقته متى كانت مطلوبة. أما إذا تمت إتاحة البيانات أو نقلها دون استيفاء المتطلبات القانونية اللازمة، فقد يشكل ذلك نقلاً أو إجراءً غير مصرح به على البيانات وإخلالاً بأمنها وسلامتها بالمعنى المقصود في القانون. هذا من جهة، ومن جهة أخرى فإن مشروعية جمع المسؤول للبيانات الشخصية ومعالجتها لا تعني بالضرورة جواز إدخالها إلى أدوات الذكاء الاصطناعي بصورة مطلقة؛ إذ قد يترتب على استخدام هذه الأدوات إتاحة البيانات لمقدم الأداة أو لمعالج أو متلقٍ آخر، وإخضاعها لعملية معالجة مستقلة، الأمر الذي يستوجب التحقق من مشروعية هذه المعالجة بذاتها وفقاً لأحكام القانون ومدى توافق الموافقة المسبقة مع طبيعة هذه المعالجة.

لم يضع قانون حماية البيانات الشخصية تعريفاً مباشراً لمفهوم نقل البيانات خارج المملكة، إلا أنه قرر بموجب المادة (15) كأصل عام عدم جواز نقل البيانات إلى شخص خارج المملكة إذا كان مستوى الحماية الذي يوفره للبيانات أقل من مستوى الحماية المقرر بموجب القانون، مع مراعاة الحالات المستثناة التي حددها المشرع. ولما كانت العديد من أدوات الذكاء الاصطناعي تعمل من خلال شركات وبنى تقنية وخوادم موجودة خارج المملكة، وبالتالي قد يؤدي إدخال البيانات إليها إلى نقل البيانات أو معالجتها خارج الأردن. وعليه، ينبغي النظر إلى المسار الفعلي للبيانات؛ وبصفة خاصة مكان استلامها ومعالجتها وتخزينها، والجهة التي تصبح البيانات متاحة لها. فإذا ترتب على إدخال البيانات إلى الأداة إتاحتها أو معالجتها أو تخزينها لدى مقدم خدمة أو بنية تقنية موجودة خارج المملكة، فإن ذلك قد يدخل ضمن نطاق النقل الخارجي للبيانات، وتصبح الأحكام والضوابط المقررة في القانون لهذا النوع من النقل واجبة المراعاة.

نصت المادة (13) من القانون على اعتبار البيانات التي تجري عليها المعالجة بيانات سرية، وألزمت المسؤول والمعالج بالمحافظة على سريتها. وعليه، فإن استخدام أدوات الذكاء الاصطناعي لا يرتبط فقط بوجود أساس قانوني للمعالجة، وإنما كذلك بمدى المحافظة على سرية البيانات ومنع إتاحتها أو استخدامها خارج الحدود المسموح بها، إذ أن إدخال البيانات الشخصية إلى أداة مقدمة من جهة خارجية قد يترتب عليه إتاحة البيانات لمقدم الأداة أو تمكينه من معالجتها أو الاحتفاظ بها، وهو ما قد يشكل إخلالاً بالتزام السرية أو حماية البيانات إذا تم دون سند أو ضمانات قانونية كافية. ولذلك فإن مشروعية المعالجة بموجب قانون حماية البيانات الشخصية لا تعني، بذاتها، انتفاء أي قيود قانونية أخرى على الإفصاح عن المعلومات أو إتاحتها لطرف خارجي. وعليه، لا يقتصر التزام المسؤول على منع اختراق البيانات أو تسريبها، وإنما يمتد إلى التحقق مسبقاً من أن استخدام أداة الذكاء الاصطناعي ذاته لا يؤدي إلى كشف البيانات أو إتاحتها أو استخدامها على نحو يتعارض مع الالتزامات المفروضة عليه قانوناً.

ألزمت المادة (8) من القانون المسؤول، باتخاذ الإجراءات اللازمة لحماية البيانات الموجودة في عهدته، واتخاذ التدابير الأمنية والتقنية والتنظيمية اللازمة لحمايتها، ووضع الآليات والإجراءات التي تخضع لها عملية المعالجة. أما المعالج، فقد ألزمه القانون بموجب المادة (12)، بإجراء المعالجة وتنفيذها وفقاً لأحكام القانون والأنظمة والتعليمات، وعدم تجاوز الغرض المحدد للمعالجة ومدتها، ومحو البيانات بانقضاء مدة المعالجة أو تسليمها للمسؤول، وعدم القيام بأي عمل من شأنه إتاحة البيانات أو نتائج المعالجة إلا في الأحوال المصرح بها قانوناً. كما أوجبت المادة (9)، في الحالات التي تسري عليها، إعلام الشخص المعني قبل البدء بالمعالجة بعدد من الأمور، ومن بينها المعالج الذي سيشارك المسؤول في تنفيذ المعالجة. وعليه، فإن استخدام المسؤول لأداة ذكاء اصطناعي في معالجة البيانات الشخصية قد يشكل إخلالاً بالالتزامات القانونية الواقعة عليه بموجب قانون حماية البيانات الشخصية، حتى وإن لم يقع تسريب أو اختراق فعلي للبيانات.

فمجرد إدخال البيانات إلى أداة مقدمة من جهة خارجية قد يترتب عليه إتاحتها أو الكشف عنها لمقدم الأداة أو تمكينه من معالجتها، وهو ما قد يشكل إخلالاً بالتزام المحافظة على سرية البيانات أو بالتزام حماية البيانات واتخاذ التدابير الأمنية والتقنية والتنظيمية اللازمة إذا تمت هذه الإتاحة دون الضمانات القانونية اللازمة. كما قد يشكل إخلالاً بحدود الغرض المشروع للمعالجة إذا ترتب عليه استخدام البيانات لغرض يختلف عن الغرض الذي جُمعت من أجله، أو إخلالاً بالأحكام المنظمة لنقل البيانات وتبادلها وإتاحتها للمتلقي إذا أدى استخدام الأداة إلى وصول البيانات إلى جهة أخرى دون استيفاء المتطلبات القانونية المقررة لذلك.

كما تثير معالجة البيانات بواسطة أدوات الذكاء الاصطناعي إشكالية في تحديد الجهة التي يمكن للشخص المعني الرجوع عليها عند وقوع مخالفة أو إخلال بأمن وسلامة بياناته، فحقوق الشخص المعني لا تتعلق بالأداة التقنية بذاتها، وإنما بالأشخاص الطبيعيين أو الاعتباريين الذين يقررون استخدامها أو يقومون من خلالها بمعالجة بياناته. وعليه، فإن استعانة المسؤول بأداة ذكاء اصطناعي لا تعفيه، في مواجهة الشخص المعني، من الالتزامات التي فرضها عليه القانون بشأن مشروعية المعالجة وحماية البيانات الموجودة في عهدته واتخاذ التدابير الأمنية والتقنية والتنظيمية اللازمة لحمايتها.

إن استخدام أدوات الذكاء الاصطناعي لمعالجة البيانات الشخصية ليس محظوراً بذاته، إلا أنه يجب التعامل معه باعتباره قراراً يتعلق بمعالجة البيانات وليس مجرد قرار تقني، خاصة أن العديد من هذه الأدوات تخضع لشروط استخدام وسياسات خصوصية معدة مسبقاً تحدد كيفية استخدام البيانات المدخلة إليها والاحتفاظ بها ومشاركتها. وعليه، يتعين على المؤسسة، قبل استخدام أي أداة، مراجعة هذه الشروط والتحقق من مشروعية إتاحة البيانات لها، والغرض والأساس القانوني للمعالجة، ودور مقدم الأداة، وحدود استخدام البيانات والاحتفاظ بها ومحوها، ومكان معالجتها وتخزينها ومدى انتقالها إلى خارج المملكة، إلى جانب اتخاذ التدابير الأمنية والتقنية والتنظيمية اللازمة لحمايتها (تشفير، ترميز، استعارة، اخفاء الأسماء والأطراف وكل ما يدل على الأشخاص وهوياتهم وطريقة عملهم وأسرارهم). كما ينبغي تنظيم استخدام الموظفين لهذه الأدوات من خلال ضوابط داخلية تحدد الأدوات المسموح باستخدامها وفئات البيانات التي يجوز إدخالها إليها، بما يحول دون إتاحة بيانات العملاء أو الموظفين أو المعلومات السرية على نحو يخالف القانون.

رغم أن قانون حماية البيانات الشخصية الأردني لم ينظم أدوات الذكاء الاصطناعي بالاسم، فإن معالجة البيانات التي تتم من خلالها تبقى خاضعة لأحكامه، فالعبرة بطبيعة المعالجة وليس بالوسيلة التقنية المستخدمة فيها. وعليه، يجب تقييم استخدام أدوات الذكاء الاصطناعي في ضوء مشروعية المعالجة وغرضها، والأطراف التي ستتاح لها البيانات، وحدود استخدامها والاحتفاظ بها ونقلها، والضمانات المقررة لحمايتها.

المحاميــــة

رُلى فراس الزيادين