لا يوجد في الكويت قانون مستقل للذكاء الاصطناعي، ولا قانون شامل واحد لحماية البيانات على مستوى الدولة. فالشركة التي تستخدم الذكاء الاصطناعي في الكويت، والمحامي الذي يستعين به، يخضعان لعدة نصوص وُضعت لأغراض أخرى. وأهمها قانون المعاملات الإلكترونية رقم 20 لسنة 2014، ولائحة حماية خصوصية البيانات التي اعتمدتها الهيئة العامة للاتصالات وتقنية المعلومات بالقرار رقم 26 لسنة 2024، والقواعد القطاعية في الصحة والاتصالات. وفي مكتب هند بن الشيخ وشركاؤه نبدأ كل مهمة تخص الذكاء الاصطناعي بتحديد أي هذه النصوص ينطبق على العميل فعلاً.
لا قانون للذكاء الاصطناعي ولا قانون واحد لحماية البيانات
نصيحتنا الأولى أن نكون دقيقين فيما هو موجود. فالكويت لم تُصدر قانوناً شاملاً للذكاء الاصطناعي، وقواعد الخصوصية فيها موزعة بين قانون المعاملات الإلكترونية ولائحة الهيئة وأحكام الجرائم المعلوماتية والقواعد القطاعية. ولا نخبر العملاء بأن قانوناً عاماً لحماية البيانات ينطبق، لأنه غير موجود، ولا نعتمد على مشروعات القوانين أو إعلانات السياسات كأنها نصوص نافذة.
وهذا يحدد طريقة العمل. فلا يستطيع العميل أن يجيب عن سؤال الامتثال بذكر قانون واحد. علينا أن نحدد القطاع ونوع البيانات والجهة الرقابية، ثم نطبق النص الذي يصل فعلاً إلى الوقائع. وحيث لا يصل نص إلى مسألة نقول ذلك صراحة ونقترح بنداً تعاقدياً بدلاً من اختراع قاعدة. وكثيراً ما تكون النتيجة مزيجاً من واجبات نظامية وحمايات تعاقدية يبنيها الأطراف بأنفسهم.
قانون المعاملات الإلكترونية رقم 20 لسنة 2014 بوصفه الأساس العام
يُعدّ قانون المعاملات الإلكترونية رقم 20 لسنة 2014 ولائحته التنفيذية الصادرة بالقرار رقم 48 لسنة 2014 أقرب ما لدى الكويت إلى أساس عام للبيانات الشخصية المحفوظة في سجلات إلكترونية. فالمادة 4 تشترط الموافقة قبل التعامل بالوسائل الإلكترونية، وتشترط المادتان 32 و35 الموافقة على الاطلاع على البيانات المجمعة والإفصاح عنها ومشاركتها ومعالجتها، في حدود الغرض الذي أُبلغ به صاحب البيانات.
وتمنح المادة 33 الشخص حق طلب الاطلاع على بياناته المحفوظة لدى الجهة، وتلزم المادة 35 الجهة بالتحقق من دقة البيانات وحمايتها، وتمنح المادة 36 حق التعديل أو الحذف. وينبغي تقييم أداة الذكاء الاصطناعي التي تعالج سجلات العملاء أو الموظفين في الكويت على ضوء هذه المواد أولاً، لأنها تسري على الشركات والجهات العامة ولا تتوقف على ترخيص.
قرار الهيئة رقم 26 لسنة 2024 ومن يشمله
صدر القرار رقم 26 لسنة 2024 في 7 فبراير 2024 ونُشر في الجريدة الرسمية (كويت اليوم) في 18 فبراير 2024. وهو يعتمد لائحة حماية خصوصية البيانات التي أقرها مجلس إدارة الهيئة في 5 ديسمبر 2023، ويلغي القرار السابق رقم 42 لسنة 2021، ويعمل به من نشره في 18 فبراير 2024. وتنص المادة 1 من اللائحة على سريانها على مقدمي الخدمات الذين يجمعون البيانات الشخصية ويعالجونها ويخزنونها، وتصف المصادر المتخصصة نطاقها حالياً بأنه مقصور على المرخص لهم من الهيئة كمزودي الاتصالات والإنترنت.
ونتيجة ذلك أن البنك أو متجر التجزئة أو العيادة التي تستخدم الذكاء الاصطناعي لا تلتزم بهذه اللائحة لمجرد استخدامها البيانات. أما مزود الاتصالات أو الإنترنت المرخص الذي يستخدم الذكاء الاصطناعي على بيانات المشتركين فيلتزم بها. ونتحقق من وضع الترخيص أولاً، لأن الخطأ في هذه المسألة يرسل العميل إلى قواعد خاطئة وجهة رقابية خاطئة، ووضع الترخيص واقعة يمكن التثبت منها من مستندات العميل نفسها ونطلبها في الاجتماع الأول.
الموافقة والغرض والشفافية في لائحة الهيئة
بالنسبة للمرخص لهم، تلزم المادتان 2 و4 من اللائحة مقدم الخدمة بالحصول على موافقة المستخدم قبل جمع بياناته الشخصية ومعالجتها، وببيان الغرض والأساس القانوني ومدة الاحتفاظ وهوية مقدم الخدمة وبيانات الاتصال به. ويجب تقديم الشروط بلغة واضحة بالعربية والإنجليزية. والمرخص له الذي يريد استخدام بيانات المشتركين لتدريب نموذج ذكاء اصطناعي أو ضبطه يجب أن يعلن هذا الغرض للمستخدم.
وتلزم المادة 4 كذلك بوسائل ميسرة يطلع بها المستخدم على بياناته ويصححها ويسحب موافقته ويطلب حذفها عند انتهاء العلاقة. وننصح المرخص لهم باختبار حالة الاستخدام على كل واجب من هذه الواجبات وبحفظ سجل لنص الموافقة وتاريخها والنسخة المعروضة على المستخدم، لأن مقدم الخدمة هو من يتحمل عبء إثبات الموافقة.
الجهات الرقابية ومن يطبق ماذا
لا توجد في الكويت جهة واحدة ذات سلطة شاملة على حماية البيانات. فالهيئة العامة للاتصالات وتقنية المعلومات، المنشأة بالقانون رقم 37 لسنة 2014، تنظم المرخص لهم وتملك التفتيش وطلب التصحيح وإحالة الجرائم المشتبه فيها إلى الجهات المختصة. والجهاز المركزي لتكنولوجيا المعلومات يقف خلف قانون المعاملات الإلكترونية ولائحته، والمركز الوطني للأمن السيبراني، المنشأ بالمرسوم رقم 37 لسنة 2022، له الدور المركزي في الأمن السيبراني ولا سيما للجهات الحكومية.
ومعنى ذلك للعميل أن حادثاً واحداً في الذكاء الاصطناعي قد يمس أكثر من جهة. فقد يسأل مزود الاتصالات أمام الهيئة، وتسأل الشركة صاحبة السجلات الإلكترونية وفق القانون رقم 20 لسنة 2014، ويخضع مورد الجهات الحكومية لمتطلبات الأمن السيبراني. ونرسم الجهات المحتملة من البداية ليحمل إجراء الحوادث أسماء الجهات الصحيحة وترتيبها.
الأمن والإخطار بالخرق والنقل إلى الخارج للمرخص لهم
تلزم المادة 5 من اللائحة المرخص لهم بحماية البيانات الشخصية من الوصول غير المصرح به والفقد والتدمير والتلف، بتدابير منها التشفير وخطط الاستعادة. وتلزم المادة 6 (1) المرخص له بإخطار الهيئة بخرق البيانات الشخصية خلال 24 ساعة من العلم به، وإبلاغ صاحب البيانات المتأثر ما لم تكن قد طُبقت على البيانات المتأثرة تدابير حماية تقنية وتنظيمية ملائمة. وبصورة مستقلة، تلزم المادة 4 (15) المرخص له بإخطار الهيئة والمستخدمين وجهات إنفاذ القانون بأسرع وقت ممكن وخلال 72 ساعة على الأكثر عند الإفصاح غير المشروع عن بيانات شخصية مخزنة وتضرر عدد كبير من المستخدمين. وننصح العملاء بالتخطيط لإخطار الهيئة خلال 24 ساعة.
وبموجب المادة 4 يجب على المرخص له أن يُعلم المستخدمين إذا كانت بياناتهم ستُنقل خارج الكويت، وأن يبين أين تُخزَّن. وكثير من خدمات الذكاء الاصطناعي يعمل على منصات سحابية أجنبية، فيكون النقل جزءاً من المنتج غالباً. ونطلب من المورد أن يؤكد كتابة كل موقع تخزين وكل معالج فرعي قبل أن يبدأ المرخص له التشغيل.
الاحتفاظ والحذف ونهاية مشروع الذكاء الاصطناعي
تنتج مشروعات الذكاء الاصطناعي نسخاً من البيانات لم يخطط لها أحد، كمجموعات التدريب وسجلات الأوامر وملفات الاختبار والنسخ الاحتياطية لدى المورد. وتمنح المادة 36 من القانون رقم 20 لسنة 2014 صاحب البيانات حق التعديل أو الحذف، وتلزم المادة 4 من لائحة الهيئة المرخص له بحذف البيانات الشخصية عند سحب الموافقة أو انتهاء العلاقة. والتزام بالحذف يقف عند قاعدة بيانات الإنتاج ليس التزاماً حقيقياً.
ونصيحتنا الثابتة أن تُحصر كل النسخ في البداية، وأن يُلزَم المورد كتابة بالحذف مع شهادة عند الانتهاء، وأن تُحدد مدة احتفاظ لسجلات الأوامر. وحين يطلب منا عميل إغلاق مشروع نتحقق من زوال هذه النسخ ومن حفظ سجل الحذف مع ملف القرار.
القواعد القطاعية التي تمس الذكاء الاصطناعي: الصحة والسحابة والجرائم المعلوماتية
للبيانات الصحية قاعدتها الخاصة. فقانون مزاولة مهنة الطب رقم 70 لسنة 2020 يلزم مقدمي الرعاية الصحية بحفظ سجلات المرضى بأمان، ويُشترط عموماً موافقة المريض الكتابية للإفصاح عن البيانات الطبية. وأداة الذكاء الاصطناعي التي تقرأ ملاحظات سريرية أو صوراً طبية تُراجع على ضوء هذا الواجب قبل أن تتلقى سجلاً واحداً، ولا تغني إزالة الهوية عن طلب الموافقة.
ويخضع مقدمو الخدمات السحابية لإطار الهيئة للحوسبة السحابية، الذي يبين ما يجوز لمقدم الخدمة جمعه ويلزمه بإبلاغ المستخدم بما يُجمع تلقائياً. وتجرّم أحكام الجرائم المعلوماتية الدخول غير المشروع إلى البيانات وتغييرها والإفصاح عنها. ولا نعدّ هذه قواعد للذكاء الاصطناعي، لكنها ترسم الحد الخارجي لما يجوز لأي نظام أن يفعله بمعلومات الآخرين.
عقود موردي الذكاء الاصطناعي في الكويت
لا يوجد قانون للذكاء الاصطناعي، فيحمل عقد المورد أغلب الحماية. ونقرؤه لخمس نقاط: من هو حائز البيانات، وهل يجوز للمورد التدريب على بيانات العميل، وأين تُخزَّن، ومن يتحمل المسؤولية عن المخرجات الخاطئة، وماذا يحدث للبيانات عند انتهاء العقد. وحيث يكون العميل مرخصاً له من الهيئة يجب أن تنتقل واجبات اللائحة إلى المورد كتابة.
ونصيحتنا الثابتة تجنب التراخيص الواسعة التي تتيح للمورد إعادة استخدام بيانات العميل في منتجاته. وننصح كذلك بحق التدقيق وبالتزام بالإخطار بالخرق في مدة أقصر من المهلة القانونية للعميل وبشهادة حذف عند الخروج وبقائمة المعالجين الفرعيين مع إخطار قبل تغييرهم. وهذه بنود تجارية عادية، والمورد الذي يرفضها كلها يعطي العميل معلومة مفيدة.
المسؤولية عن مخرجات الذكاء الاصطناعي وقراراته
لا تعتبر القواعد الكويتية نظام الذكاء الاصطناعي فاعلاً قانونياً. فالشركة أو المهني الذي يعتمد على نموذج يسأل عما يفعله بالنتيجة وفق مبادئ العقد والمسؤولية المدنية العامة والقواعد القطاعية المذكورة. فقرار ائتماني خاطئ أو تشخيص مغلوط أو مسودة قانونية غير دقيقة مسؤولية من استخدمها.
وننصح العملاء بحفظ سجل قرار لكل استخدام جوهري: ماذا طُلب من النظام، وماذا أعاد، ومن راجعه، وماذا تقرر. وملف قصير من هذا النوع هو أفضل دليل على أن إنساناً مارس التقدير، وهو في النزاع أنفع في الغالب من سجلات النموذج نفسه. ويحتفظ به مالك القرار في العمل لا الفريق التقني وحده.
المحامون والذكاء الاصطناعي وسرية المهنة
ينظم قانون المحاماة رقم 42 لسنة 1964 مهنة المحاماة أمام المحاكم، وواجب السر المهني للمحامي ركن أساسي فيها. ولا يتوقف هذا الواجب حين ينسخ المحامي مستنداً لعميله في أداة ذكاء اصطناعي عامة. فعلى المحامي أن يعامل وقائع العميل معاملة المعلومات المحمية، وألا يضعها في خدمة تحتفظ بما تتلقاه أو تعيد استخدامه.
وحين نستخدم الذكاء الاصطناعي في عملنا نعامل الأداة معاملة الغير، فلا تدخل وقائع العميل في خدمة تحتفظ بها أو تدرّب عليها دون اتفاق مكتوب، ويبقى المحامي مسؤولاً عن مراجعة كل استشهاد وكل مسودة. وننصح الإدارات القانونية الداخلية والمكاتب الأخرى في الكويت بالقاعدة نفسها وبكتابتها في سياسة العاملين.
ما نراجعه في نشر نظام ذكاء اصطناعي في الكويت
عند مراجعة نشر نظام ذكاء اصطناعي في الكويت نحدد أولاً القطاع والجهة الرقابية، ثم نفحص وضع الترخيص على ضوء القرار رقم 26 لسنة 2024. ونقرأ الموافقة والإشعار على ضوء المواد 4 و32 و35 من قانون المعاملات الإلكترونية، ونراجع عقد المورد وموقع البيانات، ونفحص أي قاعدة صحية أو اتصالات، وندوّن النتيجة في ملف قرار موجز للعميل.
اقرأ أيضاً: دليلنا لحماية البيانات في الكويت ودليلنا للملكية الفكرية في الكويت، إضافة إلى ممارستنا في قانون الشركات والأعمال التجارية.
الأسئلة الشائعة
هل يوجد قانون للذكاء الاصطناعي في الكويت؟
لا. لا يوجد قانون مستقل له، ولا نعتبر إعلانات السياسات أو المشروعات قانوناً. والقواعد الملزمة مصدرها نصوص قائمة كالقانون رقم 20 لسنة 2014 والقوانين القطاعية والعقد.
هل لدى الكويت قانون عام لحماية البيانات؟
لا. قانون المعاملات الإلكترونية رقم 20 لسنة 2014 هو الأساس العام للسجلات الإلكترونية، وتغطي لائحة الهيئة بالقرار رقم 26 لسنة 2024 المرخص لهم.
هل تنطبق لائحة الهيئة على شركتي؟
فقط إذا كانت لديكم رخصة من الهيئة، كمزود اتصالات أو إنترنت. تحققوا من الرخصة قبل أن تعتمدوا على اللائحة أو تهملوها.
هل أحتاج إلى موافقة لإدخال بيانات العملاء في أداة ذكاء اصطناعي؟
نعم كقاعدة. فالمادتان 32 و35 من القانون رقم 20 لسنة 2014 تشترطان الموافقة للمعالجة وتحصران الاستخدام في الغرض المعلن، ويواجه المرخص له الشرط نفسه في المادتين 2 و4 من لائحة الهيئة.
هل يجوز استخدام السجلات الطبية مع الذكاء الاصطناعي؟
فقط في حدود قانون مزاولة مهنة الطب رقم 70 لسنة 2020 الذي يشترط سجلات آمنة وموافقة المريض الكتابية للإفصاح عموماً. احصلوا على الموافقة قبل أن تصل البيانات إلى الأداة.
من المسؤول إذا أخطأ الذكاء الاصطناعي؟
الشركة أو المهني الذي اعتمد عليه. فالقواعد الكويتية لا تعتبر النظام فاعلاً، لذلك وزّعوا مسؤولية المورد في العقد.
هل يجوز للمحامي استخدام أداة ذكاء اصطناعي عامة في ملفات العملاء؟
ليس في المواد السرية. فالسر المهني وفق قانون المحاماة رقم 42 لسنة 1964 واجب على المحامي، والأداة العامة طرف خارجي لا سيطرة عليه.
هل يستطيع مكتب هند بن الشيخ وشركاؤه مراجعة عقود الذكاء الاصطناعي وتدفقات البيانات لدينا؟
نعم. استخدموا صفحة الاتصال وأخبرونا بالقطاع والأنظمة والموردين المعنيين، وسنؤكد النطاق والخطوات التالية.