هل عقودكم مع مزوّدي الذكاء الاصطناعي متوافقة؟ ما يجب أن تتضمنه اتفاقية معالجة البيانات

موظف ينقل بيانات شخصية إلى أداة ذكاء اصطناعي، دون اتفاقية معالجة بيانات موقعة بين شركته وناشر هذه الأداة، يضع صاحب عمله في مخالفة فورية للنظام الأوروبي لحماية البيانات. هذا الخطر، المعروف نظريا لدى معظم القادة، نادرا ما يُتحقق منه عمليا مع ذلك، رغم أنه أحد أبسط نقاط الامتثال تصحيحا بمجرد تحديده.

تؤطر اتفاقية معالجة البيانات، تعاقديا، الطريقة التي يعالج بها مناول من الباطن، ناشر أداة الذكاء الاصطناعي في هذه الحالة، البيانات الشخصية المُسندة إليه. في غياب هذه الوثيقة، لا يؤطر أي ضمان تعاقدي ما يفعله الناشر فعلا بالبيانات المنقولة، ومدة احتفاظه بها، ومع من قد يشاركها، وكيف يؤمّنها. يشكل هذا الفراغ التعاقدي، وحده، إخلالا بالنظام الأوروبي لحماية البيانات، بغض النظر عن الجودة الفعلية لممارسات الناشر.

يخص هذا الخطر بشكل خاص النسخ المجانية والعامة من أدوات الذكاء الاصطناعي، التي لا تُرفَق تقريبا أبدا باتفاقية معالجة بيانات رسمية ومكيّفة لاستخدام مهني. تتقارب عدة استطلاعات أُجريت في 2026 حول استنتاج مماثل، غالبية الموظفين الفرنسيين يستخدمون أدوات ذكاء اصطناعي غير معتمدة من شركتهم مرة واحدة على الأقل أسبوعيا، غالبا عبر حسابات شخصية أُنشئت خارج أي إطار مهني، وبالتالي دون اتفاقية معالجة بيانات مرتبطة بالاستخدام المهني الذي يُصنع منها.

لا تحتاج اتفاقية معالجة بيانات كافية لتغطية هذا الخطر أن تكون شاملة لدرجة تستدعي مكتب محاماة متخصص لكل أداة مستخدَمة، لكنها يجب أن تغطي حدا أدنى قابلا للتحديد. طبيعة المعالجة التي تنفذها الأداة وغرضها الدقيق، ومدة الاحتفاظ بالبيانات المنقولة، وضمانات الأمان التي يطبقها المزود، وشروط حذف أو إعادة البيانات في حال إنهاء العقد، تشكل العناصر الأربعة الواجب التحقق منها منهجيا قبل أي استخدام مهني لأداة ذكاء اصطناعي يتضمن بيانات شخصية.

يزيد الاشتراك المهني المدفوع بشكل ملموس من احتمال وجود اتفاقية معالجة بيانات متوافقة، دون ضمان ذلك تلقائيا. يقترح بعض الناشرين اشتراكات مدفوعة دون توفير اتفاقية معالجة بيانات صريحة أو مفصلة بما يكفي، ما يعني أن شركة لا يمكنها الاكتفاء بافتراض الامتثال لمجرد دفع مقابل خدمة، بل يجب أن تتحقق صراحة من وجود الوثيقة المقابلة ومحتواها.

المقاربة الأكثر فعالية لشركة صغيرة تتمثل في إعداد جرد كامل أولا لأدوات الذكاء الاصطناعي المستخدَمة فعلا في المؤسسة، بما فيها تلك التي تبنّتها الفرق بمبادرة عفوية خارج أي موافقة رسمية، والتي تفلت غالبا من أي تحقق تعاقدي كليا. يكشف هذا الجرد دائما تقريبا استخدامات مجهولة لدى الإدارة، يمثل كل منها خطر امتثال محتمل ما لم يُتحقق منه فرديا، أداة بأداة.

يبقى هذا الخطر غير مرئي إلى حد كبير ما لم يكشفه حادث أو رقابة بشكل ملموس، ما يفسر ندرة وجوده في مقدمة أولويات شركة صغيرة عفويا. لكن غياب رؤيته الفورية لا يقلل إطلاقا من تعرضها الفعلي في حال نزاع مع عميل، أو مرشح، أو رقابة تجريها CNIL، التي يُعد الذكاء الاصطناعي ومعالجة البيانات الشخصية من بين محاور يقظتها ذات الأولوية الآن.

هذا ما يجب أن تشمله مرحلة التأطير في منهجية IMPACT منهجيا، مراجعة وجود ومحتوى اتفاقيات معالجة البيانات لكل أداة ذكاء اصطناعي مستخدَمة في الشركة، سواء اعتُمدت رسميا من الإدارة أو تبنّتها الفرق بمبادرة عفوية دون موافقة رسمية. امتثال عقود المزودين ليس الموضوع الأكثر بروزا في حوكمة الذكاء الاصطناعي، لكنه غالبا ما يعرّض بشكل مباشر شركة لم تولِه أي اهتمام. يتحقق تشخيص مدته 5 أيام عمل من امتثال عقودكم مع مزوّدي الذكاء الاصطناعي.