وتزداد أهمية هذه القاعدة عندما تُجمع البيانات في البداية لتقديم خدمة عادية—مثل الخدمات المصرفية أو التأمين أو التسوق أو شبكات التواصل الاجتماعي—ثم تُعاد الاستفادة منها لغرض جديد يتعلق بتطوير الذكاء الاصطناعي. فلا ينبغي للمؤسسة أن تفترض أن إخطاراً سابقاً وواسعاً يغطي تلقائياً هذا الاستخدام إذا كان خارج ما يتوقعه المستهلك بصورة معقولة.

وهذه الإرشادات ذات طبيعة استشارية، وليست قانوناً مستقلاً جديداً؛ فهي تشرح كيفية تفسير هيئة حماية البيانات لالتزامات قائمة بموجب قانون PDPA.

كيف تنطبق القاعدة على أربع حالات شائعة؟

البنوك: استخدام البيانات المالية وبيانات خدمة العملاء في مساعدين ذكيين

إذا استخدم بنك بيانات العملاء لتطوير مساعد ذكي أو تحسينه، فعليه تقديم إخطار خاص بالذكاء الاصطناعي عندما يعتمد في ذلك على موافقة العميل. وينبغي أن يميز الإخطار بين تطوير النموذج وبين الاستخدام المعتاد للبيانات في تقديم الخدمات المصرفية أو خدمة العملاء.

وقد يتمكن البنك من الاستناد إلى استثناء من اشتراط الموافقة في قانون PDPA، مثل استثناء تحسين الأعمال، لكن ذلك مشروط باستيفاء المتطلبات القانونية والبقاء ضمن نطاق الاستثناء. وإذا انطبق استثناء صحيح، فقد لا تكون الموافقة—وبالتالي خيار الانسحاب القائم على الموافقة—مطلوبة.

شركات التأمين: استخدام المعلومات الطبية وبيانات المطالبات

تواجه شركة التأمين السؤال الأساسي نفسه: إذا كانت موافقة العميل مطلوبة لاستخدام بياناته الطبية أو بيانات مطالباته في تطوير نموذج ذكاء اصطناعي توليدي، فيجب أن يصف الإخطار هذا الاستخدام تحديداً. ولا ينبغي اعتبار عبارة عامة سابقة عن «تحسين الخدمات» كافية تلقائياً لتغطية تدريب النموذج.

وعلى شركة التأمين إما إثبات انطباق استثناء ذي صلة في قانون PDPA، أو الحصول على موافقة صحيحة من خلال إخطار خاص بالذكاء الاصطناعي. ولا تثبت المصادر المتاحة وجود قاعدة عامة تعفي تلقائياً جميع البيانات الطبية أو بيانات المطالبات.

منصات التجارة الإلكترونية: تحويل بيانات الشراء والتصفح إلى منتجات ذكاء اصطناعي تجارية

يُعد استخدام سجلات المشتريات أو نشاط التصفح لتطوير منتج تجاري منفصل للذكاء الاصطناعي التوليدي مثالاً واضحاً على إعادة استخدام البيانات خارج تجربة التسوق المباشرة. وعندما تكون الموافقة مطلوبة، ينبغي للمنصة أن تشرح الغرض المتعلق بالذكاء الاصطناعي مباشرة، بدلاً من الاعتماد على بند عام عن تطوير المنتجات.

وقد يكون استثناء تحسين الأعمال ذا صلة في بعض الظروف، لكنه لا يمثل ترخيصاً عاماً لكل استخدام تجاري جديد. فلا يزال يتعين على المؤسسة استيفاء المتطلبات القانونية للاستثناء وعدم تجاوز نطاقه.

منصات التواصل الاجتماعي: تحسين أدوات إنشاء المحتوى

إذا استخدمت منصة للتواصل الاجتماعي الملفات الشخصية أو الصور أو مقاطع الفيديو أو المنشورات أو التفاعلات لتحسين أدوات إنشاء المحتوى بالذكاء الاصطناعي التوليدي، فعليها تقديم إخطار محدد بالذكاء الاصطناعي عندما تكون الموافقة هي الأساس القانوني للاستخدام.

وقد تندرج البيانات الشخصية المتاحة للعامة ضمن استثناء البيانات المتاحة للجمهور في قانون PDPA، ما يعني أن الموافقة قد لا تكون مطلوبة. لكن مسألة إتاحة البيانات للجمهور حاسمة هنا: فالمحتوى المنشور للعامة فعلاً يختلف عن محتوى لا يراه سوى مستخدمين محددين أو تحميه ضوابط وصول.

متى قد لا يكون الإخطار أو خيار الانسحاب مطلوباً؟

عندما تكون البيانات مجهّلة الهوية فعلاً

إذا جرى إخفاء هوية البيانات بصورة حقيقية بحيث لم تعد بيانات شخصية، فلا تنطبق عليها التزامات الإخطار والموافقة المتعلقة بالبيانات الشخصية في قانون PDPA. أما البيانات المستعارة أو المقنّعة فلا ينبغي اعتبارها مجهولة تلقائياً؛ فالسؤال الحاسم هو ما إذا كان لا يزال من الممكن التعرف على الأفراد.

عندما ينطبق استثناء صحيح في قانون PDPA

قد لا تحتاج المؤسسة إلى موافقة إذا تمكنت بصورة صحيحة من الاعتماد على استثناء قانوني، بما في ذلك استثناء البيانات المتاحة للعامة أو—عند استيفاء شروطه—استثناء تحسين الأعمال. وبما أن شرط الإخطار الخاص بالذكاء الاصطناعي يرتبط بالحالات التي تكون فيها الموافقة مطلوبة، فهو لا ينشئ حقاً شاملاً في الانسحاب من كل استخدام قانوني للبيانات في تدريب الذكاء الاصطناعي.

عندما لا يفرض مسار الموافقة المعني خيار الانسحاب

توضح إرشادات الهيئة العامة أن مسار الانسحاب، عندما يُستخدم، يتطلب إخطار الفرد، ومنحه مهلة معقولة، وتوفير وسيلة معقولة لرفض جمع بياناته أو استخدامها أو الإفصاح عنها. لكن هذا لا يعني أن كل عملية معالجة مرتبطة بالذكاء الاصطناعي يجب أن تتضمن خياراً للانسحاب، ولا سيما عندما تعتمد المؤسسة على استثناء من الموافقة بدلاً من طلب الموافقة.

ومع ذلك، قد يظل للمستهلك حق سحب موافقته إذا كان قد منحها أو اعتُبرت ممنوحة بموجب قانون PDPA، وذلك وفق الإطار المنطبق على عملية المعالجة المعنية.

هل يمكن للشركة جعل الموافقة على تدريب الذكاء الاصطناعي شرطاً للحصول على الخدمة؟

بوجه عام، لا ينبغي للمؤسسة أن تحرم المستهلك من منتج أو خدمة لمجرد رفضه الموافقة على تدريب الذكاء الاصطناعي، إذا لم يكن هذا التدريب ضرورياً بصورة معقولة لتقديم المنتج أو الخدمة المطلوبة. وعملياً، لا ينبغي عادةً ربط فتح حساب مصرفي عادي بالموافقة على تدريب مساعد ذكاء اصطناعي عام، ولا ربط استخدام خدمة تسوق أو منصة اجتماعية بالموافقة على تطوير نموذج تجاري منفصل لا يرتبط بالخدمة الأساسية.

لكن المعيار الأساسي هو الضرورة. فقد تصبح الموافقة شرطاً مقبولاً عندما يكون جمع البيانات أو استخدامها أو الإفصاح عنها ضرورياً بصورة معقولة للخدمة أو المعاملة التي طلبها المستهلك. ويتوقف تحديد ذلك على طبيعة الخدمة المحددة، واستخدام البيانات، والظروف المحيطة؛ فالإرشادات لا تقدم إجابة عامة تنطبق على كل مؤسسة أو كل نظام للذكاء الاصطناعي.

ما الذي ينبغي للمستهلكين والمؤسسات البحث عنه؟

ينبغي للمستهلك عند قراءة إخطار يتعلق بالذكاء الاصطناعي أن يبحث عن أربعة عناصر:

• توضيح أن بياناته الشخصية ستُستخدم لتطوير نموذج ذكاء اصطناعي توليدي أو تدريبه أو تحسينه؛
• تحديد فئات البيانات المعنية؛
• شرح الغرض من الاستخدام وطريقة تنفيذه؛ و
• بيان ما إذا كان يمكن رفض الموافقة أو سحبها، وكيفية القيام بذلك.

أما المؤسسات فعليها أولاً تحديد ما إذا كانت المعلومات لا تزال تُعد بيانات شخصية، وما إذا كان ينطبق استثناء قانوني، وما إذا كان استخدام البيانات في الذكاء الاصطناعي ضرورياً بصورة معقولة للخدمة المطلوبة. وبعد ذلك فقط يمكنها تحديد ما إذا كانت بحاجة إلى إخطار خاص بالذكاء الاصطناعي للحصول على الموافقة، وما إذا كان يتعين توفير آلية للانسحاب.

وهنا تكمن حدود إطار سنغافورة الصادر في يوليو 2026: شفافية أكبر عندما يكون تدريب الذكاء الاصطناعي قائماً على الموافقة، لكن لا يوجد حق تلقائي في الانسحاب من كل استخدام قانوني للبيانات.

وتزداد أهمية هذه القاعدة عندما تُجمع البيانات في البداية لتقديم خدمة عادية—مثل الخدمات المصرفية أو التأمين أو التسوق أو شبكات التواصل الاجتماعي—ثم تُعاد الاستفادة منها لغرض جديد يتعلق بتطوير الذكاء الاصطناعي. فلا ينبغي للمؤسسة أن تفترض أن إخطاراً سابقاً وواسعاً يغطي تلقائياً هذا الاستخدام إذا كان خارج ما يتوقعه المستهلك بصورة معقولة.

وهذه الإرشادات ذات طبيعة استشارية، وليست قانوناً مستقلاً جديداً؛ فهي تشرح كيفية تفسير هيئة حماية البيانات لالتزامات قائمة بموجب قانون PDPA.

كيف تنطبق القاعدة على أربع حالات شائعة؟

البنوك: استخدام البيانات المالية وبيانات خدمة العملاء في مساعدين ذكيين

إذا استخدم بنك بيانات العملاء لتطوير مساعد ذكي أو تحسينه، فعليه تقديم إخطار خاص بالذكاء الاصطناعي عندما يعتمد في ذلك على موافقة العميل. وينبغي أن يميز الإخطار بين تطوير النموذج وبين الاستخدام المعتاد للبيانات في تقديم الخدمات المصرفية أو خدمة العملاء.

وقد يتمكن البنك من الاستناد إلى استثناء من اشتراط الموافقة في قانون PDPA، مثل استثناء تحسين الأعمال، لكن ذلك مشروط باستيفاء المتطلبات القانونية والبقاء ضمن نطاق الاستثناء. وإذا انطبق استثناء صحيح، فقد لا تكون الموافقة—وبالتالي خيار الانسحاب القائم على الموافقة—مطلوبة.

شركات التأمين: استخدام المعلومات الطبية وبيانات المطالبات

تواجه شركة التأمين السؤال الأساسي نفسه: إذا كانت موافقة العميل مطلوبة لاستخدام بياناته الطبية أو بيانات مطالباته في تطوير نموذج ذكاء اصطناعي توليدي، فيجب أن يصف الإخطار هذا الاستخدام تحديداً. ولا ينبغي اعتبار عبارة عامة سابقة عن «تحسين الخدمات» كافية تلقائياً لتغطية تدريب النموذج.

وعلى شركة التأمين إما إثبات انطباق استثناء ذي صلة في قانون PDPA، أو الحصول على موافقة صحيحة من خلال إخطار خاص بالذكاء الاصطناعي. ولا تثبت المصادر المتاحة وجود قاعدة عامة تعفي تلقائياً جميع البيانات الطبية أو بيانات المطالبات.

منصات التجارة الإلكترونية: تحويل بيانات الشراء والتصفح إلى منتجات ذكاء اصطناعي تجارية

يُعد استخدام سجلات المشتريات أو نشاط التصفح لتطوير منتج تجاري منفصل للذكاء الاصطناعي التوليدي مثالاً واضحاً على إعادة استخدام البيانات خارج تجربة التسوق المباشرة. وعندما تكون الموافقة مطلوبة، ينبغي للمنصة أن تشرح الغرض المتعلق بالذكاء الاصطناعي مباشرة، بدلاً من الاعتماد على بند عام عن تطوير المنتجات.

وقد يكون استثناء تحسين الأعمال ذا صلة في بعض الظروف، لكنه لا يمثل ترخيصاً عاماً لكل استخدام تجاري جديد. فلا يزال يتعين على المؤسسة استيفاء المتطلبات القانونية للاستثناء وعدم تجاوز نطاقه.

منصات التواصل الاجتماعي: تحسين أدوات إنشاء المحتوى

إذا استخدمت منصة للتواصل الاجتماعي الملفات الشخصية أو الصور أو مقاطع الفيديو أو المنشورات أو التفاعلات لتحسين أدوات إنشاء المحتوى بالذكاء الاصطناعي التوليدي، فعليها تقديم إخطار محدد بالذكاء الاصطناعي عندما تكون الموافقة هي الأساس القانوني للاستخدام.

وقد تندرج البيانات الشخصية المتاحة للعامة ضمن استثناء البيانات المتاحة للجمهور في قانون PDPA، ما يعني أن الموافقة قد لا تكون مطلوبة. لكن مسألة إتاحة البيانات للجمهور حاسمة هنا: فالمحتوى المنشور للعامة فعلاً يختلف عن محتوى لا يراه سوى مستخدمين محددين أو تحميه ضوابط وصول.

متى قد لا يكون الإخطار أو خيار الانسحاب مطلوباً؟

عندما تكون البيانات مجهّلة الهوية فعلاً

إذا جرى إخفاء هوية البيانات بصورة حقيقية بحيث لم تعد بيانات شخصية، فلا تنطبق عليها التزامات الإخطار والموافقة المتعلقة بالبيانات الشخصية في قانون PDPA. أما البيانات المستعارة أو المقنّعة فلا ينبغي اعتبارها مجهولة تلقائياً؛ فالسؤال الحاسم هو ما إذا كان لا يزال من الممكن التعرف على الأفراد.

عندما ينطبق استثناء صحيح في قانون PDPA

قد لا تحتاج المؤسسة إلى موافقة إذا تمكنت بصورة صحيحة من الاعتماد على استثناء قانوني، بما في ذلك استثناء البيانات المتاحة للعامة أو—عند استيفاء شروطه—استثناء تحسين الأعمال. وبما أن شرط الإخطار الخاص بالذكاء الاصطناعي يرتبط بالحالات التي تكون فيها الموافقة مطلوبة، فهو لا ينشئ حقاً شاملاً في الانسحاب من كل استخدام قانوني للبيانات في تدريب الذكاء الاصطناعي.

عندما لا يفرض مسار الموافقة المعني خيار الانسحاب

توضح إرشادات الهيئة العامة أن مسار الانسحاب، عندما يُستخدم، يتطلب إخطار الفرد، ومنحه مهلة معقولة، وتوفير وسيلة معقولة لرفض جمع بياناته أو استخدامها أو الإفصاح عنها. لكن هذا لا يعني أن كل عملية معالجة مرتبطة بالذكاء الاصطناعي يجب أن تتضمن خياراً للانسحاب، ولا سيما عندما تعتمد المؤسسة على استثناء من الموافقة بدلاً من طلب الموافقة.

ومع ذلك، قد يظل للمستهلك حق سحب موافقته إذا كان قد منحها أو اعتُبرت ممنوحة بموجب قانون PDPA، وذلك وفق الإطار المنطبق على عملية المعالجة المعنية.

هل يمكن للشركة جعل الموافقة على تدريب الذكاء الاصطناعي شرطاً للحصول على الخدمة؟

بوجه عام، لا ينبغي للمؤسسة أن تحرم المستهلك من منتج أو خدمة لمجرد رفضه الموافقة على تدريب الذكاء الاصطناعي، إذا لم يكن هذا التدريب ضرورياً بصورة معقولة لتقديم المنتج أو الخدمة المطلوبة. وعملياً، لا ينبغي عادةً ربط فتح حساب مصرفي عادي بالموافقة على تدريب مساعد ذكاء اصطناعي عام، ولا ربط استخدام خدمة تسوق أو منصة اجتماعية بالموافقة على تطوير نموذج تجاري منفصل لا يرتبط بالخدمة الأساسية.

لكن المعيار الأساسي هو الضرورة. فقد تصبح الموافقة شرطاً مقبولاً عندما يكون جمع البيانات أو استخدامها أو الإفصاح عنها ضرورياً بصورة معقولة للخدمة أو المعاملة التي طلبها المستهلك. ويتوقف تحديد ذلك على طبيعة الخدمة المحددة، واستخدام البيانات، والظروف المحيطة؛ فالإرشادات لا تقدم إجابة عامة تنطبق على كل مؤسسة أو كل نظام للذكاء الاصطناعي.

ما الذي ينبغي للمستهلكين والمؤسسات البحث عنه؟

ينبغي للمستهلك عند قراءة إخطار يتعلق بالذكاء الاصطناعي أن يبحث عن أربعة عناصر:

• توضيح أن بياناته الشخصية ستُستخدم لتطوير نموذج ذكاء اصطناعي توليدي أو تدريبه أو تحسينه؛
• تحديد فئات البيانات المعنية؛
• شرح الغرض من الاستخدام وطريقة تنفيذه؛ و
• بيان ما إذا كان يمكن رفض الموافقة أو سحبها، وكيفية القيام بذلك.

أما المؤسسات فعليها أولاً تحديد ما إذا كانت المعلومات لا تزال تُعد بيانات شخصية، وما إذا كان ينطبق استثناء قانوني، وما إذا كان استخدام البيانات في الذكاء الاصطناعي ضرورياً بصورة معقولة للخدمة المطلوبة. وبعد ذلك فقط يمكنها تحديد ما إذا كانت بحاجة إلى إخطار خاص بالذكاء الاصطناعي للحصول على الموافقة، وما إذا كان يتعين توفير آلية للانسحاب.

وهنا تكمن حدود إطار سنغافورة الصادر في يوليو 2026: شفافية أكبر عندما يكون تدريب الذكاء الاصطناعي قائماً على الموافقة، لكن لا يوجد حق تلقائي في الانسحاب من كل استخدام قانوني للبيانات.