سنغافورة تشدد شفافية الذكاء الاصطناعي التوليدي بإشعارات خاصة وبطاقات معلومات

في 20 يوليو 2026، أطلقت سنغافورة إجراءين متصلين لكنهما مختلفان في الهدف. فقد أصدرت لجنة حماية البيانات الشخصية السنغافورية (PDPC) إرشادات بشأن استخدام البيانات الشخصية في نماذج وأنظمة الذكاء الاصطناعي التوليدي، بما في ذلك الإشعارات الخاصة بالذكاء الاصطناعي عندما تكون الموافقة مطلوبة. وبشكل منفصل، نشرت هيئة الإعلام والاتصالات (IMDA) إرشادات طوعية للشفافية في روبوتات الدردشة التوليدية الموجهة للجمهور، وتتمحور حول «بطاقة معلومات روبوت الدردشة».

التمييز بين الإجراءين أساسي: إرشادات PDPC تتعلق بكيفية استخدام المؤسسات للبيانات الشخصية، بينما تركز إرشادات IMDA على كيفية شرح روبوتات الدردشة العامة لقدراتها ومخاطرها وممارساتها المتعلقة بالبيانات.

الخلاصة السريعة

إذا جُمعت بيانات شخصية لغرض معين ثم أُعيد استخدامها لتطوير نموذج ذكاء اصطناعي توليدي أو تحسينه، فلن تكون عبارات عامة مثل «قد نستخدم بياناتك لتحسين المنتج» محددة بما يكفي عادةً عندما تكون الموافقة مطلوبة. وينبغي للمؤسسة أن تذكر بوضوح أن البيانات ستُستخدم لتطوير نموذج توليدي أو تحسينه، وأن تشرح الخيارات المتاحة أمام صاحب البيانات.

أما بطاقة معلومات روبوت الدردشة فهي مختلفة؛ إذ تندرج ضمن إطار طوعي يخص روبوتات الدردشة التوليدية الخارجية التي تتفاعل مع العملاء أو المستهلكين أو أفراد الجمهور. وتوصي الإرشادات بتوفير مكان واحد يسهل العثور عليه، يستطيع المستخدم من خلاله فهم وظيفة الروبوت، ومواطن قصوره، وكيفية حمايته، وطريقة التعامل مع البيانات، وآلية تقديم الشكاوى أو البلاغات.

ماذا تغطي إرشادات PDPC؟

تتناول الإرشادات البيانات الشخصية عبر مراحل دورة حياة الذكاء الاصطناعي التوليدي، بما في ذلك البيانات المستخرجة من الويب، والبيانات التي يقدمها المستخدمون للحصول على خدمة عادية ثم تُعاد الاستفادة منها لتطوير نموذج أو تحسينه، إضافة إلى نشر النماذج وأمنها والاحتفاظ بالبيانات والاستجابة لطلبات الوصول إلى البيانات أو تصحيحها.

ويتمثل التحدي الرئيسي في تغير الغرض من استخدام البيانات. فقد تُقدَّم المعلومات في الأصل لإتمام معاملة، أو إدارة حساب، أو الحصول على دعم، أو استخدام خدمة معينة، ثم تُستخدم لاحقًا على نطاق واسع لتدريب نموذج أو ضبطه. وقد يجعل هذا التحويل من الصعب على الأفراد معرفة ما حدث لبياناتهم أو التحكم فيه أو ممارسة حقوقهم بعد دخول البيانات في عملية تدريب كبيرة.

كما توزع الإرشادات المسؤوليات بين الأطراف المختلفة في سلسلة الذكاء الاصطناعي. فمقدمو النماذج يظلون مسؤولين عن الالتزامات المرتبطة بتطوير النماذج ونشرها بموجب قانون حماية البيانات الشخصية السنغافوري (PDPA). وعلى مزودي الأنظمة النظر في أمن الأنظمة وإبلاغ الأطراف المعنية بإجراءات الحماية ذات الصلة، بينما يتعين على مشغلي الأنظمة تحديد أغراض المعالجة وفهم مسارات البيانات ومراجعة الضوابط في الأنظمة التي يشغلونها.

متى يصبح الإشعار الخاص بالذكاء الاصطناعي مطلوبًا؟

عندما ترغب مؤسسة في استخدام «بيانات المستخدم» لتطوير نموذج ذكاء اصطناعي توليدي، ولا ينطبق أي استثناء من اشتراط الموافقة بموجب قانون PDPA، فعليها الحصول على الموافقة من خلال إشعار خاص بالذكاء الاصطناعي. ولا يكفي في هذه الحالة الاكتفاء بعبارات واسعة مثل «تحسين الخدمة» أو «التخصيص» أو «تطوير المنتج».

وتزداد أهمية ذلك عندما يكون المستخدم قد قدم البيانات مباشرة عبر منتج أو خدمة قائمة لغرض غير متعلق بالذكاء الاصطناعي التوليدي، ثم ترغب المؤسسة في إعادة استخدامها لتطوير نموذج. فعلى المؤسسة تقييم سياق جمع البيانات الأصلي، والغرض الجديد، وما إذا كان أحد الاستثناءات ينطبق قبل اتخاذ القرار.

البيانات المتاحة للعامة حالة منفصلة

قد يسمح استثناء البيانات المتاحة للعامة في قانون PDPA بجمع بعض البيانات الشخصية المنشورة علنًا لتطوير النماذج من دون موافقة. لكن وجود البيانات على الإنترنت لا يعني تلقائيًا أنها مؤهلة لهذا الاستثناء. فالبيانات الموجودة خلف جدار دفع، أو تسجيل دخول، أو شرط تسجيل، أو حاجز رقمي مماثل، تتطلب تقييمًا دقيقًا لتحديد ما إذا كانت لا تزال «متاحة للعامة» لهذا الغرض.

البيانات المجهّلة بصورة صحيحة

لا تُعد البيانات المجهّلة بشكل صحيح بيانات شخصية لأغراض قانون PDPA، لأنها لا تسمح بتحديد هوية الفرد. وتشجع مواد PDPC المؤسسات على استخدام البيانات المجهّلة في التحليلات والبحوث متى كان ذلك ممكنًا.

لكن إزالة الاسم وحدها لا تجعل مجموعة البيانات مجهّلة بالضرورة. فإذا كان من الممكن التعرف إلى الشخص باستخدام المعلومات المتبقية أو معلومات أخرى متاحة بصورة معقولة، فقد تظل البيانات شخصية. لذلك ينبغي للمؤسسات تقييم ما إذا كانت عملية إخفاء الهوية تزيل فعلًا إمكانية تحديد الأفراد.

ماذا عن تسجيلات مراكز الاتصال؟

لا تثبت المواد المتاحة وجود استثناء منفصل وشامل لتسجيلات مراكز الاتصال. وعليه، ينبغي التعامل مع التسجيل الذي يحدد هوية المتصل أو يمكن أن يؤدي بصورة معقولة إلى تحديدها باعتباره بيانات شخصية عند تقييم إعادة استخدامه في الذكاء الاصطناعي التوليدي.

ويظل على المؤسسة الاستناد إلى أساس قانوني مناسب بموجب قانون PDPA، مثل الموافقة الصحيحة أو الإشعار أو استثناء قانوني آخر، قبل استخدام التسجيل لتطوير نموذج. ولا توفر المصادر المتاحة تفاصيل كافية للقول بوجود قاعدة إضافية خاصة بكل تسجيلات مراكز الاتصال؛ إذ يعتمد التطبيق على محتوى التسجيل، وطريقة جمعه، والغرض المقترح من استخدامه، وأي استثناء قانوني قابل للتطبيق.

ما الذي يجب أن يتضمنه الإشعار الخاص؟

ينبغي أن يقدم الإشعار معلومات محددة وذات معنى للأفراد. وتشمل العناصر الأساسية التي تحددها الإرشادات ما يلي:

• الغرض المرتبط بالذكاء الاصطناعي: توضيح أن البيانات الشخصية ستُستخدم لتطوير نموذج ذكاء اصطناعي توليدي أو تحسينه.
• سبب الاستخدام: شرح الغرض من تطوير النموذج أو تحسينه.
• البيانات المعنية: وصف فئات البيانات الشخصية التي ستُستخدم.
• طريقة الاستخدام: بيان كيفية استخدام البيانات، مثل التدريب أو الضبط الدقيق عندما يكون ذلك ذا صلة.
• الخيار المتاح للفرد: شرح كيفية رفض الموافقة أو سحبها، أو الانسحاب من الاستخدام عندما يكون هذا الخيار متاحًا.

قد تظل سياسة الخصوصية العامة مفيدة لتقديم معلومات إضافية، لكنها لا ينبغي أن تكون الإفصاح الوحيد إذا تركت غرض تدريب النموذج التوليدي غامضًا. والاختبار العملي هو: هل يستطيع الشخص العادي أن يفهم من الإشعار أن بياناته الشخصية قد تُستخدم لتطوير نموذج ذكاء اصطناعي توليدي أو تحسينه؟

أين يمكن وضع الإشعار؟

لا تحدد المواد المتاحة نموذجًا إلزاميًا واحدًا أو مكانًا واحدًا يجب أن تستخدمه كل مؤسسة. ومن الأساليب العملية عرض المعلومات في المكان الذي تُجمع فيه البيانات أو تُستخدم فيه الخدمة، مثل مرحلة إنشاء الحساب، أو نافذة توضيحية تظهر عند الحاجة داخل المنتج، أو إعدادات الخصوصية في الحساب، أو إشعار خصوصية مرتبط بوضوح.

وهذه أمثلة تنفيذية عملية وليست قائمة حصرية واردة في صحيفة الحقائق الخاصة بـPDPC. وبغض النظر عن الصيغة المختارة، ينبغي أن يكون الإفصاح ظاهرًا ومحددًا، لا أن يُدفن داخل شروط عامة يصعب العثور عليها.

الموافقة والسحب وحقوق الوصول

يمكن للأفراد طلب الوصول إلى بياناتهم الشخصية وتصحيحها حتى بعد استخدامها في تطوير الذكاء الاصطناعي التوليدي. وتتوقع الإرشادات من المؤسسات اتباع ممارسات سليمة لإدارة البيانات في المراحل السابقة، وتقييم الطلبات كل حالة على حدة، واعتماد إجراءات تقنية مناسبة، رغم صعوبة تتبع المعلومات داخل مجموعات بيانات التدريب الكبيرة.

وعندما تكون الموافقة هي الأساس القانوني للمعالجة، يجب إبلاغ الأفراد بكيفية رفضها أو سحبها. لكن ذلك لا يعني تلقائيًا أن كل شخص يستطيع الاستمرار في استخدام جميع أجزاء الخدمة بالشروط نفسها بعد الانسحاب. فإمكانية استمرار الوصول إلى الخدمة الأساسية تعتمد على دور تدريب النموذج في تقديم الخدمة، وعلى مدى ضرورة هذه المعالجة، وعلى تصميم المؤسسة لآلية الموافقة. ولا تثبت المصادر المتاحة وجود حق شامل في الاحتفاظ بكل الخدمات دون تغيير بعد كل عملية انسحاب.

بطاقة معلومات روبوت الدردشة من IMDA

تتخذ إرشادات IMDA للشفافية في روبوتات الدردشة التوليدية نهجًا موجهًا إلى المستهلك. وهي تطبق على مشغلي روبوتات الدردشة الخارجية التي تتفاعل مع الجمهور، وتهدف إلى مساعدة المستخدمين على اتخاذ قرارات أكثر وعيًا، وتوحيد الإفصاحات، وتعزيز مساءلة مقدمي الخدمات عن ممارسات السلامة والموثوقية التي يعلنونها.

وتتمثل التوصية المركزية في «بطاقة معلومات روبوت الدردشة»، التي تشبه بطاقة القيم الغذائية أو ملصق الدواء. ويمكن أن تكون صفحة معلومات مخصصة أو وثيقة إفصاح، شرط أن توفر للمستخدمين مكانًا واحدًا واضحًا وسهل الوصول للعثور على المعلومات الأساسية.

وينبغي أن تقوم البطاقة على ثلاثة مبادئ:

• الملاءمة: تضمين المعلومات التي يحتاج إليها المستخدم لتقييم مدى ملاءمة الاعتماد على الروبوت وكيفية استخدامه.
• سهولة الوصول: استخدام لغة واضحة وجعل المعلومات سهلة العثور والتنقل.
• التوقيت المناسب: نشر البطاقة عند إتاحة الروبوت، وتحديثها عندما تؤثر التغييرات الجوهرية في قدراته أو مخاطره أو سياسات السلامة.

ما الذي ينبغي أن تشرحه البطاقة؟

ينبغي أن تغطي البطاقة المفيدة ما يلي:

• الغرض المقصود من روبوت الدردشة ووظائفه وقدراته؛
• القيود المهمة، بما في ذلك الحالات التي يجب فيها التحقق من المخرجات أو التي قد يكون فيها الاستخدام غير مناسب؛
• إجراءات الموثوقية والسلامة؛
• كيفية التعامل مع مدخلات المستخدمين والمحادثات والبيانات الأخرى؛
• قنوات الشكاوى والملاحظات والإبلاغ عن الحوادث أو المشكلات.

ولا تمثل البطاقة ضمانًا بأن روبوت الدردشة دقيق أو آمن. وتكمن قيمتها في منح المستخدم أساسًا أوضح لتحديد متى يمكنه الاعتماد على الأداة، وما المعلومات التي ينبغي مشاركتها معها، وإلى أين يتوجه عندما يحدث خطأ.

وركزت IMDA في البداية على روبوتات الدردشة العامة بسبب اتساع نطاق تعرض المستهلكين لها، وما تثيره من مخاوف تتعلق بالخصوصية وسلامة الأطفال والمخاطر التي قد تؤثر في الأشخاص الأكثر عرضة للتأثر النفسي. وقد يصبح الإطار أيضًا مرجعًا لتطبيقات ذكاء اصطناعي توليدي أخرى ولإرشادات قطاعية مستقبلية.

كيف ستتعامل الشركات والجهات العامة مع الإرشادات؟

أشارت شركات مثل Google وMeta وDBS وOCBC وSingapore Airlines وSynapxe إلى أنها ستستخدم إرشادات روبوتات الدردشة الطوعية مرجعًا أثناء تحسين ممارسات الشفافية في روبوتاتها الموجهة للجمهور. وهذا يعكس توجهًا نحو المواءمة والتحسين المستمر، وليس دليلًا على أن كل مؤسسة أطلقت بالفعل بطاقة معلومات مطابقة للأخرى.

وبالنسبة إلى البنوك، يُرجح أن يتركز الاهتمام على شرح وظائف روبوتات الدردشة الموجهة للعملاء وحدودها وإجراءات حمايتها، إلى جانب أطر حوكمة الذكاء الاصطناعي وإدارة المخاطر القائمة. وقد أشارت DBS إلى مبادراتها في مجال الذكاء الاصطناعي الموجهة للعملاء، بينما ربطت OCBC الإرشادات بحوكمة الذكاء الاصطناعي وإدارة المخاطر المعمول بهما لديها.

وقالت Singapore Airlines إنها ستواصل مراجعة حوكمة الذكاء الاصطناعي وإجراءات الحماية وتعزيزها مع توسعها في تجارب العملاء المدعومة بالذكاء الاصطناعي. كما أبدت Google وMeta دعمًا لتوفير معلومات أوضح وأسهل وصولًا حول طريقة عمل منتجات الذكاء الاصطناعي وكيفية تفاعل المستخدمين معها.

ومن المتوقع أيضًا أن تستخدم الجهات العامة الإطار مرجعًا لها؛ إذ تعتزم كل من المجلس الوطني للمكتبات ومجلس تعزيز الصحة أخذه في الاعتبار عند تشغيل روبوتات الدردشة الموجهة للجمهور.

ماذا تعني الإجراءات عمليًا؟

تجمع سنغافورة بين إفصاح أكثر تحديدًا عن بعض أوجه استخدام البيانات الشخصية في الذكاء الاصطناعي التوليدي، ومعيار طوعي للشفافية في روبوتات الدردشة العامة. لذلك ينبغي للمؤسسات التعامل مع الإجراءين باعتبارهما متكاملين، لا بديلين أحدهما عن الآخر:

1. رسم خريطة البيانات: تحديد البيانات الشخصية التي تدخل في مسار تطوير النموذج أو تشغيل روبوت الدردشة، وسبب دخولها.
2. فحص الأساس القانوني: تحديد ما إذا كانت الموافقة مطلوبة أو ما إذا كان أحد استثناءات قانون PDPA ينطبق.
3. توضيح إعادة الاستخدام: تقديم إشعار خاص بالذكاء الاصطناعي عند الحاجة، بدل الاعتماد على عبارات عامة مثل «تحسين المنتج».
4. الاستعداد لطلبات الحقوق: الاحتفاظ بمعلومات كافية في المراحل السابقة لتقييم طلبات الوصول والتصحيح وسحب الموافقة.
5. نشر معلومات روبوت الدردشة: توفير بطاقة ملائمة وسهلة الوصول ومحدثة للروبوتات التوليدية الموجهة للجمهور، تشمل القدرات والقيود والسلامة والموثوقية وممارسات البيانات وقنوات الإبلاغ.

النتيجة ليست وعدًا شاملًا بأن المستخدمين يستطيعون إيقاف كل استخدام للبيانات في أنظمة الذكاء الاصطناعي. لكنها تمثل دفعًا نحو إفصاح أوضح، وحوكمة أكثر دقة للبيانات، ومساءلة أكبر عن أدوات الذكاء الاصطناعي التي يتعامل معها الجمهور.