قانون السحابة الأمريكي وقانون أمن البيانات الصيني: لماذا لا يجب أن تستضاف بيانات دول الخليج السيادية في السحابة العامة

تتقاطع اليوم ثلاث منظومات قانونية على كل سؤال تُرسله جهة سيادية خليجية إلى خدمة ذكاء اصطناعي سحابية. الولايات المتحدة، عبر CLOUD Act الصادر عام 2018، تدّعي ولاية على البيانات التي يحوزها مزوّد أمريكي بصرف النظر عن مكان وجودها. الصين، عبر المادة 36 من قانون أمن البيانات والمادة 41 من قانون حماية المعلومات الشخصية، تُقيّد أيّ كشف عابر للحدود لسلطات أجنبية وتُلزم المزوّدين الصينيين بنظام إذن مركزه بكين. سلطنة عُمان، عبر المرسوم السلطاني 6/2022 ودخوله مرحلة الإنفاذ في الخامس من فبراير 2026، تشترط ضوابط على نقل البيانات الشخصية خارج البلاد وتحمي مصالح الأمن الوطني والاقتصاد الوطني عبر استثناء صريح. بالنسبة لأيّ عمل سيادي في الخليج، لا تتجمع هذه المنظومات الثلاث، بل تُلغي بعضها بعضاً وتُسقط خيار تمرير المواد الحسّاسة عبر أيّ ذكاء اصطناعي سحابي عام، سواء أكان من فئة المزوّدين العمالقة أم غيرها. تشرح هذه المقالة لماذا، ثم ماذا يُفعَل بدلاً من ذلك.

ماذا يفرض CLOUD Act فعلاً

قانون توضيح الاستخدام المشروع للبيانات في الخارج، الذي وقّعه الرئيس الأمريكي في مارس 2018، عدّل قانون الاتصالات المخزّنة الصادر عام 1986 ليحسم سؤالاً وصل إلى المحكمة العليا الأمريكية في قضية مايكروسوفت أيرلندا: عندما يحوز مزوّد أمريكي بيانات على خادم خارج الولايات المتحدة، هل يصل أمر قضائي أمريكي إلى تلك البيانات؟ أجاب القانون: نعم. وكما تنصّ المادة الصريحة، يتعيّن على مقدّم خدمة الاتصالات الإلكترونية أو الحوسبة عن بُعد «حفظ أو إنشاء نسخة احتياطية أو الكشف عن مضمون أيّ اتصال سلكي أو إلكتروني، وأيّ سجلّ أو معلومة أخرى تتعلق بعميل أو مشترك في حوزته أو حفظه أو سيطرته، بصرف النظر عن وجود ذلك المضمون أو السجلّ أو المعلومة داخل الولايات المتحدة أو خارجها».

الكلمات الأربع المهمّة هي «حوزته أو حفظه أو سيطرته»: تتبع الشركة الأمّ لا مركز البيانات. AWS ومايكروسوفت وقوقل وأوراكل وIBM وآبل وميتا أشخاص أمريكيون بهذا المفهوم، وكذلك كل مزوّد ذكاء اصطناعي ناشئ في الولايات المتحدة. أمر قضائي أمريكي مؤهَّل يصل إلى ممتلكاتهم العالمية. لا تحتاج البيانات إلى مغادرة الخليج كي يصل إليها القانون الأمريكي، إنما يكفي أن يكون المزوّد أمريكياً.

أنشأ القانون أيضاً آلية ثانية هي «الاتفاقية التنفيذية»، تُتيح لحكومات أجنبية مُعتمَدة إصدار أوامر مباشرة إلى المزوّدين الأمريكيين بشأن بيانات أشخاص غير أمريكيين. دخلت اتفاقية المملكة المتحدة حيّز النفاذ في الثالث من أكتوبر 2022 وحملت أكثر من عشرين ألف أمر إلى الشركات الأمريكية بحسب التقارير. ودخلت اتفاقية أستراليا حيّز النفاذ في الحادي والثلاثين من يناير 2024. وتتفاوض دول أخرى. وجغرافيا الجهات القادرة على إجبار مزوّد أمريكي على الكشف تتّسع باستمرار.

ما لم يفعله CLOUD Act هو إتاحة آلية إخطار للعميل صاحب البيانات، أو خيار رفض من جهة رقابية أجنبية، أو استثناء فعلي للعملاء المرتبطين بدول. التزام السرية التعاقدي للمزوّد تجاه وزارة خليجية يبقى، في هذا النظام، مرؤوساً للأمر القضائي الأمريكي. للمزوّد أن يطعن في الأمر، لكن الأصل هو الكشف.

المرآة الصينية: DSL وPIPL

الإطار الصيني هو المرآة البنيوية لـCLOUD Act، مكتوبة من الجهة المستقبِلة. دخل قانون أمن البيانات حيّز النفاذ في الأول من سبتمبر 2021. تنصّ المادة 36، في جوهرها، على أنه لا يجوز للمؤسسات والأفراد المحلّيين تسليم بيانات مخزَّنة داخل الأراضي البرّية لجمهورية الصين الشعبية لأيّ سلطة قضائية أو إنفاذ قانوني أجنبية دون موافقة الجهة المختصة في الصين. تُكرّر المادة 41 من قانون حماية المعلومات الشخصية، النافذ منذ الأول من نوفمبر 2021، الحظرَ نفسه على المعلومات الشخصية تحديداً. وتشمل العقوبات على الكشف غير المُجاز غرامات تصل إلى خمسة ملايين يوان صيني، وتعليق النشاط، وسحب الترخيص.

هذا يعني أن أيّ مزوّد سحابي أو ذكاء اصطناعي خاضع للسيطرة الصينية، أينما عمل في العالم، يقع عليه واجب بنيوي برفض الأمر القضائي الأجنبي ما لم تُجِز بكين الامتثال. من منظور الجهة الخليجية، الشكل العامّ مطابق لـCLOUD Act مع تبديل البوّابة الوطنية. حين يكون العميل جهة سيادية والمزوّد شخصاً صينياً، يكون الولاء الأول للمشغّل للدولة الصينية لا للعلاقة التعاقدية مع العميل الخليجي. تشترط الصين أيضاً تخزين «البيانات المهمّة» والمعلومات الشخصية التي تجمعها «جهات تشغيل البنية التحتية المعلوماتية الحيوية» داخل الصين، ما قد يفرض على عمل خليجي مرّ عبر خدمة صينية واجبات توطين لاحقة لم يوافق عليها العميل.

لا تتصادم المنظومتان، الأمريكية والصينية، في أغلب المشتريات السيادية لأنهما لا تُشغَّلان معاً، لكنهما تتصادمان فئوياً: أيّ سكّة اخترتَ، يبقى المشغّل ملزَماً تجاه حكومة أجنبية قبل التزامه تجاهك.

المشكلة البنيوية في الذكاء الاصطناعي السحابي

التخزين السحابي شيء، وخدمات الذكاء الاصطناعي شيء آخر. حين ينتقل العمل السيادي من «احفظ وثائقنا» إلى «دع موظفينا يسألون نموذجاً ضخماً عن وثائقنا»، تتسع مساحة الانكشاف القضائي الأجنبي بثلاث طرق لا يزال أكثر مراجعات المشتريات يُغفلها.

التوسّع الأول هو السؤال نفسه. كل سؤال يكتبه المستخدم سجلٌّ في حوزة المزوّد. مسؤول رفيع يلخّص إفادة سرّية يُنشئ نسخة جديدة، بنفس حساسية الإفادة، تعيش الآن على سجلّات المزوّد ومسارات مراقبة الإساءة وأنابيب السلامة. وعادة تُتيح شروط الخدمة الاحتفاظ بهذه المُدخلات لأغراض أمنية أو تدريبية أو تحسينية. تلك المُدخلات المحفوظة في متناول CLOUD Act، وحركتها العابرة للحدود مُقيّدة بـDSL/PIPL.

التوسّع الثاني هو التوليد المعزَّز بالاسترجاع. يعمل RAG بفهرسة وثائق العميل في تضمينات شعاعية يستردّها النموذج وقت الاستدلال. هذه التضمينات ليست «مجرد أرقام»، فهي تُعيد تركيب النصّ الأصلي بدقّة عالية، خصوصاً للمقاطع القصيرة الحسّاسة. مزوّدٌ يحوز فهرس RAG لعميل سيادي يحوز عملاً مشتقّاً من مادّته السرّية، ومن ثَمّ ينتقل الانكشاف القانوني تَبَعاً.

التوسّع الثالث هو الضبط الدقيق. تُرمّز أوزان المُحوِّل الناتجة عن التدريب على بيانات العميل تلك البياناتِ في فضاء المعلَمات. تُثبت هجمات استدلال العضوية الحديثة أن بيانات التدريب يمكن إعادة بنائها احتمالياً من نموذج جرى ضبطه. أمر قضائي أجنبي يصل إلى تخزين الضبط لدى المزوّد يصل إلى نسخة محوَّلة من ذخيرة التدريب لدى العميل، وطلب الحذف التعاقدي وحده لا يُلزم محكمة أجنبية.

التخزين يكشف وثائق، أما الذكاء الاصطناعي فيكشف الوثائق ومعها أسئلة المستخدمين عنها وتضميناتها والمعلَمات المُدرَّبة عليها، أربعة آثار حيث كان أثر واحد.

الانكشاف الخليجي على الجبهتين

من زاوية المشتريات الخليجية، تتوزّع الخريطة القانونية على عمودين. العمود الأمريكي يضمّ AWS ومايكروسوفت آزور وقوقل كلاود وأوراكل وIBM وأنثروبيك وOpenAI وذيلاً طويلاً من الشركات الأمريكية الناشئة. كل اسم في هذا العمود في نطاق CLOUD Act، بصرف النظر عن وجود «إقليم سيادي» في الرياض أو أبوظبي أو الدوحة أو مسقط. والعمود الصيني يضمّ علي بابا كلاود وهواوي كلاود وتنسنت كلاود وخدمات بايدو للذكاء الاصطناعي ومنظومة المُسرّعات الخاضعة للسيطرة الصينية. كل اسم في هذا العمود في نطاق المادة 36 من DSL والمادة 41 من PIPL.

الجهة الخليجية التي تُوزّع أعمالها الحسّاسة بين العمودين لم تُنوّع المخاطر السيادية، بل ضاعفتها: صار الوصول إلى البيانات ممكناً، بطرق مختلفة، من عاصمتين أجنبيتين في وقت واحد. العمود الوحيد الذي لا يحمل هذا الانكشاف هو المشغّل المحلي، المؤسَّس محلياً والمُشغَّل بكوادر محلية، الذي ليس فرعاً لمجموعة أجنبية يَجُبّ نظامها الأمّ العقدَ المحلي.

لهذا توقّف سؤال «أين تجلس البيانات» عن كونه السؤال الصحيح. السؤال الصحيح هو: «أيّ نظام قانوني يحكم الكيان الذي يلمس البيانات؟». في العمل السيادي يجب أن تكون الإجابة اختصاصاً قضائياً واحداً محلياً.

قانون حماية البيانات العُماني كقيد ثالث

يُقنّن المرسوم السلطاني 6/2022 الركن الثالث من الإطار. تُخضع المادة 23 نقل البيانات الشخصية خارج السلطنة لمعايير تضعها اللائحة التنفيذية، وتشترط الموافقة الصريحة من صاحب البيانات ما لم يجرِ النقل بصورة تُغفل التعريف. وتستثني المادة 3 المعالجة المنفَّذة لحماية الأمن الوطني والمصالح العليا للدولة ومصالحها الاقتصادية والمالية. انتهت المرحلة الانتقالية في الخامس من فبراير 2026، ودخلت الجهة الرقابية في طور الإشراف الفعلي مع توفّر العقوبات الإدارية على المخالفات.

تترتّب على ذلك نتيجتان. أولاً، أيّ عمل سيادي يمرّ عبر مزوّد أجنبي يستحضر نظام نقل البيانات عبر الحدود المنصوص عليه في المادة 23، الذي يستوجب الموافقة وكفاية الحماية لدى المستورد. ويصعب الادّعاء بكفاية الحماية حين يُجيز نظامُ المستورد الأمّ الكشفَ المُلزَم لمحكمة أجنبية. وثانياً، استثناء الأمن الوطني والمصلحة الاقتصادية لا يُجيز النقل، بل يرفع مستوى الضوابط. اختبارُ بنك مركزي للضغط أو ملفّ مشتريات دفاعية ليس معفىً من التدقيق، بل أعلى حساسية لا أدنى.

قانون حماية البيانات العُماني لا يحظر منفرداً الذكاء الاصطناعي السحابي للأعمال السيادية. لكنه يضيف سبباً ثالثاً، فوق CLOUD Act وDSL/PIPL، يجعل الذكاء الاصطناعي السحابي العامّ الأداةَ الخاطئة لهذه الفئة من العمل.

لماذا الذكاء الاصطناعي أعلى خطراً من التخزين

خمس خصائص تشغيلية لخدمات الذكاء الاصطناعي الحديثة ترفع مستوى مخاطرها فوق التخزين السحابي التقليدي.

القياس عن بُعد متواصل. نظام التخزين يكتب عند الرفع، أما نظام الاستدلال فيكتب على كل ضغطة مفتاح وكل عملية استرجاع وكل استدعاء للنموذج. حجم السجلّات التي تصف سلوك العميل أعلى بمراتب.

الضبط الدقيق دائم. وثيقة محذوفة من تخزين سحابي تنتهي. لكن وثيقة دخلت في تدريب مُحوِّل تبقى مرمَّزة في معلَماته إلى أن يُسحَب المُحوِّل من الخدمة. زرّ «حذف» لدى المزوّد لا يصل بالضرورة إلى المعلَمات بل إلى المصدر فقط.

التضمينات قابلة للعكس بدرجة كافية. التمثيلات الشعاعية للنصّ السرّي يمكن إسقاطها على مادّة قابلة للتعرّف، خصوصاً للمقاطع القصيرة بمفردات مميّزة، وهي بالضبط شكل أكثر الإفادات الوزارية.

أنابيب السلامة لاصقة. المُدخلات التي تُحرّك مُصنّفات الإساءة أو محاولات الخداع أو سياسة المحتوى يجري الاحتفاظ بها عادة لمراجعة بشرية حتى حين يكون الاحتفاظ العامّ لدى المزوّد قصيراً. مستخدم سيادي يطرح سؤالاً يلامس أيّ مُصنّف سلامة يُدخل سؤاله مخزناً أطول عمراً ممّا توقّع.

الاستدلال متعدّد المستأجرين يتشارك العتاد. أبحاث القنوات الجانبية على وحدات المعالجة الرسومية المشتركة حقل نشط. الأعمال السيادية التي تتشارك مُسرّعاً مع مستأجرين عشوائيين تتعرّض لفئة من المخاطر لا توجد في عتاد محلي أحادي المستأجر.

لا تجعل هذه الخصائصُ الذكاءَ الاصطناعي السحابيَّ بلا فائدة، بل تجعله أداة خاطئة للفئات السيادية. تماماً كما لن يُملي وزير إفادة استخباراتية على خدمة تفريغ صوتي خارجية، لا ينبغي تمرير عمل سيادي عبر خدمة ذكاء اصطناعي خارجية يدين مشغّلها بأول واجباته لعاصمة أجنبية.

النشر المحلي هو الإجابة النظيفة الوحيدة

الإجابة النظيفة لمشكلة متعدّدة الاختصاصات القضائية هي إزالة الارتباط القضائي الأجنبي. النشر المحلي يفعل ذلك بنيوياً. يعيش العتاد داخل منشأة الجهة. يستقرّ نظام التشغيل وأوزان النموذج وفهرس RAG ومُحوِّلات الضبط وسجلّات الاستدلال على تخزين تملكه الجهة. يكون المُشغّلون موظفين أو متعاقدين محليين خاضعين للقانون المحلي. لا يوجد مزوّد أجنبي في السلسلة يمكن إبلاغه بأمر قضائي، لأنه لا يوجد مزوّد أجنبي في السلسلة أصلاً.

هذا ليس وضعاً نظرياً. تُغطّي النماذج مفتوحة الأوزان عام 2026 (Gemma 4، Qwen 3.6، DeepSeek R1، Falcon Arabic) جُلَّ الأعمال المؤسسية، ويمتدّ العتاد اللازم لتشغيلها من محطة عمل واحدة إلى خزانة صغيرة. لم يعد الاقتصاد الذي كان يدفع الأعمال السيادية إلى الذكاء الاصطناعي السحابي قائماً. انتشار بحجم مديرية يستقرّ بسهولة داخل منشأة واحدة، بمعايير تزامن وزمن استجابة وجودة تُضاهي أو تتجاوز الخدمات المُغلقة الرائدة في العام الماضي. تُقدّم حصن ثلاث فئات مرجعية ضمن هذا النمط، والنمط نفسه لا المُورِّد هو المهمّ.

على المستوى الوطني، تمتلك سلطنة عُمان أصلاً عاماً مكمِّلاً هو مُعين، المنصّة السيادية المشتركة للذكاء الاصطناعي للأعمال الحكومية المشتركة. مُعين والأنظمة المحلية يُجيبان على سؤالين مختلفين: أعمال مشتركة ترتاح الوزارة لتجميعها، مقابل أعمال خاصة بمؤسّسة لا ينبغي أن تغادر المؤسّسة أصلاً.

ما يحلّه الإقليم السحابي السيادي وما لا يحلّه

الأقاليم السحابية السيادية، أي النسخ المحلية من عروض المزوّدين العمالقة المُسمّاة عادةً باسم الدولة المستضيفة، تحلّ بعض المشكلات: تُقلّل زمن الاستجابة، وتُلبّي بنود توطين البيانات المكتوبة عن الموقع فحسب، وتُبسّط مراجعات مشتريات تتوقّف عند سؤال «أين تجلس البيانات». ليست هذه أشياء بلا قيمة.

ما لا تحلّه هو السؤال القضائي. مزوّد عملاق مُدمَج في الولايات المتحدة ويُدير إقليماً خليجياً يبقى شخصاً أمريكياً. ومزوّد مُدمَج في الصين ويُدير إقليماً خليجياً يبقى شخصاً صينياً. وعادة تجلس طبقة سيطرة الإقليم في بلد الشركة الأمّ، وتعود حوكمة مفاتيح التشفير وهوية المُشغّل وسلسلة توريد البرمجيات والشخصية الاعتبارية للشركة كلّها إلى الموطن. التجربة الأوروبية معبِّرة. صرّحت المفوضية الأوروبية، في إطار سيادة السحابة وفي قانون البيانات الأوروبي، بأن التوطين الجغرافي ليس مرادفاً للسيادة القانونية. حتى مشروع GAIA-X، علم السحابة الفيدرالية الأوروبية، اضطُرّ علناً إلى مواجهة مشاركة أعضاء خاضعين لسيطرة أمريكية وانكشافٍ على CLOUD Act.

للجهة الخليجية، التسلسل الصحيح واضح. السحابة العامة، بما فيها الأقاليم السيادية، مقبولة للأعمال غير الحسّاسة حين تتجاوز قيمة زمن الاستجابة والحجم والخدمات المُدارة الانكشافَ القضائي المتبقّي. الأقاليم السحابية السيادية ترقية للأعمال التي يكفيها توطين البيانات لتلبية المتطلَّب. أما النشر المحلي السيادي فهو الإجابة للأعمال التي يكون فيها الانكشاف القضائي نفسه هو المتطلَّب: الدفاع، الاستخبارات، الأمن الداخلي، اختبارات ضغط البنوك المركزية، تدفّق صفقات الصناديق السيادية، البيانات الإشرافية الرقابية الحسّاسة، والمستوى الوزاري من العمل الذي لا ينبغي أن يكون قابلاً للقراءة من أيّ عاصمة أجنبية.

إذا كانت جهتك تُراجع انتشاراً قائماً للذكاء الاصطناعي السحابي مقابل هذا الإطار، أو تُخطّط لعمل سيادي جديد من ورقة بيضاء، فالخطوة التالية لقاء تعريفي بمدّة ساعة مفصَّل على متطلبات التزامن والتصنيف والتكامل لديكم. راسلونا على [email protected] أو واتساب +968 9889 9100. سنأتي إليكم في مسقط أو في أيّ عاصمة خليجية، ونعرض البنية والوضعية القانونية وخطّة موثوقة وفق جدولكم. الأسعار بحسب الطلب، مفصَّلة على متطلبكم.