أمن البيانات في التقنية القانونية: ما ينبغي سؤاله قبل تبنّي أي أداة ذكاء اصطناعي

معظم محادثات الأمن في التقنية القانونية تجري بالترتيب الخطأ: تجربة أولاً، ومراجعة أمنية أثناء الشراء، والأسئلة المحرجة بعد رفع مادة القضية بالفعل. هذه هي القائمة التي تُرسل قبل التجربة.

وهي مكتوبة لتُعاد إرسالاً. أرسلها إلى المورّد، واطلب إجابات كتابية، وعامل سرعة الرد وتحديده كبيانات بحد ذاتها — فالمورّد الذي سُئل من قبل سيجيب خلال يوم.

1. ماذا يحدث للمحتوى نفسه

• هل يُستخدم محتوى العملاء لتدريب أي نموذج أو ضبطه أو تقييمه؟ اجعله شرطاً تعاقدياً لا مقالاً في مركز مساعدة.
• إن كان المنتج يستدعي مزوّد نموذج من طرف ثالث، فما شروط الاحتفاظ والتدريب لدى ذلك المزوّد، وتحت أي فئة يُحتفظ بالحساب؟
• هل يراجع بشر المحتوى في أي وقت — لمراقبة إساءة الاستخدام أو الجودة أو الدعم — وبأي ضوابط؟
• هل يُحتفظ بأي شيء مشتق من محتوانا (تضمينات، فهارس، ذاكرات مؤقتة) بمعزل عن المحتوى، ولكم من الوقت؟

2. التشفير وحيازة المفاتيح

• مشفّر أثناء النقل وفي حالة السكون — بأي خوارزميات؟
• من يحوز مفاتيح التشفير، وهل تُدار إدارة المفاتيح بمعزل عن طبقة التخزين؟ فإن حاز الطرف نفسه الاثنين، فالتشفير في حالة السكون يحميك من قرص مسروق ولا يكاد يحمي من شيء آخر.
• هل تُدوَّر المفاتيح، وما الإجراء إن اختُرق مفتاح؟

3. الاستئجار والوصول

• هل بيانات كل عميل مفصولة منطقياً أو فيزيائياً؟
• أي من موظفي المورّد يمكنه الوصول إلى محتوى العملاء، وبأي تفويض، وهل ذلك الوصول استثنائي أم اعتيادي؟
• كيف يُضبط الوصول إلى مساحة عملنا من جانبنا — الأدوار، وإمكانية عزل قضية عن جزء من الفريق؟

4. الموقع والمعالجون من الباطن

• في أي دولة أو إقليم تُخزَّن البيانات وتُعالَج؟ سمِّ الإقليم لا مزوّد السحابة.
• أعطنا القائمة الكاملة للمعالجين من الباطن الذين يمكنهم لمس محتوى العملاء، وكيف نُخطَر عند تغييرها.
• إن غادرت بيانات شخصية المنطقة الاقتصادية الأوروبية، فأي آلية نقل من الفصل الخامس تنطبق؟
• بالنسبة للقضايا البحرينية، هل تظهر الوجهة في قائمة الكفاية لدى هيئة حماية البيانات الشخصية بموجب المادة 12، أم يوجد تصريح خاص؟

5. الاحتفاظ والحذف والخروج

• كم يُحتفظ بالمحتوى افتراضياً، وهل ذلك قابل للضبط؟
• حين نحذف ملفاً، ماذا يُحذف فعلاً، وكم يبقى في النسخ الاحتياطية؟
• عند الإنهاء: هل يمكننا تصدير كل شيء بصيغة قابلة للاستخدام، وبأي سرعة تُتلف بياناتنا بعد ذلك؟
• هل تتوفر شهادة إتلاف عند الطلب؟

6. الحوادث

• ما مهلة الإخطار التعاقدية عند اختراق بيانات شخصية؟ اللائحة الأوروبية تمنح المتحكم 72 ساعة لإخطار الجهة الرقابية — والمورّد غير الملزم بإبلاغك فوراً يجعل ذلك الموعد مستحيلاً.
• من يُخطَر، وعبر أي قناة، وما المعلومات المرافقة للإخطار؟
• هل وقع حادث واجب الإبلاغ خلال الأربعة والعشرين شهراً الماضية، وما الذي تغيّر بعده؟

7. الأوراق

• هل يوجد اتفاق معالجة بيانات يستوفي متطلبات المادة 28، وهل يمكننا الاطلاع عليه قبل التجربة؟
• ما التقييمات المستقلة القائمة — والأهم، ما كان نطاقها؟ فشهادة تغطي شبكة الشركة لا تقول شيئاً عن المنتج.
• هل يسمح العقد بالإفصاح عن الترتيب لعميلنا، ولهيئة أو جهة رقابية إن طُلب؟
• هل تغطي وثيقة المسؤولية المهنية أو التأمين السيبراني هذه المعالجة؟

قراءة الإجابات

ثلاثة أنماط للرد تستحق الانتباه. التحويل إلى شهادة — فالشارة تجيب على سؤال غير الذي طرحته. إجابات لا توجد إلا في صفحة ويب — فنص مركز المساعدة قابل للتحرير، والعقد لا يمكن تعديله من طرف واحد. السرعة — فالمورّد الذي يبيع لمشترين خاضعين للتنظيم أجاب على هذه القائمة مرات كثيرة وسيعيدها بسرعة.

نقطة ختامية: الإجابات تحدد أي الالتزامات يمكنك الوفاء بها فعلاً. وما هي تلك الالتزامات، عبر الخليج واللائحة الأوروبية، مبيّن في لماذا قد يشكّل لصق ملفات القضايا في ChatGPT انتهاكاً لسرية العميل.