لماذا قد يشكّل لصق ملفات القضايا في ChatGPT انتهاكاً لسرية العميل

يبدأ الأمر عادةً كاختصار. تصل مذكرة من ستين صفحة في السادسة مساءً، ويحتاج أحدهم التواريخ الأساسية بحلول الصباح، وثمة نافذة محادثة مفتوحة في التبويب المجاور. لصق، تلخيص، انتهى. لم يتخذ أحد قراراً بشأن الإفصاح — وهذه بالضبط هي المشكلة.

واجب السرية لا يفرّق بين الإفصاح لشخص والإفصاح لخدمة. حين تُنقل مادة عميل إلى نظام تابع لطرف ثالث، فالسؤال ذو الصلة ليس ما إذا كان أحد قد قرأها. السؤال هو ما إذا كانت جهوداً معقولة قد بُذلت لمنع الوصول أو الإفصاح غير المصرّح به قبل إرسالها.

ثلاثة واجبات لا واحد

إرسال مستند قضية إلى خدمة خارجية يستدعي ثلاثة التزامات منفصلة في الوقت نفسه، تنفذها ثلاث جهات مختلفة. تفكر المكاتب عادةً في واحد منها فيوقعها آخر.

الأول هو السر المهني. كل ولاية قضائية في المنطقة تفرض واجب سرية على المحامين عبر قانونها المنظم لمهنة المحاماة، تنفذه نقابة المحامين أو وزارة العدل، وفي عدة دول قد يترتب على الإخلال به عواقب جزائية إضافة إلى التأديبية. هذا الواجب مستحق للعميل، ولا يتوقف لأن المتلقي برمجية لا شخص.

الثاني، في عمل النزاعات تحديداً، هو سرية التحكيم. بموجب قواعد تحكيم مركز دبي للتحكيم الدولي لعام 2022، تكون التحكيمات التي يديرها المركز سرية (المادة 38)؛ وقواعد محكمة لندن للتحكيم الدولي ومعظم القواعد المؤسسية الأخرى تفرض المثل؛ وتصدر الهيئات أوامر سرية؛ وغالباً ما يحمل العقد الأساسي شرط عدم إفصاح خاصاً به. الإفصاح الذي يخلّ بتعهد مقدم لهيئة مشكلة سواء استُدعي نظام حماية بيانات أم لا.

الثالث هو قانون حماية البيانات — الطبقة التي تغيّرت أكثر من غيرها في السنوات الثلاث الماضية، وحيث تتخلف معظم الممارسات في المنطقة أكثر ما تتخلف.

ما تشترطه أنظمة حماية البيانات

الشكل واحد في كل مكان، وإن تغيّر النص التشريعي عند كل حدود. إن كنت تقرر لماذا وكيف تُعالَج البيانات الشخصية، فأنت متحكم؛ ومورّد الذكاء الاصطناعي الذي يعالجها نيابةً عنك معالج؛ وتحتاج إلى سند مشروعية، وترتيب مكتوب مع ذلك المعالج، وأمن متناسب مع المخاطر، وإجابة يمكن الدفاع عنها عن الموضع الفعلي للبيانات. وملف القضية مكتظ بالبيانات الشخصية — أطراف وشهود وموظفون، وكثيراً ما تفاصيل صحية أو تتعلق بسلوك جنائي — فلا شيء من هذا حالة هامشية.

الإمارات العربية المتحدة

المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية نافذ منذ 2 يناير 2022، ويضع على المتحكم التزامات تتعلق بسند المشروعية وتحديد الغرض والأمن والنقل عبر الحدود. ولم تصدر لائحته التنفيذية بعد، فآلية الجزاءات الاتحادية ليست مفعّلة بالكامل — وهذا ليس البتة كعدم وجود الالتزامات. وبالنسبة لكثير من ممارسات النزاعات، فإن النظام الذي يعضّ فعلاً هو نظام منطقة حرة: لمركز دبي المالي العالمي قانون حماية البيانات رقم 5 لسنة 2020 الخاص به، ولسوق أبوظبي العالمي لوائح حماية البيانات لسنة 2021. وكلاهما مصاغ على غرار اللائحة الأوروبية، ولكليهما جهة رقابية نشطة، ولا يشملهما القانون الاتحادي.

قطر

القانون رقم 13 لسنة 2016 بشأن حماية خصوصية البيانات الشخصية كان أول قانون وطني لخصوصية البيانات في الخليج، بعقوبات تتراوح بين مليون وخمسة ملايين ريال قطري. أما الكيانات داخل مركز قطر للمال فتخضع لنظام منفصل — لوائح حماية البيانات لمركز قطر للمال لسنة 2021، وهي تتبع اللائحة الأوروبية عن كثب.

البحرين

القانون رقم 30 لسنة 2018 يقيّد النقل خارج المملكة في المادة 12: يجب أن تكون الوجهة مدرجة في قائمة الكفاية الصادرة عن الهيئة، أو أن يستند النقل إلى ضمانات معتمدة أو تصريح خاص. وتتبع هيئة حماية البيانات الشخصية وزارة العدل والشؤون الإسلامية. وإن كانت خوادم مورّد الذكاء الاصطناعي خارج البحرين، فالمادة 12 هي النص الذي يُقرأ أولاً.

عُمان

قانون حماية البيانات الشخصية الصادر بالمرسوم السلطاني رقم 6/2022، مع لائحته التنفيذية بالقرار الوزاري رقم 34/2024، صار نافذاً بالكامل — إذ انتهت الفترة الانتقالية في 5 فبراير 2026. ويشترط موافقة صريحة، وإشعارات خصوصية واضحة، وتعيين مسؤول لحماية البيانات، وضوابط على النقل عبر الحدود، وإخطاراً عاجلاً بالاختراق. وعُمان هي الولاية القضائية التي توقفت فيها عبارة «سنصل إلى ذلك» عن كونها إجابة متاحة، وذلك مؤخراً.

الكويت

ليس لدى الكويت قانون عام شامل لحماية البيانات. ولائحة حماية خصوصية البيانات الصادرة عن هيئة تنظيم الاتصالات، المعدّلة بالقرار رقم 26 لسنة 2024 والنافذة من 19 فبراير 2024، موجّهة إلى مقدمي خدمات الاتصالات والإنترنت المرخصين من الهيئة لا إلى مكاتب المحاماة بذاتها. وعملياً، تتقيد الممارسة الكويتية بالسر المهني، وبتعهداتها التعاقدية، وباللائحة الأوروبية — بمجرد أن يتعلق الملف بأشخاص في الاتحاد الأوروبي.

اللائحة الأوروبية، أياً كان مقر مكتبك

اللائحة العامة لحماية البيانات ليست مشكلة المكاتب الأوروبية وحدها. إنها تطال معالجة البيانات الشخصية المتعلقة بأشخاص في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية بصرف النظر عن مكان المعالجة، وهو ما يشمل شريحة كبيرة من النزاعات التجارية العابرة للحدود التي تُدار من الخليج. وما تضيفه فوق الأنظمة الإقليمية:

• المادتان 5(1)(و) و32 — السلامة والسرية والأمن المتناسب مع المخاطر. وملف النزاع عالي المخاطر بأي قراءة.
• المادة 28 — لا يجوز تسليم بيانات شخصية إلى معالج دون عقد مكتوب يستوفي شروطاً محددة. وقبول شروط خدمة استهلاكية ليس ذلك العقد.
• المادتان 9 و10 — ملفات القضايا تحمل روتينياً بيانات صحية وبيانات عن جرائم أو اتهامات جنائية. وكلاهما يخضع لشروط أشد من البيانات الشخصية العادية.
• الفصل الخامس (المواد 44–49) — النقل خارج المنطقة الاقتصادية الأوروبية يحتاج قرار كفاية أو شروطاً تعاقدية معيارية أو آلية أخرى منصوصاً عليها.
• المادة 33 — يجب أن يصل اختراق البيانات الشخصية إلى الجهة الرقابية خلال 72 ساعة. ولا يمكنك الوفاء بهذا الموعد عبر مورّد لا يقع عليه واجب تعاقدي بإبلاغك فوراً.

الأمور الأربعة التي تسوء فعلاً

إخفاء الهوية أضعف مما يبدو

الميل الأول هو حذف الأسماء ولصق الباقي. هذا يساعد، وهو أفضل من لا شيء، لكن لا تفرط في الثقة به. مستندات القضايا مكتظة بتفاصيل تعيد التعريف وتنجو من البحث والاستبدال: قيم العقود، وأسماء المشاريع، وتواريخ الجلسات، ومواقع المواقع، والتسلسل المحدد لأمر تغيير. وفي سوق يدير فيه عدد محدود من الأطراف عدداً محدوداً من النزاعات الكبيرة، تكفي تلك البقايا غالباً.

وثمة كلفة أخفض صوتاً. التنقيح إلى مستوى يُبطل فعلاً إعادة التعريف يميل إلى إزالة التفاصيل ذاتها التي جعلت التحليل مفيداً، فينتهي بك الأمر إلى بذل جهد أكبر للحصول على إجابة أسوأ.

ماذا يعني «الأمان بالتصميم» لبيانات قانونية

العبارة تؤدي عملاً تسويقياً كبيراً في هذا السوق، فيجدر اختزالها إلى أمور يمكنك التحقق منها. عند تقييم أي أداة ذكاء اصطناعي ستلامس مادة قضية، هذه هي الخصائص المهمة:

• التشفير أثناء النقل وفي حالة السكون، مع إدارة مفاتيح التشفير من جانب الخادم بمعزل عن طبقة التخزين — بحيث لا يكون الطرف الذي يحوز الملفات هو نفسه الطرف الذي يحوز المفاتيح.
• عزل المستأجرين: بيانات مساحة عملك مفصولة عن بيانات كل عميل آخر، مع صلاحيات محددة لكل حساب.
• عدم التدريب على محتوى العملاء، منصوصاً عليه تعاقدياً لا في مقال بمركز مساعدة قابل للتحرير.
• احتفاظ وحذف محددان: كم تُحفظ المادة، وماذا يزيل الحذف فعلاً، وكم تبقى النسخ الاحتياطية.
• شروط الإخطار بالاختراق، في العقد: بأي سرعة تُبلَّغ، كتابةً. اللائحة الأوروبية تمنحك 72 ساعة لإخطار الجهة الرقابية — ولا يمكنك الوفاء بذلك إن استغرق مورّدك شهراً للوصول إليك.
• موقع البيانات والمعالجون من الباطن: في أي إقليم تقع البيانات، وقائمة مسمّاة بالموردين اللاحقين الذين يمكنهم لمسها.
• تحديد الغرض داخل المنتج نفسه: أداة مبنية لاستخراج الوقائع وتنظيمها لديها سبب أقل بكثير للاحتفاظ بالمحتوى وإعادة استخدامه من أداة مبنية لتكون مساعداً عاماً.

اطلب هذه السبعة كتابةً. والمورّد الذي لا يستطيع الإجابة بسرعة يخبرك بشيء مفيد.

موقف عملي للمكتب

الحظر الشامل يميل إلى الفشل، لأن الضغط الذي أنتج الاختصار سيظل قائماً في السادسة مساءً. السياسات التي تصمد عملياً توجّه العمل بدل أن تمنعه:

1. 01ارسم خطاً واحداً واضحاً: لا مادة عميل في الحسابات الشخصية لأي منتج ذكاء اصطناعي استهلاكي، بلا استثناءات، وبلا استثناء لإخفاء الهوية.
2. 02وفّر أداة معتمدة للعمل الذي كان الناس يحاولون إنجازه أصلاً، ليجد الاختصار وجهة مشروعة.
3. 03احتفظ بقائمة قصيرة للأدوات المعتمدة مع تسجيل شروط العقد بجانب كل مُدخَل — الاحتفاظ والتدريب والموقع والمعالجون من الباطن.
4. 04درّب الفريق على الفرق بين الحسابات والفئات، فهناك تقع معظم الأخطاء حسنة النية.
5. 05احسم مسألة الإفصاح للعميل عمداً: بعض خطابات التكليف وإرشادات المستشار الخارجي تشترط أصلاً إخطاراً أو موافقة قبل المعالجة بالذكاء الاصطناعي.
6. 06احتفظ بالأوراق. اتفاق المعالجة المكتوب وشروط الاحتفاظ وأساس النقل هي بالضبط ما سيطلبه عميل أو شركة تأمين أو جهة رقابية — وجمعها قبل الحاجة إليها أسهل بكثير.

النقطة الجوهرية ليست أن الذكاء الاصطناعي غير آمن للعمل القانوني. بل أن منتجات الذكاء الاصطناعي العامة مبنية لجمهور عام، بإعدادات افتراضية مضبوطة لذلك الجمهور — وملفات القضايا ليست مُدخَلاً لجمهور عام. وبمجرد اختيار الأداة عمداً، بشروط قرأتها، يتوقف الاختصار عن كونه مخاطرة ويصبح جزءاً عادياً من سير العمل.

إن كان سبب لصق الناس للمستندات في نافذة محادثة هو أن قراءتها تستغرق وقتاً طويلاً، فتلك مشكلة سير عمل تستحق حلاً مباشراً. خمس طرق لتقليص وقت مراجعة ملفات القضايا تغطي الجانب العملي.