ماذا يفعل الشات بوت ببيانات عملائك؟ الموافقة والسجلات والنقل عبر الحدود في القانون العُماني
يعالج الشات بوت التجاري بيانات شخصية منذ رسالته الأولى: رقم هاتف، واسم، ورقم طلب، وكل ما يختار العميل كتابته. وبموجب قانون حماية البيانات الشخصية العُماني، بعد تعديله في سبتمبر 2026، يستتبع ذلك خمسة التزامات:
- أساس نظامي — موافقة صريحة تُطلب بمضمون محدد، أو أحد أربعة استثناءات؛
- سياسة لحماية البيانات يراها الناس قبل المعالجة؛
- قواعد النقل كلما ذهبت الرسائل إلى نموذج أو منصة مستضافة خارج عُمان؛
- محو بيانات المحادثات حين ينتهي غرضها؛
- حق الاعتراض مع مراجعة بشرية إن كان البوت يتخذ قرارات بشأن الأشخاص.
وقاعدة النقل هي المكلفة. فمعظم النماذج اللغوية تُستدعى عبر واجهات برمجية مستضافة في الخارج، وإرسال البيانات الشخصية إليها نقلٌ خارج السلطنة، والنقل غير المشروع يحمل أثقل غرامة في القانون: من 100,000 إلى 500,000 ريال عماني.
يتناول هذا المقال ما يعنيه ذلك لتصميم الشات بوت. أما الالتزامات العامة ففي سبعة أشياء يغيّرها القانون العُماني داخل أنظمتك.
الجواب المختصر
| الالتزام | مصدره | ما يعنيه للشات بوت |
|---|---|---|
| الأساس النظامي | المادتان 10 و10 مكررًا من القانون | موافقة صريحة بالمضمون المطلوب، أو عقد مع العميل ينص على أن المعالجة تتم وفق القانون |
| الإعلام قبل المعالجة | المادة 21 من اللائحة؛ المادة 10 من القانون | سياسة حماية بيانات ظاهرة، وإشعار قصير في بداية المحادثة |
| النقل إلى الخارج | المادة 23 من القانون؛ المواد 37–40 من اللائحة | موافقة صريحة أو إخفاء للهوية، وتحقق من كفاية الحماية، وتقييم مكتوب لكل جهة أجنبية |
| المحو | المادة 15 من القانون | حذف المحادثات حين ينتهي غرضها، ما لم يوجد نزاع أو التزام قانوني |
| القرارات المؤتمتة | المادة 14 من القانون | مسار للاعتراض ومراجعة بشرية لكل ما يقرره البوت |
| الاختراقات | المادة 19 من القانون؛ المواد 30–32 من اللائحة | إبلاغ الوزارة خلال 72 ساعة متى هُددت الحقوق |
| البيانات الحساسة والأطفال | المادتان 5 و6 من القانون؛ المواد 11–15 من اللائحة | تصريح للفئات الحساسة؛ وموافقة صريحة من ولي الأمر للأطفال |
كل شات بوت نظامٌ للبيانات الشخصية
من المفيد أن تعدّد ما يمر عبره فعلًا:
- المعرّفات. في واتساب يصل رقم هاتف العميل مع كل رسالة، وفي الموقع حساب الدخول أو البريد الإلكتروني أو عنوان IP.
- مضمون المحادثة. أرقام الطلبات والعناوين والشكاوى — وأشياء يتطوع بها العملاء دون أن يُسألوا، كأرقام الهوية والتفاصيل الطبية والظروف العائلية.
- البيانات الوصفية. التوقيتات ومعلومات الجهاز ومؤشرات الموقع.
- البيانات المشتقة. الملخصات والوسوم وتصنيفات النية وتقديرات المشاعر التي ينشئها نظامك.
ثم عدّد من يلمسها: قناة المراسلة، ومنصة الشات بوت إن استخدمت واحدة، ومزوّد النموذج، والاستضافة، وأي أدوات تحليل أو مراقبة، والموظفون الذين يقرؤون المحادثات. فكل من يعالج البيانات نيابة عنك مكانه في سجل المعالجين، وكل من هو خارج عُمان يستدعي قواعد النقل.
الأساس النظامي: الموافقة، أو عقد ينص على ذلك
منذ 7 سبتمبر 2026 تشترط المادة 10 موافقة صريحة يلتزم المتحكم بإثباتها. ويجب أن يكون الطلب واضحًا وصريحًا ومفهومًا، وأن يتضمن أربعة أمور:
- بياناتك وبيانات أي معالج؛
- آلية التواصل مع مسؤول حماية البيانات الشخصية؛
- أهداف المعالجة وطبيعتها؛
- أي معلومات أخرى لازمة لاستيفاء شروط القانون.
وتقبل اللائحة التنفيذية الموافقة الإلكترونية، بشرط أن تصدر من شخص كامل الأهلية، بوضوح ودون إكراه.
ويعني ذلك للشات بوت خطوة موافقة قصيرة قبل أن تجمع المحادثة أي شيء يتجاوز السؤال نفسه، مع حفظ سجل بمن وافق، وعلى أي صياغة، ومتى.
والبديل مسار العقد في المادة 10 مكررًا الجديدة: تجوز المعالجة دون موافقة إذا كانت تنفيذًا لعقد يكون العميل طرفًا فيه، على أن يتضمن العقد ما يفيد أن المعالجة تتم وفق أحكام القانون. فإن كانت شروطك مع العملاء تحمل هذا النص، فالشات بوت الذي يساعد عميلًا قائمًا في طلبه يستطيع الاستناد إليه. والشروط المكتوبة قبل سبتمبر 2026 نادرًا ما تحمله. ويشرح مقال ما الذي غيّره المرسوم السلطاني 68/2026 التعديل.
والتسويق مسألة مستقلة. تشترط المادة 22 موافقة صريحة قبل إرسال أي مادة إعلانية أو تسويقية ذات أغراض تجارية. فالشات بوت الذي يدفع العروض لعملاء تواصلوا معك بشأن توصيل يحتاج تلك الموافقة، مع طريقة تعمل لإيقافها.
أخبر الناس قبل أن تعالج
تُلزم المادة 21 من اللائحة التنفيذية المتحكم بنشر سياسة حماية البيانات في مكان ظاهر يتيح للناس الاطلاع عليها قبل معالجة بياناتهم، على أن تبين آلية ممارسة حقوقهم.
وللشات بوت، رسالة افتتاحية عملية تؤدي أربع مهام في سطرين أو ثلاثة:
- تقول إن العميل يتحدث إلى مساعد ذكي ويمكنه الوصول إلى موظف؛
- تضع رابطًا لسياسة حماية البيانات؛
- تبين طريقة التواصل مع مسؤول حماية البيانات؛
- تطلب الموافقة حيث تستند إليها، ومنها الموافقة على النقل إن كانت الرسائل تذهب إلى الخارج.
سؤال النقل: إلى أين تذهب كل رسالة؟
هنا تكون تصاميم الشات بوت أكثر عرضة للخطر.
إن كان النموذج يعمل على خوادم خارج عُمان — كما هو حال معظم النماذج المستضافة — فكل رسالة تحمل بيانات شخصية تُنقل خارج السلطنة. وينطبق ذلك على منصة شات بوت مستضافة في الخارج، وكثيرًا على أدوات التحليل خلفها.
وتضع اللائحة التنفيذية الشروط:
- المادة 37: قبل نقل البيانات الشخصية إلى الخارج، احصل على الموافقة الصريحة لصاحبها، وألا يمس النقل الأمن الوطني أو المصالح العليا للدولة. ولا تُشترط الموافقة إذا كان النقل تنفيذًا لاتفاقية دولية تكون السلطنة طرفًا فيها، أو إذا جُعلت البيانات مجهولة الهوية بحيث يتعذر ربطها بصاحبها بأي طريقة.
- المادة 38: قبل النقل، تأكد من أن الجهة الأجنبية توفر حماية لا تقل عن الحماية المقررة في القانون واللائحة.
- المادة 39: أجرِ تقييمًا مكتوبًا يشمل طبيعة البيانات وحجمها ودرجة حساسيتها، والغرض والنطاق والجهات المستقبِلة، والمدة والتكرار، ومراحل النقل والوجهة النهائية، والمخاطر على صاحب البيانات.
- المادة 40: يجوز للوزارة طلب نسخة من ذلك التقييم.
ومخالفة حكم النقل في المادة 23 من القانون عقوبتها غرامة من 100,000 إلى 500,000 ريال عماني.
وخمسة قرارات تصميمية تقلل التعرض:
- أرسل أقل. نادرًا ما يحتاج النموذج اسم العميل أو رقم هاتفه أو رقم هويته ليجيب عن سؤال في السياسات. احذف المعرّفات أو أخفها قبل أن تغادر الرسالة نظامك، واحتفظ بجدول الربط لديك.
- اجعل الاستعلامات محلية. حين يتحقق البوت من طلب، دع نظامك يجلب السجل، ولا ترسل إلى النموذج إلا الحقول اللازمة لصياغة الجواب.
- اختر المزودين والمناطق عن قصد. حيث تتوفر استضافة داخل السلطنة أو قريبة منها للمكونات التي تعالج بيانات شخصية، فوازنها بعمل النقل الذي توفره. ويتناول مقال أين يُسمح لبيانات شركتك أن تُخزَّن قواعد الاستضافة العُمانية.
- احصل على موافقة تشمل النقل حيث لا بد أن تغادر بيانات شخصية، في الإشعار الافتتاحي وبكلمات واضحة.
- أجرِ تقييم المادة 39 مرة لكل مزوّد، واحفظه، وحدّثه حين يغيّر المزوّد مناطقه أو معالجيه من الباطن.
ما تفحصه في شروط مزوّد النموذج
مزوّد النموذج معالجٌ لديك، فشروطه جزء من امتثالك. اقرأ فيها أربعة أمور:
- التدريب. شروط الأعمال تستثني عادة التدريب على مدخلاتك ومخرجاتك. فشروط Anthropic التجارية، مثلًا، تنص على أنه «لا يجوز لـAnthropic تدريب النماذج على محتوى العميل». أما تطبيقات المستهلكين فتحكمها شروط مختلفة، ولهذا لا ينبغي للموظفين استخدام حسابات شخصية لبيانات العمل.
- الاحتفاظ. كم تُحفظ المدخلات والمخرجات، وهل يتوفر احتفاظ أقصر أو منعدم.
- الموقع والمعالجون من الباطن. أين تتم المعالجة، ومن يشارك فيها.
- الإبلاغ عن الاختراق والحذف. مهلة إخطار تتيح لك الوفاء بمهلتك البالغة 72 ساعة، وتأكيد الحذف في النهاية.
المحادثات والسجلات والمحو
سجلات المحادثات ثمينة لمراجعة الجودة وللنزاعات، وهي بيانات شخصية. ومنذ سبتمبر 2026 توجب المادة 15 محو البيانات الشخصية فور انتهاء الغرض منها، ولا يجوز الاحتفاظ بها إلا لنزاع قائم أو التزام قانوني.
- حدد مدة احتفاظ للمحادثات مربوطة بغرض معلن، كمعالجة النزاعات ومراجعة الجودة، واحذف تلقائيًا حين تنقضي.
- ضع تعليقًا قانونيًا على المحادثات محل النزاع.
- أخفِ ما لم تحتجه أصلًا، كأرقام الهوية والبطاقات والتفاصيل الصحية التي تطوع بها العملاء.
- قيّد من يستطيع قراءة المحادثات، وسجّل ذلك الوصول. ويتناول مقال من يرى ماذا التصميم.
- أدرج المحادثات في طلبات الاطلاع. فحين يطلب عميل نسخة من بياناته، وتشترط اللائحة البت في الطلب خلال 45 يومًا، تكون المحادثات جزءًا منها.
البيانات الحساسة والأطفال
البيانات الصحية وغيرها من الفئات الحساسة. ما زالت المادة 5 تشترط تصريحًا من الوزارة لمعالجة البيانات الوراثية والحيوية والصحية وغيرها من الفئات الحساسة. فشات بوت حجز في عيادة يسأل عن الأعراض يعالج بيانات صحية، ومنذ سبتمبر 2026 صار تعريف البيانات الصحية يشمل صراحة البيانات المتعلقة بتوفير خدمات الرعاية الصحية التي تكشف عن الوضع الصحي. فصمّم البوت ليجمع ما يحتاجه الحجز فقط، وتحقق هل تحتاج تصريحًا قبل الإطلاق.
الأطفال. معالجة البيانات الشخصية للطفل تشترط موافقة ولي أمره ما لم تكن المعالجة في مصلحة الطفل الفضلى (المادة 6 من القانون)، وتشترط اللائحة أن تكون تلك الموافقة صريحة (المادة 11). فالشات بوت الخاص بمدرسة أو نشاط للأطفال أو منصة تعليمية يحتاج تحققًا من العمر ومسارًا لموافقة ولي الأمر.
القرارات المؤتمتة
إن كان البوت يوافق أو يرفض أو يلغي أي شيء — استردادًا أو حجزًا أو طلبًا — فالمادة 14 صارت تمنح العميل حق الاعتراض، ويجب أن يراجع إنسان القرار. فاجعل الاعتراض جزءًا من المحادثة («إن لم توافق على هذا القرار، اكتب: اعتراض، وسيراجعه أحد زملائنا») ووجّهه إلى قائمة مراجعة بشرية. ويتناول مقال حين يخطئ الشات بوت جانب المسؤولية.
الاختراقات
يفتح الشات بوت طرقًا جديدة لتسرب البيانات: مخزن محادثات مكشوف، أو أداة مضبوطة خطأً تعيد طلب عميل آخر، أو هجوم «حقن تعليمات» يستدرج البوت إلى كشف بيانات. فإن هدد الاختراق حقوق العملاء، وجب إبلاغ الإدارة المختصة بالوزارة خلال 72 ساعة من العلم، وإبلاغ المتأثرين خلال المدة نفسها متى كان من شأنه أن يسبب ضررًا جسيمًا. ويجب أن تمنحك عقود الموردين إخطارًا سريعًا بما يكفي لذلك.
قائمة تحقق لشات بوت مشروع في عُمان
- إشعار افتتاحي: إفصاح عن الذكاء الاصطناعي، ومسار إلى موظف، ورابط السياسة، وطريقة التواصل مع مسؤول حماية البيانات.
- سجل للموافقة — أو شروط مع العملاء تنص على أن المعالجة تتم وفق القانون.
- موافقة صريحة مستقلة لأي تسويق.
- حذف المعرّفات قبل إرسال الرسائل إلى نموذج خارجي.
- تقييم نقل وفق المادة 39 محفوظ لكل مزوّد أجنبي.
- شروط المزوّد مفحوصة في التدريب والاحتفاظ والموقع والمعالجين من الباطن والإبلاغ عن الاختراق.
- مدة احتفاظ للمحادثات، وحذف تلقائي، وتعليق قانوني.
- وصول مقيد ومسجّل إلى المحادثات.
- اعتراض ومراجعة بشرية لأي قرار مؤتمت.
- تحقق من التصريح للبيانات الصحية وغيرها من الحساسة، وموافقة ولي الأمر للأطفال.
أسئلة شائعة
هل نحتاج موافقة العملاء لاستخدام شات بوت في عُمان؟ تحتاج أساسًا نظاميًا: موافقة صريحة بالمضمون الذي تشترطه المادة 10، أو أحد استثناءات المادة 10 مكررًا، وأقربها هنا عقد مع العميل ينص على أن المعالجة تتم وفق القانون. أما الرسائل التسويقية فتحتاج موافقة صريحة في كل الأحوال.
هل استخدام نموذج ذكاء اصطناعي مستضاف في الخارج نقلٌ للبيانات بموجب القانون العُماني؟ إن كانت الرسائل تحمل بيانات شخصية، فنعم. وتشترط اللائحة التنفيذية موافقة صريحة قبل النقل ما لم تكن البيانات مجهولة الهوية أو تنطبق اتفاقية دولية، مع التأكد من أن حماية الجهة المستقبِلة لا تقل عن حماية عُمان، والاحتفاظ بتقييم مكتوب يجوز للوزارة طلبه.
ما غرامة نقل البيانات الشخصية إلى الخارج بصورة غير مشروعة؟ من 100,000 إلى 500,000 ريال عماني بموجب المادة 29 من القانون، لمخالفة حكم النقل في المادة 23. وهي أثقل شريحة عقوبات في القانون.
كم نحتفظ بمحادثات الشات بوت؟ بقدر ما يتطلبه غرض معلن فقط، ثم تُمحى. فمنذ 7 سبتمبر 2026 يوجب القانون العُماني المحو عند انتهاء الغرض، ما لم يقتضِ نزاع قائم أو التزام قانوني الاحتفاظ.
هل سيستخدم مزوّد النموذج محادثات عملائنا لتدريب نماذجه؟ يتوقف ذلك على الشروط التي تقبلها. فشروط الواجهات البرمجية للأعمال تستثني عادة التدريب على محتوى العملاء، بينما قد لا تفعل ذلك تطبيقات المستهلكين. افحص الشروط المحددة، وأبقِ استخدام العمل على حسابات العمل.
هل يجوز لشات بوت عيادة أن يسأل المرضى عن الأعراض؟ تلك بيانات صحية، وهي فئة حساسة تحتاج تصريحًا من الوزارة ما لم ينطبق استثناء. فاجمع ما يحتاجه الحجز فقط، وتحقق من مسألة التصريح قبل الإطلاق.
يعرض هذا المقال الموقف وفق قانون حماية البيانات الشخصية بعد تعديله بالمرسوم السلطاني رقم 68/2026، ولائحته التنفيذية، كما هما نافذان في 21 أكتوبر 2026، تاريخ نشره، وهو ليس استشارة قانونية؛ تحقق من وضعك لدى مستشار مؤهل.
المصادر: المرسوم السلطاني 68/2026 بتعديل قانون حماية البيانات الشخصية · المرسوم السلطاني 6/2022 — قانون حماية البيانات الشخصية · القرار الوزاري 34/2024 — اللائحة التنفيذية · Anthropic — الشروط التجارية · OWASP — أهم 10 مخاطر لتطبيقات النماذج اللغوية
تبني شات بوت يتعامل مع بيانات العملاء بصورة مشروعة؟ تبني «ذوات» حلول الذكاء الاصطناعي والأتمتة مع إخفاء المعرّفات وسجلات الموافقة والاحتفاظ ووثائق النقل مصممة فيها منذ البداية. احجز مكالمة.