الخلاصة

  • يقول EDPB إن منهجاً قضائياً صدر عام 2019 بشأن محركات البحث قد يكون ذا صلة بالبيانات الحساسة التي تُجمع عرضاً وبصورة متبقية أثناء جمع بيانات الذكاء الاصطناعي، لكن ذلك يتوقف على أربعة شروط تُقيّم لكل حالة.
  • تربط المسودة هذا المسار المحدود بضوابط قبل الجمع وبعده وأثناء تطوير النموذج وبعد نشره. وتنتهي المشاورة العامة في 30 أكتوبر 2026.

قد تحتوي صفحة متاحة للجميع على بيانات شخصية لم يكن مطوّر الذكاء الاصطناعي يقصد جمعها. فماذا يحدث عندما يكشف الجمع واسع النطاق معلومات عن صحة شخص أو آرائه السياسية أو أصله العرقي أو توجهه الجنسي؟ يتناول المجلس الأوروبي لحماية البيانات (EDPB) السؤال في مسودة المبادئ التوجيهية 03/2026 بشأن جمع بيانات الويب لتطوير الذكاء الاصطناعي التوليدي. وتنتهي مهلة التعليقات في 30 أكتوبر عند الساعة 23:59 بتوقيت وسط أوروبا. لا تزال الوثيقة مسودة قيد التشاور؛ وليست قاعدة نهائية أو استثناءً جديداً من اللائحة العامة لحماية البيانات (GDPR).

تنطلق المسودة من التمييز بين المعالجة المقصودة والبيانات المتبقية غير المقصودة. فإذا تعمّدت مؤسسة جمع بيانات شخصية من الفئات الخاصة، يلزم استثناء محدد بموجب المادة 9(2) من GDPR، إلى جانب أساس قانوني وفق المادة 6. وتبحث المسودة على نحو منفصل الحالة التي تظهر فيها بعض هذه البيانات رغم اتخاذ تدابير لمنع جمعها. ويرى EDPB أن بعض ما قررته محكمة العدل للاتحاد الأوروبي في قضية عام 2019 «GC وآخرون ضد CNIL» (C‑136/17) قد يفيد في تحليل الحالة. لكن القضية تناولت فهرسة محرك بحث وإزالة روابط، لا تدريب نماذج الذكاء الاصطناعي التوليدي؛ لذلك لا تحوّل المسودة الحكم إلى إذن جاهز لمطوّري النماذج.

تقترح المسودة فحص أربعة شروط في كل حالة. يجب أن تكون المعالجة مشابهة، في جوانب ذات صلة، لنشاط محرك البحث الذي تناولته المحكمة؛ وأن تكون معالجة البيانات عرضية ومتَبقية لا مقصودة؛ وأن يصعب على المتحكّم أو يستحيل عليه تحديد وجود هذه البيانات ومنع جمعها؛ وأن يتخذ تدابير ضمن مسؤولياته وصلاحياته وقدراته لمنع نشرها. إذا لم تنطبق الوقائع على هذه الشروط، فلا يصلح منهج محركات البحث مساراً عاماً لتجاوز متطلبات المادة 9.

وتجعل الضوابط وصف المعالجة بأنها «عرضية» ادعاءً يحتاج إلى إثبات على امتداد دورة العمل. قبل الجمع، ينبغي للمتحكّم تحديد معايير دقيقة وتطبيق مرشحات واستبعاد المواقع التي تتضمن بنيتها عادةً معلومات حساسة؛ وتذكر المسودة المواقع التي يستخدمها القاصرون أساساً مثالاً على ذلك. وبعد الجمع، ينبغي حذف البيانات المتبقية فوراً أو حال تحديدها. وإذا قدّم شخص طلباً يتضمن مؤشرات معقولة على أن بياناته تدخل في ما تحظره المادة 9، فينبغي حذفها. وأثناء تطوير النموذج، ينبغي اختبار إمكان استخراج هذه البيانات ومقاومة هجمات الخصوصية، وتصفية المخرجات التي قد تكشفها.

وبعد نشر النظام، ينبغي لمزوّده مراقبة المخرجات باستمرار، وتقوية المرشحات أو تقييد بعض المطالبات عند ظهور معلومات حساسة، والنظر في محو ما تعلمه النموذج أو وسيلة مساوية الأثر إذا أتاح التقدم التقني ذلك.

ويتوقع EDPB أيضاً أن يستطيع المتحكّم إثبات انطباق الشروط الأربعة وملاءمة الضوابط وفعاليتها. وينبغي أن يشمل التحقق المنتظم مرحلتي التطوير والاستخدام؛ وإذا لم تنجح التدابير، فعلى المتحكّم إضافة تدابير أخرى أو استبدالها. وهكذا تصبح المساءلة سجلاً تشغيلياً: يجب أن تنسجم معايير الجمع ومصادر الاستبعاد وسجلات الحذف واختبارات النموذج وحوادث المخرجات والاستجابة لها. ولا يكفي أن تصف المؤسسة الجمع بأنه «عرضي».

ويختلف تحليل الفئات الخاصة عن تقييم المصلحة المشروعة. فإتاحة صفحة للعامة لا تعني موافقة الشخص على جمع بياناته لغرض معين، كما أن غياب قاعدة robots.txt لا يُعد موافقة وفق GDPR. وقد تؤثر قيود الموقع مع ذلك في تقدير التوقعات المعقولة للشخص ضمن موازنة المصلحة المشروعة. لكنها تغيّر وقائع التقييم ولا تحل محل الأساس القانوني أو متطلبات المادة 9.

والأثر العملي للمسودة هو نقل السؤال إلى مرحلة أسبق. فإذا تعذّر تمييز البيانات الحساسة لمجرد أن الجمع كان عشوائياً وغير محدود، فلا يثبت هذا التعذر وحده أن المعالجة كانت متبقية. يسأل المنهج المقترح عمّا إذا كان المتحكّم قد اتخذ خطوات واقعية لمنع الجمع، وهل استطاع اكتشاف ما تسرّب وإزالته، وهل يملك وسيلة لمنع النموذج من إعادة إنتاجه. وتتيح المشاورة للمؤسسات والأفراد مناقشة وضوح هذه التوقعات قبل أن يصوغ EDPB النسخة النهائية.

المصادر

  1. المبادئ التوجيهية 03/2026 لـ EDPB بشأن جمع بيانات الويب للذكاء الاصطناعي التوليدي، §§ 67–77
  2. صفحة المشاورة العامة والموعد النهائي
  3. إعلان EDPB بشأن إخفاء الهوية وجمع بيانات الويب للذكاء الاصطناعي التوليدي
  4. محكمة العدل للاتحاد الأوروبي، قضية «GC وآخرون ضد CNIL»، C‑136/17