هل ChatGPT آمن لبيانات الشركة؟ الخطط والإعدادات وما يجوز لصقه

الخطأ الذي يجب تجنبه عند السؤال "هل ChatGPT آمن لبيانات الشركة" هو التعامل مع ChatGPT كأنه منتج واحد. هو في الواقع عدة خطط، ولكل منها قواعد مختلفة. في الحسابات الشخصية (Free وGo وPlus وPro) قد تُستخدم المحادثات في تدريب نماذج OpenAI ما لم يوقف المستخدم ذلك بنفسه. أما في ChatGPT Business وChatGPT Enterprise فتقول OpenAI إنها لا تدرّب نماذجها على بياناتكم افتراضياً، ويتحكم مسؤولو النظام لديكم في الوصول ومدة الاحتفاظ. والجواب الصريح: يمكن أن يكون آمناً بدرجة معقولة للعمل اليومي في مساحة عمل تجارية تديرها الشركة، مع قاعدة واضحة لما يجوز للموظفين لصقه. أما الحسابات الشخصية فتعاملوا معها على أنها غير آمنة لأي معلومة سرية.

نشرح هنا الفروق المهمة، وما تغطيه الإعدادات وما لا تغطيه، ونقدم قاعدة من صفحة واحدة لما يجوز لصقه. راجعنا تفاصيل المنتج في صفحات OpenAI نفسها في 30 أكتوبر 2026. والخطط تتغير، لذا تحققوا منها مجدداً قبل التعاقد.

الحساب الشخصي والخطة التجارية ليسا المنتج نفسه

تغطي صفحة خصوصية المؤسسات لدى OpenAI (المحدّثة في 8 يناير 2026) خطط ChatGPT Business وChatGPT Enterprise وChatGPT Edu وChatGPT for Healthcare وChatGPT for Teachers ومنصة API. وتقول OpenAI إنها لا تدرّب نماذجها على بيانات هذه الخدمات افتراضياً، وإنكم تملكون المدخلات والمخرجات بالقدر الذي يسمح به القانون، وإنها تستطيع توقيع ملحق لمعالجة البيانات (DPA) لخطط ChatGPT Business وChatGPT Enterprise ومنصة API.

الخطط الشخصية تعمل بطريقة أخرى. فصفحة الأسعار لدى OpenAI تذكر أن المحتوى في خطط Free وGo وPlus وPro يُستخدم لتدريب النماذج، مع خيار للإيقاف. ولا تتضمن أي منها الدخول الموحد (SAML SSO)، أي حساب واحد للدخول إلى أنظمة الشركة، ولا لوحة إدارة ولا أدواراً للمسؤولين. ولا تستطيع الشركة أن ترى ما كتبه الموظف في حسابه الشخصي أو تصدّره أو تحذفه.

أخذنا معلومات Business وEnterprise في الجدول من صفحة خصوصية المؤسسات ومن صفحة منتج ChatGPT Business، وراجعناهما في 30 أكتوبر 2026. والميزات تنتقل بين الخطط، فتأكدوا من القائمة الحالية في عقدكم.

ماذا يعني "لا تدريب على بياناتكم"، وما الذي لا يعنيه؟

الالتزام بعدم التدريب افتراضياً وعد مهم، لكنه لا يعني أن OpenAI لا تخزّن بياناتكم ولا تطّلع عليها أبداً. وهناك ثلاثة حدود من المفيد معرفتها قبل اعتماد أي خطة.

• الاحتفاظ بالبيانات مستمر. في Enterprise تقول الصفحة إن المحادثات المحذوفة تُزال من أنظمة OpenAI خلال 30 يوماً، إلا إذا ألزمها القانون بالاحتفاظ بها. وفي Business تضيف استثناءً أوسع: الاحتفاظ لمدة أطول إذا كان ذلك ضرورياً بدرجة معقولة لحماية خدماتها أو أي طرف آخر من الضرر.
• فحوص السلامة مستمرة. تقول OpenAI إنها قد تفحص بيانات الأعمال بأدوات آلية لتصنيف المحتوى وفحص السلامة، وإن المراجعة البشرية لبيانات الأعمال تجري فقط وفق ما تحدده لكل خدمة.
• مسؤولو النظام لديكم يستطيعون قراءة المحادثات. في ChatGPT Business تقول الصفحة إن مسؤولي مساحة العمل يستطيعون عرض محادثات المستخدمين وتصديرها وحذفها. وفي Enterprise يستطيع المسؤولون الحصول على سجل تدقيق للمحادثات عبر Enterprise Compliance API. أخبروا الموظفين بذلك بكلمات واضحة.

وفي الحسابات الشخصية، تذكر صفحة مساعدة OpenAI عن عناصر التحكم في البيانات تفصيلين قد يغفل عنهما المستخدم. المحادثة المؤقتة (Temporary Chat) لا تُستخدم في التدريب، لكن قد يُحتفظ بها حتى 30 يوماً لأغراض السلامة. وإذا أوقف المستخدم التدريب ثم ضغط زر الإعجاب أو عدم الإعجاب على إجابة، فقد تُستخدم المحادثة كاملة في التدريب.

أين تُخزَّن البيانات؟ ولماذا تُعد منطقة الإمارات خارج السعودية؟

في دول الخليج قد يكون سؤال موقع البيانات بأهمية سؤال التدريب نفسه. تقول صفحة OpenAI عن موقع البيانات إن عملاء ChatGPT Enterprise وEdu الجدد المؤهلين يستطيعون تخزين المحتوى المشمول بالخدمة في منطقة يختارونها. والإمارات العربية المتحدة ضمن القائمة، وهي أيضاً واحدة من ثلاث مناطق تتيح تشغيل النموذج على المحتوى المشمول داخل المنطقة نفسها (inference residency). لكن OpenAI تقول إن معالجة أخرى، مثل تسجيل الدخول وتوجيه الطلبات، قد تجري خارج المنطقة.

اقرؤوا الحدود قبل الاعتماد على ذلك. فالصفحة نفسها تقول إن البيانات الوصفية لمساحة العمل (metadata)، ومعلومات الفواتير، وبيانات تسجيل الدخول، والبيانات المرسلة إلى خدمات خارجية مثل البحث على الويب أو التطبيقات المرتبطة، قد تُحفظ خارج المنطقة المختارة. وبعض الميزات غير متاحة مع المعالجة داخل الإمارات.

السعودية ومسودة حفظ البيانات داخل المملكة

منطقة الإمارات تقع خارج المملكة العربية السعودية. ونظام حماية البيانات الشخصية السعودي، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ وتعديلاته، لا يسمح في المادة (29) بنقل البيانات الشخصية خارج المملكة إلا لأغراض محددة وبشروط، منها توفر مستوى حماية كافٍ والاكتفاء بأقل قدر لازم من البيانات. وتضيف لائحة نقل البيانات الشخصية خارج المملكة (الإصدار 2.0، أغسطس 2024) أغراضاً أخرى وحالات إعفاء بضمانات مثل البنود التعاقدية المعيارية. وطرحت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) مسودة تعديل على اللائحة التنفيذية للنظام لاستطلاع الآراء من 6 أكتوبر إلى 5 نوفمبر 2026. وتقترح المسودة إلزام جهة التحكم (أي الجهة التي تقرر لماذا تُعالَج البيانات وكيف) بحفظ البيانات الشخصية داخل المملكة، مع بقاء النقل إلى الخارج مسموحاً إذا استوفى شروط النظام.

ويقرأ بعض مكاتب المحاماة هذا النص بطريقتين: إما أن تبقى نسخة من البيانات داخل المملكة دائماً، وإما أن يكون الحفظ داخل المملكة هو الأصل ما لم يكن هناك نقل يستوفي شروط النظام. ولم يبدأ العمل بالمسودة بعد، فراجعوا النص النهائي قبل أن تعتمدوا على تخزين البيانات في منطقة الإمارات.

الأردن: نقل البيانات إلى الخارج

وينص قانون حماية البيانات الشخصية الأردني رقم (24) لسنة 2023 في المادة (15) على منع نقل البيانات إلى جهة خارج المملكة إذا كان مستوى الحماية لديها أقل مما يوفره القانون، مع استثناءات محددة، ويلزم المسؤول بالتحقق من مستوى الحماية لدى المتلقي قبل النقل. وقد تضيف الجهات المنظمة لكل قطاع شروطاً خاصة بالاستضافة. هذه معلومات عامة وليست استشارة قانونية، والتزاماتكم تتوقف على قطاعكم ونوع البيانات، فتأكدوا منها مع مستشار قانوني.

مثالان توضيحيان من الأردن والخليج

مثال توضيحي: مكتب محاماة في عمّان فيه 25 موظفاً. يدفع عدد من المحامين اشتراكات Plus شخصية، ويلصقون مسودات عقود فيها أسماء العملاء. ولا شيء في هذا الوضع يسمح للمكتب بأن يرى هذه المحادثات أو يصدّرها أو يحذفها، ويبقى التدريب مفعّلاً ما لم يوقفه كل محامٍ بنفسه. نقترح هنا نقل المكتب إلى مساحة عمل Business، والطلب من الموظفين حذف مواد العملاء من حساباتهم الشخصية، ومنع إدخال ما يكشف هوية العملاء حتى يراجع المكتب اتفاقياته معهم وقواعد النقل في القانون الأردني.

مثال توضيحي: مجموعة لوجستية في دبي لها مكتب في الرياض. تريد المجموعة ChatGPT Enterprise مع تخزين البيانات في الإمارات. قد يناسب ذلك السياسة الداخلية لفريق دبي، مع مراعاة قواعد حماية البيانات في الإمارات أو في المنطقة الحرة التي يعمل فيها. أما مكتب الرياض فما زال عليه أن يقرر هل يجوز أصلاً نقل بيانات شخصية سعودية، مثل سجلات السائقين، إلى منطقة في الإمارات، وأن يوثق الأساس النظامي إن فعل. وإذا اعتمدت سدايا شرط حفظ البيانات الشخصية داخل المملكة الوارد في المسودة، فعلى المكتب أيضاً أن يتحقق مما يطلبه هذا الشرط. الإعدادات تجيب عن سؤال مكان التخزين، لكنها لا تجيب عن السؤال القانوني.

هل ChatGPT آمن لبيانات الشركة؟ قاعدة من صفحة واحدة لما يجوز لصقه

ننصح بكتابة قاعدة اللصق قبل شراء الاشتراكات، لأنها هي التي تحدد الخطة التي تحتاجونها. استخدموا مستويات تصنيف البيانات الموجودة لديكم أصلاً. الجدول أدناه قالب للبداية، فعدّلوا الأمثلة بما يناسب قطاعكم.

والإرشادات السعودية أشد في المعلومات المصنفة. فقد طلبت وثيقة "مبادئ الذكاء الاصطناعي التوليدي للعموم" الصادرة عن سدايا في مايو 2025 من الجهات وضع سياسات استخدام تمنع المستخدمين من إدخال المعلومات المصنفة في أدوات طرف ثالث، مع متابعة ومراجعة دورية. وهذه إرشادات وليست نظاماً ملزماً، لكن على الجهات السعودية التي تطبقها إبقاء المعلومات المصنفة وفق تصنيف البيانات لديها خارج أدوات الطرف الثالث، ومنها مساحة العمل التجارية، ما لم تسمح بذلك قواعد التصنيف. ولإعداد سياسة كاملة للموظفين، راجعوا قالب سياسة الاستخدام المقبول للذكاء الاصطناعي.

إعدادات يجب توثيقها قبل الإطلاق

الخطة التجارية لا تنفع إلا إذا ضُبطت إعداداتها ووُثّقت. قبل أن يبدأ الموظفون، سجّلوا كل بند أدناه مع التاريخ واسم من تحقق منه.

1. الدخول يمر عبر نظام الهوية لديكم بالدخول الموحد (SSO) والتحقق متعدد العوامل، ويفقد الموظف المغادر صلاحيته في اليوم نفسه.
2. مدة الاحتفاظ بالبيانات محددة وتتوافق مع سياسة السجلات لديكم.
3. التطبيقات والإضافات المرتبطة محصورة في قائمة معتمدة، لأن البيانات المرسلة إليها تخضع لشروط مزوّد التطبيق، وقد تُحفظ خارج المنطقة المختارة.
4. المشاركة العامة للمحادثات ولنماذج GPT المخصصة (custom GPTs) متوقفة إلا بموافقة شخص محدد بالاسم.
5. أدوات منع تسرّب البيانات (DLP) وتصفية الويب تحجب الحسابات الشخصية في ChatGPT على أجهزة الشركة أو تنبّه عند استخدامها.
6. أُبلغ الموظفون كتابياً بأن مسؤولي النظام يستطيعون الاطلاع على محادثات مساحة العمل.
7. منطقة تخزين البيانات، إن وُجدت، مؤكدة في إعدادات مساحة العمل ومتوافقة مع الرأي القانوني.

وتغطي خدمة حماية الوصول والبيانات في الذكاء الاصطناعي الدخول الموحد والوصول المشروط ومنع تسرّب البيانات وتوثيق إعدادات المنصات. وإذا كان الموظفون يستخدمون حسابات شخصية فعلاً، فابدؤوا بمعرفة أين يستخدمونها. ويشرح دليلنا عن الذكاء الاصطناعي غير المعتمد وكذلك صفحة خدمة الذكاء الاصطناعي غير المعتمد خطوات الاكتشاف.

كيف تبدؤون؟

اختاروا فريقاً واحداً، واكتبوا قاعدة اللصق، واختاروا الخطة التي تتطلبها هذه القاعدة، ووثّقوا الإعدادات أعلاه. بعدها وسّعوا الاستخدام. وإذا أردتم رأياً ثانياً في المواضع التي يصل فيها الذكاء الاصطناعي إلى بياناتكم اليوم، فاحجزوا مسح مخاطر الذكاء الاصطناعي المجاني: محادثة مدتها 45 دقيقة تنتهي بخطوة تالية مكتوبة. وتجدون بقية الضوابط في مختبر الحوكمة.

المختبر المرتبط: مختبر الحوكمة ↖