البيانات والذكاء الاصطناعي: القانون 09.08 واللجنة الوطنية والذكاء الاصطناعي، دون خوف ولا تعقيد

تشمل حوكمة الذكاء الاصطناعي القواعد والأدوار وآليات المراقبة التي تجعل نظام الذكاء الاصطناعي موثوقاً وقابلاً للتتبع ومسؤولاً طوال دورة حياته. بالنسبة لمقاولة مغربية، ثلاثة أطر مهمة: القانون 09.08 بمجرد أن يعالج الذكاء الاصطناعي معطيات شخصية، وقانون الذكاء الاصطناعي الأوروبي (AI Act) بمجرد أن تُستعمل نتائجه داخل الاتحاد الأوروبي، والمواصفة ISO/IEC 42001 لتنظيم كل ذلك في نظام إدارة قابل للإشهاد.

4 دقائق للقراءة

منذ 11 غشت 2026، يجب على المهني الذي يستقطب مركزُ الاتصال مستهلكين في فرنسا لحسابه أن يكون قادراً على إثبات موافقة مسبقة مُعبَّر عنها بفعل إيجابي، تذكر العلامة وموضوع المكالمة، ويقل عمرها عن سنة؛ وهو يشترط عملياً على المركز تقديم هذا الإثبات بالنسبة لكل رقم. ويفرض المرسوم رقم 2026-662 حفظ هذا الإثبات لمدة ثلاث سنوات على الأقل ووضعه رهن إشارة المستهلك. ودون إثبات، لا يستطيع المهني أن يُبيّن مشروعية المكالمة، لأن عبء الإثبات يقع عليه.

7 دقائق للقراءة

ISO/IEC 42001:2023 هي أول مواصفة دولية قابلة للإشهاد لنظام إدارة الذكاء الاصطناعي، وتُطبَّق على كل مؤسسة تطوّر الذكاء الاصطناعي أو تقدّمه أو تستعمله. وتفرض سياسة للذكاء الاصطناعي، وتقييماً للمخاطر والآثار، وبياناً لقابلية التطبيق، وخطة للمعالجة، بالاستناد إلى 38 تدبيراً مرجعياً موزعة على تسعة مجالات.

4 دقائق للقراءة

منذ 11 غشت 2026، يمنع القانون الفرنسي رقم 2025-594 الاتصال بمستهلك لاستقطابه دون موافقته المسبقة، إلا في إطار عقد جارٍ أو بالنسبة للاشتراك في الصحافة. ويحدد المرسوم رقم 2026-662 صلاحية الموافقة في سنة واحدة ويفرض حفظ إثباتها لمدة ثلاث سنوات. ويشمل المنع أيضاً المكالمات التي يجريها طرف ثالث، وبالتالي مركز موجود في المغرب.

7 دقائق للقراءة

يجب على المكتب الخاضع للقانون 43.05 تحديد هوية عملائه؛ ويفرض عليه القانون 09.08 القيام بذلك دون إفراط. فأساس المعالجة هو الالتزام القانوني (المادة 4 من القانون 09.08)، ويجب إخبار العميل (المادة 5)، وتتطلب معالجة رقم البطاقة الوطنية للتعريف إذناً مسبقاً من اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (المادة 12). نجمع ما يفرضه القانون، ونحفظه عشر سنوات، ثم نحذفه.

7 دقائق للقراءة

تعني الخصوصية منذ التصميم (Privacy by Design) إدماج حماية المعطيات منذ مرحلة تصميم المنتج أو الموقع أو المسطرة، بدل إضافتها لاحقاً. صاغتها آن كافوكيان في سبعة مبادئ، وأصبحت التزاماً داخل الاتحاد الأوروبي بموجب المادة 25 من اللائحة العامة لحماية البيانات. لا يستعمل القانون 09.08 هذا المصطلح، لكن متطلباته المتعلقة بالتناسب والأمن تؤدي إلى المنهجية نفسها.

4 دقائق للقراءة

يطرح الذكاء الاصطناعي في خدمة العملاء ستة مخاطر رئيسية: الأجوبة غير الدقيقة، التحيز، غياب الشفافية، تسريب المعطيات، غياب التحويل إلى موظف بشري، والضعف في اللغات المحلية. وأهم الضمانات: نطاق محدود، أجوبة مبنية على قاعدة معارف مصادَق عليها، إخبار العميل، تحويل سهل إلى موظف بشري، اختبارات بالفرنسية والعربية والدارجة، تسجيل العمليات، ومسطرة للحوادث.

4 دقائق للقراءة

يمكن للذكاء الاصطناعي فرز الشكايات وتصنيفها وتلخيصها وإعداد مسودات الردود. وأبرز المخاطر هي شكاية تنظيمية مصنَّفة خطأً تفلت من الآجال، ورد يَعِد بما لم تقرره المقاولة، وفوارق حسب اللغة، وتسرّب للمعطيات. وفي المغرب، يُطبَّق القانون 09.08 ومادته 11؛ ومنذ 2 غشت 2026، يفرض قانون الذكاء الاصطناعي الأوروبي (AI Act) إخبار عملاء الاتحاد الأوروبي بأنهم يتحاورون مع ذكاء اصطناعي.

7 دقائق للقراءة

يشترك القانون 09.08 واللائحة الأوروبية العامة لحماية البيانات في المبادئ الأساسية نفسها (الغاية، التناسب، الأمن، حقوق الأشخاص)، لكنهما يختلفان بعمق في منطقهما. يقوم القانون المغربي على إجراءات مسبقة لدى اللجنة الوطنية وعلى عقوبات زجرية، بينما تقوم اللائحة الأوروبية على مسؤولية المؤسسات وتوثيقها الداخلي وعلى غرامات إدارية قد تصل إلى 4٪ من رقم المعاملات العالمي.

4 دقائق للقراءة

المعطيات المتعلقة بالصحة معطيات حساسة بمفهوم المادة 1 من القانون 09.08. والأصل أن معالجتها تخضع للإذن المسبق من اللجنة الوطنية. غير أن المادة 22 تكتفي بالتصريح عندما تكون المعالجة لأغراض الطب الوقائي أو التشخيص أو العلاج أو تدبير المصالح الصحية، ويقوم بها مهني ملزم بالسر المهني. وفي كل الأحوال، يجب على المصحات والعيادات والمختبرات والمنصات القيام بالإجراء المناسب، وإخبار المرضى، وتأمين الولوج إلى الملفات بصرامة.

4 دقائق للقراءة

منذ 2 فبراير 2025، تحظر المادة 5(1)(f) من قانون الذكاء الاصطناعي الأوروبي (AI Act) استعمال الذكاء الاصطناعي لاستنتاج مشاعر الأشخاص في مكان العمل، إلا لأسباب طبية أو أمنية. وفي مراكز الاتصال، يستهدف ذلك التحليل الصوتي أو المرئي لمشاعر المستشارين. أما تحليل مشاعر العملاء فليس محظوراً، لكنه يفرض الإخبار منذ 2 غشت 2026، وسيُعامَل كاستعمال عالي المخاطر ابتداءً من 2 دجنبر 2027.

7 دقائق للقراءة

يفترض تقييم نظام ذكاء اصطناعي التمييز بين ثلاثة تمارين: تدقيق نظام التدبير (ISO/IEC 42001، الذي تمنح إشهاده هيئات معتمدة وفق ISO/IEC 42006)، والتقييم التقني للنموذج (الانحيازات، والمتانة، والدقة، وفق ISO/IEC TR 24027 وTS 12791)، ودراسة الأثر على الأشخاص (ISO/IEC 42005). وبالنسبة للأنظمة عالية المخاطر الواردة في الملحق الثالث، ستُطبَّق متطلبات قانون الذكاء الاصطناعي الأوروبي (AI Act) ابتداءً من 2 دجنبر 2027.

8 دقائق للقراءة

تُطبَّق المادة 4 من قانون الذكاء الاصطناعي الأوروبي (AI Act) منذ 2 فبراير 2025. وبعد تعديلها باللائحة (الاتحاد الأوروبي) 2026/1744، السارية المفعول في 27 يوليوز 2026، أصبحت تُلزم المزوّدين والجهات المستخدِمة باتخاذ تدابير لدعم تطوير إلمام مستخدَميهم بالذكاء الاصطناعي، دون مستوى يتعين ضمانه، ودون شهادة أو مسؤول معيَّن. وتكون المقاولة المغربية معنية بمجرد أن تُستعمل نتائج أنظمتها للذكاء الاصطناعي داخل الاتحاد.

7 دقائق للقراءة

تعالج الأبناك وشركات التأمين من أكثر المعطيات حساسية: الهوية، المداخيل، العمليات، والصحة بالنسبة للتأمين. ويُطبَّق عليها القانون 09.08 بالكامل، إلى جانب السر المهني والتزامات معرفة العميل. ونقاط الانتباه هي المعطيات الصحية الخاضعة مبدئياً للإذن، والنقل نحو الحوسبة السحابية، والاستقراء التجاري، والقرارات الآلية، وتبادل المعطيات بين البنك وشركة التأمين.

4 دقائق للقراءة

في الأبناك والتأمين، يتدخل الذكاء الاصطناعي في قرارات ذات آثار مهمة: منح القروض، التسعير، رصد الاحتيال. في المغرب، تحد المادة 11 من القانون 09.08 من القرارات المبنية على مجرد المعالجة الآلية. ويصنّف القانون الأوروبي تقييم الملاءة الائتمانية للأشخاص وتسعير التأمين على الحياة والصحة ضمن الأنظمة عالية المخاطر، بالتزامات تُطبَّق ابتداءً من 2 دجنبر 2027 حين يسري هذا القانون.

3 دقائق للقراءة

تمتد دورة حياة نظام الذكاء الاصطناعي من تصميمه إلى سحبه. وتقترح المواصفة ISO/IEC 22989 نموذجاً عاماً لها: التصور الأولي، التصميم والتطوير، التحقق والمصادقة، النشر، الاستغلال والمراقبة، المصادقة المستمرة، إعادة التقييم، ثم السحب. وتفرض ISO/IEC 42001 تحديد متطلبات وتدابير مراقبة موثَّقة لكل مرحلة.

4 دقائق للقراءة

منذ 2 غشت 2026، تفرض المادة 50 من قانون الذكاء الاصطناعي الأوروبي (AI Act) إخبار كل شخص يتبادل مع روبوت محادثة أو روبوت صوتي بأنه يتحدث مع ذكاء اصطناعي، على أبعد تقدير عند أول تفاعل، وبطريقة واضحة ويسهل الوصول إليها. ويكون مركز الاتصال المغربي معنياً بذلك عندما تُستعمل مخرجات وكلائه الحواريين داخل الاتحاد الأوروبي: بشكل مباشر إذا كان مزوّد الأداة، وعملياً، بصفته جهة مستخدِمة، من خلال التحقق من أن الإخبار لم يُعطَّل. ويُفسَّر استثناء الطابع «الواضح» تفسيراً ضيقاً.

7 دقائق للقراءة

ينص القانون 09.08 على عقوبات زجرية تتراوح غراماتها بين 10.000 و300.000 درهم حسب المخالفة، مع عقوبات حبسية من ثلاثة أشهر إلى سنة بالنسبة لأغلب المخالفات. وتُضاعف الغرامات بالنسبة للأشخاص المعنويين (المادة 64) وفي حالة العود (المادة 65). كما يمكن للجنة الوطنية سحب الوصل أو الإذن.

4 دقائق للقراءة

يُطبَّق قانون الذكاء الاصطناعي الأوروبي على مراكز الاتصال ومقاولات الخدمات المفوَّضة المغربية عندما تُستعمل نتائج أنظمتها داخل الاتحاد الأوروبي، مثل روبوت محادثة أو روبوت صوتي يجيب عملاء فرنسيين. ومنذ 2 غشت 2026، يجب أن تُخبر هذه الأنظمة الأشخاص بأنهم يتحدثون مع ذكاء اصطناعي. أما الالتزامات الخاصة بالأنظمة عالية المخاطر فقد أُجّلت إلى 2 دجنبر 2027 بموجب اللائحة (الاتحاد الأوروبي) 2026/1744.

6 دقائق للقراءة

إلى غاية 25 شتنبر 2026، لا يتوفر المغرب على قانون خاص بالذكاء الاصطناعي ساري المفعول. ويبقى الذكاء الاصطناعي مؤطراً بالنصوص القائمة، وفي مقدمتها القانون 09.08 المتعلق بالمعطيات الشخصية، الذي تحد مادته 11 من القرارات الآلية. ومشروع قانون إطار للرقمي، Digital X.0، قيد الإعداد، كما قُدّمت خارطة الطريق «المغرب ذكاء اصطناعي 2030» في يناير 2026.

4 دقائق للقراءة

بمفهوم قانون الذكاء الاصطناعي الأوروبي (AI Act)، المزوّد هو من يطوّر نظام ذكاء اصطناعي ويطرحه في السوق باسمه (المادة 3(3))؛ والجهة المستخدِمة هي من تستعمله تحت سلطتها (المادة 3(4)). ومركز الاتصال المغربي هو في الغالب جهة مستخدِمة، لكنه يصبح مزوّداً إذا طوّر أداته الخاصة أو سوّقها، أو وضع اسمه على نظام عالي المخاطر (المادة 25).

7 دقائق للقراءة

المركز المغربي الذي يعالج معطيات لفائدة عميل أوروبي يتصرف في أغلب الأحيان بصفته مناولاً (معالجاً من الباطن) بمفهوم النظام الأوروبي العام لحماية المعطيات (RGPD). وفي غياب قرار كفاية بالنسبة للمغرب، يقوم النقل على البنود التعاقدية النموذجية لسنة 2021 (الوحدة 2 إذا كان العميل مسؤولاً عن المعالجة، والوحدة 3 إذا كان هو نفسه مناولاً)، مع تقييم لأثر النقل في ست مراحل. ويظل القانون 09.08 مطبَّقاً على المعالجة المنجزة في المغرب.

7 دقائق للقراءة

لا يفرض القانون 09.08 تعيين مندوب لحماية المعطيات (DPO). غير أن مقاولة مغربية قد تكون ملزمة بذلك بموجب اللائحة الأوروبية العامة لحماية البيانات إذا كانت تستهدف أشخاصاً داخل الاتحاد الأوروبي واستوفت شروط المادة 37. وفي جميع الحالات، يُعد تعيين مسؤول داخلي عن حماية المعطيات ممارسة جيدة، وقد طلبت اللجنة الوطنية سنة 2025 تعييناً واضحاً للمسؤولين داخل المؤسسات.

4 دقائق للقراءة

في المغرب، لا يُسمح بنقل المعطيات الشخصية نحو الخارج إلا إلى دولة واردة في لائحة الدول التي توفر حماية كافية (مداولة اللجنة الوطنية رقم 236-2015)، أو في إحدى الحالات الاستثنائية المنصوص عليها في المادة 44 من القانون 09.08. خارج هذه الحالات، يتطلب النقل إذناً من اللجنة الوطنية يُطلب بواسطة الاستمارة F118.

4 دقائق للقراءة