الرد على استبيان الأمن والامتثال لعميل أوروبي

لماذا يرسل إليك عميلك هذا الاستبيان#

يبقى عميلك الأوروبي مسؤولاً عما تقوم به لحسابه. فإذا كان مسؤولاً عن المعالجة بمفهوم RGPD، فإن المادة 28 تُلزمه بأن يوقّع معك عقداً دقيقاً، وتُلزمك في المقابل بأن تقدم له المعلومات اللازمة لإثبات امتثالك وبأن تسمح بعمليات الافتحاص. والاستبيان هو أبسط وسيلة بالنسبة له لتوثيق هذا الاختيار.

وثلاثة عوامل تجعل هذه الاستبيانات أكثر تطلباً بالنسبة لمقدم خدمة مغربي:

• لا يتوفر المغرب على قرار كفاية صادر عن المفوضية الأوروبية. لذلك يجب أن يستند كل تدفق للمعطيات نحو المغرب إلى ضمانات ملائمة، وهي عملياً البنود التعاقدية النموذجية، وإلى تقييم لعمليات النقل. وتجد التفاصيل في دليلنا حول المناول المغربي لعميل أوروبي.
• قانون الذكاء الاصطناعي الأوروبي (AI Act) يُطبَّق على مقدمي الخدمات المقيمين خارج الاتحاد عندما تُستعمل نتائج أنظمتهم للذكاء الاصطناعي داخل الاتحاد (المادة 2). ويريد عميلك أن يعرف أي ذكاء اصطناعي تستعمل وما هو دورك.
• برامج مخاطر الأغيار لدى كبار الآمرين بالأشغال أصبحت أكثر هيكلة. ويصف الدليل حول تدبير مخاطر الأغيار هذه المنظومة من جهة المشتري؛ وهذه الصفحة هي مقابلها من جهة المورّد.

المجالات الستة لاستبيان نموذجي#

تختلف الصيغ (جدول بيانات داخلي، منصة تقييم، استبيان قطاعي)، لكن المحاور تتكرر في الغالب الأعم.

بالنسبة للذكاء الاصطناعي، يبقى السؤال الحاسم هو سؤال الدور: فالمركز الذي يستعمل روبوت محادثة من إنتاج ناشر لا يتحمل الالتزامات نفسها التي يتحملها من يطوّره ويسوّقه باسمه. ويتيح لك دليل مزوّد أم مستخدِم الحسم في ذلك. وإذا كان وكيل محادثة يجيب العملاء الأوروبيين، فتوقّع أيضاً سؤالاً حول واجب إخبار العميل بأنه يتحدث مع ذكاء اصطناعي، المطبَّق منذ 2 غشت 2026.

ISO 27001 وISO 27701: دليل لا التزام قانوني#

يُشهد معيار ISO/IEC 27001 على نظام لإدارة أمن المعلومات، ويوسّعه معيار ISO/IEC 27701 ليشمل إدارة الخصوصية. ولا يفرض أيّاً منهما RGPD ولا القانون 09.08 ولا قانون الذكاء الاصطناعي الأوروبي. وتكمن فائدتهما في مكان آخر: فالشهادة الصادرة عن هيئة معتمدة، مرفقة ببيان قابلية التطبيق، تجيب دفعة واحدة عن جزء كبير من مجال الأمن.

وتفرض ثلاثة احتياطات نفسها:

• تحقق من النطاق. الشهادة التي تغطي المقر الرئيسي دون المنصة التي تعالج معطيات العميل لا تثبت شيئاً بالنسبة لهذا العميل. والنطاق مذكور في الشهادة.
• لا تخلط بين الإشهاد والامتثال. فمعيار ISO 27001 لا يقول شيئاً عن بنودك التعاقدية النموذجية، ولا عن إجراءاتك لدى اللجنة الوطنية، ولا عن التزاماتك بموجب قانون الذكاء الاصطناعي الأوروبي.
• فضّل الحقيقة على الجدول الزمني. «الإشهاد مستهدف خلال اثني عشر شهراً، وأُنجز افتحاص تجريبي» جواب مقبول. أما «ممتثل لـISO 27001» دون شهادة فليس كذلك.

وبالنسبة للذكاء الاصطناعي، يؤدي معيار ISO/IEC 42001 دوراً مماثلاً؛ انظر دليلنا حول الإشهاد وفق ISO 42001.

بناء قاعدة الأدلة#

قاعدة الأدلة فضاء وثائقي، مضبوط ومؤرَّخ، يُحيل فيه كل تأكيد وارد في الاستبيان على وثيقة محددة. وهي تحوّل اختباراً متكرراً إلى عملية تحيين.

1. انطلق من الاستبيانات التي سبق أن توصلت بها. صنّف الأسئلة حسب المجال وحدّد تلك التي تتكرر.
2. حرّر جواباً مرجعياً لكل سؤال، يعتمده المسؤول عن المجال، مع تاريخ الاعتماد.
3. اربط دليلاً بكل جواب: سياسة، مسطرة، مقتطف من السجل، لقطة من الإعدادات، تقرير اختبار، عقد نموذجي.
4. صنّف الأدلة في مستويين: تلك التي يمكنك إرسالها (السياسات، الشهادات)، وتلك التي تعرضها فقط خلال الافتحاص أو عبر الاتصال المرئي (تقارير اختبارات الاختراق المفصلة، البنية المعمارية).
5. عيّن مالكاً وتاريخ مراجعة لكل وثيقة. فالدليل المتجاوَز أسوأ من غياب الدليل.
6. امسك سجلاً للإرسالات: أي وثيقة، لأي عميل، بموجب أي اتفاق سرية، وفي أي تاريخ.

وإذا كنت تقوم بالاستقطاب لحساب عملاء فرنسيين، فأضف ملفاً خاصاً بـإثبات الموافقة، الذي يضعه التنظيم الفرنسي على عاتق المهني.

من يجيب عن ماذا#

المنسق الوحيد هو المفتاح: فهو يضمن ألا تتناقض الأجوبة من مجال إلى آخر ولا من عميل إلى آخر.

الأخطاء الواجب تجنبها#

• الإجابة بـ«نعم» عن كل شيء لكي لا تخسر الصفقة. فالافتحاص اللاحق سيكلفك العلاقة.
• نسخ سياسات مجموعة أخرى دون تطبيقها. فالعميل سيطلب أدلة على التطبيق، لا نصوصاً.
• نسيان المعالجين من الباطن اللاحقين: ناشر برنامج الاتصالات الهاتفية أو أداة الذكاء الاصطناعي التوليدي التي يستعملها المستشارون يدخلان ضمنهم.
• إرسال وثائق حساسة دون اتفاق سرية ولا سجل للإرسالات.
• ترك المسؤول التجاري يجيب وحده، دون اعتماد من المسؤولين عن المجالات.
• التعامل مع كل استبيان كحالة فريدة، بدل إغناء قاعدة الأدلة.

خطة العمل#

• تعيين منسق الاستبيانات والمسؤولين عن المجالات.
• تجميع آخر ثلاثة استبيانات تم التوصل بها واستخراج الأسئلة المتكررة منها.
• تحرير الأجوبة المرجعية واعتمادها.
• تكوين قاعدة الأدلة، مع مالك وتاريخ مراجعة لكل وثيقة.
• تحيين لائحة المعالجين من الباطن اللاحقين وجرد أنظمة الذكاء الاصطناعي باستمرار.
• التحقق من عقد المادة 28 والبنود التعاقدية النموذجية وتقييم عمليات النقل لكل عميل.
• برمجة مراجعة شاملة مرة واحدة في السنة على الأقل، وعند كل تغيير مهم.