قانون الاتحاد الأوروبي للذكاء الاصطناعي بات نافذاً. إليك ما يتطلبه فعلياً.

يُلزم قانون الاتحاد الأوروبي للذكاء الاصطناعي المؤسسات التي تطوّر أو تنشر أنظمة ذكاء اصطناعي مشمولة بالقانون بتصنيف كل نظام حسب مستوى مخاطره والامتثال للالتزامات المرتبطة بهذا التصنيف. وفي حال تعلق الأمر بأنظمة ذكاء اصطناعي عالية المخاطر، فهذا يعني وجود أنظمة لإدارة الجودة، وتوثيق فني كامل، والاحتفاظ بسجلات التشغيل، وإجراء تقييمات مطابقة، وإدماج الرقابة البشرية في تصميم النظام قبل طرحه في السوق. أصبحت الممارسات المحظورة قابلة للتنفيذ منذ فبراير 2025، ودخلت التزامات نماذج الذكاء الاصطناعي العامة الغرض (GPAI) حيّز التنفيذ في أغسطس 2025، فيما تسري التزامات الشفافية بموجب المادة 50 اعتباراً من أغسطس 2026. تصل العقوبات إلى 35 مليون يورو أو 7% من إجمالي الإيرادات السنوية العالمية، وهو سقف أعلى من نسبة 4% المعتمدة في اللائحة العامة لحماية البيانات (GDPR). لم يعد السؤال المطروح هو ما إذا كان القانون ينطبق على شركتك، بل ما إذا كانت عمليات نشر الذكاء الاصطناعي الحالية لديك متوافقة معه.

الجدول الزمني للامتثال لقانون الاتحاد الأوروبي للذكاء الاصطناعي

دخل قانون الاتحاد الأوروبي للذكاء الاصطناعي حيّز النفاذ في 1 أغسطس 2024. وتُطبَّق التزاماته على مراحل، وفق محطات تنفيذ رئيسية:

• 2 فبراير 2025 - الممارسات المحظورة ومحو الأمية الرقمية بالذكاء الاصطناعي: أصبحت ممارسات الذكاء الاصطناعي المحظورة غير قانونية وقابلة للتنفيذ. وأصبح المزوّدون والجهات المُشغِّلة مسؤولين عن ضمان مستوى مناسب من محو الأمية بالذكاء الاصطناعي بين موظفيهم والأشخاص الآخرين الذين يتعاملون مع أنظمة الذكاء الاصطناعي نيابةً عنهم.
• 2 أغسطس 2025 - الذكاء الاصطناعي العام الغرض (GPAI): دخلت التزامات حوكمة النماذج الخاصة بمزوّدي نماذج الذكاء الاصطناعي العامة الغرض حيّز التنفيذ. وأصبحت أحكام العقوبات سارية على الالتزامات النافذة حينها.
• 2 أغسطس 2026 - الشفافية والرقابة السوقية: تسري واجبات الشفافية بموجب المادة 50. إذ يجب إعلام المستخدمين عند تفاعلهم مع الذكاء الاصطناعي (كأنظمة الدردشة الآلية مثلاً)، ويجب وضع علامات على المحتوى المُولَّد أو المُعدَّل بالذكاء الاصطناعي أو الإفصاح عنه حيثما يُطلب ذلك. وتبدأ السلطات الوطنية المختصة بممارسة كامل صلاحيات الإنفاذ على الأحكام النافذة.
• 2 ديسمبر 2027 - أنظمة الذكاء الاصطناعي عالية المخاطر القائمة بذاتها بموجب الملحق الثالث: تصبح أنظمة الذكاء الاصطناعي عالية المخاطر المدرجة في الملحق الثالث (أدوات الموارد البشرية والتوظيف، والتعليم، والتصنيف الائتماني، والبنية التحتية الحيوية، والقياسات الحيوية، وإنفاذ القانون، والهجرة، والقضاء) خاضعة لالتزامات الامتثال الكاملة. وقد جرى تمديد هذا الموعد النهائي من أغسطس 2026 عقب حزمة التبسيط التشريعي الأوروبية (Omnibus) لعام 2026.
• 2 أغسطس 2028 - أنظمة الذكاء الاصطناعي عالية المخاطر المدمجة في المنتجات بموجب الملحق الأول: تصبح أنظمة الذكاء الاصطناعي عالية المخاطر المدمجة كمكونات سلامة في منتجات مادية خاضعة للتنظيم، بما في ذلك الآلات والأجهزة الطبية والمركبات، خاضعة لمتطلبات الامتثال الكاملة (بعد تأجيلها من أغسطس 2027 بموجب تعديلات Omnibus لعام 2026).

تسري تمديدات الجدول الزمني الناتجة عن حزمة Omnibus على مواعيد الأنظمة عالية المخاطر (الملحقان الأول والثالث) بهدف مواءمتها مع المعايير الفنية، إلا أن الممارسات المحظورة، وقواعد أنظمة الذكاء الاصطناعي العامة الغرض (GPAI)، وواجبات الشفافية بموجب المادة 50، ونظام العقوبات تبقى جميعها على جداولها الزمنية النافذة.

الفئات الأربع للمخاطر وما تعنيه عملياً

المخاطر غير المقبولة (محظورة منذ 2 فبراير 2025)

هذه الممارسات محظورة بشكل قطعي. وبالنسبة للشركات المتوسطة الحجم، تشمل أبرز المحظورات ما يلي:

• أنظمة التعرّف على المشاعر في أماكن العمل والمؤسسات التعليمية.
• أنظمة الذكاء الاصطناعي التي تستغل نقاط الضعف المرتبطة بالعمر أو الإعاقة أو الأوضاع الاجتماعية والاقتصادية الخاصة لتحريف السلوك.
• التعرّف البيومتري عن بُعد في الزمن الفعلي في الأماكن المتاحة للعموم (باستثناءات ضيقة لأغراض إنفاذ القانون).
• الجمع العشوائي غير المستهدف لصور الوجوه من الإنترنت أو كاميرات المراقبة لبناء قواعد بيانات للتعرّف على الوجوه.

إذا كانت أدوات مراقبة الموظفين أو تحليلات الموارد البشرية أو أدوات التفاعل مع العملاء لديك تتضمن أياً من هذه القدرات، فهي غير متوافقة مع القانون الأوروبي.

المخاطر العالية (تُطبَّق تدريجياً حتى 2027-2028)

بالنسبة لمعظم الشركات المتوسطة الحجم، تتركز جهود الامتثال في فئة المخاطر العالية. ومن الأمثلة ذات الصلة:

• الذكاء الاصطناعي العامل كمكوّن سلامة في الآلات أو المركبات أو الأجهزة الطبية (الملحق الأول - نافذ اعتباراً من 2 أغسطس 2028).
• أدوات فرز السير الذاتية وترتيب المرشحين ومراقبة أداء الموظفين المدعومة بالذكاء الاصطناعي (الملحق الثالث - نافذ اعتباراً من 2 ديسمبر 2027).
• الذكاء الاصطناعي المستخدم في التقييم الائتماني وبعض تقييمات مخاطر التأمين (الملحق الثالث - نافذ اعتباراً من 2 ديسمبر 2027).
• الذكاء الاصطناعي المستخدم في تشغيل البنية التحتية الحيوية، بما في ذلك الصيانة التنبؤية الحرجة للسلامة (الملحق الثالث - نافذ اعتباراً من 2 ديسمبر 2027).

المخاطر المحدودة (نافذة اعتباراً من 2 أغسطس 2026)

تندرج ضمن هذه الفئة أنظمة الدردشة الآلية وأنظمة الذكاء الاصطناعي التي تُولّد محتوى اصطناعياً. والالتزام الجوهري هنا هو شفافية المادة 50: يجب إعلام المستخدمين بأنهم يتفاعلون مع ذكاء اصطناعي، ويجب وضع علامات على المحتوى المُولَّد أو المُعدَّل بالذكاء الاصطناعي أو الإفصاح عنه حيثما تقتضي المادة 50 ذلك. ولا يُشترط إجراء تقييم مطابقة رسمي.

المخاطر الدنيا

تشمل هذه الفئة عوامل تصفية البريد العشوائي وألعاب الفيديو وأدوات البحث القياسية في المستندات المدعومة بالذكاء الاصطناعي. ولا تفرض هذه الأنظمة أي التزامات قانونية إلزامية بموجب القانون، وإن كانت مدونات السلوك الطوعية موصى بها.

ما تتطلبه فعلياً متطلبات الامتثال لأنظمة الذكاء الاصطناعي عالية المخاطر

إذا كنت تنشر أو تطوّر نظام ذكاء اصطناعي عالي المخاطر، يحدد القانون متطلبات قانونية إلزامية يجب استيفاؤها قبل طرح النظام في السوق أو بدء استخدامه التشغيلي:

• نظام إدارة الجودة (المادة 17) - سياسات موثقة تغطي حوكمة البيانات، وتصميم النظام، وإدارة التغيير، والمراقبة اللاحقة للطرح في السوق، والإبلاغ عن الحوادث.
• التوثيق الفني (المادة 11) - توثيق كامل لغرض النظام، وبيانات التدريب، والبنية المعمارية، ومؤشرات الأداء، والقيود المعروفة (وفقاً للمادة 11، مع الاحتفاظ به لمدة 10 سنوات بعد طرح النظام في السوق بموجب المادة 18).
• الاحتفاظ بالسجلات (المادتان 12 و26) - يجب على المزوّدين تفعيل إمكانيات التسجيل الفني (المادة 12). ويجب على الجهات المُشغِّلة، حيثما تكون السجلات تحت سيطرتها وممكنة تقنياً، الاحتفاظ بالسجلات المُولَّدة تلقائياً لمدة مناسبة، لا تقل عن ستة أشهر، ما لم ينطبق قانون أوروبي أو وطني آخر (المادة 26).
• تقييم المطابقة (المادة 43) - يُستكمل قبل طرح النظام في السوق أو بدء استخدامه. وحسب نوع النظام، قد يكون ذلك تقييماً ذاتياً أو تقييماً من طرف ثالث.
• إعلان مطابقة الاتحاد الأوروبي وعلامة CE (المادتان 47 و48) - إعلان رسمي وعلامة CE تثبت استيفاء النظام لمتطلبات القانون قبل طرحه في السوق.
• التسجيل في قاعدة بيانات الاتحاد الأوروبي للذكاء الاصطناعي (المادة 49) - تسجيل إلزامي للنظام في قاعدة البيانات الرسمية للاتحاد الأوروبي قبل طرحه في السوق أو بدء استخدامه.
• الرقابة البشرية (المادة 14) - يجب على المزوّدين تصميم آليات رقابة فعّالة ضمن تصميم النظام، تُمكّن المُشغِّلين من فهم حدود النظام، ومنع التحيّز الآلي، والتدخل لإيقاف النظام عند الحاجة.

تتحمل الجهات المُشغِّلة، أي الشركات التي تستخدم أنظمة ذكاء اصطناعي عالية المخاطر طوّرها طرف ثالث، التزامات أيضاً. وتشمل هذه الالتزامات إجراء تقييمات أثر على الحقوق الأساسية (FRIA بموجب المادة 27) للسلطات العامة ومزوّدي الخدمات الأساسية، وتطبيق تدابير رقابة بشرية مناسبة، والاحتفاظ بالسجلات.

استخدام ChatGPT أو Claude أو Gemini في منتجك. ما يعنيه ذلك بموجب القانون.

تسري التزامات الذكاء الاصطناعي العام الغرض (GPAI) التي دخلت حيّز التنفيذ في أغسطس 2025 بشكل أساسي على مزوّدي نماذج GPAI، مثل OpenAI وAnthropic وGoogle، وليس على الشركات التي تستخدم واجهات برمجة تطبيقاتها (API) لعمليات تجارية اعتيادية.

إذا كانت شركتك تستخدم نموذج ذكاء اصطناعي من طرف ثالث عبر واجهة برمجة تطبيقات (API) لتشغيل سير عمل داخلي أو ميزات موجهة للعملاء، فأنت تُعتبرالمزوّد. وينحصر تعرّضك للامتثال في ضمان ألا تندرج حالة الاستخدام ضمن فئة محظورة أو عالية المخاطر، والامتثال لمتطلبات الشفافية بموجب المادة 50.

يتغير الأمر إذا قمت ببناء ونشر منتج يُعدِّل بشكل جوهري نموذج GPAI، أو إذا طرحته في السوق الأوروبية تحت علامتك التجارية أو اسمك التجاري الخاص. وفي هذه الحالة، تتحمل شركتكصفة المزوّد بموجب القانون، وتتولى الالتزامات المقابلة، بما في ذلك التوثيق الفني والشفافية، وحيثما يصل النظام إلى عتبة المخاطر العالية، إجراء تقييم مطابقة كامل.

النطاق خارج الإقليمي

المادة 2 من القانون واضحة: فهي تنطبق على أي شركة تطرح أنظمة ذكاء اصطناعي في السوق الأوروبية، أو تؤثر مخرجات ذكائها الاصطناعي على مستخدمين موجودين داخل الاتحاد الأوروبي، بصرف النظر عن مقر الشركة الرئيسي أو موقع فريقها الهندسي.

الشركة التي يقع مقرها الرئيسي في الولايات المتحدة أو المملكة المتحدة أو آسيا، وتضم فرق تطوير في فيتنام أو الهند أو الفلبين، تخضع لكامل التزامات الشركة الأوروبية إذا كان منتجها يخدم مستخدمين داخل الاتحاد الأوروبي. فما يحدد الانطباق هو مكان طرح النظام أو استخدامه، لا مكان تطويره.

العقوبات

تتوزع صلاحيات الإنفاذ بين سلطات الرقابة السوقية الوطنية ومكتب الذكاء الاصطناعي الأوروبي:

• الممارسات المحظورة: تصل إلى 35 مليون يورو أو 7% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى.
• عدم الامتثال المتعلق بالذكاء الاصطناعي عالي المخاطر: تصل إلى 15 مليون يورو أو 3% من إجمالي الإيرادات السنوية العالمية.
• تقديم معلومات غير صحيحة للسلطات: تصل إلى 7.5 مليون يورو أو 1.5% من إجمالي الإيرادات السنوية العالمية.

بنسبة 7%، يتجاوز سقف الغرامة القصوى في قانون الذكاء الاصطناعي سقف 4% المعتمد في اللائحة العامة لحماية البيانات (GDPR). وتواجه الشركات غير الأوروبية النطاق ذاته من العقوبات تماماً.

الأسئلة الشائعة

ما الذي يتطلبه قانون الاتحاد الأوروبي للذكاء الاصطناعي من الشركات في عام 2026؟

في عام 2026، يجب على المؤسسات جرد وتقييم أنظمة الذكاء الاصطناعي التي تطوّرها أو تنشرها. ويجب على الشركات ضمان الامتثال لـالتزامات الشفافية بموجب المادة 50 (إعلام المستخدمين عند تفاعلهم مع أنظمة الدردشة الآلية والإفصاح عن الوسائط المُولَّدة بالذكاء الاصطناعي)، وضمان مستوى مناسب من محو الأمية بالذكاء الاصطناعي، وتحديد الأدوات عالية المخاطر مقارنة بمواعيد الامتثال في عامي 2027 و2028.

هل ينطبق قانون الاتحاد الأوروبي للذكاء الاصطناعي على الشركات خارج الاتحاد الأوروبي؟

نعم. تنطبق المادة 2 على أي مزوّد أو جهة مُشغِّلة يُطرح نظام الذكاء الاصطناعي الخاص بها في السوق الأوروبية أو تؤثر مخرجاتها على أفراد داخل الاتحاد الأوروبي، بصرف النظر عن موقع الشركة. فالشركة غير الأوروبية التي تبيع منتجاً مدعوماً بالذكاء الاصطناعي لعملاء أوروبيين تخضع للالتزامات ذاتها التي تخضع لها الكيانات الأوروبية.

ما هي ممارسات الذكاء الاصطناعي المحظورة حالياً بموجب قانون الاتحاد الأوروبي للذكاء الاصطناعي؟

اعتباراً من فبراير 2025، تشمل الممارسات المحظورة التعرّف البيومتري عن بُعد في الزمن الفعلي في الأماكن العامة، والتصنيف الاجتماعي، والذكاء الاصطناعي الذي يتلاعب بالسلوك من خلال تقنيات ما تحت الإدراك أو استغلال نقاط الضعف، والتعرّف على المشاعر في أماكن العمل والمدارس، والجمع العشوائي غير المستهدف لصور الوجوه لبناء قواعد بيانات للتعرّف عليها.

ماذا يحدث إذا استخدمت شركة ما ChatGPT أو Claude في منتجها؟

إذا تم الوصول إلى النموذج عبر واجهة برمجة تطبيقات (API) لأغراض تشغيلية عامة أو ميزات عادية، فإن الالتزامات الأساسية لنموذج GPAI تقع على عاتق المزوّد (مثل OpenAI وAnthropic). أما إذا قامت الشركة بتعديل النموذج بشكل جوهري أو تسويق الحل تحت علامتها التجارية الخاصة داخل الاتحاد الأوروبي، فإنها تصبحمزوّداً بموجب القانون، وتتحمل التزامات التوثيق والشفافية وتقييم المطابقة للمخاطر العالية.

متى ينطبق قانون الاتحاد الأوروبي للذكاء الاصطناعي على أنظمة الموارد البشرية والتوظيف؟

تُصنَّف أدوات الموارد البشرية والتوظيف وفرز السير الذاتية وترتيب المرشحين ومراقبة أداء الموظفين ضمن فئة المخاطر العالية بموجب الملحق الثالث. وعقب تعديلات تنفيذ قانون الذكاء الاصطناعي المعتمدة في عام 2026، أصبح الموعد النهائي لإنفاذ الأنظمة عالية المخاطر القائمة بذاتها بموجب الملحق الثالث هو2 ديسمبر 2027.

ما الفرق بين المزوّد والجهة المُشغِّلة بموجب قانون الاتحاد الأوروبي للذكاء الاصطناعي؟

يقومالمزوّد بتطوير نظام ذكاء اصطناعي (أو تكليف جهة أخرى بتطويره) وطرحه في السوق تحت اسمه التجاري الخاص. أماالجهة المُشغِّلة فتستخدم نظام ذكاء اصطناعي من طرف ثالث تحت سلطتها لأغراض تشغيلية. ويتحمل المزوّدون الالتزامات الهيكلية الأساسية (إدارة الجودة، والتوثيق الفني، وتقييمات المطابقة، وعلامة CE). فيما تتحمل الجهات المُشغِّلة الواجبات التشغيلية (تطبيق تدابير الرقابة البشرية، والاحتفاظ بالسجلات لمدة لا تقل عن ستة أشهر حيثما أمكن، والإفصاح عن الشفافية للمستخدمين).

اتخذ الخطوة التالية

تدعم Gradion الشركات في منطقة الدول الناطقة بالألمانية (DACH) وجنوب شرق آسيا في تقييم مدى تعرّضها للامتثال في مجال الذكاء الاصطناعي، ومراجعة تصنيفات المخاطر، وبناء أنظمة ذكاء اصطناعي تستوفي معايير الجاهزية للإنتاج. تواصل مع فريقنا لبدء النقاش.