سياسة الذكاء الاصطناعي في دول الخليج: ما يجب على مشتري أنظمة ERP فعله الآن

شركة لوجستية خليجية تجدد عقدها مع SAP في سبتمبر. مدفونٌ في الملحق الجديد بند يمنح المورّد صلاحية تشغيل نماذجه الذكية على بيانات أوامر الشراء "لتحسين الخدمة". لا أحد في فريق المشتريات يُشير إليه. بعد ستة أشهر، يسأل تدقيق نظام حماية البيانات الشخصية السعودي (PDPL) عن وجهة تلك البيانات. هذا هو الشكل الفعلي لمخاطر سياسة الذكاء الاصطناعي في دول الخليج — ليست مشكلة حوكمة نظرية، بل لحظة تعاقدية محددة يفوّتها معظم المشغّلين.

ما تقوله سياسة الذكاء الاصطناعي الخليجية فعلاً — وما لا تقوله

في يوليو 2026، قبلت اللجنة التوجيهية لـ GCC سياسةً أوصت بها مجموعة عملها المعنية بالذكاء الاصطناعي: سترفض المبادرة أي "مساهمات ذات أثر قانوني تتضمن محتوى مُولَّدًا بنماذج LLM أو مشتقًا منه." ^[1] ويُستعار تعريف "الأثر القانوني" من إرشادات مشرفي مشروع GNU — ما يعادل تقريبًا 15 سطرًا من الكود أو النص. ^[1]

ثمة أمران لا تفعلهما هذه السياسة: لا تحظر استخدام نماذج LLM في البحث أو التحليل أو اكتشاف الأخطاء أو مراجعة التصحيحات؛ وتستثني صراحةً حالات الاختبار التي يُولّدها الذكاء الاصطناعي وفق تقدير المشرفين. ^[1]

هذا السياق مهم. سياسة اللجنة التوجيهية لـ GCC تحكم مساهمات المترجم مفتوح المصدر — وليست لائحةً تجارية لأنظمة ERP. لكنها مؤشر استباقي. حين تبدأ الهيئات التقنية الأساسية في المنطقة برسم خطوط قابلة للتطبيق عند 15 سطرًا من النص الذي يُولّده الذكاء الاصطناعي، يصبح الاتجاه التنظيمي الأشمل مقروءًا. السؤال الذي يطرحه المشغّلون الخليجيون ليس: "هل ينطبق هذا على مثيل SAP الخاص بي اليوم؟" السؤال الحقيقي هو: "ما الذي سيأتي بعد ذلك، وهل حزمة مورّديّ جاهزة له؟"

الإطار التجاري القائم حيٌّ بالفعل وله أسنان. ميثاق الذكاء الاصطناعي الإماراتي، ونظام حماية البيانات الشخصية السعودي (PDPL)، وإرشادات الهيئة الوطنية للأمن السيبراني القطرية (NCSA) — كلٌّ منها يفرض التزامات متداخلة على المؤسسات التي تُشغّل الذكاء الاصطناعي في المنطقة. ^[2] نشرٌ واحد لمنظومة ERP يمتد بين دبي والرياض يمكن أن يقع تحت الثلاثة في آنٍ واحد.

أي الأنظمة في نطاق التطبيق: ERP والوكلاء ومنصات الأتمتة

تُصاغ نقاشات الحوكمة في منطقة الخليج عادةً على أنها "مشاريع ذكاء اصطناعي" — روبوت محادثة جديد، أو وحدة توقع الطلب، أو أداة تلخيص توليدي. هذه الصياغة تتيح لسطح المخاطر الحقيقي أن يختبئ في العلن.

الأنظمة المهمة هي تلك التي تعمل بالفعل: قلب ERP الذي يعالج أوامر الشراء وكشوف الرواتب، وروبوتات RPA التي تُوفّق كشوف البنوك في الثانية صباحًا، وأتمتة سير العمل التي تربط موافقات WhatsApp بتحديثات المخزون. هذه ليست مشاريع ذكاء اصطناعي مستقبلية؛ إنها بنية تحتية تشغيلية راهنة، وفي كثير من الشركات الخليجية راكمت قدرات مجاورة للذكاء الاصطناعي عبر تحديثات المورّدين دون أن يُقرّها أحد رسميًا.

وفقًا لأبحاث مُستشهد بها في تحليلات الحوكمة الإقليمية، كانت 84% من المؤسسات الخليجية قد تبنّت الذكاء الاصطناعي في وظيفة تجارية واحدة على الأقل بحلول عام 2025. ^[2] ويُشير أكثر من 60% من هذه المؤسسات ذاتها إلى الأمن السيبراني بوصفه أبرز مخاطر الذكاء الاصطناعي، وتزيد على 50% تُشير إلى الامتثال. ^[2] الفجوة بين معدل التبني ونضج الحوكمة هي بالضبط حيث تتراكم المخاطر المؤسسية.

ثلاث فئات من الأنظمة تستحق اهتمامًا خاصًا قبل أي تجديد لمنظومة ERP:

1. قلب ERP مع ميزات الذكاء الاصطناعي المدمجة — SAP Joule، وMicrosoft Copilot لـ Dynamics 365، ووحدات الذكاء الاصطناعي في Odoo. كل مورّد حدّث هذه الميزات عبر دورات الصيانة الاعتيادية، ما يعني أن القدرات ربما توسّعت دون قرار نشر رسمي. اطّلع على مقارنتنا التفصيلية في Odoo مقابل SAP: أي ميزات الذكاء الاصطناعي في ERP تعمل فعلاً للعمليات الخليجية؟
2. طبقات الأتمتة الوكيلة (Agentic) — أدوات سير العمل الواقعة فوق ERP أو بجانبه (n8n، Power Automate، مسارات Python المخصصة). كثيرًا ما تعالج هذه الأدوات بيانات حيوية للعمل وفق شروط عقدية كُتبت قبل ظهور الذكاء الاصطناعي الوكيل.
3. تكاملات LLM المتصلة بالبيانات التشغيلية — أي نظام تقرأ فيه نماذج اللغة سجلات ERP أو تكتب إليها، سواء كان ذلك مساعد مشتريات، أو محلل مستندات، أو روبوت محادثة موجّه للعملاء يسحب بيانات المخزون المباشرة.

إن لم تستطع مؤسستك إنتاج خريطة حالية لقدرات الذكاء الاصطناعي النشطة في كل فئة، فإن تلك الفجوة هي مخاطرة السياسة — لا وثيقة السياسة ذاتها.

ثلاثة قرارات يجب أن يتخذها المشغّلون الخليجيون قبل تجديد برامجهم التالي

تُحدَّد لغة الامتثال في عقود المورّدين عند التجديد. بمجرد التوقيع، تُصبح معظم ملاحق معالجة البيانات مقيّدة فعليًا طوال مدة العقد. هذه هي قرارات البنية والمشتريات الثلاثة التي يجب أن تحدث قبل التوقيع:

1. إقامة البيانات ورفض تدريب النماذج عليها. يفرض نظام PDPL السعودي قيودًا على نقل البيانات الشخصية عبر الحدود. ^[2] تُتيح معظم موردي ERP للمؤسسات خيارات لإقامة البيانات، لكنها ليست الإعداد الافتراضي دائمًا، وكثيرًا ما تكون أعلى تكلفةً. والأهم من ذلك: تحديد ما إذا كانت نماذج الذكاء الاصطناعي لدى مورّدك تتدرّب على بياناتك التشغيلية، وهل ثمة خيار رفض موثّق. هذا بند تعاقدي، لا إعداد في لوحة التحكم.

2. توثيق سلسلة المساءلة. تطرح أطر حوكمة الذكاء الاصطناعي في الخليج سؤالاً ثابتًا: من المسؤول حين يكون ناتج الذكاء الاصطناعي خاطئًا؟ ^[2] في نشر ERP، يعني هذا توثيق القرارات التي يتخذها الذكاء الاصطناعي باستقلالية (التوجيه، والإبلاغ، والصياغة) مقابل تلك التي يُسدي المشورة فيها فحسب. وكيل مشتريات يُولّد أمر شراء تلقائيًا ويحيله للاعتماد يتخذ قرارًا. إن كانت سلسلة الاعتماد شكلية، فالوكيل هو من يقرر فعليًا. يجب سد هذه الفجوة في المساءلة قبل التجديد، لا أثناء تدقيق ما بعد الحادثة.

3. حقوق التدقيق في نماذج الذكاء الاصطناعي لدى المورّد. نادرًا ما تمنح اتفاقيات البرمجيات المؤسسية العملاءَ حقوقَ تدقيق ذات معنى في نماذج الذكاء الاصطناعي المدمجة في برامجهم المرخّصة. قبل التجديد، اسأل تحديدًا: هل يمكنك فحص سلسلة بيانات التدريب لأي ميزة ذكاء اصطناعي تلمس بياناتك التجارية؟ هل يمكنك طلب توثيق تحديثات النماذج؟ إن لم يستطع المورّد الإجابة على كلا السؤالين، أدرج هذا الشرط في العقد، أو أدرج المخاطرة في سجل التعرض المتبقي لديك.

كيف تُعيد السياسة تشكيل قائمة تقييم مورّدي ERP

إن كنت تقيّم خيارات ERP لنشر في المملكة العربية السعودية أو الإمارات — سواء كان ذلك تشغيلًا جديدًا، أو ترحيلًا، أو تجديدًا — فإن قائمة التحقق التقليدية (التوطين، ودعم اللغة العربية، وامتثال ضريبة القيمة المضافة والزكاة، ومنظومة التكامل) ضرورية لكنها لم تعد كافية.

أضف هذه البنود الخمسة:

• الإفصاح عن ميزات الذكاء الاصطناعي: هل يُنشر المورّد قائمة حالية بقدرات الذكاء الاصطناعي النشطة في الإصدار الذي تُرخّصه؟ لا ينبغي أن تصل التحديثات صامتةً عبر تصحيحات الصيانة.
• تفصيل ملحق معالجة البيانات: هل يُعالج ملحق معالجة البيانات (DPA) تدريب نماذج الذكاء الاصطناعي بصورة منفصلة عن معالجة البيانات الاعتيادية؟ ملاحق DPA العامة سابقة للذكاء الاصطناعي التوليدي وكثيرًا ما لا تشمله.
• شهادات الامتثال الإقليمية: هل يحمل المورّد شهادات ذات صلة بمتطلبات PDPL السعودي وإقامة البيانات الإماراتية — أو يسعى إليها بنشاط — لا مجرد ISO 27001 الذي لا يقول شيئًا عن حوكمة الذكاء الاصطناعي؟
• ضوابط نطاق الوكلاء: إن كانت منظومة ERP تتضمن ميزات وكيلة (الصياغة التلقائية، والتوجيه المستقل، والتوصيات الاستباقية)، هل يمكنك تضييق نطاق هذه الميزات أو تعطيلها أو تدقيقها باستقلالية عن الترخيص الأساسي؟
• الاستجابة للحوادث في حالات إخفاق الذكاء الاصطناعي: ما اتفاقية مستوى الخدمة (SLA) لدى المورّد حين تُنتج إحدى ميزات الذكاء الاصطناعي خطأً ذا أثر؟ "تواصل مع الدعم" ليست إجابة لنظام يعالج كشوف رواتب خليجية أو مستندات جمركية.

للاطلاع على كيفية تطبيق هذه القائمة على التوجه الحالي لمنتجات SAP، هل يدفعك الخوف من تفويت الذكاء الاصطناعي إلى SAP RISE مبكرًا؟ يستحق القراءة قبل محادثتك القادمة مع المورّد.

السياسة تُفرز سؤالاً معماريًا، لا مجرد مهمة امتثال

ثمة إغراء في إحالة متطلبات سياسة الذكاء الاصطناعي الخليجية إلى فريق الامتثال في تقنية المعلومات والمضي قدمًا. هذه الإحالة تُنتج خانةً تُشطب، لا قرارًا. السؤال المعماري الحقيقي الذي تُفرضه السياسة هو: في أي نقاط سير عملك التشغيلي يُولّد الذكاء الاصطناعي ناتجًا يدخل عملية تجارية، ومن يتحمل المسؤولية عن ذلك الناتج؟

هذا السؤال لا تجيب عنه تقنية المعلومات وحدها. يستلزم تضافر: المشتريات (من يملك شروط عقد المورّد)، والعمليات (أي العمليات يلمسها الذكاء الاصطناعي)، والقانون (ما هو التعرض من حيث المساءلة بموجب PDPL)، وفي معظم الشركات الخليجية — مؤسس أو رئيس تنفيذي يملك صلاحية الموافقة على وضعية مخاطر متغيّرة.

عتبة الـ 15 سطرًا في سياسة مترجم GCC مرساةٌ ملموسة ومفيدة. ^[1] يستحق أن تسأل داخليًا: هل ثمة نص أو منطق مُولَّد بالذكاء الاصطناعي في سير عمل ERP لديك يتجاوز 15 سطرًا ويفتقر إلى مصدر موثّق؟ من واقع خبرتنا، الإجابة الصادقة لدى معظم المشغّلين هي: على الأرجح نعم، ولا نعرف أين بالضبط.

بالنسبة للمشغّلين الذين راكموا ديون أتمتة — أدوات سير عمل مثبّتة على أنظمة ERP على مدار سنوات بتوثيق ضئيل — فإن مخاطرة الإخفاق الصامت تتضاعف. حين تُبلّغ الأتمتة عن النجاح وتُخفق شركتك يتناول سبب استحقاق تلك الأنظمة الفحص ذاته الذي يخضع له أي نشر جديد للذكاء الاصطناعي.

رأي تارسين: استثمر هذه اللحظة لإجراء تدقيق قبل أن تؤتمت

دورة سياسة الذكاء الاصطناعي الخليجية لا تسير ببطء. ثلاثة أطر تنظيمية متداخلة حية بالفعل. ^[2] هيئة معايير تقنية نشرت للتو سياسة مساهمات قابلة للتطبيق. ^[1] الدورة القادمة ستكون أكثر تحديدًا، لا أقل.

سيتعامل معظم المشغّلين الخليجيين مع هذا على أنه ضجيج خلفي حتى يفرض عليهم تجديدٌ أو تدقيقٌ أو حادثةٌ السؤالَ. هذا الترتيب خاطئ.

الترتيب الصحيح: قبل تجديد ERP التالي في المملكة العربية السعودية أو الإمارات، أجرِ تدقيق جاهزية يُحدد قدرات الذكاء الاصطناعي النشطة، ويوثّق سلاسل المساءلة، ويراجع شروط عقود المورّدين مقابل المتطلبات الإقليمية الحالية. ينبغي أن يستغرق هذا التدقيق أسبوعين إلى أربعة، لا ستة أشهر، وأن يحدث قبل فتح باب التفاوض مع المورّد — لا بعده.

نحن صريحون فيما نجده حين نُجري هذه التدقيقات. أحيانًا تكون الإجابة: حزمة المورّدين الحالية لديك جيدة، أحكم ثلاثة بنود تعاقدية ووثّق قرارَي مساءلة. وأحيانًا تكون الإجابة: لديك سبعة عشر نقطة تماس في منظومة الأتمتة لم يراجعها أحد منذ عام 2022، وثلاث منها تتخذ قرارات ذات أثر دون إنسان في الحلقة. أي إجابة أفضل من الإجابة التي تصل أثناء تحقيق بموجب PDPL.

يستعرض مقالنا تدقيق جاهزية الذكاء الاصطناعي في ERP للمشغّلين الخليجيين ما يشمله المراجعة المنظّمة فعليًا. إن أردت إجراء تدقيق معنا، نقطة البداية هي tarsyn.ai/Audit.

السياسة ليست الالتزام. الالتزام كان قائمًا بالفعل. السياسة فقط جعلت من الصعب الادعاء بأنك لم تره قادمًا.

---

بقلم Mohammed Z، تارسين — أبوظبي والخبر