الذكاء الاصطناعي وقانون LPD/nLPD في سويسرا: ماذا يعني ذلك

أكد المفوض الفيدرالي لحماية البيانات والشفافية (PFPDT) موقفه في نوفمبر 2023: يُطبَّق قانون حماية البيانات الحالي مباشرةً على الذكاء الاصطناعي. لا تمتلك سويسرا قانوناً خاصاً بالذكاء الاصطناعي، على خلاف الاتحاد الأوروبي وقانون AI Act الخاص به. اختار المشرع السويسري عن سابق علم ودراية نهجاً قائماً على الحياد التكنولوجي: تسري القواعد القائمة (nLPD، قانون الالتزامات، LRFP) على أي تقنية، بما فيها الذكاء الاصطناعي. وهذا يعني أن نظام إدارة علاقات العملاء المدعوم بالذكاء الاصطناعي، وأداة التحليل التنبؤي، والمساعد الآلي الداخلي، تندرج جميعها ضمن نطاق تطبيق nLPD فور معالجتها بيانات تتعلق بشخص يمكن تحديد هويته.

بصرف النظر عن طبيعة نظام الذكاء الاصطناعي المُستخدَم، تفرض nLPD خمسة مبادئ على الشركة المسؤولة عن المعالجة.

تمنح nLPD الأشخاص المعنيين حق الاعتراض على القرارات المتخذة بناءً على المعالجة الآلية وحدها، متى كانت هذه القرارات ذات آثار قانونية أو آثار مهمة مماثلة عليهم. ومن الناحية العملية: إذا رفض نظام الذكاء الاصطناعي تلقائياً طلب توظيف، أو حدد سعر تأمين، أو رفض منح ائتمان دون تدخل بشري، يحق للشخص المعني أن يطلب من شخص طبيعي إعادة النظر في القرار. يصوغ PFPDT ذلك بمصطلح التقرير الذاتي الرقمي العالي: يجب على الشركات تمكين الأشخاص المعنيين من فهم القرارات الآلية التي تؤثر عليهم والطعن فيها عند الاقتضاء. وهذا الحق في الاعتراض ليس اختيارياً: يجب أن يكون قابلاً للتطبيق قبل نشر النظام، لا بعده.

يُدرج nLPD الالتزام بإجراء تقييم أثر حماية البيانات (AIPD، أو DPIA بالإنجليزية) قبل أي معالجة قد تشكل خطراً عالياً على الحقوق والحريات الأساسية للأشخاص المعنيين. وبالنسبة لأنظمة الذكاء الاصطناعي، يُبلَغ عتبة المخاطر العالية بسرعة. يُشترط إجراء تقييم AIPD تحديداً في الحالات التالية: عندما تتعلق المعالجة ببيانات حساسة على نطاق واسع (الصحة، والآراء السياسية، والبيانات البيومترية)، وعندما يُنشئ النظام ملفات تعريف مستفيضة للأشخاص، وعندما يكون للقرارات الآلية آثار قانونية أو اقتصادية مهمة، أو عندما تتضمن المعالجة المراقبة المنهجية لمكان عام. يجب إجراء تقييم AIPD قبل الإطلاق، وتوثيقه وتحديثه عند تطور النظام. وإذا كشف التقييم عن خطر متبقٍّ عالٍ لم يُعالَج، يمكن استشارة PFPDT.

وإن كانت nLPD لا تُرسي قائمة شاملة للاستخدامات المحظورة للذكاء الاصطناعي، فإن بعض الممارسات تتعارض بوضوح مع الحقوق الأساسية التي تحميها، فضلاً عن تعارضها مع مواقف PFPDT.

أحد أكثر الحالات شيوعاً في الشركات: استخدام البيانات الداخلية (رسائل البريد الإلكتروني، وملفات الموارد البشرية، وسجلات العملاء، والعقود) لتدريب نموذج ذكاء اصطناعي أو ضبطه الدقيق. تفرض nLPD عدة ضمانات في هذا الشأن. أولاً، الغاية: لا يمكن إعادة استخدام البيانات التي جُمعت لإدارة عقود العملاء لتدريب نموذج ذكاء اصطناعي دون أساس قانوني منفصل. ثانياً، الموقع الجغرافي: إذا كان النموذج مستضافاً لدى مزود خارج سويسرا أو خارج المنطقة الاقتصادية الأوروبية، فإن نقلاً دولياً للبيانات يجري، خاضع للضمانات الكافية المنصوص عليها في nLPD. أخيراً، غموض النماذج: بمجرد اكتمال التدريب، يصعب ضمان عدم إمكانية استخراج أي بيانات شخصية أو استنتاجها. والحل الأكثر متانةً لهذه المشكلة هو البنية التحتية السيادية، عبر نشر النموذج على بنية تحتية أوروبية أو على خوادمكم الخاصة.

نقطة كثيراً ما تُستهان بها: على خلاف RGPD الذي يُعاقب الشركة، تُعاقب nLPD في المقام الأول الأشخاص الطبيعيين. فالمديرون، والمسؤولون عن المعلوماتية، وبعض المتعاونين، هم من يمكن ملاحقتهم قضائياً وإدانتهم بغرامات شخصية. ويبلغ الحد الأقصى للغرامة 250'000 CHF لكل انتهاك. وأكثر الانتهاكات تعرضاً للعقوبة: عدم الامتثال للالتزام بالإعلام، والإخفاق في إخطار السلطة المختصة بانتهاك البيانات، أو انتهاك الالتزامات المتعلقة بالقرارات الفردية الآلية. والعقوبة ليست تلقائية: يجب تقديم شكوى. غير أن المخاطر المتعلقة بالسمعة، في حال انكشاف الإجراءات للرأي العام، قد تكون أشد وطأة من الغرامة نفسها.

تُعالج شركات سويسرية كثيرة أيضاً بيانات مقيمين أوروبيين، وتخضع بالتالي لـ RGPD جنباً إلى جنب مع nLPD. يتشابه الإطاران في الجوهر لكنهما يختلفان في عدة نقاط مهمة. فيما يلي أبرز الفروقات التي تؤثر على مشاريع الذكاء الاصطناعي.

الإطار القانوني السويسري المتعلق بالذكاء الاصطناعي في تطور مستمر. ثمة تحولات عدة يجب على الشركات التي تستخدم أنظمة الذكاء الاصطناعي أن تستعد لها.

فيما يلي نقطة انطلاق عملية للشركات التي تستخدم أو تعتزم استخدام أدوات الذكاء الاصطناعي. هذه القائمة ليست استشارة قانونية: استشر متخصصاً في القانون لوضعك الخاص.