روبوتات الدردشة الذكية وبيانات العملاء: قائمة تحقق للخصوصية وفق GDPR وKVKK لفرق المراسلة

لجعل روبوت الدردشة الذكي متوافقًا مع GDPR وKVKK، ارسم خريطة لكل نظام تمر عبره رسائل العملاء، وحدد أساسًا قانونيًا وإشعار خصوصية واضحًا، ووقّع اتفاقية معالجة بيانات مع كل مزود، واستخدم آلية نقل صالحة عندما تغادر البيانات الاتحاد الأوروبي أو تركيا، وأبعد البيانات الشخصية عن الموجّهات قدر الإمكان، وحدد مدد الاحتفاظ، وأخبر الأشخاص بأنهم يتحدثون إلى ذكاء اصطناعي. يأتي الامتثال من طريقة نشرك للروبوت، لا من الروبوت نفسه.

الصعوبة أن رد واحدًا على واتساب قد يمس أربع أو خمس شركات: Meta ومنصة المراسلة التي تستخدمها ومزود LLM وقاعدة بيانات المتجهات ونظام CRM الذي يبحث فيه المساعد. تستعرض هذه القائمة كل واحدة منها. وهي إرشادات عملية لفرق المراسلة وليست استشارة قانونية، لذا تأكد من التفاصيل مع مسؤول حماية البيانات أو مستشارك القانوني.

إلى أين تذهب بيانات العملاء عندما يرد المساعد الذكي

ابدأ برسم مسار رسالة واحدة. يبدو التدفق المعتاد كما يلي:

الخطوة	النظام	البيانات المعنية	سؤالك
1	قناة المراسلة (واتساب، إنستغرام، Messenger)	رقم الهاتف أو اسم المستخدم، محتوى الرسالة، الوسائط	ما الشروط وقواعد التخزين المطبقة؟
2	منصة المراسلة	سجل المحادثة، ملف جهة الاتصال، الوسوم، الملاحظات	من يمكنه الوصول إليها، وأين تُخزَّن، ولكم من الوقت؟
3	قاعدة المعرفة وقاعدة بيانات المتجهات	المحتوى الخاص بك؛ والبيانات الشخصية فقط إذا رفعتها أنت	هل توجد بيانات شخصية في الفهرس؟
4	مزود LLM	الموجّه: التعليمات، النص المسترجع، السجل، آخر رسالة	هل تُحفظ البيانات أو تُستخدم للتدريب، وأين تُعالج؟
5	الأدوات المتصلة (CRM، الحجوزات، المتجر)	بيانات الطلبات، المواعيد، تفاصيل الحساب	ما الذي يمكن للمساعد قراءته وكتابته؟
6	الموظفون البشريون	المحادثة كاملة بعد التحويل	من يرى ماذا، وهل يُسجَّل ذلك؟

كل صف هو موضع تُعالج فيه بيانات شخصية، وتحتاج فيه إلى عقد وقاعدة للاحتفاظ وضبط للوصول. وإذا تعذر عليك تعبئة صف ما، فهذه هي مهمتك الأولى.

قائمة تحقق خصوصية روبوت الدردشة الذكي

1. اختر أساسًا قانونيًا ودوّنه

بموجب GDPR (المادة 6)، يحتاج كل غرض من أغراض المعالجة إلى أساس قانوني. والرد على عميل راسلك يستند عادةً إلى العقد أو المصلحة المشروعة. أما الرسائل التسويقية فتستند عادةً إلى الموافقة. واستخدام المحادثات لتحسين مساعدك غرض مستقل، وينبغي تقييمه على حدة بدلًا من افتراض أن الأساس الأصلي يشمله.

لقانون KVKK قائمته الخاصة بشروط المعالجة. وإذا كنت تخدم عملاء في الاتحاد الأوروبي وفي تركيا معًا، فوثّق الأساس بموجب كل قانون.

2. أخبر الأشخاص عن الذكاء الاصطناعي وعن بياناتهم

ينبغي أن يذكر إشعار الخصوصية لديك أن المحادثات قد يتولاها نظام ذكاء اصطناعي، وما المزودون الذين يعالجون البيانات، وأين، ولكم من الوقت، وكيف يمكن الوصول إلى موظف بشري. تحدد المادتان 13 و14 من GDPR ما يجب تضمينه، ولقانون KVKK واجب إعلام مماثل.

في الاتحاد الأوروبي، تسري التزامات الشفافية في قانون الذكاء الاصطناعي (AI Act) اعتبارًا من 2 أغسطس 2026. وهي توجب إعلام الأشخاص عند تفاعلهم مع نظام ذكاء اصطناعي ما لم يكن ذلك واضحًا من السياق. وتكفي رسالة أولى قصيرة لمعالجة الجانب القانوني وتوقعات العملاء معًا:

مرحبًا، أنا المساعد الافتراضي لشركة Northwind Home، وهو ذكاء اصطناعي. يمكنني
مساعدتك في الطلبات والمرتجعات والتوصيل. اكتب "موظف" في أي وقت للتحدث إلى فريقنا.
إشعار الخصوصية: northwindhome.example/privacy

3. وقّع اتفاقية معالجة بيانات مع كل معالج

منصة المراسلة ومزود LLM ومستضيف قاعدة بيانات المتجهات وأي مزود أدوات يتعامل مع بيانات شخصية نيابةً عنك، كلها معالِجات. تشترط المادة 28 من GDPR عقدًا مكتوبًا يقصر المعالجة على تعليماتك، ويوجب السرية والأمان، ويغطي المعالجين الفرعيين والحذف والتدقيق. احتفظ بقائمة بالمعالجين الفرعيين وراجعها عندما يتغير المزودون.

4. تحقق من النقل خارج الاتحاد الأوروبي أو تركيا

يعالج كثير من مزودي LLM البيانات في دول أخرى. بموجب الفصل الخامس من GDPR، يحتاج النقل خارج المنطقة الاقتصادية الأوروبية إلى قرار كفاية أو ضمانات مناسبة، مثل البنود التعاقدية النموذجية.

تغيرت قواعد KVKK بشأن النقل إلى الخارج في يونيو 2024. أصبح النقل يستند الآن إلى قرار كفاية، أو ضمانات مناسبة مثل العقود النموذجية التي تنشرها هيئة حماية البيانات الشخصية، أو استثناءات محدودة. ويجب إخطار الهيئة بالعقود النموذجية خلال خمسة أيام عمل من توقيعها. تحقق من المكان الذي يعالج فيه كل مزود البيانات، واختر مناطق أو مزودين يتوافقون مع التزاماتك.

على واتساب، توفر Cloud API من Meta التخزين المحلي: يمكنك اختيار مكان تخزين بيانات الرسائل في حالة السكون لكل رقم هاتف تجاري. وقد يظل المحتوى يُعالج في مراكز بيانات Meta على المستوى الدولي أثناء الاستخدام، لمدة تصل إلى 60 دقيقة على Cloud API، قبل أن يُحفظ في المنطقة المحددة فقط.

5. اختر مزود LLM عن قصد

يرى مزود النموذج كل ما تضعه في الموجّه. قبل ربط أحدهم، تحقق مما يلي:

• الاستخدام في التدريب. هل يستخدم المزود بيانات API لتدريب النماذج، وهل يمكنك الانسحاب؟
• الاحتفاظ. كم تُحفظ الموجّهات والمخرجات، بما في ذلك لأغراض رصد إساءة الاستخدام؟
• المنطقة. أين تُعالج البيانات وتُخزَّن، وهل يمكنك الاختيار؟
• العقد. هل تتوفر اتفاقية معالجة بيانات لباقتك؟
• الاستضافة الذاتية. هل يناسب نموذج مفتوح المصدر على خوادمك الخاصة حالات الاستخدام الحساسة؟

استخدام حساب المزود الخاص بك (إحضار مفتاحك الخاص) يعني أن العقد وإعدادات المنطقة وخيارات الاحتفاظ تعود إليك، بدلًا من أن ترثها من حساب أحد الموردين.

6. قلّل ما يدخل في الموجّهات والأدوات

تقليل البيانات (المادة 5 من GDPR) هو أكثر ضوابط الخصوصية فاعلية للمساعدين الأذكياء.

• لا ترفع سجلات العملاء أو وثائق الهوية أو الملاحظات الداخلية إلى قاعدة المعرفة.
• أرسل إلى النموذج السجل الذي يحتاجه فقط، لا ملف جهة الاتصال كاملًا.
• امنح الأدوات أضيق وصول ممكن: تحتاج أداة حالة الطلب إلى رقم الطلب، لا إلى قاعدة بيانات العملاء بأكملها.
• أخفِ حقولًا مثل أرقام الهوية الوطنية وأرقام البطاقات وكلمات المرور أو تجنبها.
• وجّه المساعد بألا يطلب أبدًا بيانات حساسة لا يحتاج إليها.

قاعدة المساعد: لا تطلب أبدًا أرقام البطاقات أو كلمات المرور أو أرقام الهوية في
المحادثة. إذا شاركها العميل فلا تكررها، واعرض عليه رابط الدفع الآمن أو مكالمة
مع فريقنا بدلًا من ذلك.

إذا كان مساعدك يتصل بأنظمة الأعمال عبر بروتوكولات مثل MCP، فالقاعدة نفسها تنطبق على كل نظام متصل. راجع MCP لمراسلة العملاء لمعرفة المخاطر.

7. تعامل مع البيانات الصحية والبيانات الخاصة الأخرى بعناية إضافية

تحظى البيانات الصحية والدينية والبيومترية وما شابهها بحماية إضافية بموجب المادة 9 من GDPR وقانون KVKK. ينبغي للعيادات والصيدليات وشركات التأمين أن تقيّد ما يتعامل معه الذكاء الاصطناعي، وأن تتجنب تقديم نصائح طبية عبره، وأن تحوّل الأسئلة السريرية إلى موظفين مؤهلين. وفكّر في إجراء تقييم أثر حماية البيانات (المادة 35 من GDPR) قبل إطلاق مساعد ذكي يعالج هذه البيانات على نطاق واسع.

8. حدد مدة الاحتفاظ لكل مخزن

يعني تحديد التخزين (المادة 5 من GDPR) أنك تحتفظ بالبيانات الشخصية للمدة اللازمة فقط. حدد مدة ووثّقها لكل مما يلي:

• سجل المحادثات في منصة المراسلة،
• السجلات لدى مزود LLM،
• النصوص المصدّرة والتحليلات،
• أي بيانات شخصية في قاعدة بيانات المتجهات أو قاعدة المعرفة.

ثم تأكد من أن الحذف يحدث فعلًا، بما في ذلك في النسخ الاحتياطية حيثما أمكن.

9. كن مستعدًا لطلبات الاطلاع والحذف

يحق للعملاء أن يسألوا عما تحتفظ به عنهم وأن يطلبوا حذفه (المادتان 15 و17 من GDPR، مع حقوق مماثلة بموجب KVKK). اعرف كيف تجد محادثات شخص ما عبر كل نظام في خريطة بياناتك، وكيف تحذفها في كل منها.

10. تجنب القرارات التي يتخذها الذكاء الاصطناعي وحده

تقيّد المادة 22 من GDPR القرارات المبنية حصرًا على المعالجة الآلية والتي تؤثر في الأشخاص تأثيرًا كبيرًا. دع الذكاء الاصطناعي يجيب ويجمع المعلومات ويوجّه، وأبقِ الموافقات والرفض وقرارات الائتمان والاستثناءات بيد الموظفين. والتحويل من الذكاء الاصطناعي إلى موظف بشري الموثوق ميزة خدمة وامتثال في آن واحد.

11. أمّن الوصول واحتفظ بالسجلات

قيّد من يستطيع قراءة المحادثات، واستخدم التحكم بالوصول حسب الأدوار، واشترط المصادقة متعددة العوامل، واحتفظ بسجلات تدقيق لمن فعل ماذا. تشترط المادة 32 من GDPR أمانًا يتناسب مع المخاطر، وتحدد المادة 33 مهلة 72 ساعة لإخطار السلطة الرقابية بخرق البيانات الشخصية، عندما يشكل الخرق خطرًا على الأشخاص.

12. التزم بقواعد القناة نفسها

لسياسة WhatsApp Business Messaging Policy من Meta متطلباتها الخاصة بشأن الموافقة المسبقة واستخدام البيانات والذكاء الاصطناعي. يغطي دليلنا عن سياسة روبوتات الذكاء الاصطناعي على واتساب لعام 2026 ما تسمح به Meta، ويغطي الموافقة المسبقة على واتساب الموافقة على الرسائل الاستباقية.

مرجع سريع: GDPR وKVKK جنبًا إلى جنب

الموضوع	GDPR	KVKK (القانون رقم 6698)
إعلام المستخدمين	المادتان 13 و14	واجب الإعلام
عقود المعالجين	المادة 28	المسؤول عن المعالجة مسؤول بالتضامن عن أمان المعالج (المادة 12)
النقل إلى الخارج	الفصل الخامس: الكفاية، البنود التعاقدية النموذجية	الكفاية، عقود نموذجية يُخطَر بها الهيئة، استثناءات محدودة
الفئات الخاصة	المادة 9	الفئات الخاصة من البيانات الشخصية
الاحتفاظ	تحديد التخزين، المادة 5	الحذف أو الإتلاف أو إخفاء الهوية عند انتهاء الغرض
حقوق أصحاب البيانات	الاطلاع والمحو وغيرها	حقوق مماثلة، منها الاطلاع والحذف

كيف يساعدك MonoChat في التحكم بالذكاء الاصطناعي والبيانات

صُمم MonoChat بحيث تبقى الأجزاء الحساسة من البنية تحت سيطرتك. وفيما يلي ما يوفره المنتج، كما هو موضح في صفحة الأمان والامتثال:

• مفاتيح LLM الخاصة بك. مع نماذج LLM مخصصة تربط حسابك لدى OpenAI أو Anthropic أو Google أو Azure أو AWS أو أي مزود آخر، فتحتفظ بأسعارك واتفاقيات بياناتك، وتقرر أي مساعد يستخدم أي نموذج.
• نماذج مستضافة ذاتيًا. يمكنك ربط نماذج تعمل على خوادمك الخاصة عبر Ollama أو عبر واجهة API لنموذجك الخاص، عندما يجب أن تبقى الموجّهات على بنيتك التحتية.
• قاعدة بيانات المتجهات الخاصة بك. يبقي تكامل VectorDB متجهات قاعدة المعرفة في قاعدة بيانات المتجهات التي تختارها، مع سياسات التخزين والاحتفاظ الخاصة بك، في المنطقة أو السحابة التي تختارها.
• معرفة محدودة النطاق. تفصل قاعدة المعرفة الذكية المحتوى في نطاقات لها ضبط وصول خاص بها، فيسترجع كل مساعد ما ينبغي له فقط.
• إجراءات ذكاء اصطناعي خاضعة للتحكم. تعمل أدوات الوظائف للذكاء الاصطناعي مع التحقق والصلاحيات ونقاط نهاية مسموح بها وسجلات، بحيث لا يفعل المساعد إلا ما تسمح به.
• ضبط الوصول والسجلات. تحكم بالوصول حسب الأدوار، وعزل مساحات العمل، وسجلات تدقيق، وبيانات اعتماد مزودين مشفرة ومحصورة بمساحة العمل.
• واجهات القنوات الرسمية. يتصل واتساب عبر WhatsApp Business Platform الرسمية (Cloud API)، وMonoChat شريك أعمال رسمي لدى Meta (Meta Business Partner).
• الشهادات والسياسة. يحمل MonoChat شهادتي ISO 27001 وISO 9001، وسياسة الخصوصية لديه معدّة وفق قانون KVKK (القانون رقم 6698). ويُرد على طلبات الاطلاع على البيانات الشخصية أو تصحيحها أو حذفها خلال 30 يومًا.
• خيار التثبيت المحلي. توفر باقة Enterprise النشر على الخوادم المحلية (on-prem) للمتطلبات الأشد.

يمكنك تقييم المنتج على باقة Basic المجانية (مساعد واحد وقناة واحدة) عبر app.monochat.ai، وقراءة سياسة الخصوصية كاملة قبل مراجعتك.

المصادر

• اللائحة (الاتحاد الأوروبي) 2016/679 (GDPR)، EUR-Lex
• اللائحة (الاتحاد الأوروبي) 2024/1689 (AI Act)، EUR-Lex
• KVKK: قانون حماية البيانات الشخصية رقم 6698
• Meta for Developers: التخزين المحلي في Cloud API
• سياسة WhatsApp Business Messaging Policy