معظم الشركات التي “تحظر ChatGPT” ليس لديها شيء ضد الذكاء الاصطناعي. اعتراضها على أن يلصق الموظفون بيانات الشركة في حساب استهلاكي لا عقد للشركة بشأنه، حيث يحق للمورّد افتراضياً استخدامها لتحسين نماذجه. الحل المعتاد أداة معتمدة: خطة أعمال بشروط تمنع التدريب وتضبط مدة الاحتفاظ، أو نقطة نهاية (endpoint) لنموذج داخل الحساب السحابي للشركة نفسها، أو نموذج مفتوح الأوزان على عتاد تشغّله الشركة. ومع العقد المناسب، تصلح الأدوات العامة لكثير من العمل.
فيما يلي: ما حدث فعلاً في الحالات التي يستشهد بها الجميع، والقواعد التي تنطبق في 2026، وما تقوله شروط الأعمال لدى كل مورّد اليوم، وأين يذهب نصك في كل خيار. راجعنا كل شيء في المصادر الأولية في سبتمبر 2026، وهي مذكورة في آخر المقال.
ما حدث في Samsung والبنوك
Samsung هي الحالة التي يستشهد بها الجميع. في مطلع 2023 سمح قطاع أشباه الموصلات لديها للمهندسين باستخدام ChatGPT. ثم نقلت وسائل الإعلام الكورية ثلاث حوادث منفصلة: لصق موظفون كوداً مصدرياً لإصلاح أخطاء، واستخدموا الأداة لكتابة محاضر اجتماعات، وأدخلوا بيانات قياس المعدات ونسب الإنتاجية. لم تؤكد Samsung التفاصيل وقتها. وفي أواخر أبريل 2023 أبلغت مذكرةٌ الموظفين في أحد أكبر أقسامها بأن الذكاء الاصطناعي التوليدي مقيّد مؤقتاً على أجهزة الشركة. وفي استطلاع داخلي أُجري في الشهر السابق، قال 65% من المشاركين إنهم قلقون من المخاطر الأمنية.
وقيّدت Apple استخدام ChatGPT وGitHub Copilot في مايو 2023، بحسب Wall Street Journal، خشية أن تصل بيانات سرية إلى مطوّرين يدرّبون نماذجهم على بيانات المستخدمين. وذكرت التقارير نفسها أن JPMorgan وBank of America وCiti وDeutsche Bank وGoldman Sachs وWells Fargo وWalmart وVerizon قيّدت ChatGPT.
أمران في هذه الحالات يسهل أن يفوتاك.
أولاً، لم يُخترق أحد. ذهبت البيانات بالضبط إلى حيث أرسلها الموظف. كان القلق مما يحدث بعد ذلك: من يحتفظ بها، ولأي مدة، وهل تُستخدم لتدريب نموذج، وهل يمكن لمحكمة أن تُلزم المورّد بتسليمها.
ثانياً، لم يدم الحظر حظراً. بنت JPMorgan منصتها الداخلية الخاصة، LLM Suite، التي تتيح للموظفين الوصول إلى النماذج اللغوية الكبيرة “في بيئة آمنة”. أُطلقت في صيف 2024 ووصل عدد مستخدميها المسجّلين إلى 200,000 خلال ثمانية أشهر. هذا هو المسار المعتاد: احجب التطبيق الاستهلاكي، ثم أعطِ الناس بديلاً معتمداً.
ما الخطر الحقيقي
عندما يستخدم موظف حساباً استهلاكياً شخصياً، تتراكم أربع مشكلات منفصلة.
التدريب افتراضياً. على ChatGPT Free وPlus وPro، قد يُستخدم المحتوى لتحسين نماذج OpenAI ما لم يُطفئ المستخدم “Improve the model for everyone” في Data controls. وإذا نقر المستخدم على زر الإعجاب أو عدمه، فقد تُستخدم المحادثة كلها حتى بعد إلغاء الاشتراك. وتستخدم خطط Claude الاستهلاكية من Anthropic المحادثات للتدريب إذا سمح المستخدم بتحسين النموذج. فوصول كودك المصدري إلى مجموعة تدريب من عدمه يعتمد على إعداد واحد في حساب شخص آخر.
احتفاظ لا تتحكم فيه. تُحذف بيانات الأعمال على منصة OpenAI خلال 30 يوماً من حذف المستخدم لها، “ما لم نكن ملزمين قانوناً بالاحتفاظ بها”. وهذا الاستثناء الأخير حقيقي. في دعوى New York Times، ألزم أمر قضائي، من يونيو 2025 إلى 26 سبتمبر 2025، شركة OpenAI بالاحتفاظ بمحتوى ChatGPT الاستهلاكي ومحتوى الـ API القياسي الذي كانت ستحذفه لولا ذلك. ولم يشمل الأمر عملاء ChatGPT Enterprise وEdu وعملاء الـ API الذين لديهم احتفاظ صفري بالبيانات.
لا عقد. هذه هي الأهم قانونياً. بموجب GDPR، الشركة التي تسمح لمورّد بمعالجة بيانات شخصية يجب أن تستعين بجهة معالجة تقدّم “ضمانات كافية” وأن يكون بينهما عقد ملزم (المادة 28). ومقدّم الرعاية الصحية يحتاج إلى اتفاقية شريك أعمال (BAA). والحساب الشخصي للموظف لا يتوفر فيه أي منهما، فتقع المخالفة لحظة اللصق، سواء تسرّب شيء بعدها أم لا.
لا سجلات. الشركات الخاضعة للتنظيم ملزمة بالإشراف على اتصالات العمل وأرشفتها. والمحادثة في حساب شخصي تقع خارج كل أرشيف يديره فريق الامتثال.
القواعد التي تنطبق في 2026
GDPR
البيانات الشخصية لعملاء أو موظفين في الاتحاد الأوروبي داخل موجّه هي معالجة. وتحتاج إلى أساس قانوني، وعقد مع جهة معالجة بموجب المادة 28، ومسار قانوني لأي نقل خارج الاتحاد الأوروبي. بالنسبة إلى المورّدين الأمريكيين، لا يزال إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة ساري المفعول: رفضت المحكمة العامة للاتحاد الأوروبي طعن Latombe في 3 سبتمبر 2025 (القضية T-553/23). وهناك استئناف منظور أمام محكمة العدل برقم C-703/25 P، فتابعه.
وقد تحرّك المنظّمون ضد خدمات المحادثة مباشرة. حجبت هيئة Garante الإيطالية ChatGPT مؤقتاً في أواخر مارس 2023، وفي ديسمبر 2024 فرضت على OpenAI غرامة قدرها €15 مليون بسبب معالجة بيانات شخصية لتدريب ChatGPT دون أساس قانوني كافٍ، وعدم الإبلاغ عن اختراق وقع في مارس 2023، وضعف الشفافية، وغياب التحقق من العمر. ووصفت OpenAI الغرامة بأنها غير متناسبة وقالت إنها ستستأنف.
HIPAA
أي خدمة تتلقى معلومات صحية محمية إلكترونية أو تخزّنها أو تنقلها لصالح جهة مشمولة هي شريك أعمال وتحتاج إلى BAA موقّعة. وتصرّح HHS بأن مزوّد الخدمة السحابية الذي يحتفظ ببيانات مشفّرة فقط وليس لديه المفتاح يظل شريك أعمال. وتقول OpenAI إنها تستطيع توقيع BAA للـ API الخاص بها. أما حساب ChatGPT الشخصي لطبيب فلا يأتي مع أي BAA على الإطلاق.
الخدمات المالية
يقول الإشعار التنظيمي 24-09 من FINRA (27 يونيو 2024) إن قواعدها تنطبق على الذكاء الاصطناعي التوليدي “تماماً كما تنطبق عندما تستخدم الشركات الأعضاء أي تقنية أو أداة أخرى”. الإشراف، والتواصل مع الجمهور، وحفظ السجلات، كلها لا تزال سارية. ومعظم قيود البنوك في 2023 نتجت عن هذا بالضبط.
قانون الذكاء الاصطناعي الأوروبي
دخل قانون الذكاء الاصطناعي حيز التنفيذ في 1 أغسطس 2024. وطُبّق حظر الممارسات المحظورة وواجب محو الأمية في الذكاء الاصطناعي اعتباراً من 2 فبراير 2025، والتزامات مزوّدي نماذج الذكاء الاصطناعي العامة الغرض اعتباراً من 2 أغسطس 2025. ونُشر تعديل AI Omnibus، أي اللائحة (EU) 2026/1744، في 24 يوليو 2026 ودخل حيز التنفيذ في 27 يوليو 2026. وقد أجّل مواعيد الأنظمة عالية المخاطر: 2 ديسمبر 2027 للأنظمة المستقلة عالية المخاطر، ومنها الذكاء الاصطناعي المستخدم في التوظيف مثل فرز السير الذاتية، و2 أغسطس 2028 للذكاء الاصطناعي المدمج في المنتجات الخاضعة للتنظيم. وطُبّقت واجبات الشفافية بموجب المادة 50 في موعدها اعتباراً من 2 أغسطس 2026، وخُفّف واجب محو الأمية في الذكاء الاصطناعي إلى اتخاذ تدابير “لدعمه”.
بالنسبة إلى شركة تستخدم مساعد محادثة لصياغة رسائل البريد، لا يضيف قانون الذكاء الاصطناعي الكثير. أما إذا بدأ المساعد نفسه في ترتيب المتقدمين للوظائف، فأنت تنشر نظاماً عالي المخاطر ويسري عليك موعد ديسمبر 2027.
ما تعد به خطط الأعمال
يبيع كل مورّد رئيسي الآن فئة أعمال بإعدادات افتراضية مختلفة عن التطبيق الاستهلاكي. يلخّص الجدول ما تقوله صفحة كل مورّد حتى سبتمبر 2026.
| العرض | هل يتدرّب على بياناتك افتراضياً؟ | الاحتفاظ والتحكم | ملاحظات الامتثال |
|---|---|---|---|
| ChatGPT Free وPlus وPro | قد يفعل، ما لم يُلغِ المستخدم ذلك | حسب حساب كل مستخدم | لا عقد مع الشركة |
| ChatGPT Business وEnterprise وEdu | لا | مسؤولو مساحة العمل يحددون مدة الاحتفاظ | SOC 2 Type 2 لخطتي Enterprise وBusiness |
| OpenAI API | لا | يُحذف بعد 30 يوماً؛ احتفاظ صفري بالبيانات للاستخدامات المؤهلة | BAA متاحة |
| Claude Team وEnterprise وAPI | لا | قد تُحفظ الملاحظات حتى 5 سنوات؛ يستطيع المالكون إيقاف الملاحظات | شروط تجارية |
| Microsoft 365 Copilot وCopilot Chat | لا، لا تُستخدم لتدريب النماذج الأساسية | تسري سياسات الاحتفاظ والتصنيفات والتدقيق لديك | DPA، EU Data Boundary (باستثناء نماذج Anthropic) |
| Gemini في Google Workspace | لا تُستخدم للتدريب خارج نطاقك دون إذن | تسري ضوابط Workspace الحالية | دعم HIPAA، FedRAMP High |
ونقاط النهاية للنماذج داخل السحابات الكبرى تذهب أبعد. تقول Microsoft إن الموجّهات والإجابات للنماذج التي تبيعها Azure في Microsoft Foundry “غير متاحة لـ OpenAI أو لغيرها من المزوّدين”، وتُعالج داخل النطاق الجغرافي الذي تختاره، ما لم تختر نشراً من نوع Global أو DataZone. وعلى Amazon Bedrock، تعمل النماذج في حسابات نشر لا يستطيع مزوّدو النماذج الوصول إليها، فلا يرون موجّهاتك أو إجاباتك أبداً.
ما لا تغيّره خطة الأعمال: يبقى النص على خوادم المورّد طوال المدة التي تسمح بها شروط الاحتفاظ، ويظل بإمكان أمر قضائي الوصول إليه. هذه هي الثقة نفسها التي تمنحها أصلاً لمزوّدي البريد والمستندات لديك. في معظم العمل الداخلي، هذه مقايضة معقولة. أما للأسرار التجارية، أو البيانات الخاضعة للتنظيم دون BAA، أو المواد التي يمنع عقد عميل إرسالها إلى جهات معالجة فرعية، فقد لا تكون كذلك.
أين يذهب الموجّه في كل خيار
الطريقة الأمينة للمقارنة بين الخيارات أن تتتبع موجّهاً واحداً وتسأل: من يستطيع قراءته؟
تشغيل النماذج المفتوحة الأوزان بنفسك
أقوى خيار للبيانات السرية هو أيضاً الأكثر عملاً: نزّل نموذجاً مفتوح الأوزان (Llama وQwen وMistral وGemma وغيرها) وشغّله على أجهزة داخل شبكتك. لا تغادر الموجّهات أبداً. أنت من يقرر ما يُسجَّل ولأي مدة، ما يسهّل الالتزام بقواعد حفظ السجلات ومدد الاحتفاظ في GDPR، ولا يمس البيانات بند احتفاظ لدى غيرك ولا أمر قضائي موجّه إليه.
لكن التكاليف حقيقية. أنت الآن تشغّل خدمة استدلال: وحدات GPU، ومحرّكاً مثل Ollama أو vLLM، والمصادقة، والسجلات، والتحديثات، وشخصاً مناوباً. ونموذج 8B أو 14B يتسع في بطاقة محطة عمل واحدة أضعف من النماذج الرائدة في الاستدلال الطويل. وهو عادةً جيد بما يكفي للتصنيف، واستخراج الحقول، وتلخيص المستندات الداخلية، وصياغة النصوص الروتينية. اختبره على مهامك قبل أن تقرر. يتناول اختبار الأداء بين Ollama وvLLM وTGI اختيار المحرّك، ويتناول دليل الضبط الدقيق الخاص للنماذج اللغوية تكييف نموذج مع مستنداتك.
وهناك طريق وسط تسلكه شركات كثيرة: شغّل النموذج المفتوح على مثيلات GPU داخل الحساب السحابي الذي لديك أصلاً. عندها يكون مزوّد الخدمة السحابية جهة معالجة بموجب DPA تفاوضت عليها مسبقاً لكل شيء آخر، ولا يدخل أي مورّد نماذج في الصورة.
أين تقع وحدات GPU المستأجرة وGPUFlow
أسواق GPU هي الطرف الرخيص من السوق، ومكانها في هذه المقارنة مشروط بتسمية واضحة.
GPUFlow واحد منها. تستأجر GPU لعدد من الساعات وتحصل على مفتاح API متوافق مع OpenAI للنموذج المفتوح الذي يشغّله المزوّد عليه، عادةً عبر Ollama. يعمل النموذج على كمبيوتر المزوّد نفسه. وهذا يعني أن موجّهاتك والإجابات تمر عبر ذلك الجهاز نصاً غير مشفّر طوال مدة الاستئجار. تمنع شروط GPUFlow المزوّدين من تسجيل طلبات المستأجرين أو إجاباتها أو قراءتها أو الاحتفاظ بها أو مشاركتها، وGPUFlow نفسه لا يخزّن النص. لكن المزوّد يملك صلاحيات root على الجهاز، وقاعدة منع التسجيل مفروضة بالعقد؛ لا شيء تقني يمنعها.
لذا GPUFlow ليس الحل للبيانات الخاضعة للتنظيم أو السرية. لا ترسل إليه سجلات العملاء، ولا البيانات الصحية، ولا كوداً مصدرياً يهمّك، ولا أي شيء يقيّده عقد مع عميل. ووثائقنا تقولها بصراحة أكبر: لا ترسل كلمات مرور أو أرقام بطاقات أو أي أسرار أخرى لن تشاركها مع شخص غريب.
أين يناسب إذن: تجربة نموذج مفتوح على عتاد حقيقي قبل أن تشتري بطاقة، وتشغيل موجّهات على بيانات عامة أو اصطناعية، وبناء تطبيق واختباره على API متوافق مع OpenAI قبل توجيهه إلى خادمك الخاص. وأجهزة الـ Community Cloud في الأسواق الأخرى تطرح السؤال نفسه بشأن أي شيء ترفعه إليها؛ ويتناول كيف تؤمّن مجموعة بياناتك على عقدة GPU عامة ذلك الجانب.
سياسة سيلتزم بها الناس فعلاً
الحظر الشامل دون بديل ينقل الاستخدام غالباً إلى الهواتف الشخصية، حيث ترى أقل. ما يعمل أفضل هو سياسة قصيرة بما يكفي لتُحفظ:
| فئة البيانات | أمثلة | الأدوات المسموح بها |
|---|---|---|
| عامة | الوثائق المنشورة، النصوص التسويقية | أي أداة معتمدة، بما فيها التطبيقات الاستهلاكية |
| داخلية | السياسات، الويكي الداخلي، الكود غير الحساس | خطط الأعمال مع DPA والتدريب متوقف |
| سرية | بيانات العملاء، الأسرار التجارية، شروط الصفقات | نقطة نهاية سحابية في بيئتك، أو استضافة ذاتية |
| خاضعة للتنظيم | البيانات الصحية، بيانات البطاقات، البيانات الشخصية على نطاق واسع | استضافة ذاتية، أو مورّد لديه الاتفاقية المحددة (BAA، DPA) |
ثم أنجز الأجزاء غير البرّاقة:
- اشترِ خطة أعمال واحدة أو نقطة نهاية سحابية واجعلها الخيار الافتراضي، مع تسجيل دخول موحّد (SSO) لتُغلق الحسابات عندما يغادر الموظفون.
- اضبط مدة الاحتفاظ على أقصر فترة تفي بواجبات حفظ السجلات لديك، وتأكد من أن التدريب متوقف في لوحة تحكم المسؤول.
- احجب مواقع محادثة الذكاء الاصطناعي الاستهلاكية على الأجهزة المُدارة، لكن فقط بعد أن تصبح الأداة المعتمدة متاحة.
- احتفظ بقائمة جرد لاستخدامات الذكاء الاصطناعي. أي استخدام يمس التوظيف أو الائتمان أو قرارات مشابهة يحتاج إلى مراجعة مستقلة قبل ديسمبر 2027.
- أخبر الناس بما يفعلونه بدلاً من الاكتفاء بما لا يفعلونه. مذكرة Samsung وصلت بعد أن خرجت البيانات.
لجانب تكاليف التشغيل في الاستضافة الذاتية مقارنةً بالخدمات التي تُحاسب لكل توكن، راجع GPU بالساعة أم API بالتوكن؟.
المصادر
- تقييد Samsung والاستطلاع: CNBC، 2 مايو 2023؛ تفاصيل الحوادث: The Register، 2 مايو 2023
- Apple وشركات أخرى: TechCrunch، 19 مايو 2023
- LLM Suite في JPMorgan: مدونة التقنية في JPMorganChase، 3 يونيو 2025
- شروط الأعمال لدى OpenAI: خصوصية المؤسسات؛ إعدادات التدريب للمستهلكين: كيف تُستخدم بياناتك لتحسين أداء النموذج
- أمر الحفظ في قضية NYT: OpenAI، الرد على مطالب NYT بالبيانات
- Anthropic: البيانات التجارية والتدريب، بيانات المستهلكين والتدريب
- Microsoft: حماية بيانات المؤسسات في Microsoft 365 Copilot وCopilot Chat، البيانات والخصوصية والأمان لنماذج Foundry التي تبيعها Azure
- Google: مركز الخصوصية للذكاء الاصطناعي التوليدي في Google Workspace
- AWS: حماية البيانات في Amazon Bedrock
- المادة 28 من GDPR: gdpr-info.eu
- حكم إطار خصوصية البيانات: Jones Day، سبتمبر 2025؛ الاستئناف: Digital Policy Alert
- غرامة Garante: The Hacker News، ديسمبر 2024
- HIPAA ومزوّدو الخدمات السحابية: HHS، إرشادات بشأن HIPAA والحوسبة السحابية
- FINRA: الإشعار التنظيمي 24-09
- قانون الذكاء الاصطناعي الأوروبي: المفوضية الأوروبية، قانون الذكاء الاصطناعي؛ Omnibus: White & Case، دخول EU AI Omnibus حيز التنفيذ
- GPUFlow: البدء السريع مع API، ما يمكن للمستأجرين الوصول إليه وما لا يمكنهم، الشروط، سياسة الخصوصية
راجعناها كلها في سبتمبر 2026.