هل تمتلك نظام الذكاء الاصطناعي أم تستأجره؟ الاستضافة والبيانات والارتهان لمزوّد واحد

تخيّل شركة اشتركت قبل سنتين في أداة محادثة تعمل بالذكاء الاصطناعي. الأداة تؤدي عملها، لكن صاحب الشركة يريد الآن تغيير المزوّد. سجل المحادثات محفوظ في قاعدة بيانات المزوّد، ورقم الواتساب مربوط عبر حساب الأعمال الخاص به، والتعليمات التي قضى الفريق شهورًا في ضبطها موجودة داخل لوحة تحكم لا تتيح التصدير. المغادرة تعني البناء من جديد.

هكذا يبدو استئجار نظام الذكاء الاصطناعي يوم تقرر المغادرة. في هذا الدليل نشرح ما الذي يشمله امتلاك النظام فعلًا، وأين تنتقل بياناتك، وما الذي تقوله قوانين حماية البيانات في الإمارات والسعودية وتركيا والاتحاد الأوروبي بصورة عامة، وكيف يتكوّن الارتهان لمزوّد واحد، وكم يكلّف كل خيار. وأحيانًا يكون الاستئجار هو الخيار الأصح، وسنوضح متى. وإن كنت ما زلت تستكشف ما يمكن أن يقدمه وكيل ذكاء اصطناعي لعملك، فابدأ بدليلنا عن وكلاء الذكاء الاصطناعي للشركات.

ما الفرق بين امتلاك نظام الذكاء الاصطناعي واستئجاره؟

الاستئجار يعني أن المزوّد يشغّل النظام ويحتفظ ببياناتك ويضع الشروط ما دمت تدفع مقابل استخدامه. أما الامتلاك فيعني أن الأجزاء التي يقوم عليها النظام مسجّلة باسمك، فتستطيع تغيير المزوّد دون أن تبدأ من الصفر.

والاستئجار يعني في الغالب نموذج «البرمجيات كخدمة» (SaaS). ويعرّفه المعهد الوطني الأمريكي للمعايير والتقنية (NIST) بأنه استخدام تطبيقات المزوّد العاملة على بنيته التحتية، بحيث لا يدير العميل البنية التحتية ولا يتحكم فيها، ولا حتى في قدرات التطبيق نفسه، باستثناء إعدادات محدودة خاصة بالمستخدم. تدفع لكل مستخدم أو لكل شهر أو لكل محادثة، والمزوّد هو من يقرر كيف يعمل المنتج، وأين يعمل، وكم سيكلّفك في السنة القادمة.

والنظام المملوك يُبنى لك، وتملك أنت طبقاته الست:

وهناك جزء يبقى مستأجرًا في الحالتين غالبًا: النموذج اللغوي. معظم أنظمة الذكاء الاصطناعي في الشركات تستدعي نموذجًا مثل GPT أو Claude أو Gemini عبر واجهة برمجية (API) وتدفع حسب الاستخدام. امتلاكك للنظام يعني أن حساب الواجهة باسمك وأنك تستطيع تغيير النموذج متى شئت، أما النموذج نفسه فيبقى ملكًا لمزوّده.

بعض الفرق تشغّل نموذجًا مفتوح الأوزان على خوادمها حتى لا تغادر التعليمات بنيتها التحتية أبدًا. هذا يستبدل فاتورة الاستخدام بتكلفة خوادم المعالجات الرسومية (GPU) وصيانتها، ويكون منطقيًا عادةً عند حجم استخدام كبير أو اشتراطات صارمة على البيانات.

أين تذهب بياناتك حين يتولى نظام ذكاء اصطناعي محادثة؟

تتبّع رسالة واحدة من عميل. تصل عبر قناة، ثم إلى الخادم الذي يشغّل سير العمل، فتُحفظ في قاعدة بيانات، ثم تُرسل مع السياق المناسب إلى واجهة مزوّد النموذج الذي يعيد الرد. كل محطة من هذه المحطات شركة ترى جزءًا من البيانات، وكل واحدة تحتاج عقدًا وموقعًا تعرفه:

• القناة. واتساب أو مزوّد البريد أو خدمة المحادثة في موقعك تنقل الرسالة وفق شروطها.
• التطبيق وقاعدة البيانات. في الأداة المستأجرة هي خوادم المزوّد، وفي النظام المملوك هي الاستضافة التي اخترتها أنت.
• مزوّد النموذج. تعليماتك ورسالة العميل وأي مستندات تُسترجع من قاعدة المعرفة تنتقل كلها إلى واجهة النموذج.

ومزوّدو النماذج ينشرون ما يفعلونه بهذه البيانات، والتفاصيل هنا مهمة. على سبيل المثال، تذكر وثائق OpenAI عن التحكم في البيانات أن بيانات واجهتها البرمجية لا تُستخدم في التدريب، لكنها تحتفظ بسجلات مراقبة إساءة الاستخدام حتى 30 يومًا في الواجهات الشائعة مثل Responses وChat Completions، ما لم يحصل العميل على موافقة بمدة احتفاظ أقل. وتتيح الصفحة نفسها تخزين البيانات ومعالجتها في مناطق محددة، منها منطقة للإمارات تحتاج موافقة إضافية، مع زيادة 10% في السعر للنماذج المؤهلة الصادرة منذ 5 مارس 2026، وتنبّه إلى أن بيانات النظام، مثل بيانات الحساب والفوترة، قد تُعالج خارج المنطقة المختارة.

امتلاك الاستضافة يضع قاعدة البيانات والسجلات تحت سيطرتك. لكن الرسالة تمر في كل الأحوال عبر القناة ومزوّد النموذج، فالمكسب الحقيقي هو خريطة كاملة: تعرف كل طرف، وأين يخزّن البيانات، وأي إعدادات تنطبق عليه، وتستطيع تغيير أي منها.

ماذا تقول قوانين حماية البيانات في الإمارات والسعودية وتركيا والاتحاد الأوروبي؟

ثلاث قواعد تتكرر في الأنظمة الأربعة. القانون يتبع الأشخاص الذين تعالج بياناتهم أينما كان الخادم. والبيانات الصحية تخضع لقواعد أشد. وتبقى شركتك مسؤولة حين يعالج مزوّد البيانات نيابة عنها.

الإمارات العربية المتحدة

يسري المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية على كل من يقيم في الدولة أو له مقر عمل فيها، وعلى المتحكمين والمعالجين داخلها، وعلى المتحكمين والمعالجين خارجها حين يعالجون بيانات أشخاص داخل الدولة. وتسمح المادتان 22 و23 بنقل البيانات إلى الخارج في حالات محددة: إلى دول لديها تشريعات مناسبة لحماية البيانات، أو بعقد يُلزم الجهة المستقبِلة بمعايير المرسوم، أو بموافقة صريحة من صاحب البيانات. وتمنح المادة 14 الشخص حق الحصول على البيانات التي قدّمها بصيغة منظمة تقرؤها الأنظمة آليًا.

وللبيانات الصحية قانونها الخاص. فالمرسوم يستثني البيانات الصحية التي ينظمها تشريع خاص، والقانون الاتحادي رقم 2 لسنة 2019 في شأن استخدام تقنية المعلومات والاتصالات في المجالات الصحية ينص على أنه لا يجوز تخزين البيانات الصحية المتعلقة بالخدمات المقدَّمة داخل الدولة أو معالجتها خارجها، إلا في الحالات التي يصدر بها قرار من الجهة الصحية بالتنسيق مع الوزارة. ويُلزم القانون نفسه بحفظ البيانات الصحية مدة لا تقل عن 25 سنة من تاريخ آخر إجراء صحي للشخص، وهذا وحده يجعل التصدير الكامل للبيانات من أي مزوّد ضرورة عملية. أما المنشآت في مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) فتتبع قوانين حماية البيانات الخاصة بهاتين المنطقتين.

المملكة العربية السعودية

يشمل نظام حماية البيانات الشخصية، الذي تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، كل معالجة تتم داخل المملكة، وكل معالجة لبيانات المقيمين فيها من أي جهة، حتى لو كانت خارجها. ويضرب دليل سدايا للنظام مثالًا ببيانات مقيمين مستضافة في الولايات المتحدة: النظام يبقى منطبقًا عليها. وتسمح المادة 29 بنقل البيانات خارج المملكة لأغراض محددة، بشرط ألا يمس النقل الأمن الوطني أو المصالح الحيوية للمملكة، وأن يتوفر في الجهة المستقبِلة مستوى حماية مناسب، وأن يقتصر على الحد الأدنى من البيانات اللازمة. والبيانات الصحية مصنّفة ضمن البيانات الحساسة، وتمنح المادة 4 الشخص حق الحصول على نسخة من بياناته بصيغة واضحة ومقروءة، وحق طلب إتلافها حين لا تعود هناك حاجة إليها.

تركيا

يصنّف قانون حماية البيانات الشخصية رقم 6698 (KVKK) البيانات الصحية ضمن الفئات الخاصة التي تحتاج شروطًا أشد. وتجعل المادة 12 المتحكم مسؤولًا بالتضامن مع أي شركة تعالج البيانات نيابة عنه عن تدابير الأمان، فالتعاقد مع مزوّد لا ينقل المسؤولية عنك. وأعادت التعديلات النافذة منذ 1 يونيو 2024 صياغة قواعد نقل البيانات إلى الخارج، فأصبح النقل يعتمد على قرارات الملاءمة أو على ضمانات مثل العقود النموذجية التي أصدرها المجلس، ويجب إخطار الهيئة بها خلال خمسة أيام عمل من توقيعها.

الاتحاد الأوروبي

قد تصل اللائحة العامة لحماية البيانات (GDPR) إلى شركات خارج أوروبا. فبحسب المادة 3(2)، تخضع لها الشركة الواقعة خارج الاتحاد إذا عرضت سلعًا أو خدمات على أشخاص داخله، ولذلك على عيادة في إسطنبول أو دبي تسوّق علاجها بنشاط لمرضى في أوروبا أن تتحقق من انطباقها عليها. وتشترط المادة 28 أن ينص كل عقد مع جهة معالجة على أن تحذف هذه الجهة كل البيانات الشخصية أو تعيدها عند انتهاء الخدمة، بحسب اختيار المتحكم. وتمنح المادة 20 الشخص حق الحصول على بياناته بصيغة منظمة وشائعة الاستخدام تقرؤها الأنظمة آليًا.

وإذا قرأت هذه النصوص معًا، تجدها تطلب الأمور نفسها ممن يختار نظام ذكاء اصطناعي: أن يعرف أين توجد كل نسخة من البيانات، وأن يوقّع عقدًا مع كل جهة معالجة، وأن يكون قادرًا على تسليم الناس بياناتهم أو تصحيحها أو حذفها. وكل ذلك أسهل حين تكون قاعدة البيانات ملكك.

كيف يحدث الارتهان لمزوّد واحد في أدوات الذكاء الاصطناعي؟

الارتهان لمزوّد واحد يعني أن تصبح مغادرته مكلفة جدًا، مالًا أو بيانات أو إعادة عمل، فتبقى معه حتى حين تفضّل الرحيل. ونادرًا ما يأتي هذا الارتهان من بند واحد في العقد، بل يتراكم مع ارتفاع تكلفة المغادرة. ففي تحقيقها في سوق الخدمات السحابية، وجدت هيئة المنافسة والأسواق البريطانية (CMA) أن أقل من 1% من عملاء الخدمات السحابية يغيّرون مزوّدهم كل عام، وأن كثيرين منهم يرون أن تكلفة التغيير أكبر من فائدته. وحددت الهيئة رسوم نقل البيانات إلى الخارج (egress) والفروق التقنية بين المزوّدين بوصفها العوائق الرئيسية، ووجدت أن استخدام أكثر من مزوّد سحابي في الوقت نفسه ما زال غير شائع بين العملاء الصغار والمتوسطين.

وتضيف أدوات الذكاء الاصطناعي طبقات خاصة بها:

• البيانات. سجل المحادثات وبيانات العملاء والسجلات التقنية كلها في قاعدة بيانات المزوّد، وقد يُسقط التصدير، إن وُجد، الأجزاء التي تحتاجها.
• المنطق. التعليمات وإرشادات الوكيل وقواعد سير العمل التي استغرق ضبطها شهورًا لا توجد إلا داخل لوحة تحكم المزوّد.
• الحسابات. حين يكون رقم الواتساب أو نطاق البريد أو مفتاح API للنموذج مسجّلًا باسم المزوّد، فالمغادرة تعني نقله أو فتح حساب جديد.
• المعرفة. قوائم أسعارك وسياساتك وإجاباتك عن الأسئلة المتكررة أُعيدت صياغتها بصيغة المزوّد.
• الربط بالأنظمة. الاتصال بتقويمك أو نظام إدارة العملاء (CRM) أو برنامج المحاسبة يمر عبر موصلات المزوّد الخاصة.

والجهات التنظيمية بدأت تدفع في الاتجاه المعاكس. فـقانون البيانات الأوروبي (Data Act)، المطبّق منذ 12 سبتمبر 2025، يُلزم مزوّدي الخدمات السحابية وخدمات SaaS بتسهيل الانتقال إلى مزوّد آخر، ومن ذلك تصدير البيانات بصيغة شائعة تقرؤها الأنظمة آليًا، ويُلغي رسوم الانتقال، بما فيها رسوم نقل البيانات، ابتداءً من 12 يناير 2027. لكنه يشمل الخدمات المقدَّمة في الاتحاد الأوروبي فقط، وفي غيره تبقى حمايتك هي ما ينص عليه عقدك.

كم يكلّف كل خيار فعلًا؟

الاستئجار أرخص في البداية، والامتلاك أعلى تكلفة عند البدء وأقل تكلفة عند المغادرة. والمقارنات المعتادة تضع رسمًا شهريًا أمام عرض سعر لمشروع. والمقارنة العادلة تحسب كل بند على الفترة نفسها، ثلاث سنوات مثلًا:

استخدام النموذج يستحق نظرة أدق. فالمزوّدون يحاسبون لكل مليون رمز من المدخلات والمخرجات، وفي قائمة الأسعار الحالية لدى أحد المزوّدين يكلّف أقوى نموذج لكل رمز ما بين عشرات ومئات أضعاف ما يكلّفه أصغر نموذج. لذلك يستحق اختيار النموذج المناسب لكل خطوة في سير العمل أن يُختبر قبل الإطلاق، فخطوة روتينية مثل فرز الرسائل نادرًا ما تحتاج أكبر نموذج.

والصيانة هي البند الذي يُنسى أكثر من غيره في جانب الامتلاك. النظام المملوك يحتاج من يطبّق التحديثات، ويراقب الأخطاء، ويعدّل التعليمات حين تتغير خدماتك أو أسعارك. ضع لها ميزانية من اليوم الأول، داخل فريقك أو عبر اتفاقية دعم.

متى يكون استئجار أداة ذكاء اصطناعي هو الخيار الأفضل؟

في حالات كثيرة. الأداة المستأجرة هي الخيار المنطقي للمهام التي تتشابه في كل الشركات، مثل تلخيص الاجتماعات أو المساعدة في الكتابة، ولتجربة ما إذا كان الذكاء الاصطناعي يفيدك أصلًا قبل أن تستثمر في بناء نظام. استخدم هذه الأسئلة لتقرر كل نظام على حدة:

وكثير من الشركات تجمع بين الخيارين: تستأجر الأدوات العامة، وتمتلك الأنظمة القليلة التي يقوم عليها عملها الأساسي.

ما البنود التي يجب أن يتضمنها عقد نظام الذكاء الاصطناعي؟

سواء استأجرت أداة أو طلبت بناء نظام، فأسهل وقت للاتفاق على شروط المغادرة هو قبل التوقيع. اطلب هذه البنود مكتوبة:

بندان من هذه القائمة يرددان صدى القانون: المادة 28 من GDPR تشترط أصلًا أن تغطي عقود المعالجة إعادة البيانات أو حذفها، والمادة 12 من KVKK تُبقيك مسؤولًا بالتضامن عن تدابير الأمان لدى من يعالج بياناتك. جرّب التصدير مرة واحدة في الشهر الأول، ما دام الجميع يتذكر كيف أُعدّ النظام. وإذا رفض المزوّد أي بند، فاسأله عن السبب قبل أن توقّع. ودليلنا عن كيفية تحديد نطاق مشروع ذكاء اصطناعي يشرح كيف تضع هذه الشروط في وصف المشروع من البداية.

كيف تبني Flowramo أنظمة تملكها أنت

تصمم Flowramo وتبني وكلاء الذكاء الاصطناعي، وأتمتة العمليات، والتطبيقات الذكية المخصصة، وأنظمة المعرفة، وتبيعها مشاريع لا اشتراكات. يُثبَّت كل نظام على استضافة يختارها العميل ويملكها، ويُربط بحسابات العميل نفسه، فتبقى قاعدة البيانات وسير العمل والحسابات لدى الجهة التي تعتمد عليها. وتعرض صفحة الحلول أنواع الأنظمة التي نبنيها.

ولينا، موظفة الاستقبال الذكية التي بنيناها لعيادات الأسنان على واتساب وموقع العيادة، مثال على ذلك. تعمل على استضافة تملكها العيادة، ومربوطة بحساب واتساب وتقويم العيادة نفسها، وتبقى سجلات المرضى على البنية التحتية للعيادة. وكما في أي نظام من هذا النوع، تمر كل رسالة عبر واتساب ومزوّد نموذج الذكاء الاصطناعي، فكلاهما يجب أن يكون في قائمة الجهات التي تعالج بيانات العيادة. وإن كنت تفكر في نظام خاص بعملك، أخبرنا بما تحتاجه.