الذكاء الاصطناعي والخصوصية: ماذا يحدث للصورة التي ترفعها؟

الجواب المختصر: الصورة التي ترفعها إلى أداة ذكاء اصطناعي تُرسل غالبًا إلى نظام بعيد، وتعالجها هناك نماذج، ثم تعود إليك النتيجة. هل تُحفظ الصورة بعد ذلك، ولمدة كم، وهل تُستخدم لتطوير النماذج، ومع من تُشارك؟ كل ذلك يتوقف على سياسة الخصوصية في الأداة. هذه المقالة مستقلة عن العلامات التجارية، ولا تصف تطبيق أي أداة بعينها. وسنشرح ما يجب أن تقرأه، وأساس الحقوق التي يمنحها لك GDPR و KVKK. وهذا ليس استشارة قانونية.

ماذا يحدث غالبًا للصورة التي ترفعها؟

في معظم أدوات الذكاء الاصطناعي يسير الأمر على هذا النحو (وقد تغيّر سياسة الأداة ذلك):

1. الرفع: ترسل الصورة عبر الإنترنت إلى نظام الأداة، أو إلى مزوّد نموذج تستخدمه الأداة.
2. المعالجة: يقرأ النموذج الصورة وينفّذ التغيير الذي طلبته.
3. النتيجة: تُعرض عليك النتيجة، وغالبًا ما تُحفظ في سجل حسابك.
4. التسجيل والمراجعة: قد يسجّل النظام الطلبات، ويمكن مراجعة السجلات لمكافحة الإساءة.
5. الاستخدام اللاحق: بحسب السياسة، قد تُستخدم الصورة أو النتائج لتحسين الخدمة، أو قد تُحذف بعد مدة.

لذلك من المهم معرفة هل الأداة شركة واحدة، أم أنها ترسل الصور إلى مزوّدي نماذج من طرف ثالث. وتسمي السياسات هؤلاء المزوّدين «المعالجين من الباطن» أو «مزوّدي الخدمة».

هل الصورة بيانات شخصية؟

صورة الشخص القابل للتعرف عليه بيانات شخصية في الغالب. ويعرّف GDPR البيانات الشخصية بأنها كل معلومة تتعلق بشخص طبيعي محدد أو قابل للتحديد. وتحمل الصورة نفسها بيانات أخرى: فالصور التي تلتقطها بالهاتف تحمل غالبًا وقت التقاط وطراز الجهاز، وأحيانًا الموقع، في معلومات مضمّنة (EXIF). كما أن اللافتات في الخلفية ومنظر المنزل ووجوه الآخرين تحمل معلومات أيضًا.

ما الذي تبحث عنه في سياسة الخصوصية؟

السؤال	مكانه في السياسة	علامة جيدة
من يعالج صورتي؟	قسم المسؤول عن البيانات والمعالجين من الباطن	هوية الشركة وبيانات التواصل واضحة، والمزوّدون مذكورون
لأي غرض تُستخدم؟	أغراض المعالجة	الغرض واضح، ويُفصل بين «تقديم الخدمة» و«تطويرها»
هل تُستخدم في تدريب النموذج؟	عبارات «تطوير الخدمة» و«التدريب»	مكتوب صراحةً، ويوجد خيار للإيقاف
كم تُحفظ؟	قسم مدة الاحتفاظ	المدة أو المعيار الذي يحددها مكتوب
مع من تُشارك؟	المستلمون والنقل	فئات المستلمين والنقل إلى الخارج مذكورة
كيف أحذفها؟	الحقوق وإعدادات الحساب	توجد خطوات لحذف الحساب والسجل
الأطفال؟	الحد العمري	يوجد حد عمري ومعلومات عن الوالدين

إذا كان أيٌّ من هذه الأمور غامضًا، أو لم تجد السياسة أصلًا، فلا ترفع صورة حساسة إلى تلك الأداة.

ما حقوقك بموجب GDPR؟

في الاتحاد الأوروبي تلتزم الجهات التي تعالج البيانات بإخبارك: هويتها، وأغراض المعالجة، والمستلمين، ومدة الاحتفاظ، وما هي حقوقك (المادة 13 من GDPR). وتسرد صفحة الإرشادات لدى EDPB حقوق الأفراد التالية:

• الوصول: معرفة هل تُعالج بياناتك، والحصول على نسخة منها مجانًا.
• التصحيح: تصحيح البيانات الخاطئة واستكمال الناقصة.
• المحو: طلب حذف البيانات في حالات معيّنة، مثلًا عندما لا تعود لازمة للغرض الذي جُمعت من أجله.
• تقييد المعالجة: يجوز للجهة أن تحتفظ بالبيانات، لكنها لا تستطيع إجراء معالجات أخرى عليها.
• قابلية النقل: الحصول على بياناتك بصيغة منظمة شائعة وقابلة للقراءة آليًا؛ وذلك في ظروف محددة فقط.
• الاعتراض: الاعتراض على المعالجة القائمة على المصلحة المشروعة أو المصلحة العامة لأسباب تتعلق بوضعك الخاص، ويجب إيقاف المعالجة لأغراض التسويق دون الحاجة إلى تقديم سبب.

يجب على الجهة أن ترد على طلبك خلال شهر؛ وفي الطلبات المعقدة يمكن تمديد المدة شهرين إضافيين، لكن يجب إبلاغك بذلك خلال الشهر الأول. وإذا رفضت الطلب فعليها أن تذكر السبب وحقك في تقديم شكوى إلى سلطة حماية البيانات.

ما حقوقك بموجب KVKK؟

وفقًا للقانون التركي رقم 6698 لحماية البيانات الشخصية (KVKK)، يجب على المسؤول عن البيانات، عند جمعها، أن يُعلمك بهويته، وبغرض المعالجة، وبالجهات التي يمكن أن تُنقل إليها البيانات ولأي غرض، وبطريقة الجمع وأساسه القانوني، وبحقوقك المنصوص عليها في المادة 11 (المادة 10). وبحسب المادة 11، يمكنك أن تتقدم إلى المسؤول عن البيانات طالبًا ما يلي:

• معرفة هل جرت معالجة بياناتك الشخصية، وطلب المعلومات.
• معرفة غرض المعالجة، وهل تُستخدم بما يتفق مع ذلك الغرض.
• معرفة الأطراف الثالثة التي نُقلت إليها البيانات داخل البلاد أو خارجها.
• طلب تصحيح البيانات إذا كانت ناقصة أو غير دقيقة.
• طلب حذف البيانات أو إتلافها ضمن الشروط المحددة، وطلب إبلاغ الأطراف الثالثة التي نُقلت إليها بذلك.
• الاعتراض على نتيجة تكون في غير صالحك بسبب تحليل تم حصرًا بأنظمة آلية.
• طلب تعويض الضرر إذا تعرضت له بسبب معالجة مخالفة للقانون.

وبحسب المادة 13، يُنهي المسؤول عن البيانات الطلب بحسب طبيعته في أقرب وقت، وفي موعد أقصاه ثلاثون يومًا، ومجانًا؛ فيقبله أو يرفضه مع ذكر السبب. وإذا رُفض طلبك، أو كان الرد غير كافٍ، أو لم يُردّ عليك في الوقت المحدد، فيمكنك أن تقدم شكوى إلى هيئة حماية البيانات الشخصية (المادة 14).

نماذج الذكاء الاصطناعي وجدل البيانات الشخصية

بعد تدريب النموذج، تُطرح أسئلة حول هل بقيت بيانات شخصية داخله، وهذا موضوع يتابعه المنظمون. اعتمد مجلس حماية البيانات الأوروبي (EDPB) الرأي رقم 28/2024 في 18 ديسمبر 2024 بشأن جوانب معينة من حماية البيانات المتعلقة بنماذج الذكاء الاصطناعي؛ وقد أُعدّ الرأي بناءً على طلب سلطة الرقابة الأيرلندية، ويغطي الأساس القانوني وإخفاء الهوية وقضايا أخرى. كما أن مكتب مفوض المعلومات البريطاني (ICO) يخصص في إرشاداته عن الذكاء الاصطناعي وحماية البيانات أقسامًا منفصلة لقانونية المعالجة والشفافية. والنتيجة العملية: إذا كانت شركة تستخدم صورتك في التدريب، فيُتوقع منها أن تكتب ذلك صراحةً؛ وإن لم تكتبه فلا تتردد في السؤال.

خطوات عملية لحماية صورتك

1. لا ترفع ما لا تحتاجه: لا ترفع الصور الحساسة مثل الهويات والوثائق وصور الأطفال والصور الخاصة لشخص آخر.
2. أزل معلومات الموقع: في الهاتف خيار لإيقاف الموقع عند المشاركة.
3. اقتصّ الصورة: أزل من الكادر اللافتات والوثائق في الخلفية.
4. استأذن الآخرين: إذا ظهر شخص آخر في الصورة، فاسأله أولًا.
5. راجع الإعدادات: ابحث عن خيار إيقاف استخدام البيانات في التدريب، وخيار حذف السجل.
6. نظّف السجل: عند انتهاء العمل، احذف النتائج والصور المرفوعة.
7. مارس حقوقك: أرسل طلب وصول أو حذف، وتابع مدة الرد.

مثال على طلب: «مرحبًا، أودّ معرفة هل تُعالج بياناتي الشخصية المرتبطة بحسابي، وأن تُبلغوني بأغراض المعالجة والمستلمين الذين نُقلت إليهم البيانات، وأطلب حذف الصور التي رفعتها.»

النقل إلى الخارج والمعالجون من الباطن

كثير من أدوات الذكاء الاصطناعي قد ترسل الصورة إلى خوادم في دول مختلفة، أو إلى مزوّدي نماذج. ويتضمن KVKK مادة مستقلة (المادة 9) لنقل البيانات الشخصية إلى الخارج، وتُلقي الالتزامات على عاتق المسؤول عن البيانات؛ كما تمنحك المادة 11 حق معرفة الأطراف الثالثة التي نُقلت إليها بياناتك داخل البلاد أو خارجها. وفي الاتحاد الأوروبي توجد أيضًا قواعد خاصة بالنقل وفق GDPR. لذلك ابحث في السياسة عن أقسام «المستلمون» و«عمليات النقل» و«المعالجون من الباطن».

إذا كانت هذه الأقسام غامضة، فالسؤال الذي يجب أن تطرحه ببساطة: إلى أي شركات تذهب صورتي، ولأي غرض؟ وإذا لم تجب الأداة عن هذا السؤال بوضوح، فكّر مرتين قبل أن ترفع إليها صورًا حساسة. وقد يأتيك الجواب ببريد إلكتروني قصير، واحتفظ بالرد المكتوب.

أخطاء شائعة

• الرفع دون قراءة السياسة: الحفظ واستخدام التدريب مكتوبان فيها.
• الظن بأن الصورة مجانية لأن الأداة مجانية: قد تكون البيانات جزءًا من مصدر دخل بعض الخدمات؛ فاقرأ السياسة.
• رفع صورة شخص آخر دون إذن: تنشأ مشكلتان: الرضا والبيانات الشخصية.
• نسيان بيانات الموقع: قد تبقى المعلومات المضمّنة في الملف المشارَك.
• الظن بأن الحذف يزيل الصورة من كل مكان: انظر إلى المدة في السياسة بخصوص النسخ الاحتياطية وسجلات المزوّد.

أي الصور لا ينبغي أن ترفعها أبدًا؟

بعض الصور حساسة إلى درجة لا تترك مجالًا للخطأ: الوثائق مثل الهوية ورخصة القيادة، وبطاقة البنك، والصور التي تتضمن العنوان أو لوحات السيارات، وصور الأطفال، والصور التي تحمل معلومات صحية، والذكريات الخاصة بشخص آخر. وإذا اضطررت إلى معالجة صورة من هذا النوع، فاخفِ الأجزاء الحساسة أو اقتصّها أولًا. ولا تجرّب أداة للتسلية بأكثر صورك شخصية؛ ابدأ بصورة اختبار عادية، وانظر كيف تتصرف الأداة.

الخلاصة

• تُعالج الصورة غالبًا في نظام بعيد، والحفظ واستخدام التدريب والمشاركة تحددها السياسة.
• الصورة التي تُعرف فيها الشخص بيانات شخصية، وقد تحمل بيانات مضمّنة مثل الموقع.
• في السياسة انظر إلى المسؤول عن البيانات والغرض والتدريب ومدة الحفظ والمستلمين والحذف.
• يمنحك GDPR و KVKK حقوق الوصول والتصحيح والحذف والاعتراض؛ ومدة الرد في GDPR شهر، وفي KVKK ثلاثون يومًا على الأكثر.
• لا ترفع صورًا حساسة، وأزل الموقع، واستأذن الآخرين، ومارس حقوقك.