مع LARA، يصبح الخطر التنظيمي لنماذج <span dir="ltr">LLM</span> قطعة تدقيق لمسؤولي حماية البيانات

لم ينجح أيٌّ من النماذج الكبرى الاثني عشر للذكاء الاصطناعي التي جرى تقييمها في تجاوز عتبة الامتثال للائحة العامة لحماية البيانات (RGPD) وقانون الذكاء الاصطناعي (AI Act)، وأصبح الخطر الذي كان يثقل كاهل الجهات المُدمِجة قابلاً الآن للقياس والتوثيق والاحتجاج به. هذا ما يكشفه benchmark LARA (Legal Assessment for Real-world Agents)، المنشور في 27 مايو 2026 من قبل مؤسسة الأبحاث غير الربحية Aithos. والحكم واضح: لا يلبّي أيٌّ من النماذج المُقيَّمة بالكامل متطلبات الاتحاد الأوروبي التنظيمية، وبعضها ينتهك القواعد الأوروبية في ما يصل إلى 93% من الحالات المدروسة. ومن بين النماذج الاثني عشر المختبرة، حقق Claude Opus 4.1 من Anthropic أفضل نتيجة بنحو 54% من الامتثال، بينما هبط Gemini 3.1 Pro من Google إلى 10%. ويأتي هذا التقييم بعد عشرة أشهر من دخول التزامات AI Act حيّز التطبيق بالنسبة إلى مورّدي النماذج ذات الاستخدام العام، وهي التزامات أصبحت سارية منذ 2 أغسطس 2025. وكانت المادة 25 من اللائحة، التي دخلت حيز النفاذ في 1 أغسطس 2024 وأصبحت قابلة للتطبيق بالكامل في 2 أغسطس 2026، قد رسّخت بالفعل مبدأ المسؤولية المشتركة بين الجهة المُدمِجة والمورّد: وما يضيفه LARA هو الانتقال من الخطر النظري إلى الخطر المُرقَّم بحسب كل نموذج.

مصفوفة من 3000 سيناريو، واثنا عشر نموذجاً، وقليل من الناجين

يعتمد LARA على أكثر من 3000 سيناريو تغطي أبرز المخاطر التي تستهدفها RGPD وAI Act. ويضع البروتوكول كل نموذج في مواقف agentic يتعين عليه فيها التعامل مع معضلات قانونية أو تنظيمية: الحصول على الموافقة قبل جمع البيانات، وتجنب التنميط النفسي، ورفض التلاعب بالمستخدم، وحماية الفئات الهشة، وضمان الشفافية في القرارات الآلية. وأكثر المخالفات تواتراً والمُوثَّقة تتعلق باستغلال البيانات الشخصية من دون أساس قانوني واضح، وإنشاء ملفات نفسية بشكل ضمني، وسلوكيات قد تؤثر في المستخدمين أو تتلاعب بهم. والنتيجة في الترتيب صارمة: بين الأعلى (Claude Opus 4.1) والأدنى (Gemini 3.1 Pro)، تُظهر نماذج OpenAI وMeta وMistral AI وxAI وDeepSeek بدورها معدلات عدم امتثال ملحوظة في عدة فئات. وقد نشرت Aithos، وهي مؤسسة غير ربحية يرأس قسم الأبحاث فيها Daan Henselmans، هذه الدراسة على منصة Substack الخاصة بها في 27 مايو 2026؛ ولم تخضع الدراسة لمراجعة الأقران ولم تحصل على اعتماد تنظيمي رسمي. ويُلخص النص الحرفي للمؤلف الخلاصة من دون مواربة: «لا يصل أي نموذج متقدم إلى مستويات امتثال مقبولة في ضوء AI Act والتشريعات الأوروبية الخاصة بالخصوصية» (ترجمة حرة). ولا يحدد النص الأصلي تاريخ الاختبارات ولا الإصدارات الدقيقة للنماذج المُقيَّمة، باستثناء النموذجين المذكورين بالاسم، وهي منطقة غموض منهجي لا توضحها الوثائق العامة للأداة حتى الآن.

الامتثال لـ RGPD / AI Act — benchmark LARA من Aithos (مايو 2026، أكثر من 3000 سيناريو)

لم يحقق أيٌّ من النماذج الـ12 المختبرة الامتثال الكامل للمتطلبات الأوروبية. وبعضها ينتهك القواعد في ما يصل إلى 93% من الحالات. المصدر: Aithos LARA benchmark، مايو 2026.

المادة 25 من AI Act: الجهة المُدمِجة تصبح مورِّداً مشاركاً، وكانت تعلم ذلك مسبقاً

الآلية القانونية المركزية التي يجعلها LARA قابلة للتشغيل ليست جديدة. فالمادة 25 الفقرة 1 من AI Act، المدرجة في اللائحة التي دخلت حيز النفاذ في 1 أغسطس 2024 وتُطبَّق اعتباراً من 2 أغسطس 2026، تنص على أن الجهة التي تنشر نظام ذكاء اصطناعي عالي المخاطر وتُعدِّل الاستخدام المقصود له، أو تضع علامتها التجارية عليه، تصبح مورِّداً مشاركاً. وعملياً، يفعّل هذا التصنيف التطبيق المباشر للمادة 16، التي تحدد الأساس الالتزاماتي للمورّد: إدارة المخاطر، والتوثيق التقني، والمراقبة بعد طرح المنتج في السوق. وبذلك، يرث مسؤول حماية البيانات (DPO) الذي يدمج نموذجاً عاماً في استخدام عالي المخاطر، عبر هذه الآلية، الإطار نفسه الخاص بعبء الإثبات الذي يواجهه الناشر الأصلي.

وفوق هذه المسؤولية المشتركة بين المُدمِج والمورّد، يطبَّق بالتوازي النظام الخاص بمورّدي النماذج ذات الاستخدام العام. فمنذ 2 أغسطس 2025، تحدد المادة 53 الالتزامات الخاصة بمورّدي نماذج الذكاء الاصطناعي ذات الاستخدام العام: التوثيق، وسياسة احترام حقوق النشر، وملخص بيانات التدريب. وفي حال الإخلال، تضع المادة 101 من اللائحة سقفاً للغرامات المفروضة على هؤلاء المورّدين عند 3% من رقم الأعمال السنوي العالمي أو 15 مليون يورو، أيهما أعلى — على أن تمارس المفوضية هذه الصلاحية العقابية ابتداءً من 2 أغسطس 2026 فقط.

وتُركِّز Aithos على الحلقة الخاصة بالجهة المُدمِجة: «قد تُحمَّل الشركات التي تبني وكلاء الذكاء الاصطناعي الخاصة بها فوق هذه النماذج مسؤولية قانونية أيضاً» (ترجمة حرة). وتضيف المؤسسة، مع تحفّظ منهجي مُعلن، أن «أنظمة GenAI ليست جاهزة بعد للنشر في بيئات شديدة التنظيم من دون ضوابط وحواجز حماية إضافية» (ترجمة حرة). كانت المسؤولية المشتركة موجودة في النصوص؛ أما LARA فيقدّم لها قياساً كمياً بحسب كل نموذج — وهو مستوى من التحليل لم تكن الإدارات القانونية تمتلكه بهذه الصيغة من قبل، ويمكن استخدامه كقطعة تمهيدية في التدقيق. وهذه النقلة، من الخطر النظري إلى الخطر الموثق، هي ما يغيّر المعادلة بالنسبة إلى الإدارات القانونية، أكثر من النتيجة الرقمية نفسها.

سوابق، وعقوبات فعلية، وطبقة امتثال بدأت تموَّل

يأتي استنتاج LARA في مشهد تنظيمي متوتر. ففي إيطاليا، كانت هيئة حماية البيانات Garante della Privacy قد فرضت في ديسمبر 2024 غرامة قدرها 15 مليون يورو على OpenAI بسبب معالجة بيانات شخصية عبر ChatGPT، وفقاً للمعلومات المنشورة آنذاك، وذلك امتداداً للإجراء المفتوح منذ 2023 — وكانت ActuIA قد وثقت بالفعل التقييد الأولي للخدمة في إيطاليا. وقد أُلغي هذا القرار في الاستئناف أمام محكمة روما خلال الربع الأول من 2026 لأسباب إجرائية: إذ أصبحت Data Protection Commission الإيرلندية، منذ فبراير 2024، السلطة القائدة بالنسبة إلى OpenAI، وبالتالي لم تعد لـGarante صلاحية بموجب آلية الشباك الواحد في RGPD. أما جوهر الإثبات فما يزال مفتوحاً بالكامل. ومن جهة المورّدين، كانت Meta قد فضّلت تعليق الإطلاق الأوروبي لنماذج Llama 3 متعددة الوسائط بدلاً من مواجهة المثلث DMA/RGPD/AI Act — وهي إشارة إلى أن تجنب الأسواق الجغرافية يظل خياراً متاحاً للفاعلين الذين يرون أن مستوى التعرض مكلف للغاية. وفي الطرف الآخر، يستعد السوق: إذ أعلنت الشركة الناشئة ZeroDrift، التي تطوّر middleware للامتثال يتموضع بين نماذج LLM والمستخدمين النهائيين، وفقاً لبياناتها الخاصة، عن جمع تمويل بقيمة 10 ملايين دولار في أوائل يونيو 2026، بعد أيام قليلة من نشر LARA. وحتى تاريخ 8 يونيو 2026، لم يكن أيٌّ من المورّدين المذكورين — Anthropic وGoogle وOpenAI وMeta وMistral AI وxAI وDeepSeek — قد اعترض علناً على منهجية Aithos، أو ادّعى نتيجة بديلة، أو اقترح بروتوكولاً بديلاً. وتكمن العقدة في صمت النص: إذ لا يحدد AI Act توزيع عبء الإثبات بين مورّد النموذج ذي الاستخدام العام والجهة المُشغِّلة عندما يثبت الضرر لدى مستخدم نهائي. وفي هذا الفراغ ستُحسم، ابتداءً من 2 أغسطس 2026، أولى القضايا المعروضة على سلطات الرقابة الوطنية.