يوم الاثنين، وداخل المفوضية الأوروبية — الجهاز التنفيذي للاتحاد الأوروبي، والمنظّم المباشر لأقدر نماذج الذكاء الاصطناعي منذ قانون الذكاء الاصطناعي لعام 2024 — تصبح سلطةٌ جديدة على مبعدة توقيعٍ واحد. تستطيع المفوضية أصلًا أن تطلب من الشركة التي بنت نموذجًا ذا غرض عام — أي نموذجًا أساسيًا عام الاستعمال من طبقة النماذج التي تشغّل روبوتات الدردشة الكبرى — أن تمنحها الوصول إليه، «عبر واجهات برمجة التطبيقات (APIs) أو غيرها من الوسائل والأدوات التقنية المناسبة، بما في ذلك الشيفرة المصدرية»، لتختبر ما يمكن دفع النموذج إلى فعله. أما الجديد يوم الاثنين فهو جملةٌ تخصّ جانب الشركة من الزيارة.
الجملة هي المادة 2(3) من لائحة المفوضية التنفيذية (الاتحاد الأوروبي) 2026/1755، وهي القواعد الإجرائية التي كتبتها المفوضية لتحقيقاتها هي في الذكاء الاصطناعي — أُقِرَّت في 20 يوليو، ونُشرت في الجريدة الرسمية (Official Journal)، وهي جريدة الاتحاد القانونية، في 21 يوليو، وتدخل حيّز النفاذ يوم الاثنين 10 أغسطس. ونصّها الكامل:
"The Commission may require the provider to disable any logging measures that could track or record the Commission's access to the general-purpose AI model, to the extent necessary to ensure the integrity and confidentiality of the evaluation process." الترجمة: «يجوز للمفوضية أن تُلزِم المورّد بتعطيل أي تدابير تسجيل قد تتعقّب أو تسجّل وصول المفوضية إلى نموذج الذكاء الاصطناعي ذي الغرض العام، بالقدر اللازم لضمان سلامة عملية التقييم وسرّيتها.»
المورّد — أي الشركة التي طوّرت النموذج وتطرحه في السوق — هو نفسه الطرف المأمور بالتعطيل، فهذا ليس وصولًا سرّيًا؛ إنه يعلم أن المفتّشين جاءوا. الذي يخسره هو الدليل: قدرته على أن يُثبت، في مواجهة رواية المفوضية نفسها، ما الذي وُصِل إليه وكم استمرّ ذلك. ولم تُؤمَر أي شركة بعد بإطفاء أي شيء؛ ولا يمكن أن تُؤمَر قبل يوم الاثنين. ولم يقل أحدٌ لماذا. تُفتَتح القوانين الأوروبية بـ«الحيثيات»، وهي فقرات مرقّمة تبيّن الغرض من القانون؛ ولهذه اللائحة ستّ منها، وليس فيها واحدة تذكر التسجيل.
راقِب كل شيء، إلا نحن
هذه الجملة تقع أولًا على من يديرون الأمن في شركات النماذج.
الحكاية الأنيقة — القانون يأمر بحفظ السجلّات، واللائحة تأمر بإطفائها — حكايةٌ خاطئة، والخطأ كان خطأنا أولًا: فواجبات التسجيل في قانون الذكاء الاصطناعي، وهي المادتان 12 و19، تلزم أنظمة الذكاء الاصطناعي عالية الخطورة، وهي فصلٌ آخر من القانون؛ ومورّد النموذج لا يلتزم بأيٍّ منهما. الذي يلتزم به مورّد نموذجٍ ذي مخاطر نُظُمية — أي مخاطر تمتدّ إلى نطاق الاتحاد بأسره — هو المادة 55(1)(d): «مستوى ملائم من الحماية السيبرانية» للنموذج ولبنيته التحتية المادية، وعدم الامتثال يُغرَّم بما يصل إلى 3% من حجم الأعمال العالمي أو 15 مليون يورو، أيّهما أعلى.
وتُثبت الشركة ذلك عبر مدوّنة الممارسات الخاصة بنماذج الذكاء الاصطناعي ذات الغرض العام (General-Purpose AI Code of Practice)، وهي كتاب القواعد الذي يوقّعه المورّدون لإظهار امتثالهم، وقد صاغها خبراء مستقلّون ثم أعلنت المفوضية نفسها أنها كافية. ويشترط الملحق الأمني للمدوّنة كشف التسلّل «على كل الشبكات والأجهزة»، وفريق أمن يتولّى «مراقبة تنبيهات EDR» — وهي برمجيات كشف الاختراق على الأجهزة الطرفية، تُنبّه إلى المتسلّلين — وسجلًّا آمنًا لكل جهاز يحتفظ بمعاملات النموذج، أي أوزانه.
و«أي تدابير تسجيل قد تتعقّب أو تسجّل وصول المفوضية» تبلغ ذلك كلّه. والمدوّنة تتوقّع الاستبدال: فالتدبير 6.2 يشترط في أي ضابط بديل أن يحقّق «كشف النشاط المشبوه أو الخبيث» — ولا شيء يحقّق ذلك على قناةٍ أُمِرتَ بألّا تسجّلها. والمادة 55(2) تُغلق الحلقة: فالمورّد الذي يخرج عن المدوّنة «عليه أن يُبرهن على وسائل امتثال بديلة وكافية لتقييمها من قِبل المفوضية». وهذا هو موقع مهندس الأمن، من يوم الاثنين: مُلزَمٌ بمعيارٍ وصفته المفوضية بأنه كافٍ، وقابلٌ لأن تأمره المفوضية بخرقه، ثم تُقيّمه المفوضية على ما تبقّى منه.
الحجّة لمفتِّشٍ لا يُرى
المُقيِّم الذي يُسجَّل وصوله يمكن كشفه، والشركة القادرة على التعرّف إلى بصمة حركة بيانات المفوضية تستطيع أن توجّه تلك الجلسات إلى نقطة تحقّق (checkpoint) — أي نسخة محفوظة من النموذج — تعمل فيها مرشّحات السلامة، فتُصدّق المفوضية بعد ذلك على نموذجٍ لا يستطيع أحدٌ غيرها استخدامه. ولهذا الإخفاق اسم: التدريس للاختبار (teaching to the test)، وهو الطريقة المعتادة التي يموت بها التقييم من طرف ثالث.
وقانون الذكاء الاصطناعي يزيد المسألة حدّة، لأن الامتثال مُقَرٌّ به ذاتيًا في معظمه: فالمورّدون هم من يُجرون اختباراتهم العدائية بأنفسهم ويوثّقونها بأنفسهم. وإذا لم يرَ المنظّم إلا رواية الشركة عن اختبار الشركة لنفسها، فإن نظام المخاطر النُّظُمية يصبح تصديقًا ذاتيًا مذيَّلًا بصفحة توقيع.
وأقوى حجّةٍ هي الاختبارات نفسها. فمجموعة الأسئلة التي تسبر بها المفوضية القدرات السيبرانية الهجومية أو الارتقاء البيولوجي — أي ما يضيفه النموذج إلى قدرة مستخدمه على الأذى الجرثومي — تتكوّن، بحكم تصميمها، من مطالبات (prompts) ناجحة. والمورّد الذي يسجّل تلك المدخلات ويحلّلها يحصل على مجموعةٍ هجومية منتقاة على حساب المنظّم. وأي نظام تفتيش جدّي يحتاج وصولًا غير معلَن، وقاعدةٌ تحمي سلامة التقييم ليست فضيحة.
القاعدة الأفضل جاءت أولًا
لكن هذه المشكلة بعينها سبق أن حُلّت، في المدوّنة التي صادقت عليها المفوضية، وحُلّت على الوجه الصحيح. فالملحق 3.5 يجعل الموقّعين يتعهّدون بأنهم:
"will not undermine the integrity of external model evaluations by storing and/or analysing inputs and/or outputs from test runs without express permission from the evaluators." الترجمة: «لن يقوّضوا سلامة التقييمات الخارجية للنماذج بتخزين و/أو تحليل مدخلات و/أو مخرجات جلسات الاختبار من دون إذن صريح من المقيّمين.»
هذا يمنع المورّد من الاحتفاظ بمضمون الاختبار — المطالبات، والإكمالات، والمادة التي يمكن أن يُدرَّب عليها النموذج — وهو معلَّقٌ على موافقة المقيِّم. أما سجلّ الأمن فيبقى شغّالًا. وجملة يوم الاثنين تحكم سجلّ الوصول بدلًا من ذلك، وليس فيها خطوة موافقة على الإطلاق. ولو كانت القاعدتان تغطّيان الأرض نفسها، لكانت جملة يوم الاثنين زائدة لا لزوم لها.
أختامٌ، لا تعتيم
لا يعمل أي مفتّشٍ أوروبي آخر بهذه الطريقة. في قانون المنافسة، يجوز لمفتّشي المفوضية أن يختموا السجلّات، وكسر الخَتْم غرامةٌ تصل إلى 1% من حجم الأعمال. وفي الرقابة المصرفية، يجوز للبنك المركزي الأوروبي أن يحضر بلا إعلان مسبق — لكن بقرارٍ فقط، وبإذنٍ قضائي حيث يقتضي القانون الوطني ذلك. خمسة أنظمة فُحِصت. والمفاجأة، في كل واحدٍ منها، تأتي من عدم الإبلاغ. لا من عدم التسجيل.
الرقيب الذي لم يستدعِه أحد
من الذي قال «نعم»؟ في قانون الاتحاد جهةٌ مُعيَّنة للاعتراض: المشرف الأوروبي لحماية البيانات (European Data Protection Supervisor، ويُختصر EDPS)، وهو رقيب الخصوصية الداخلي للاتحاد، ويجب على المفوضية أن تستشيره حين يمسّ مشروعُ قانونٍ تنفيذي طريقةَ معالجة «البيانات الشخصية» (اللائحة 2018/1725، المادة 42(1)). وعلى امتداد 5,304 كلمة، لا تُسمّي اللائحة الجديدة المشرف قطّ، ولا تستشهد بتلك اللائحة، ولا تستخدم عبارة «البيانات الشخصية» (personal data) ولا مرة واحدة.
وهذا الصمت ليس من عادة المشرف. ففي 6 مارس 2026 أودع ملاحظات رسمية على مشروعٍ آخر تحت قانون الذكاء الاصطناعي نفسه — أي ستة أيام قبل أن يُفتَح مشروع اللائحة 2026/1755 لتعليقات الجمهور — ولائحةٌ شقيقة أُقِرَّت في 15 يوليو، أي خمسة أيام قبل هذه اللائحة، تُثبت رأي المشرف في حيثيتها الخامسة. أما هذا القانون فلا شيء عنه: لا في النص، ولا تعليقٌ وُجد في أي مكان ينشر فيه المشرف أعماله — وهو بحثٌ لم نستنفده. واستشارة المشروع اجتذبت 51 مساهمة؛ ولم نستطع استخراجها، فبقي مجهولًا ما إذا كان أحدٌ قد نبّه إلى جملة التسجيل.
سلطة على مقاس توقيع واحد
السلطة الأمّ تأتي مكسوّةً بالضمانات: فطلب الوصول بموجب المادة 92 من قانون الذكاء الاصطناعي يجب أن يذكر الأساس القانوني، والغرض والأسباب، ومدة الامتثال، والغرامات السارية؛ وفي اللائحة التنفيذية، يُؤمَر بالوصول نفسه بـ«قرار». أما شرط التسجيل فليس فيه شيء من ذلك — لا قرار، ولا إحالة مرجعية، ولا شكل مقرَّر. والنظام الداخلي للمفوضية يسمح بتفويض «التدابير التسييرية أو الإدارية» إلى المديرين العامين، وهم كبار موظفيها. القرار قرار؛ أما شرطٌ بلا تسمية فهو من النوع الذي يوقّعه موظف.
وتُعدّد المادة 10(3) من اللائحة نفسها التصرفات التي تقطع مدة التقادم الخمسية للغرامات، ومن بينها «طلبات الوصول لإجراء تقييمات النماذج». وكل انقطاعٍ يجعل المدة تبدأ من جديد، بسقفٍ يبلغ عشر سنوات. فالحادثة التي تُصفّر الساعة هي نفسها الحادثة التي قد يُقال للمورّد ألّا يسجّلها.
و«المفوضية» هنا ليست عقلًا واحدًا: فالمدوّنة صاغها خبراء مستقلّون، لا موظفو المفوضية؛ ومكتب الذكاء الاصطناعي (AI Office) — وهو وحدةٌ داخل المديرية العامة للشبكات والمضامين والتكنولوجيات التواصلية (DG CNECT)، أي إدارة السياسات الرقمية في المفوضية — هو الذي جمعهم، ثم أعلنت المفوضية ومجلس الذكاء الاصطناعي (AI Board)، الذي يضمّ مندوبي الدول الأعضاء، أن النتيجة كافية. والمكتب نفسه هو الذي يُجري تقييمات النماذج، وهو الذي سيقوم بالزيارة؛ ومديرٌ عام قد يوقّع الشرط. ولم يظهر قطّ أي قرار وصولٍ بموجب المادة 92؛ بحثنا فلم نجد شيئًا. والانزلاق المؤسسي أرجح من تصميم أي فاعلٍ واحد، وهو أسوأ في ناحية واحدة: لا يحتاج أحدٌ أن يقصده.
اتركوا لكل طرف نسخة
لقد حلّ الاتحاد هذه المشكلة مرةً سلفًا، في الحالة الأصعب. فحين يجب أن يبقى سجلٌّ سالمًا خلال تفتيشٍ للمفوضية، لا يثق قانون المنافسة بأيٍّ من الطرفين: يختم الخزانة ويجعل كسر الخَتْم جُرمًا في ذاته. والوريث الرقمي للخَتْم هو سجلٌّ لا يقبل إلا الإضافة (append-only)، يستطيع الطرفان التحقّق منه ولا يستطيع أيٌّ منهما تعديله.
ويترك النصّ للمورّد رافعتين. المادة 3(5) تتيح تقديم ملاحظات معلَّلة على الخبراء الذين تعيّنهم المفوضية — وهي تستحق الاستخدام، لأن الطرف الموجود داخل بنيتك التحتية قد يكون، بموجب المادة 4، متعاقدًا مُختارًا بإجراءات الشراء العام. وقرار الوصول بموجب المادة 2(1) قابلٌ للمراجعة بموجب المادة 263 من معاهدة عمل الاتحاد الأوروبي (TFEU)، وهي الطريق المعاهَدي للطعن في تصرفات الاتحاد أمام القضاء.
على المفوضية أن تنظر داخل هذه النماذج؛ فهذا هو مقصد القانون، والحجّة للوصول غير المعلَن حجّة حقيقية. أما ما كان ينبغي ألّا تفعله فهو أن تحسم تضاربًا في المصالح بأن تترك طرفًا واحدًا ممسكًا بالنسخة الوحيدة من السجلّ — في جملةٍ لا تشرحها أيٌّ من حيثياتها الستّ.
المراجع
المراجع
- Commission Implementing Regulation (EU) 2026/1755 of 20 July 2026 on detailed arrangements for the
conduct of certain proceedings by the Commission pursuant to Regulation (EU) 2024/1689، OJ L, 2026/1755, 21.7.2026؛ CELEX 32026R1755؛ ELI http://data.europa.eu/eli/reg_impl/2026/1755/oj؛ موقّعة من Ursula von der Leyen. المواد المُعتمد عليها: 2(1)–(4)، 3(2)، 3(5)، 4، 10(3)–(4)، 15 وكل الحيثيات الستّ. النص الإنجليزي الكامل (5,304 كلمة) مُستخرَج من مكتب المنشورات (Publications Office) على http://publications.europa.eu/resource/oj/L_202601755.ENG باستخدام Accept: application/xhtml+xml، لأن Accept: text/html يعيد HTTP 404 لهذا القانون. ودخول النفاذ في 2026-08-10 وin-force = 0 مؤكَّدان عبر SPARQL على publications.europa.eu/webapi/rdf/sparql، وكلاهما مُستخرَج في 7 أغسطس 2026.
- Regulation (EU) 2024/1689 (AI Act)، النسخة المدمجة حتى 27 يوليو 2026، CELEX 02024R1689-20260727:
المواد 12، 19، 53، 55(1)–(3)، 88(1)، 91، 92(1)–(4)، 101(1). وأُجري عدُّ تكرار الكلمات على النص الإنجليزي الكامل بعد تسوية U+00A0.
- General-Purpose AI Code of Practice, Safety and Security Chapter، المفوضية الأوروبية، 43 صفحة، على
https://ec.europa.eu/newsroom/dae/redirection/document/118119، تاريخ الاستخراج 7 أغسطس 2026: Commitment 6 ("LEGAL TEXT: Article 55(1), and recitals 114 and 115 AI Act")، Measure 6.2، Appendix 3.5، Appendix 4.2(1)–(2)، Appendix 4.3(1)، Appendix 4.5(6)–(7). تصحيح، 10 أغسطس: ذكرت نسخةٌ سابقة أن DG CNECT هي التي صاغت هذه المدوّنة. وهذا غير صحيح. فصفحة المفوضية نفسها تصف المدوّنة بأنها "prepared by independent experts in a multi-stakeholder process" — أي من إعداد خبراء مستقلّين في عملية شارك فيها أصحاب مصلحة متعدّدون — والمادة 56(1) من قانون الذكاء الاصطناعي لا تُسنِد إلى مكتب الذكاء الاصطناعي (AI Office) سوى دور "encourage and facilitate" (التشجيع والتيسير)؛ أما المفوضية ومجلس الذكاء الاصطناعي (AI Board) فقد قيّما المدوّنة بعد إنجازها ووجداها كافية بموجب المادة 56(6). والحجّة هنا قائمة على ذلك الإقرار وعلى المادة 55(2)، لا على تأليف المدوّنة، وقد عُدِّل النصّ ليقول ذلك.
- Regulation (EU) 2018/1725، المادة 42(1)–(3). وCommission Implementing Regulation (EU) 2026/1730 of
15 July 2026، OJ L, 2026/1730, 22.7.2026، الحيثيتان 4 و5، على http://publications.europa.eu/resource/oj/L_202601730.ENG.
- EDPS, Formal comments of 6 March 2026 على مشروع Commission Implementing Regulation laying down rules
for the application of Regulation (EU) 2024/1689 as regards the establishment, development, implementation, operation and supervision of AI regulatory sandboxes — https://www.edps.europa.eu/data-protection/our-work/publications/formal-comments/2026-03-06-edps-commission-regulation-regards-operation-and-supervision-ai-regulatory-sandboxes (PDF: .../system/files/2026-03/06-03-2026_formal_comments_operation_supervision_ai_sandboxes_en.pdf). وقُرِئ فهرسا آراء EDPS وملاحظاته الرسمية عبر r.jina.ai لأن edps.europa.eu يعيد HTTP 403 للطلبات المباشرة من هنا؛ وقُرِئت الصفحات التي تغطّي 30 يناير – 15 يوليو 2026 ولا تحتوي أي مادة عن 2026/1755.
- سجل «Have your say» في المفوضية، المبادرة 16472 ("Implementing regulation Art 92 and 101 AI
Act" / "Artificial Intelligence Act – detailed arrangements on evaluations and proceedings")، Ares(2026)560463، DG CNECT، اللجنة C129100. معرّف نشر المشروع 22547، Ares(2026)2709234، ISC/2026/01203، 12 صفحة زائد ملحق من صفحتين، فترة التعليقات 12 مارس 2026 18:24 ← 9 أبريل 2026 23:59، الحالة CLOSED، totalFeedback = 51. وكان الإقرار مقرَّرًا للربع الثاني من 2026 (1 أبريل – 30 يونيو)؛ وأُقِرَّ القانون في 20 يوليو. مُستخرَج من ec.europa.eu/info/law/better-regulation/brpapi/groupInitiatives/16472?language=EN في 7 أغسطس 2026 — ويُلاحَظ أن نقاط نهاية brpapi تعيد HTTP 500 أو HTTP 400 ("No such language") ما لم يُمرَّر language=EN، وهذا هو سبب تسجيل مكتبٍ سابق لها على أنها غير متاحة. أما مساهمات التعليقات الفردية فتُقدَّم للمتصفّح فقط، ولم تُستخرَج.
- Rules of Procedure of the Commission (C(2000) 3614)، OJ L 308, 8.12.2000، المادتان 13 و14.
- المقارنات، وقد قُرئت كلٌّ منها في نصّها الأصلي: Council Regulation (EC) No 1/2003، المواد 20(2)(d)،
20(4)، 21(3)، 23(1)(e) — النص عبر http://data.europa.eu/eli/reg/2003/1/oj، إذ يعيد مسار Cellar بصيغة XHTML للسجل CELEX 32003R0001 خطأ 404؛ Council Regulation (EU) No 1024/2013 (SSM)، المواد 12(1)، 12(3)، 12(5)، 13؛ Regulation (EU) 2022/2554 (DORA)، المواد 26(2)، 27(1)–(3) — ولا تظهر "logs" ولا "logging" ولا مرة واحدة في نصّها الإنجليزي المكوَّن من 45,231 كلمة؛ Directive 2001/83/EC، المادة 111(1)؛ Commission Implementing Regulation (EU) No 628/2013، المواد 10، 13(2)، 14(1)(a).
- مكتب الذكاء الاصطناعي الأوروبي —
https://digital-strategy.ec.europa.eu/en/policies/ai-office، تاريخ
الاستخراج 7 أغسطس 2026: تديره DG CNECT، و«أكثر من 125 موظفًا»، وستّ وحدات منها A2 Regulation and Compliance وA3 AI Safety.
- ما لم يثبت، ويُبلَّغ عنه كثغرات: أي رأي أو ملاحظات رسمية من EDPS على هذا القانون (فموقع EDPS يعيد
HTTP 403 للطلبات المباشرة من هنا؛ وقُرئ فهرسا آرائه وملاحظاته الرسمية عبر r.jina.ai ولا يظهر فيهما شيء عن 2026/1755، لكنهما لم يُستنفدا)؛ وهويات المشاركين في استشارة المشروع — فالعدد، 51، مُثبَتٌ في سجل المبادرة، لكن نقطة النهاية brpapi/searchInitiatives في «Have Your Say» أعادت HTTP 500 اليوم، فبقي مجهولًا من هم؛ وتاريخ رأي لجنة الذكاء الاصطناعي (فسجل اللجان التنفيذية يعمل بجافاسكربت فقط)؛ وما إذا كان قد صدر قطّ أي قرار وصول بموجب المادة 92 أو أي شرط بموجب المادة 2(3). وكان البحث على الويب غير متاح خلال هذه الجلسة بأكملها (استُنفدت الميزانية المشتركة)، فلم يكن ممكنًا إجراء أي مسح لردود الصحافة أو المجتمع المدني.