لوائح الخليج، أداةً أداة

لائحة ضمان المعلوماتUAE Information Assurance Regulation
v1.1 · March 2020

هيئة تنظيم الاتصالات والحكومة الرقمية، بقيادة سياسات من مجلس الأمن السيبراني (نشأ المعيار لدى الهيئة الوطنية للأمن الإلكتروني، وهي الآن جهاز الاستخبارات الإشارية)

تُلزِم كل الجهات الحكومية الاتحادية والجهات المصنَّفة حرجة بموجب سياسة حماية البنية التحتية المعلوماتية الحرجة؛ والتبنّي موصى به بشدة لما عداها. ستّ عائلات ضوابط إدارية وتسع عائلات تقنية، عبر أربعة مستويات أولوية.

تتداول بعض الملخصات المنشورة 188 ضابطاً (منها 136 إلزامياً) و«الإصدار 2.0»، ولا يرد أيٌّ منهما في مصدر رسمي. والأداة السارية هي اللائحة بإصدارها 1.1.

قانون حماية البيانات الشخصيةPersonal Data Protection Law
Federal Decree-Law 45/2021

هيئة الإمارات للذكاء الاصطناعي والبيانات (أُنشئت في 14 يونيو 2026 وضمّت مكتب البيانات)؛ ولا تزال اللائحة التنفيذية للقانون منتظرة

ساري المفعول منذ 2 يناير 2022 وذو أثر خارج الحدود — إذ يطال المعالِجين خارج الدولة الذين يتعاملون مع بيانات المقيمين فيها. لكن اللائحة التنفيذية لم تصدر بعد، فنظام الجزاءات وآليات النقل غير قابلة للتشغيل. وبيانات مركز دبي المالي العالمي وسوق أبوظبي العالمي والحكومة والقطاع الصحي والمصرفي مستثناة إلى أنظمتها الخاصة.

لم يُنشر رقم مرسوم إنشاء للهيئة الجديدة، وصلاحياتها التنظيمية على القطاع الخاص غير مؤكدة.

معيار معلومات الرعاية الصحية والأمن السيبراني بأبوظبيAbu Dhabi Healthcare Information and Cyber Security Standard
DOH/SD/ICSO/ADHICS/V2/2024

دائرة الصحة – أبوظبي

صدر الإصدار الثاني في مايو 2024 وسرى في أغسطس 2024. يُلزِم أي جهة تُنشئ معلومات صحية في أبوظبي أو تصل إليها أو تخزّنها أو تستخدمها أو تعالجها أو تنقلها — منشآت وجهات دفع ومقدّمي تقنية وخدمات على السواء — وهو مرتبط بترخيص الدائرة وبالتكامل مع منصة ملفي. ويُلزِم بلجنة لحوكمة أمن المعلومات، وفريق عمل لحماية البنية التحتية للمعلومات الصحية، ورئيس لأمن المعلومات. والامتثال مستحق خلال ستة أشهر من الانضمام للبرنامج. اقرأ دليلنا لمعيار أبوظبي

القانون الاتحادي لتقنية المعلومات والاتصالات في المجالات الصحيةFederal Law on ICT in Health Fields
Federal Law 2/2019

وزارة الصحة ووقاية المجتمع

يحظر معالجة البيانات الصحية أو تخزينها خارج الدولة حيث تُقدَّم الخدمة الصحية داخلها، باستثناءات ضيّقة على مستوى الإمارة. ويعزّزه معيار خصوصية بيانات المرضى في أبوظبي. وهو قيد على نموذج التنفيذ لا قيد أوراق: لا يمكن نقل بيانات المرضى إلى أنظمة استشاري أجنبي.

لائحة أمن المعلومات لمركز دبي للأمن الإلكترونيDESC Information Security Regulation
ISR

مركز دبي للأمن الإلكتروني

تُلزم الجهات الحكومية وشبه الحكومية في دبي، وتمتدّ إلى مقاوليها وموظفيها ومستشاريها. ثلاثة عشر مجالاً عبر الحوكمة والتشغيل والضمان. ويُفهم أنّ الإصدارات الأحدث تضيف متطلّبات مركز العمليات الأمنية والثقة الصفرية، غير أنّنا لا نستطيع نسبة ذلك إلى رقم نسخة بعينه — انظر أدناه.

ينشر المركز اللائحة دون رقم إصدار أو تاريخ، ولا يصدر الوثائق إلا بطلب عبر البريد. لذا لا يمكن تأكيد رقم إصدار أو تاريخ محدد علناً.

معايير مركز دبي لأمن مزوّدي الخدمات السحابية ومراكز البيانات ومراكز العملياتDESC Cloud Service Provider, Data Centre and SOC Security Standards

مركز دبي للأمن الإلكتروني

الامتثال إلزامي لأي مزوّد يرغب في تقديم خدمات سحابية أو مراكز بيانات أو مراكز عمليات لجهات حكومة دبي وشبه الحكومية. ويجري منح الشهادات عبر جهات معتمدة، ويُعترَف بشهادات ISO/IEC 27001 و27017 القائمة دون إعادة تدقيق — أما ISO/IEC 27002 فهو دليل الضوابط خلفهما لا معيار يُمنح مقابله اعتماد. وينشر المركز كذلك معايير لإنترنت الأشياء والأجهزة الطبية الحيوية وأنظمة التحكم الصناعي والمركبات المتصلة.

قانون حماية البيانات في مركز دبي المالي العالميDIFC Data Protection Law
DIFC Law 5/2020, as amended by Law 1/2025

مفوّض حماية البيانات في مركز دبي المالي العالمي

أنشأ تعديل يوليو 2025 حقّ تقاضٍ خاصاً — إذ يجوز لأصحاب البيانات مقاضاة المسؤولين والمعالِجين مباشرةً أمام محاكم المركز عن الخسارة المالية وعن الضرر المعنوي، دون المرور بالمفوّض. وعدم إتمام التقييم السنوي لمدى الحاجة إلى مسؤول حماية بيانات يستوجب غرامة تصل إلى 25 ألف دولار؛ وارتفعت غرامة مخالفة تقييم الأثر إلى 50 ألف دولار.

اللائحة العاشرة لمركز دبي المالي العالمي — الأنظمة ذاتية التشغيل وشبه الذاتيةDIFC Regulation 10 — autonomous and semi-autonomous systems
Regulation 10 · in force September 2023, rev. 03 August 2024

مفوّض حماية البيانات في مركز دبي المالي العالمي

القاعدة الوحيدة الخاصة بالذكاء الاصطناعي في الإمارات التي تُلزِم عبر القطاعات لا داخل قطاع واحد — فمعيار أبوظبي للذكاء الاصطناعي المسؤول إلزامي هو الآخر، لكنه في الرعاية الصحية وحدها. ومن أوائل قواعد بيانات الذكاء الاصطناعي دون الوطنية في العالم. تشترط تعيين ناشر ومُشغّل، وشفافيةً بشأن ما إذا كانت المعالجة مبدوءة ببشر أم ذاتية، وسجلات لحالات الاستخدام وللامتثال لمتطلبات التدقيق ومنح الشهادات المنطبقة. وأنظمة المخاطر العالية يجب إمّا تقييدها بأغراض يحدّدها الإنسان أو تعيين مسؤول للأنظمة ذاتية التشغيل لها. وكان يُنتظَر صدور متطلبات عامة لمنح الشهادات خلال 2026 — وهذا أرجح موضع لظهور أول إلزام خليجي بالشهادة. اقرأ دليلنا للائحة العاشرة

لوائح حماية البيانات في سوق أبوظبي العالميADGM Data Protection Regulations
2021, consolidated February 2024

مكتب حماية البيانات في سوق أبوظبي العالمي

يجب على كل كيان مسجَّل في السوق يعالج بيانات شخصية أن يسجَّل بوصفه مسؤولاً عن البيانات وأن يجدّد سنوياً. والغرامة القصوى 28 مليون دولار. وأوضحت قواعد تكميلية صدرت في سبتمبر 2025 الأسس المشروعة لمعالجة الفئات الخاصة في التأمين وحماية الأشخاص المستضعفين.

النص المرتبط هو تحديث أغسطس 2021. أما النسخة المُوحَّدة لفبراير 2024 فتوجد على بوّابة تشريعية تعذّر الوصول إليها لأغراض هذه المراجعة، ولم يُتحقَّق منها بالكامل.

معيار الذكاء الاصطناعي المسؤولResponsible Artificial Intelligence Standard
DoH/ST/DDGO/RAI/V1/2025 · October 2025

دائرة الصحة – أبوظبي

أكثر أدوات الذكاء الاصطناعي تطلّباً على المستوى التشغيلي في الإمارات، وتترتب عليه جزاءات بموجب لوائح الجزاءات في القطاع الصحي بأبوظبي. أربع ركائز — الأسس الجوهرية وإدارة البيانات وإدارة المخاطر والثقافة المعرفية بالذكاء الاصطناعي — عبر دورة الحياة الكاملة من النشأة حتى إيقاف التشغيل، وتشمل الاستخدام السريري والمالي والإداري والبحثي، سواء بُني داخلياً أو اشتُري. واللافت أنه لا يستشهد بـISO/IEC 42001 ولا بإطار NIST.

إرشادات التبنّي والاستخدام المسؤول للذكاء الاصطناعي لدى المؤسسات المالية المرخّصةGuidance Note on Responsible Adoption and Use of AI by Licensed Financial Institutions
February 2026

مصرف الإمارات المركزي

غير مُلزِمة، لكنها تضع توقعات تنظيمية واضحة للبنوك وشركات التأمين: مساءلة مجلس الإدارة، واختبار إجهاد التحيّز، والشفافية في القرارات عالية الأثر، وإشراف بشري متدرّج بحسب المخاطر، وعناية واجبة تجاه المورّدين الخارجيين. وتحيل المؤسسات إلى ميثاق الإمارات للذكاء الاصطناعي وإلى معايير إدارة النماذج لدى المصرف نفسه، لا إلى أي معيار دولي.

تُظهر صفحة الدليل التنظيمي للمصرف تاريخ إصدار غير متّسق. يُرجى التحقق من التاريخ مقابل ملف الدليل قبل الاعتماد عليه.

ميثاق الإمارات لتطوير الذكاء الاصطناعي واستخدامهUAE Charter for the Development and Use of Artificial Intelligence
10 June 2024

وزارة شؤون مجلس الوزراء

اثنا عشر مبدأ تشمل السلامة، والتحيّز الخوارزمي، وخصوصية البيانات، والشفافية، والإشراف البشري، والحوكمة والمساءلة. أداة سياسات بلا آلية إنفاذ — لكنها المرجع الذي تُبنى عليه إرشادات المصرف المركزي ومعظم المواد القطاعية الإماراتية للذكاء الاصطناعي.

البرنامج الوطني لاعتماد الأمن السيبرانيNational Cyber Security Accreditation Program

مجلس الأمن السيبراني لحكومة الإمارات

يُنشئ تقييماً واعتماداً للجهات الحكومية ومزوّدي خدمات الأمن السيبراني ومؤسسات التدريب. ويُمنَع المزوّدون غير المعتمدين من خدمة البنية التحتية الحرجة — وهو دافع مباشر للطلب على مقيّمين خارجيين معتمدين.

تاريخ الإطلاق والنطاق الإلزامي والفئات وإجراءات التقديم كلها غير مؤكدة؛ والتفصيل في وثيقة سياسات غير متاحة للعموم. يُرجى التأكد من الجهة التنظيمية قبل الاعتماد عليها.

الضوابط الأساسية للأمن السيبرانيEssential Cybersecurity Controls
ECC-2:2024

الهيئة الوطنية للأمن السيبراني

خطّ الأساس الذي تُبنى عليه كل مجموعات ضوابط الهيئة الأخرى. تُلزِم الجهات الحكومية ومتعاقديها، ومالكي ومشغّلي البنية التحتية الوطنية الحرجة في القطاع الخاص. وقد أعلنت الهيئة التزامها بإجراء أكثر من سبعة آلاف تقييم للأمن السيبراني على الجهات الوطنية، تُدار عبر بوابة حصين الوطنية. اقرأ دليلنا للضوابط الأساسية 2024

ضوابط الأمن السيبراني للحوسبة السحابيةCloud Cybersecurity Controls
CCC-2:2024

الهيئة الوطنية للأمن السيبراني

تسري على مزوّدي الخدمات السحابية وعلى المستفيدين منها معاً. وتعكس مراجعة 2024 متطلبات توطين البيانات السعودية.

ضوابط الأمن السيبراني للأنظمة الحساسةCritical Systems Cybersecurity Controls
CSCC-1:2019

الهيئة الوطنية للأمن السيبراني

اثنان وثلاثون ضابطاً رئيسياً وثلاثة وسبعون ضابطاً فرعياً عبر الحوكمة والتحصين والصمود والأطراف الخارجية والسحابة. وتسري على الأنظمة الوطنية الحساسة.

ضوابط الأمن السيبراني للتقنيات التشغيليةOperational Technology Cybersecurity Controls
OTCC-1:2022

الهيئة الوطنية للأمن السيبراني

تغطي أنظمة التحكم الصناعي وبيئات التقنيات التشغيلية، وتصدر بملحق منهجي وملحق تخطيط إضافة إلى أداة تقييم وامتثال جدولية. وتنشر الهيئة كذلك مجموعات ضوابط للبيانات والعمل عن بُعد وحسابات وسائل التواصل والتشفير.

ضوابط الأمن السيبراني لمنشآت القطاع الخاص غير الحرجةCybersecurity Controls for Non-Critical National Infrastructure Private Sector Entities
NCNICC-1:2025

الهيئة الوطنية للأمن السيبراني

أهم تطور سعودي لأعمال القطاع الخاص الاعتيادية. تواجه المنشآت الكبيرة — أكثر من 250 موظفاً أو إيرادات تتجاوز 200 مليون ريال — اثنين وعشرين مكوّناً فرعياً وخمسة وستين ضابطاً أساسياً، منها وظيفة أمن سيبراني مستقلة ذات مراجعة دورية وإشراف تدقيقي ورقابة امتثال. وتواجه المنشآت الأصغر ثلاثة عشر مكوّناً فرعياً وستة وعشرين ضابطاً، بعضها موصى به لا إلزامي.

صُحّح الرمز من NCINCC إلى NCNICC استناداً إلى صفحة الهيئة نفسها، المنشورة في 28 ديسمبر 2025 بالعربية وحدها — ولا توجد صفحة إنجليزية على نطاق الهيئة وقت المراجعة.

إطار الأمن السيبرانيCyber Security Framework
v1.0 · May 2017

البنك المركزي السعودي

يُلزِم البنوك وشركات التأمين وإعادة التأمين وشركات التمويل ومكاتب المعلومات الائتمانية والبنى التحتية للسوق المالية. نموذج نضج من ستة مستويات يتعيّن على المنشآت الأعضاء بلوغ المستوى الثالث منه على الأقل، «منظَّم ومُمَأسَس». ويُجري البنك المركزي مراجعاته بنفسه ويحدّد مستوى النضج. وتقف المتطلبات الأساسية للمرونة السيبرانية الصادرة في يناير 2022 إلى جانبه بوصفها شرطاً عند مرحلة الترخيص لا بديلاً عنه.

تعذّر الوصول إلى وثائق البنك المركزي لأغراض هذه المراجعة؛ والإصدار والتاريخ وعتبة النضج هنا من مصادر ثانوية.

نظام حماية البيانات الشخصيةPersonal Data Protection Law
Royal Decree M/19, amended M/148

الهيئة السعودية للبيانات والذكاء الاصطناعي

نافذ بالكامل منذ 14 سبتمبر 2024، والإنفاذ واقعي لا نظري: أُعلن عن ثمانية وأربعين قراراً إنفاذياً حتى منتصف يناير 2026. وتبلغ الغرامات خمسة ملايين ريال، وتتضاعف عند التكرار، مع نشر العقوبات النهائية. وتعيين مسؤول حماية بيانات إلزامي على الجهات العامة، وفي حالات المراقبة المنهجية واسعة النطاق، ومعالجة الفئات الخاصة على نطاق واسع، وفق معايير التأهيل الصادرة في أغسطس 2024.

الإطار الوطني لإدارة مخاطر الذكاء الاصطناعيNational AI Risk Management Framework
2026

الهيئة السعودية للبيانات والذكاء الاصطناعي

يسري على الجهات العامة والخاصة. خمس مراحل من تحديد السياق إلى تحديد المخاطر عبر سبع فئات، والتقييم على مصفوفة احتمالية وأثر رباعية، ثم المعالجة والمراقبة. إطار سيادي: لا يشير إلى ISO/IEC 42001 ولا ISO/IEC 23894 ولا إطار NIST ولا قانون الاتحاد الأوروبي. وتقف إلى جانبه مبادئ أخلاقيات الذكاء الاصطناعي وإرشادات الذكاء الاصطناعي التوليدي للجهات الحكومية، وكلها طوعية.

تتعارض المصادر في التاريخ — أحدها يذكر النشر في أبريل 2026، بينما تذكر وكالة الأنباء الرسمية إطلاقاً في يوليو 2026.

التسجيل في منصة حصين لمزوّدي خدمات الأمن السيبرانيHaseen registration for cyber security service providers
Mandatory from 1 August 2022

الهيئة الوطنية للأمن السيبراني

على كل جهة تقدّم حلول أو خدمات أو منتجات الأمن السيبراني داخل المملكة أن تسجّل. ويأتي ترخيص مراكز العمليات المُدارة فوق ذلك، بعتبات ملكية سعودية واشتراط مقرّ إقليمي في الفئة الأولى. ويخلص التحليل القانوني إلى أن الشركات التي كانت تقدّم الخدمات المشمولة إلى المملكة من الخارج لم يعد ذلك مشروعاً لها.

الإطار التنظيمي لترخيص خدمات ومنتجات وحلول الأمن السيبرانيRegulatory Framework for Licensing Cybersecurity Services, Products and Solutions
RFCS-1:2026 (draft)

الهيئة الوطنية للأمن السيبراني

طُرح للاستشارة من 25 فبراير إلى 26 مارس 2026. يغطي خمسة مجالات وأكثر من مئة خدمة، تشمل صراحةً الاستشارات والتقييمات. وكما هو في المسودة، يشترط كياناً قانونياً سعودياً؛ وملكية سعودية بنسبة 75% ورأس مال عشرة ملايين ريال لخدمة الجهات الحكومية أو البنية التحتية الحرجة؛ وإقامة كاملة للبيانات داخل المملكة دون وصول من خارجها؛ وشهادات تأهيل من الهيئة للعاملين. ورسوم الترخيص من خمسين ألف ريال إلى مليون ريال.

ليست قانوناً. فهي لا ترد على موقع الهيئة إلا استشارةً عامة أُغلق بابها، وتغيب عن سجل الأُطر الصادرة لدى الهيئة. ولا تنصّ وثيقة رسمية صراحةً على أنها غير نافذة، فاعتبار وصفها مسودة مستنتَج من موضع نشرها. وهي أولى بنود هذا السجل بالمتابعة.

معيار ضمان المعلومات الوطنيNational Information Assurance Standard
v2.1

الوكالة الوطنية للأمن السيبراني

من أوضح أنظمة المدقّق الخارجي الإلزامي في الخليج. تمرّ الشهادة بأربع مراحل: تحديد النطاق والتوثيق، وتخطيط التدقيق مع مدقّق معتمد، وتدقيق الامتثال وتقييم الضوابط من ذلك المدقّق مع رفع التقرير إلى إدارة الحوكمة والضمان في الوكالة، ثم قرار المنح. يُلزِم الجهات الحكومية، ومشغّلي البنية التحتية المعلوماتية الحرجة في الطاقة والمياه والاتصالات والمال والصحة والنقل، ومقدّمي الخدمات الذين يصلون إلى أصول معلومات تلك الجهات.

معيار التدقيق والسياسة العامة لمنح الشهادات الوطنية ضمن الإطار الوطنيNISCF Audit Standard and General Policy for National Certification
NCSA-NISCF-AUD-STND-V3.0

الوكالة الوطنية للأمن السيبراني

الوثائق المكوّنة للإطار الوطني للامتثال لأمن المعلومات، التي تحكم كيفية إجراء التدقيق وكيفية منح الشهادة. وتعتمد الوكالة مقدّمي الخدمات بحسب الفئة — ومنها الاستشارات والتدقيق واختبار الاختراق — وتُعلن الشركات اعتمادها علناً لأنه شرط للحصول على العمل.

لم نتمكّن من التحقق من القائمة الكاملة لفئات الاعتماد ومعايير الأهلية، ولا مما إذا كان اعتماد الاستشارات إلزامياً بصرامة من المصادر العامة. يُرجى التأكد من الوكالة مباشرةً.

السياسة الوطنية لتصنيف البياناتNational Data Classification Policy
v3.0

الوكالة الوطنية للأمن السيبراني

ثلاثة مستويات للمخاطر — منخفض ومتوسط وعالٍ — تحدّد الضوابط التقنية والإدارية المطلوبة. إلزامية للجهات والمؤسسات الحكومية، وهي نقطة البداية العملية لأي تقييم قطري.

قانون حماية خصوصية البيانات الشخصيةLaw on Protecting Personal Data Privacy
Law 13/2016

الوكالة الوطنية للأمن السيبراني، بإرشادات من إدارة الامتثال وحماية البيانات في وزارة الاتصالات وتكنولوجيا المعلومات

ساري المفعول منذ 2017 وأول قانون لحماية البيانات في دول المجلس. لا أثر له خارج الحدود ولا آلية كفاية أو بنود معيارية — فالنقل مسموح ما لم يخالف القانون أو يسبّب ضرراً جسيماً. والبيانات الحساسة المتعلقة بالصحة والدين والسجل الجنائي والأطفال تتطلب إذناً خطياً مسبقاً من الوزارة. والإنفاذ إداري وغير معلن؛ ولا إجراءات عامة واسعة الانتشار خلال العامين الماضيين.

إرشادات الذكاء الاصطناعي للجهات المرخّصة من مصرف قطر المركزيArtificial Intelligence Guideline for QCB Licensed Entities
4 September 2024

مصرف قطر المركزي

أكثر قواعد الذكاء الاصطناعي تفصيلاً في دول المجلس، وهي مُلزِمة. تُشترط موافقة مسبقة من المصرف على أنظمة الذكاء الاصطناعي عالية المخاطر الجديدة أو المعدَّلة جوهرياً — قبل التشغيل وقبل توقيع اتفاقيات الشراء أو الترخيص أو الإسناد. وعلى الجهات المرخّصة أن تحتفظ بسجلّ للذكاء الاصطناعي يغطي كل نظام وتصنيف مخاطره ومزوّده وبروتوكول الإشراف البشري وتواريخ العقود؛ وأن تفصل بيانات التدريب والتحقق والاختبار مع اختبار التحيّز؛ وأن تُبلّغ المصرف بالحوادث الجسيمة.

إطار المرونة السيبرانية والتشغيليةCyber and Operational Resilience Framework
CORF v1.0 · 3 December 2025

بنك الكويت المركزي

يحلّ محل إطار الأمن السيبراني الصادر في فبراير 2020، ويُلزِم كل جهة خاضعة لرقابة البنك المركزي — البنوك الكويتية والأجنبية، وشركات التمويل والصرافة، ومشغّلي الدفع الإلكتروني، وشركات المعلومات الائتمانية، ومزوّدي الخدمات المصرفية المفتوحة. سبعة وعشرون مجالاً وثلاثة وتسعون مجالاً فرعياً و876 ضابطاً على مقياس نضج من خمسة مستويات، مع اشتراط الامتثال الكامل قبل ادّعاء بلوغ الأساس أو ما فوقه. والتعامل السنوي مع مقيّمين مستقلين معتمدين من البنك إلزامي، مع رفع النتائج بنماذج محدّدة.

لائحة حماية خصوصية البياناتData Privacy Protection Regulation
Amended by Decision 26/2024

الهيئة العامة للاتصالات وتقنية المعلومات

ضيّق تعديل 2024 نطاق اللائحة فأصبحت تسري فقط على مزوّدي خدمات الاتصالات والإنترنت المرخّصين من الهيئة. ولا يوجد في الكويت قانون عام شامل لحماية البيانات؛ وقانون المعاملات الإلكترونية لسنة 2014 هو الأساس لكل من يتعامل مع السجلات الإلكترونية. ولاحظوا أن سياسة تصنيف البيانات أُلغيت في فبراير 2024، فزال الإطار التدرّجي للحساسية — وهو تراجع كثيراً ما يُساء عرضه في مواد المورّدين.

وحدات الأمن السيبراني في دليل قواعد مصرف البحرين المركزيCBB Rulebook cyber security modules
e.g. Volume 4, Module RM-9

مصرف البحرين المركزي

أكثر قواعد المقيّم الخارجي الإلزامي تفصيلاً مما وثّقناه في دول المجلس. تشترط رئيس أمن معلومات مؤهلاً يملك صلاحية تنفيذ استراتيجية الأمن السيبراني؛ واختبار اختراق بأطراف داخلية وخارجية مستقلة بأسلوبَي الصندوق الرمادي والأسود، مع تغيير الطرف الخارجي مرة كل سنتين على الأقل؛ والإبلاغ عن الحوادث على مهلة قاسية — إخطار المصرف هاتفياً خلال ساعة، وتقرير أولي خلال ساعتين، وتقرير تفصيلي عن السبب الجذري خلال عشرة أيام تقويمية.

قانون حماية البيانات الشخصيةPersonal Data Protection Law
Law 30/2018

وزارة العدل، نيابةً عن الهيئة بموجب المرسوم الملكي 78 لسنة 2019

أوضح أساس نظامي في دول المجلس لتعيين مسؤول حماية بيانات خارجي. الدور إلزامي على جميع المؤسسات المالية المرخّصة واختياري فيما عداها — لكن يجب أن يكون المسؤولون معتمدين ومُدرَجين في سجلّ الهيئة، بمعايير تأهيل محدّدة للمعيَّنين من الخارج. ويُسمح بالنقل إلى 83 دولة مدرجة في القائمة البيضاء. والعقوبات جزائية تصل إلى السجن سنة. ولم تُنشأ بعد الهيئة المستقلة الدائمة التي يتصوّرها القانون.

السياسة العامة لاستخدام الذكاء الاصطناعيGeneral Policy for the Use of Artificial Intelligence
v1.0 · launched 27 July 2025

هيئة المعلومات والحكومة الإلكترونية

اعتُمدت إلى جانب الدليل الاسترشادي الخليجي للأخلاقيات. أما مشروع قانون تنظيم الذكاء الاصطناعي المنفصل — ثماني وثلاثون مادة أقرّها مجلس الشورى في أبريل 2024، ويقترح ترخيصاً إلزامياً من وحدة جديدة للذكاء الاصطناعي — فلا يزال غير مسنون، ويجب ألا يُقدَّم بوصفه قانوناً.

قانون حماية البيانات الشخصيةPersonal Data Protection Law
Royal Decree 6/2022 · Executive Regulations MD 34/2024 · RD 68/2026

وزارة النقل والاتصالات وتقنية المعلومات — مركز حماية البيانات الشخصية

نافذ منذ 5 فبراير 2026 — وهو أهم تاريخ عُماني على الإطلاق. وإلزام تعيين مسؤول حماية البيانات غير مشروط، ما يجعله الأقوى في دول المجلس، ويفضّل المنظّم أن يكون المسؤول متواجداً فعلياً في عُمان. ويلزم تصريح وزاري للبيانات الوراثية والحيوية والصحية، والأصل العرقي، والحياة الجنسية، والمعتقد السياسي أو الديني، والسجل الجنائي، إلا أنه منذ المرسوم السلطاني 68/2026 (النافذ في 7 سبتمبر 2026) لم يعد لازماً لبيانات موظفي صاحب العمل ولا لتسجيلات كاميرات المراقبة. ويمدّ التعديل نفسه نطاق القانون إلى المعالجة خارج عُمان، ويضيف حق الاعتراض على القرارات المؤتمتة بالكامل. والغرامات الإدارية متواضعة، حتى ألفَي ريال عن المخالفة، لكن القانون يفرض غرامات تصل إلى 500 ألف ريال عُماني على أخطر المخالفات؛ والرافعة الحقيقية هي تعليق تصاريح المعالجة.

السياسة العامة للاستخدام الآمن والأخلاقي لأنظمة الذكاء الاصطناعيGeneral Policy for the Safe and Ethical Use of Artificial Intelligence Systems
1 April 2025

وزارة النقل والاتصالات وتقنية المعلومات

سياسة إطارية مرتبطة برؤية عُمان 2040، تضع توقعات تشغيلية لجهات الدولة والقطاعات المنظَّمة. أداة سياسات لا تشريع.

ISO/IEC 42001 — أنظمة إدارة الذكاء الاصطناعيISO/IEC 42001 — AI management systems

معيار دولي؛ ولم تُرصَد منظومة اعتماد خليجية له

لا يفرضه أي منظّم خليجي، ولا تشير إليه أي أداة خليجية فحصناها — لا إرشادات مصرف الإمارات المركزي، ولا معيار أبوظبي للذكاء الاصطناعي المسؤول، ولا إطار المخاطر السعودي، ولا ختم دبي للذكاء الاصطناعي. وهذا بالضبط ما يجعله مفيداً: فهو الطبقة المحايدة الوحيدة التي تمتدّ عبر ستة أطر سيادية. والتبنّي الخليجي حتى الآن حكوميّ القيادة — الهيئة السعودية للبيانات والذكاء الاصطناعي، وهيئة دبي للثقافة، والإقامة وشؤون الأجانب بدبي، ووزارة الداخلية الإماراتية — بشهادات تصدرها جهات دولية تحت اعتماد أجنبي. واللائحة العاشرة لمركز دبي المالي العالمي هي الأداة الوحيدة التي تُنشئ التزاماً بشكل الشهادة، وهي لا تُسمّي معياراً.

الدليل الاسترشادي لأخلاقيات استخدام الذكاء الاصطناعي في دول مجلس التعاونGuiding Manual on the Ethics of Artificial Intelligence Use in the GCC
2025

اللجنة الوزارية للحكومة الإلكترونية، مجلس التعاون لدول الخليج العربية

الأداة الخليجية فوق الوطنية الوحيدة التي رُصدت، وهي أقلّ ما يُناقَش في تعليقات السوق. مبادئ الاستقلالية البشرية، وسلامة الأنظمة وموثوقيتها، والعدالة وعدم التمييز، والخصوصية وأمن البيانات، مصوغة صراحةً حول القيم الخليجية المشتركة.

قانون الاتحاد الأوروبي للذكاء الاصطناعي — الأثر خارج الحدودEU AI Act — extraterritorial reach
Regulation (EU) 2024/1689

المفوضية الأوروبية / سلطات مراقبة السوق الوطنية

يطال المزوّدين والناشرين من دول ثالثة حيث يُستخدم مُخرَج نظام الذكاء الاصطناعي داخل الاتحاد — فالشركة الخليجية التي تبيع إلى أوروبا في النطاق بغضّ النظر عن مقرّ التأسيس. والتزامات الشفافية التي تغطي الإفصاح عن المحادثات الآلية ووسم المحتوى الاصطناعي سرت في 2 أغسطس 2026 وهي مُلزِمة الآن. أما أنظمة الذكاء الاصطناعي المطروحة في السوق قبل ذلك التاريخ فأمامها حتى 2 ديسمبر 2026 لإضافة الوسم القابل للقراءة آلياً إلى مخرجاتها. وعقب اتفاق الحزمة الرقمية، أُجّلت التزامات المخاطر العالية في الملحق الثالث إلى ديسمبر 2027 والملحق الأول إلى أغسطس 2028 — تأجيل لا إعفاء. وكثير من التعليقات الخليجية المتداولة سابق للتأجيل وقديم.