الحزمة الرقمية الشاملة للاتحاد الأوروبي: إعادة صياغة قواعد GDPR وقانون الذكاء الاصطناعي والأمن السيبراني في حزمة واحدة

حزمة واحدة لإصلاحها جميعاً

حاولت المفوضية الأوروبية تحقيق ما اعتبره كثيرون مستحيلاً: دمج إصلاحات اللائحة العامة لحماية البيانات (GDPR)، وتوجيه الخصوصية الإلكترونية (ePrivacy Directive)، وقانون البيانات (Data Act)، وتوجيه أمن الشبكات والمعلومات (NIS2)، وقانون الذكاء الاصطناعي للاتحاد الأوروبي (EU AI Act) في حزمة تشريعية واحدة. تُمثّل الحزمة الرقمية الشاملة (Digital Omnibus)، التي طُرحت رسمياً في 19 نوفمبر 2025، أكثر عمليات إعادة المعايرة التنظيمية طموحاً في السياسة الرقمية الأوروبية منذ دخول GDPR حيّز التنفيذ عام 2018.

المبرر المُعلن هو التبسيط. وقد أطّرت رئيسة المفوضية Ursula von der Leyen الحزمة باعتبارها استجابة للشكاوى المستمرة من الشركات الأوروبية — خاصة المؤسسات الصغيرة والمتوسطة — بأن التنظيمات الرقمية الأوروبية المُتراكمة أصبحت عبئاً امتثالياً يصعب التنقل فيه. وصرّحت نائبة الرئيس التنفيذية للسيادة التكنولوجية Henna Virkkunen، التي قدّمت الحزمة إلى جانب المفوّضَين Valdis Dombrovskis وMichael McGrath، بأن الحزمة الرقمية الشاملة تهدف إلى “التخلص من الفوضى التنظيمية” حتى تتمكن الشركات من “قضاء وقت أقل في العمل الإداري والامتثال ووقت أكثر في الابتكار والتوسع.”

تُقدّر المفوضية أن تدابير التبسيط يمكن أن توفّر للشركات ما يصل إلى 5 مليارات يورو من التكاليف الإدارية بحلول عام 2029، مع هدف تقليل الأعباء الإدارية بنسبة 25% على الأقل لجميع الشركات و35% للمؤسسات الصغيرة والمتوسطة بنهاية ذلك العام. وإذا اعتُمدت المحافظ الرقمية للأعمال الأوروبية (European Business Wallets) — وهي مقترح مرافق ضمن الحزمة الرقمية الأوسع — تتوقع المفوضية وفورات إضافية تصل إلى 150 مليار يورو سنوياً.

لكن الحزمة الرقمية الشاملة ليست مجرد تنظيف تقني. فهي تتضمن تغييرات جوهرية في السياسات أثارت قلق المدافعين عن حماية البيانات ومجموعات المستهلكين وبعض الهيئات التنظيمية في الدول الأعضاء. تؤجّل الحزمة بعض التزامات الذكاء الاصطناعي عالي المخاطر لمدة تصل إلى 16 شهراً، وتُدخل أساساً قانونياً محدداً لمعالجة البيانات الشخصية لتدريب نماذج الذكاء الاصطناعي بموجب “المصلحة المشروعة”، وتنقل قواعد الموافقة على ملفات تعريف الارتباط من إطار الخصوصية الإلكترونية إلى GDPR نفسه.

يُعدّ نطاق الحزمة لافتاً. فهو يمسّ تقريباً كل جانب من التنظيم الرقمي الأوروبي، من لافتات الموافقة على ملفات تعريف الارتباط إلى متطلبات الأمن السيبراني للبنية التحتية الحرجة. ويتطلب فهم ما يتغير — وما لا يتغير — فحص كل مكوّن بالتفصيل.

GDPR: تبسيط أم تآكل؟

أثارت إصلاحات GDPR ضمن الحزمة الرقمية الشاملة أكبر قدر من الجدل. فاللائحة التي خدمت كمعيار ذهبي عالمي لحماية البيانات منذ 2018 ستُعدَّل بعدة طرق جوهرية.

يتعلق التغيير الأكثر أهمية بمعالجة البيانات الشخصية للذكاء الاصطناعي. ستُؤكّد مادة جديدة 88c أن تطوير وتشغيل نماذج الذكاء الاصطناعي يمكن متابعته كمصلحة مشروعة بموجب المادة 6(1)(f) من GDPR، شريطة استيفاء شروط معينة — بما في ذلك إجراء اختبار موازنة، وضمان تقليل البيانات، والحماية من الكشف عن البيانات المتبقية، ومنح الأفراد حقاً غير مشروط في الانسحاب. كما تقترح الحزمة الرقمية الشاملة استثناءً خاصاً يسمح بمعالجة بيانات الفئات الخاصة (مثل العرق أو الصحة أو التوجه الجنسي) لتدريب الذكاء الاصطناعي، شريطة أن يحاول المتحكمون تحديد هذه البيانات وإزالتها من مجموعات التدريب، أو استخدام طرق لمنع كشفها في المخرجات حيث تكون الإزالة غير متناسبة.

أشار مجلس حماية البيانات الأوروبي (EDPB) والمشرف الأوروبي على حماية البيانات (EDPS) في رأيهما المشترك 2/2026، المعتمد في 11 فبراير 2026، إلى أن حكم المصلحة المشروعة للذكاء الاصطناعي غير ضروري إلى حد كبير لأنهما أكّدا بالفعل من خلال توجيهاتهما أن المصلحة المشروعة يمكن أن تكون أساساً قانونياً صالحاً لتطوير نماذج الذكاء الاصطناعي. وقلقهما هو أن تقنين ذلك بهذه الطريقة قد يُفسَّر على أنه إنشاء استثناء أوسع مما هو قائم حالياً بموجب الاجتهاد القضائي.

بالنسبة للمؤسسات الصغيرة والمتوسطة والشركات المتوسطة الصغيرة (SMCs، المُعرَّفة بما يصل إلى 750 موظفاً أو 150 مليون يورو إيرادات)، تُوسّع الحزمة الشاملة عدة تسهيلات امتثالية. سيرتفع عتبة إعفاء حفظ السجلات بموجب المادة 30(5) من المؤسسات التي يقل عدد موظفيها عن 250 إلى تلك التي يقل عدد موظفيها عن 750 — شريطة ألا تُشكّل المعالجة خطراً عالياً على حقوق الأفراد. كما ستستفيد الشركات المتوسطة الصغيرة من متطلبات توثيق تقني مبسّطة لأنظمة الذكاء الاصطناعي عالية المخاطر، وستُحسب الغرامات المفروضة عليها باستخدام نفس الصيغة المخفّضة المطبّقة حالياً على المؤسسات الصغيرة والمتوسطة.

أصدر EDPB وEDPS رأيهما المشترك معبّرَين عن دعمهما لبعض تدابير التبسيط و”مخاوف جدية” من أن بعض المقترحات قد “تُلحق الضرر بمستوى الحماية الذي يتمتع به الأفراد، وتُنشئ حالة من عدم اليقين القانوني وتجعل قانون حماية البيانات أصعب في التطبيق.” وحثّا بقوة المشرّعين المشاركين على عدم اعتماد التغييرات المقترحة لتعريف البيانات الشخصية، محاجِّين بأن تضييق المفهوم يتجاوز بكثير نطاق التعديل المستهدف.

كما تقترح المفوضية تمديد الموعد النهائي لإخطارات خرق GDPR من 72 ساعة إلى 96 ساعة، مع توحيد عتبة الإبلاغ الإلزامي للسلطات الإشرافية مع عتبة الإبلاغ لأصحاب البيانات. ويدعم EDPB وEDPS هذا التغيير فعلاً، مشيرَين إلى أنه قد يُقلّل العبء الإداري دون تقويض حماية الأفراد.

ستُعاد هيكلة متطلبات الموافقة على ملفات تعريف الارتباط — الجانب الأكثر ظهوراً والأكثر إثارة للشكوى في حماية البيانات الأوروبية — بشكل جوهري. تنقل الحزمة الشاملة تنظيم ملفات تعريف الارتباط من توجيه الخصوصية الإلكترونية بالكامل إلى إطار GDPR، وتقترح نظام إدارة موافقة مركزي. وبموجب هذا النهج، سيُحدّد المستخدمون تفضيلات مشاركة بياناتهم مرة واحدة عبر متصفحهم أو نظام تشغيلهم، وستُلزم المواقع الإلكترونية باحترام هذه الإشارات القابلة للقراءة آلياً لمدة ستة أشهر على الأقل. ولن تتطلب ملفات تعريف الارتباط منخفضة المخاطر للأمان والتحليلات الأساسية لافتات موافقة، بينما ستُدار ملفات تعريف الارتباط التسويقية والتتبعية عبر تفضيلات المتصفح المركزية. يحظى هذا التغيير بدعم واسع من الصناعة ودعاة الخصوصية على حدٍّ سواء، رغم أن الناشرين الأوروبيين أثاروا مخاوف بشأن التأثير على نماذج إيرادات الإعلانات الخاصة بهم.

قانون الذكاء الاصطناعي: التأجيل لمدة 16 شهراً

ربما يكون العنصر الأكثر أهمية استراتيجياً في الحزمة الرقمية الشاملة هو معالجتها لقانون الذكاء الاصطناعي في الاتحاد الأوروبي. فالقانون الذي دخل حيّز التنفيذ في أغسطس 2024 أنشأ إطاراً تنظيمياً متدرجاً لأنظمة الذكاء الاصطناعي بناءً على مستويات المخاطر. وتواجه الفئات الأعلى خطورة — بما فيها الذكاء الاصطناعي المُستخدم في البنية التحتية الحرجة وإنفاذ القانون والتوظيف — أشد المتطلبات صرامة، بما في ذلك تقييمات المطابقة وأنظمة إدارة المخاطر الإلزامية والتزامات الإشراف البشري.

تقترح الحزمة الشاملة تأجيل الموعد النهائي للامتثال لهذه الالتزامات عالية المخاطر من خلال ربط تاريخ التطبيق بتوفر المعايير المنسّقة وأدوات الدعم. بموجب قانون الذكاء الاصطناعي الأصلي، كان من المقرر أن تسري قواعد حالات الاستخدام عالية المخاطر المستقلة (الملحق الثالث، الذي يغطي مجالات مثل التعرف البيومتري والتوظيف) اعتباراً من 2 أغسطس 2026. ستسمح الحزمة الشاملة للمفوضية بتأكيد متى يتوفر دعم امتثال كافٍ، وبعد ذلك تسري الالتزامات خلال ستة أشهر لأنظمة الملحق الثالث و12 شهراً للذكاء الاصطناعي المدمج في منتجات منظّمة (الملحق الأول). وتضمن تواريخ الإنفاذ النهائية التطبيق بصرف النظر: 2 ديسمبر 2027 لأنظمة الملحق الثالث و2 أغسطس 2028 لأنظمة الملحق الأول — مما يوفر ما يصل إلى 16 شهراً من وقت التحضير الإضافي.

يستجيب التأجيل لمشكلة ملموسة: فقد فاتت هيئتا CEN وCENELEC الأوروبيتان للمعايير المكلّفتان بتطوير معايير منسّقة للذكاء الاصطناعي عالي المخاطر الموعدَ الأصلي في أغسطس 2025، ولا يزال عمل التوحيد جارياً. وبدون معايير نهائية، تفتقر الشركات إلى مقاييس واضحة يمكن من خلالها إثبات الامتثال. ووقّع أكثر من ثلاثين مؤسساً ومستثمراً من رأس المال المغامر على رسالة مفتوحة تُحاجج بأن قانون الذكاء الاصطناعي يُخاطر بإنشاء “بيئة تنظيمية مجزأة وغير متوقعة ستُقوّض الابتكار وتُثبّط الاستثمار وتُخلّف أوروبا في النهاية.”

يرى المنتقدون دوافع استراتيجية تتجاوز المبرر التقني. يتزامن التأجيل مع تكثيف المنافسة من شركات الذكاء الاصطناعي الأمريكية والصينية، التي أشار عدد منها إلى متطلبات الامتثال للاتحاد الأوروبي كعوامل في قرارات دخول السوق. وبتأجيل أكثر المتطلبات إرهاقاً، يبدو أن المفوضية تستجيب لتحذيرات الصناعة من أن الإنفاذ المبكر قد يُوسّع فجوة القدرات في الذكاء الاصطناعي لدى الاتحاد الأوروبي.

لا يسري التأجيل على حظر قانون الذكاء الاصطناعي للممارسات غير المقبولة المخاطر — مثل أنظمة التقييم الاجتماعي والمراقبة البيومترية المباشرة في الأماكن العامة — التي تبقى سارية المفعول. كما لا يؤثر على متطلبات الشفافية لنماذج الذكاء الاصطناعي ذات الأغراض العامة، بما في ذلك التزامات وسم المحتوى المُنتج بالذكاء الاصطناعي (رغم أن الموعد النهائي للامتثال لوسم المحتوى بموجب المادة 50(2) سيُمدَّد إلى 2 فبراير 2027 لمزوّدي الخدمات الذين طرحوا أنظمتهم في السوق قبل 2 أغسطس 2026).

NIS2 والأمن السيبراني: نقطة دخول موحدة

تعكس مكونات الأمن السيبراني في الحزمة الرقمية الشاملة اعترافاً متزايداً بأن الإطار التنظيمي للأمن السيبراني في أوروبا أصبح مجزأً لدرجة تُعيق الإنتاجية.

تم تنفيذ توجيه أمن الشبكات والمعلومات 2 (NIS2)، الذي كان على الدول الأعضاء نقله إلى القانون الوطني بحلول أكتوبر 2024، بشكل غير متسق عبر الكتلة. فقد تبنّت بعض الدول الأعضاء تفسيرات موسّعة تشمل نطاقاً واسعاً من الكيانات، بينما اتبعت أخرى نُهجاً بسيطة. والنتيجة هي أن شركة تُشغّل بنية تحتية حرجة عبر عدة دول أعضاء في الاتحاد الأوروبي قد تواجه متطلبات أمن سيبراني مختلفة جوهرياً في كل ولاية قضائية.

تُدخل الحزمة الشاملة إصلاحاً هيكلياً كبيراً: نقطة دخول واحدة للإبلاغ عن الحوادث عبر أُطر تنظيمية أوروبية متعددة. ستُنشئ مادة جديدة 23a في NIS2 واجهة إبلاغ موحدة، تُمكّن الشركات من الوفاء بالتزامات الإخطار بموجب NIS2، ومتطلبات خرق البيانات الشخصية في GDPR، وتقارير حوادث تكنولوجيا المعلومات والاتصالات الكبرى بموجب DORA، وإخطارات eIDAS، وحوادث توجيه CER من خلال بوابة آمنة واحدة. يُعالج هذا واحدة من أكثر أعباء الامتثال المُشار إليها — متطلب تقديم تقارير حوادث متداخلة لعدة سلطات بموجب جداول زمنية وتنسيقات مختلفة.

كما تقترح الحزمة الشاملة تعديلات مستهدفة على NIS2 تهدف إلى تبسيط قواعد الاختصاص القضائي، وتسهيل جمع البيانات عن هجمات برامج الفدية، وتيسير الإشراف على الكيانات العابرة للحدود مع تعزيز الدور التنسيقي لوكالة ENISA. وبموجب مواءمة NIS2-CSA2، يمكن استخدام شهادات الأمن السيبراني الأوروبية — بما في ذلك مخططات مستوى الكيان المستقبلية — لإثبات الامتثال لواجبات إدارة المخاطر بموجب NIS2.

ستسري تدابير نقطة الدخول الموحدة بعد 18 شهراً من الدخول حيّز التنفيذ، مع إمكانية التمديد إلى 24 شهراً إذا لزم الأمر. وقد رحّب متخصصو الأمن السيبراني عموماً بجهود التنسيق، رغم أن بعضهم حذّر من أن الانتقال إلى نظام موحد يجب ألا يُنشئ ثغرات أثناء التنفيذ.

قانون البيانات وتوجيه الخصوصية الإلكترونية

تمسّ الحزمة الرقمية الشاملة أيضاً قانون البيانات وتوجيه الخصوصية الإلكترونية، وإن اختلفت التغييرات في نطاقها ودرجة الجدل حولها.

بالنسبة لقانون البيانات، تُعالج الحزمة الشاملة بشكل أساسي مخاوف التنفيذ التي ظهرت منذ دخول القانون حيّز التنفيذ. وتُدخل نظام امتثال أخف لخدمات معالجة البيانات المُصنّعة حسب الطلب ولمزوّدي خدمات معالجة البيانات من المؤسسات الصغيرة والمتوسطة والشركات المتوسطة الصغيرة، وتُحسّن متطلبات التشغيل البيني للحوسبة السحابية والتبديل بينها، وتُقدّم تعريفاً أدق لـ”الأسرار التجارية” التي يمكن حجبها من التزامات مشاركة البيانات. كما تُدخل آلية حل نزاعات للحالات التي يختلف فيها حائزو البيانات ومتلقوها حول شروط الوصول.

أما تغييرات الخصوصية الإلكترونية فهي أكثر أهمية — وأكثر إثارة للجدل. فبدلاً من الاستمرار في الدفع بلائحة الخصوصية الإلكترونية المتوقفة (التي فشلت في التقدم عبر العملية التشريعية لسنوات)، تُدمج الحزمة الشاملة فعلياً أهم تحديثات الخصوصية الإلكترونية في إطار GDPR. وستنتقل قواعد ملفات تعريف الارتباط والقواعد المتعلقة بالبيانات الوصفية للاتصالات الإلكترونية وتقنيات التتبع إلى اختصاص GDPR، مع استبدال آلية الموافقة المركزية القائمة على المتصفح لنموذج الموافقة الحالي من موقع إلى آخر.

أثارت هذه المناورة التشريعية انتقادات حادة. فقد حاججت منظمة الحقوق الرقمية الأوروبية (EDRi) ومنظمات المجتمع المدني الأخرى بأن المفوضية تتحايل على الإجراء التشريعي العادي من خلال تجميع إصلاحات الخصوصية الإلكترونية في حزمة أوسع، متجنّبة التدقيق البرلماني الكامل الذي ستتلقاه لائحة مستقلة. ونشرت مجموعة noyb للدفاع عن الخصوصية تحليلاً مفصلاً يُحاجج بأن الحزمة الرقمية الشاملة تُمثّل “تراجعاً كبيراً عن الحمايات الرقمية الأوروبية.” كما أثار EDPB وEDPS مخاوف بشأن خطر أن يُفضي هذا النهج إلى حلّ قضايا الخصوصية الإلكترونية المتنازع عليها “بشكل غير مباشر ودون نقاش كامل.”

التداعيات على الشركات العالمية

بالنسبة للشركات متعددة الجنسيات العاملة في السوق الأوروبية أو التي تخدمها، تُنشئ الحزمة الرقمية الشاملة فرصاً وحالات عدم يقين على حدٍّ سواء.

تُمثّل عناصر التبسيط — إدارة الموافقة المركزية، ونقطة الدخول الموحدة للإبلاغ عن الحوادث، وخطوط الأساس المنسّقة للأمن السيبراني — تخفيضات حقيقية في تكاليف الامتثال. وقد تجد الشركات التي استثمرت بكثافة في البنية التحتية للامتثال التنظيمي الأوروبي أن بعض تلك الاستثمارات أصبحت أقل ضرورة، مما يُحرّر موارد لأغراض أخرى.

غير أن حالة عدم اليقين الانتقالية كبيرة. فحتى تُكمل الحزمة الشاملة مسارها التشريعي — وهو ما قد يستغرق 18 إلى 24 شهراً نظراً لحاجة موافقة البرلمان الأوروبي والمجلس — يجب على الشركات الاستمرار في الامتثال للتنظيمات القائمة مع الاستعداد في الوقت ذاته للتغييرات المحتملة. وتستمر فترات التعليقات ما بعد الاعتماد على مقترحي الحزمة الشاملة حتى 9 مارس 2026، إلى جانب استشارة فحص اللياقة الرقمية الأوسع المفتوحة حتى 11 مارس 2026.

يُعدّ تأجيل قانون الذكاء الاصطناعي ذا أهمية خاصة لشركات التكنولوجيا الأمريكية والآسيوية التي كانت تُطوّر أنظمة ذكاء اصطناعي متوافقة مع معايير الاتحاد الأوروبي. وقد تجد الشركات التي سرّعت جهود امتثالها للوفاء بالموعد النهائي الأصلي في أغسطس 2026 نفسها تتنافس مع شركات تبنّت نهج الانتظار والترقب، حيث يمنح الجدول الزمني الممدّد المتأخرين مزيداً من الوقت للتنفيذ بتكلفة أقل.

بالنسبة لمتخصصي حماية البيانات عالمياً، تُشير تغييرات GDPR إلى تحوّل محتمل في اتجاه قانون حماية البيانات العالمي. فقد خدم GDPR كقالب لتشريعات حماية البيانات في عشرات الدول — بما فيها القانون الجزائري رقم 18-07. وإذا عدّل الاتحاد الأوروبي إطاره الخاص لتسهيل تطوير الذكاء الاصطناعي، فقد تُحسّ التأثيرات في كل ولاية قضائية نمذجت قوانينها على النهج الأوروبي.

العملية التشريعية في مراحلها الأولى الآن. سيناقش أعضاء البرلمان الأوروبي الحزمة وقد يُقدّمون تعديلات، مع شعور مؤسسات الاتحاد الأوروبي بضغط خاص للوصول إلى توافق على مقترح حزمة الذكاء الاصطناعي قبل 2 أغسطس 2026 — التاريخ الأصلي للتطبيق الكامل لقواعد المخاطر العالية. وكان البرلمان تاريخياً أكثر حمايةً لحقوق الأفراد من المفوضية، ومن المتوقع تعديلات جوهرية. ومن المرجح أن يختلف الشكل النهائي للحزمة الرقمية الشاملة عن مقترح المفوضية بشكل ملحوظ — لكن الاتجاه نحو التبسيط التنظيمي يبدو راسخاً بقوة.

المصادر والقراءات الإضافية

• Digital Omnibus Regulation Proposal — European Commission
• EDPB-EDPS Joint Opinion 2/2026 on the Digital Omnibus — European Data Protection Board
• EU Digital Omnibus: Analysis of Key Changes — IAPP
• Digital Omnibus on AI Regulation Proposal — European Commission
• Why the Digital Omnibus Puts GDPR and ePrivacy at Risk — EDRi
• EU Commission Proposes to Streamline GDPR and EU AI Act — Latham & Watkins