هل العروض التقديمية بالذكاء الاصطناعي آمنة للبيانات السرية؟ دليل الأمان لعام 2026

يعتمد الأمر على الأداة والبيانات. اعتبارًا من عام 2026، توجد ثلاث فئات من أدوات العروض التقديمية بالذكاء الاصطناعي حسب وضع الأمان: (1) أدوات المستهلك التي قد تستخدم محتواك للتدريب (غير آمنة للبيانات السرية افتراضيًا)؛ (2) أدوات المستوى التجاري مع التزامات بعدم التدريب وشهادة SOC 2 Type II (مقبولة لمعظم البيانات الداخلية)؛ (3) أدوات المستوى المؤسسي مع SSO، سجلات المراجعة، خيارات إقامة البيانات، وأوضاع عدم الاحتفاظ (مطلوبة للصناعات المنظمة). الاختصار الصادق: لا تلصق أبدًا بيانات سرية في أداة ذكاء اصطناعي مجانية للمستهلك. بالنسبة لمعظم فرق المؤسسات في عام 2026، فإن مولد الشرائح على المستوى المؤسسي — أو تشغيل نسخة خاصة — هو الحد الأدنى للامتثال لـ SOC 2 وGDPR والقواعد الخاصة بالصناعة مثل HIPAA. نادرًا ما تكون المخاطر في أداة الشرائح نفسها؛ عادةً ما تكون في مزود LLM الأساسي، ونافذة الاحتفاظ، وضوابط الوصول التي نسى فريقك تكوينها. احصل على هذه الثلاثة بشكل صحيح وستصبح العروض التقديمية بالذكاء الاصطناعي غير أكثر خطورة من Google Docs.

إذا كنت مسؤول مشتريات أو مستشارًا قانونيًا أو مهندس أمان يقيّم أدوات العروض التقديمية بالذكاء الاصطناعي لمؤسستك، فإن هذا الدليل يشرح ما يجب التحقق منه قبل لصق شريحة سرية واحدة في المولد.

المستويات الثلاثة للأمان في أدوات العروض التقديمية بالذكاء الاصطناعي

ليست كل أدوات العروض التقديمية بالذكاء الاصطناعي تتعامل مع بياناتك بنفس الطريقة. قبل تقييم أي مزود خدمة محدد، من المفيد معرفة المستوى الذي تنظر إليه.

المستوى الأول: الاستهلاكي (محفوف بالمخاطر للبيانات السرية)

تم تصميم الخطط الاستهلاكية المجانية أو منخفضة التكلفة للطلاب والمبدعين الأفراد والهواة. وهي تتضمن عادةً بنود استخدام البيانات التي تسمح للمزود باستخدام محتواك لتحسين الذكاء الاصطناعي الخاص به — وهو ما يعني عملياً أن محتويات العرض التقديمي قد يتم تسجيلها والاحتفاظ بها واستخدامها في مجموعات التدريب.

أمثلة على هذا المستوى: الطبقات المجانية من Gamma وCanva Free ومعظم مولدات الويب التي لا تتطلب تسجيل دخول. توثيق Gamma نفسه يؤكد أنه في الخطط المجانية، يتم استخدام البيانات لتحسين ميزات AI افتراضياً ويجب على المستخدمين إلغاء الاشتراك يدوياً؛ خطط Teams وBusiness تعطل هذا الإعداد وتقفله.

الحكم: مقبول لمشاريع الصف الدراسي والعروض التقديمية الشخصية أو محتوى التسويق العام. غير مقبول لأي شيء مشمول باتفاقية عدم إفشاء أو بيانات العملاء أو البيانات المالية أو المستندات القانونية أو السجلات المنظمة.

المستوى الثاني: الأعمال (مقبول لمعظم البيانات الداخلية)

تضيف خطط مستوى الأعمال التزامات تعاقدية حول إلغاء الاشتراك في التدريب والاحتفاظ بالبيانات وعمليات التدقيق من طرف ثالث. الحد الأدنى هو تقرير SOC 2 Type II حالي، وتشفير TLS 1.2+ أثناء النقل، وAES-256 أثناء الراحة، والتزام مكتوب بعدم التدريب على محتوى العملاء.

أمثلة على هذا المستوى: Gamma Business وBeautiful.ai (التي تحمل شهادات SOC 2 Type II وCCPA وGDPR) وPlus AI (SOC 2 Type II، التزام بعدم التدريب) والطبقات المدفوعة من Canva (معتمدة SOC 2 Type II وISO 27001).

الحكم: مقبول لمعظم محتوى الشركات الداخلي — تحديثات مجلس الإدارة والتدريب الداخلي والعروض التقديمية للمبيعات وخرائط طريق المنتج — بشرط أن تسمح سياسة تصنيف البيانات الخاصة بك بمعالجة SaaS لتلك الفئة.

المستوى الثالث: المؤسسات (مطلوب للبيانات المنظمة)

يضيف مستوى المؤسسات SSO/SAML، وتوفير SCIM، والتحكم في الوصول على أساس الأدوار، وسجلات التدقيق التفصيلية، وإقامة البيانات القابلة للتكوين، واتفاقيات DPA الموقعة مع البنود التعاقدية القياسية لـ GDPR، و— للرعاية الصحية — اتفاقية شريك الأعمال (BAA) الموقعة. كما يقدم بعض المزودين أوضاع عدم الاحتفاظ أو المفاتيح المُدارة من العملاء أو نشر النماذج الخاصة.

أمثلة على هذا المستوى: Microsoft 365 Copilot (مشمول بموجب BAA المؤسسي من Microsoft وSOC 2 وISO 27001 وFedRAMP وحدود البيانات في الاتحاد الأوروبي) و2Slides Enterprise ونشر مخصص لمولدات مفتوحة المصدر على البنية التحتية التي يتحكم فيها العميل.

الحكم: مطلوب للرعاية الصحية (PHI) والخدمات المالية (MNPI) والامتياز القانوني والدفاع أو أي بيانات تخضع لأطر تنظيمية محددة.

ما الذي يجب التحقق منه قبل لصق البيانات السرية

استخدم قائمة التحقق هذه قبل إدخال أي شريحة سرية في أي أداة AI. إذا لم يتمكن المورّد من الإجابة على جميع الأسئلة الثمانية بوثائق عامة، قم بتصعيد الأمر إلى فريق الأمن لديهم أو اختر أداة مختلفة.

1. إلغاء الاشتراك في التدريب — هل يوجد التزام تعاقدي بأن المحتوى الخاص بك لن يُستخدم لتدريب نماذج AI الخاصة بالمورّد أو أي معالج فرعي؟ هل هو مفعّل افتراضيًا لمستواك، أم يتطلب تفعيلاً يدويًا؟
2. سياسة الاحتفاظ بالبيانات — ما المدة التي يُحتفظ فيها بالمحتوى الخاص بك على خوادم المورّد؟ هل يوجد وضع عدم احتفاظ لاستدعاءات API؟
3. توفر تقرير SOC 2 Type II — هل يمكنك الحصول على تقرير SOC 2 Type II حديث (أقل من 12 شهرًا) بموجب اتفاقية عدم إفشاء؟ Type I غير كافٍ — فهو يشهد فقط على التصميم، وليس على الفعالية التشغيلية.
4. التشفير في حالة السكون وأثناء النقل — هل البيانات مشفرة بـ TLS 1.2 أو أعلى أثناء النقل، وبـ AES-256 في حالة السكون؟ من يحتفظ بالمفاتيح؟
5. خيارات المنطقة والإقامة — هل يمكنك تثبيت المعالجة والتخزين في منطقة محددة (EU، US، APAC)? هل يوجد التزام بحدود البيانات الأوروبية (EU Data Boundary)؟
6. SSO — هل يدعم المورّد SAML 2.0 أو OIDC SSO في مستواك، بحيث يتحكم IdP الخاص بك في الوصول؟
7. سجلات المراجعة — هل يتم تسجيل إجراءات المستخدم (عمليات تسجيل الدخول، الوصول إلى المستندات، عمليات التصدير، المشاركة) وإمكانية تصديرها إلى SIEM الخاص بك؟
8. قائمة المعالجين الفرعيين — هل ينشر المورّد قائمة بالمعالجين الفرعيين تسمّي مزودي LLM والبنية التحتية السحابية ومورّدي التحليلات الذين يتعاملون مع بياناتك؟ هل يوجد إشعار مسبق بالتغييرات؟

كيف تتفوق الأدوات الرئيسية في الأمان

بناءً على الوثائق المعلنة علنياً من كل مزود حتى عام 2026. في حال عدم الإعلان العلني عن قدرة معينة، يوضح هذا الجدول ذلك بدلاً من التخمين.

بالنسبة لأعباء عمل HIPAA، يعد Microsoft 365 Copilot المزود الوحيد في هذه القائمة الذي ينشر تغطية BAA صريحة من خلال BAA المؤسسي الحالي من Microsoft. بالنسبة لجميع المزودين الآخرين، تعامل مع تغطية HIPAA على أنها "اتصل بقسم المبيعات واحصل عليها كتابياً" قبل تحميل أي معلومات صحية محمية (PHI).

إقامة البيانات واللائحة العامة لحماية البيانات (GDPR)

بالنسبة للمؤسسات في الاتحاد الأوروبي وأي شركة أمريكية تتعامل مع بيانات سكان الاتحاد الأوروبي، تتطلب اللائحة العامة لحماية البيانات (GDPR) إجابة مدافَع عنها على السؤال "أين تتواجد البيانات؟"

يُعد Microsoft 365 Copilot حالياً القصة الأوضح: فهو جزء من حدود بيانات الاتحاد الأوروبي (EU Data Boundary)، مما يعني أن المطالبات والاستجابات وبيانات الأساس تبقى ضمن المنطقة الجغرافية للاتحاد الأوروبي للمستأجرين المُخصَّصين هناك. تمت إضافته كعبء عمل مغطى في مارس 2024.

بالنسبة للموردين الآخرين، عادةً ما تكون إقامة البيانات في الاتحاد الأوروبي متاحة فقط في العقود المؤسسية المتفاوض عليها أو لا تُعرض علنياً على الإطلاق. إذا كنت مراقب بيانات ضمن نطاق اللائحة العامة لحماية البيانات (GDPR)، فأصر على:

• اتفاقية معالجة البيانات (DPA) موقعة مع البنود التعاقدية القياسية (SCCs) لأي عمليات نقل خارج الاتحاد الأوروبي
• قائمة منشورة بالمعالجين الفرعيين وعملية إخطار بالتغييرات
• تقييمات أثر النقل الموثقة (Transfer Impact Assessments) لأي معالج فرعي لنماذج اللغة الكبيرة (LLM) مقره في الولايات المتحدة (OpenAI، Anthropic، Google)

"نحن متوافقون مع اللائحة العامة لحماية البيانات (GDPR)" ليس ضماناً لإقامة البيانات. إنها نقطة انطلاق لمحادثة.

HIPAA والرعاية الصحية

لا يمكن للجهات المشمولة بالرعاية الصحية في الولايات المتحدة وشركائها التجاريين إرسال معلومات صحية محمية (PHI) إلى أي أداة ذكاء اصطناعي دون توقيع اتفاقية شريك تجاري (BAA). هذا ليس مجرد ممارسة مثلى — بل هو متطلب قانوني بموجب القانون 45 CFR Part 164.

اعتبارًا من عام 2026، يُعد Microsoft 365 Copilot المسار الأكثر وضوحًا: فهو مشمول ضمن اتفاقية الشريك التجاري (BAA) المؤسسية من Microsoft للخدمات المؤهلة لـ HIPAA المرتبطة بمستأجر Microsoft 365 الخاص بك. يتطلب النشر تكوين المستأجر — ليست كل خدمات Microsoft مشمولة، والاتفاقية BAA تغطي فقط ما ينص عليه عقدك.

بالنسبة لمعظم أدوات العروض التقديمية الأخرى المدعومة بالذكاء الاصطناعي، فإن تغطية HIPAA إما غير معلنة علنًا أو متاحة فقط من خلال عقود مؤسسية مخصصة. إذا كانت مؤسستك تتعامل مع معلومات صحية محمية (PHI)، فإن الخيارات الواقعية هي:

1. استخدام Microsoft 365 Copilot مع تكوين المستأجر بشكل صحيح لـ HIPAA
2. استخدام مزود خدمة يوقع صراحةً اتفاقية BAA (اتصل بالمبيعات، راجع نطاق BAA بعناية)
3. نشر نسخة خاصة من مولد شرائح مفتوح المصدر على بنية تحتية مؤهلة لـ HIPAA (AWS أو Azure أو GCP مع اتفاقيات BAA موقعة)

للحصول على شرح أكثر تفصيلاً لأنماط الامتثال في العروض التقديمية للرعاية الصحية، راجع دليلنا حول العروض التقديمية بالذكاء الاصطناعي للرعاية الصحية والشرائح الطبية.

ماذا عن موفري نماذج اللغة الكبيرة المستخدمة خلف الكواليس؟

هذا هو الجزء الذي تفوته معظم مراجعات المشتريات. نادراً ما تقوم أدوات العروض التقديمية بالذكاء الاصطناعي بتدريب نماذجها الأساسية الخاصة. فهي تستدعي واجهات برمجة التطبيقات (APIs) من OpenAI أو Anthropic أو Google Gemini — مما يعني أن وضع خصوصية بياناتك هو تقاطع سياستين، وليس واحدة.

تبدو سلسلة الثقة كالتالي:

أنت ← موفر العروض التقديمية ← موفر نموذج اللغة الكبيرة

يمكن لمولد الشرائح أن يعد بـ "نحن لا نستخدم بياناتك للتدريب"، ولكن ما لم يلتزم معالج نموذج اللغة الكبيرة الفرعي أيضاً بعدم التدريب والاحتفاظ المناسب، فإن بياناتك تبقى في سجلات موفر نموذج اللغة الكبيرة وفقاً لشروط ذلك الموفر.

الأخبار الجيدة: موفرو نماذج اللغة الكبيرة الرئيسيون لديهم شروط مؤسسية ناضجة اعتباراً من عام 2026.

• OpenAI API: البيانات المرسلة عبر واجهة برمجة التطبيقات لم تُستخدم لتدريب النماذج منذ مارس 2023 (ما لم تشترك صراحة). الاحتفاظ الافتراضي هو 30 يوماً لمراقبة إساءة الاستخدام في المستوى القياسي. الاحتفاظ الصفري بالبيانات (ZDR) متاح عند الطلب لنقاط النهاية المؤهلة وعملاء المؤسسات.
• Anthropic API: موقف مماثل لعدم التدريب افتراضياً؛ المستويات المؤسسية توفر ضوابط إضافية.
• Google Gemini عبر Vertex AI: الشروط المؤسسية توفر التزامات عدم التدريب وتثبيت المنطقة.

ما يجب أن تسأله موفر العروض التقديمية: "أي موفر وأي نقطة نهاية من نموذج اللغة الكبيرة تستخدمون؟ هل تخضع البيانات لاتفاقية ZDR أو عدم الاحتفاظ؟ هل يمكنكم عرض سلسلة اتفاقية معالجة البيانات (DPA)؟" إذا كانت الإجابة "نحن نستخدم منتج ChatGPT الاستهلاكي"، فهذا علامة تحذيرية — ChatGPT الاستهلاكي لديه شروط افتراضية مختلفة عن واجهة برمجة التطبيقات. يجب على الفرق القانونية على وجه الخصوص قراءة تحليلنا حول العروض التقديمية بالذكاء الاصطناعي للفرق القانونية وملخصات القضايا ومقترحات العملاء للحصول على إرشادات خاصة بالقطاع.

الأسئلة الشائعة

هل يمكنني استخدام ChatGPT لإنشاء شرائح سرية؟

ليس في المستويات المجانية أو Plus الاستهلاكية، التي قد تحتفظ بمحتواك وتستخدمه لتحسين النماذج. في ChatGPT Team أو Enterprise أو Business أو عبر الـ API، لا يتم استخدام البيانات للتدريب افتراضياً، ويضيف Enterprise معايير SOC 2 وSSO وضوابط إدارية. إذا كانت بياناتك خاضعة لـ HIPAA أو تتطلب BAA موقّع، استخدم ChatGPT for Healthcare أو وجّه الطلبات عبر Azure OpenAI بموجب BAA من Microsoft.

هل من المقبول رفع ملف CSV مالي إلى أداة عرض تقديمي بالذكاء الاصطناعي؟

فقط إلى مستوى أعمال أو مؤسسات مع التزام بعدم التدريب، وSOC 2 Type II، والتشفير أثناء التخزين. أبداً إلى المستوى المجاني لأي مزود. بالنسبة للمعلومات الجوهرية غير العامة (MNPI)، يُفضّل أداة مؤسسية مع SSO وسجلات التدقيق — ومن الأفضل — وضع عدم الاحتفاظ على جانب LLM.

ما هي الأدوات المتوافقة مع HIPAA؟

Microsoft 365 Copilot مشمول ضمن BAA المؤسسي من Microsoft لخدمات HIPAA المؤهلة. بالنسبة لمعظم أدوات العرض التقديمي الأخرى بالذكاء الاصطناعي، لا يتم الإعلان عن تغطية HIPAA علناً ويجب التفاوض عليها عبر مبيعات المؤسسات مع BAA صريح. لا تفترض أبداً — احصل دائماً على BAA موقّع قبل إرسال PHI.

هل تدرّب 2Slides على بياناتي؟

وفقاً لسياسة الخصوصية في 2Slides (آخر تحديث 17 مارس 2026)، تستخدم 2Slides المحتوى وبيانات الاستخدام لتحسين نماذج AI في الاستخدام المجاني، لكن في الخطط المدفوعة مع تفعيل ضوابط الخصوصية، لا يتم استخدام المحتوى لتدريب AI. لمتطلبات المؤسسات بما في ذلك SSO وسجلات التدقيق وأوضاع عدم الاحتفاظ، تواصل مع فريق 2Slides.

ماذا عن توليد الشرائح بالذكاء الاصطناعي المحلي أو الخاص؟

بالنسبة للمؤسسات ذات متطلبات إقامة البيانات الأكثر صرامة أو البيانات المصنفة، يكون النشر الخاص أحياناً الإجابة الدفاعية الوحيدة. يعني هذا عادةً تشغيل خط أنابيب توليد شرائح مفتوح المصدر مقابل LLM مستضاف ذاتياً (على سبيل المثال، نسخة Llama أو Mistral على بنية تحتية للعميل) أو مقابل نقطة نهاية LLM مؤسسية بموجب عقد ZDR مع مفاتيح يديرها العميل. المقايضة هي التكلفة وعبء العمليات وتحديثات النماذج الأبطأ — لكن بالنسبة للدفاع والاستخبارات وبعض إعدادات الرعاية الصحية، إنه المسار الوحيد.

الخلاصة

السؤال ليس "هل الذكاء الاصطناعي آمن للعروض التقديمية السرية؟" — بل هو "أي مستوى من أدوات الذكاء الاصطناعي، بموجب أي عقد، مع أي معالج فرعي LLM، ولأي تصنيف بيانات؟" كن محددًا وستصبح الإجابة قابلة للإدارة.

تقع معظم المؤسسات في واحدة من ثلاث فئات. يمكن لفرق التسويق والتدريب الداخلي وتمكين المبيعات استخدام أدوات العروض التقديمية بالذكاء الاصطناعي من المستوى التجاري بأمان مع SOC 2 Type II والتزامات عدم التدريب. يجب على فرق تكنولوجيا المعلومات في المؤسسات والمالية والقانونية طلب ضوابط المستوى 3: SSO، وسجلات التدقيق، وإقامة البيانات في الاتحاد الأوروبي حيثما ينطبق ذلك، واتفاقية DPA موقعة. تحتاج الرعاية الصحية والدفاع والتمويل المنظم إلى عقود مؤسسية مع BAAs صريحة أو عمليات نشر خاصة. أسوأ نتيجة هي الطريق الأوسط — معاملة أداة استهلاكية على أنها آمنة للمؤسسات لأنها بدت جيدة في عرض توضيحي. قم بإجراء قائمة التحقق المكونة من ثمانية عناصر مرة واحدة، واكتبها في نموذج استيعاب البائعين الخاص بك، والباقي قابل للتكرار.

للحصول على عروض تقديمية جاهزة للإنتاج مع ضوابط بيانات واضحة، جرب 2Slides — أو اتصل بفريقنا بشأن خطط المؤسسات مع SSO وتسجيل التدقيق.