قانون حوكمة الذكاء الاصطناعي والمساءلة الخوارزمية والأنظمة عالية المخاطر

يسمى هذا القانون «قانون حوكمة الذكاء الاصطناعي والمساءلة الخوارزمية والأنظمة عالية المخاطر»، ويضع إطاراً أفقياً لحوكمة أنظمة الذكاء الاصطناعي في جمهورية العراق. وتبقى القوانين القطاعية وقواعد حماية البيانات والأمن السيبراني وحماية المستهلك والمسؤولية المدنية والجزائية نافذة فيما لم يرد فيه نص خاص، على أن تفسر بما يحقق الاتساق مع الضمانات الواردة في هذا القانون.

يهدف هذا القانون إلى تمكين التطوير والاستخدام الآمن والمسؤول للذكاء الاصطناعي، حماية الحقوق والحريات والكرامة الإنسانية، منع التمييز والأضرار الجسيمة، ضمان الشفافية والمساءلة وقابلية المراجعة، تنظيم الأنظمة عالية المخاطر والأنظمة العامة الغرض، دعم الابتكار والاستثمار والبحث العلمي، وتأسيس حوكمة وطنية متناسقة قابلة للتحديث مع تطور التقنية.

تقوم الحوكمة بموجب هذا القانون على الشرعية والضرورة والتناسب، أولوية الإنسان والرقابة البشرية الفعلية، السلامة والأمن والمتانة، حماية الخصوصية والبيانات، عدم التمييز وتكافؤ الفرص، الشفافية وقابلية التفسير المناسبة للسياق، قابلية التتبع والمساءلة، المنافسة والابتكار، حماية الطفل والفئات المعرضة للمخاطر، وإتاحة سبل اعتراض وانتصاف فعالة.

يسري هذا القانون على كل شخص طبيعي أو معنوي عام أو خاص يطور أو يوفر أو يستورد أو يوزع أو يشغّل أو يستخدم نظام ذكاء اصطناعي داخل العراق، أو يضع نظاماً أو مخرجاته في السوق العراقية، أو تكون مخرجات النظام موجهة إلى أشخاص موجودين في العراق أو يرتب النظام أثراً قانونياً أو مادياً جوهرياً عليهم.

تسري الالتزامات المقررة لمقدم النظام الأجنبي إذا قدم النظام أو الخدمة للمستخدمين في العراق أو استهدف السوق العراقية أو عالج بيانات أشخاص في العراق أو ترتب على استخدامه أثر جوهري داخل العراق. ويلتزم مقدم النظام الأجنبي الخاضع للتسجيل بتعيين ممثل قانوني داخل العراق دون أن يعفي ذلك المقدم الأصلي من المسؤولية.

لا تسري متطلبات التسجيل التجاري والتقييم المسبق على البحث العلمي والتطوير غير الموضوع في الخدمة أو السوق، ولا على الاستخدام الشخصي غير المهني، مع بقاء أحكام الممارسات المحظورة وحماية الحقوق والبيانات والأمن نافذة متى وقع ضرر على الغير. وتخضع الأنظمة العسكرية القتالية البحتة لنظام خاص، ولا يمتد هذا الاستثناء إلى أنظمة الإدارة أو التوظيف أو المراقبة أو التحقيق أو الخدمات العامة لمجرد استخدامها من جهة أمنية أو عسكرية.

لأغراض هذا القانون يقصد بـ«نظام الذكاء الاصطناعي» نظام آلي مصمم للعمل بدرجات متفاوتة من الاستقلالية وقد يظهر قابلية للتكيف بعد النشر ويستنتج، من المدخلات التي يتلقاها، كيفية توليد مخرجات مثل التنبؤات أو المحتوى أو التوصيات أو القرارات المؤثرة في بيئات مادية أو افتراضية. ويقصد بـ«المقدم» من يطور النظام أو يضعه في السوق أو الخدمة باسمه؛ و«المشغّل» من يستخدم النظام تحت سلطته المهنية؛ و«الشخص المتأثر» من يمس النظام حقوقه أو مصالحه أو فرصه أو مركزه القانوني.

يقصد بـ«النظام عالي المخاطر» النظام الذي يقع ضمن المجالات أو المعايير المنصوص عليها في هذا القانون ويترتب على فشله أو سوء استخدامه احتمال معتبر للمساس بالصحة أو السلامة أو الحقوق أو سبل العيش أو الوصول إلى خدمة أساسية. ويقصد بـ«نموذج الذكاء الاصطناعي العام الغرض» نموذج قابل لأداء طيف واسع من المهام ويمكن دمجه في أنظمة متعددة، وبـ«النموذج ذي المخاطر النظامية» نموذج عام الغرض تبلغ قدراته أو نطاق استخدامه أو آثاره المحتملة مستوى يستدعي تدابير سلامة إضافية.

تصنف أنظمة الذكاء الاصطناعي بحسب الاستخدام الفعلي والسياق والقدرة والضرر المحتمل إلى: ممارسات محظورة، أنظمة عالية المخاطر، أنظمة ذات التزامات شفافية خاصة، وأنظمة منخفضة أو محدودة المخاطر. ولا يجوز رفع أو خفض التصنيف بمجرد الاسم التجاري أو الادعاء التقني للمقدم.

يراعى في التصنيف مدى استقلالية النظام، حجم السكان المتأثرين، قابلية الضرر للعكس، حساسية البيانات، وجود فئات ضعيفة، اعتماد القرار على مخرجات النظام، صعوبة كشف الخطأ، إمكانية الانتشار على نطاق واسع، اتصال النظام بالبنية التحتية أو الأموال أو السلامة الجسدية، وإمكان إساءة الاستخدام المتوقعة بصورة معقولة.

يحظر وضع أو استخدام نظام يستعمل تقنيات خفية أو مضللة أو استغلالاً متعمداً للعمر أو الإعاقة أو الهشاشة الاقتصادية أو النفسية على نحو يضعف بصورة جوهرية قدرة الشخص على اتخاذ قرار واعٍ ويؤدي أو يرجح أن يؤدي إلى ضرر جسدي أو نفسي أو مالي أو قانوني جسيم.

يحظر على الجهات العامة، وعلى الجهات الخاصة التي تؤدي وظيفة عامة، إنشاء أو استخدام نظام للتنقيط الاجتماعي العام يقيم الأفراد أو يصنفهم على أساس سلوكهم الاجتماعي أو خصائصهم المتوقعة خارج السياق الذي جمعت فيه البيانات، إذا أدى ذلك إلى معاملة ضارة أو غير متناسبة أو حرمان من حق أو خدمة أو فرصة.

يحظر استخدام الخصائص البيومترية أو السلوكية لاستنتاج العرق أو الأصل الإثني أو الدين أو المذهب أو الرأي السياسي أو التوجه الجنسي أو غيرها من السمات شديدة الحساسية بقصد التصنيف أو المعاملة، إلا إذا أجاز قانون خاص معالجة محددة وضرورية لغرض حمائي مشروع وبضمانات مشددة لا تسمح بالتمييز أو إنشاء قواعد تنميط عام.

يحظر إنشاء أو توسيع قواعد بيانات للتعرف على الوجوه أو السمات البيومترية عن طريق الجمع غير الموجّه واسع النطاق للصور أو التسجيلات من الإنترنت أو كاميرات المراقبة أو مصادر عامة دون أساس قانوني محدد ومتناسب.

لا يجوز للسلطة العامة استخدام التعرف البيومتري عن بعد في الزمن الحقيقي في مكان متاح للجمهور لأغراض إنفاذ القانون إلا للبحث عن شخص مفقود أو منع خطر وشيك على الحياة أو التحقيق في جناية جسيمة محددة، وبأمر قضائي مسبق يحدد المكان والمدة والهدف وقاعدة المقارنة، مع توثيق النتائج الخاطئة وإتلاف البيانات غير اللازمة. ولا يجوز تشغيله للمراقبة العامة أو تتبع الاحتجاجات أو النشاط السياسي أو الصحفي المشروع.

يحظر اتخاذ قرار بالتحقيق أو التوقيف أو التفتيش أو تصنيف شخص بوصفه مرشحاً لارتكاب جريمة اعتماداً حصراً أو بصورة حاسمة على تنبؤ خوارزمي مبني على الشخصية أو السمات أو السلوك السابق أو الروابط الاجتماعية، دون وقائع موضوعية حالية قابلة للتحقق تتصل بجريمة محددة.

يحظر استخدام أنظمة استدلال الحالة الانفعالية أو النفسية في مكان العمل أو المؤسسة التعليمية لاتخاذ قرار توظيف أو تقييم أو انضباط أو قبول أو فصل، عدا الاستخدام الطبي أو السلامي المحدد الذي تديره جهة مختصة وبموافقة وضمانات قانونية مناسبة.

لا يجوز أن يكون نظام ذكاء اصطناعي صاحب القرار النهائي المنفرد في الحرمان من الحرية، إصدار حكم قضائي، سحب حق مدني، فرض عقوبة إدارية جسيمة، أو قطع منفعة أساسية لازمة للمعيشة. ويجب أن يتخذ القرار شخص مختص يمتلك صلاحية حقيقية لمخالفة توصية النظام بعد مراجعة أسبابها والبيانات ذات الصلة.

تعد عالية المخاطر، بحسب شروط هذا القانون، الأنظمة المستخدمة في: التعرف البيومتري؛ إدارة البنى التحتية والخدمات الحيوية؛ القبول والتقييم التعليمي؛ التوظيف وإدارة العمال؛ الائتمان والتأمين والخدمات المالية الأساسية؛ المنافع والخدمات العامة؛ الرعاية الصحية عندما تؤثر في التشخيص أو العلاج؛ إنفاذ القانون والحدود والهجرة؛ القضاء والمساعدة في الفصل في المنازعات؛ الانتخابات والإدارة الديمقراطية؛ السلامة المرورية والنقل؛ وتوزيع الموارد أو الخدمات التي يؤثر الحرمان منها في الحقوق أو سبل العيش.

يجوز لمجلس الوزراء، بناءً على توصية اللجنة العليا لحوكمة الذكاء الاصطناعي وبعد استشارة عامة، إضافة استخدامات إلى قائمة المخاطر أو تعديلها إذا ظهرت أدلة على ضرر مماثل من حيث الشدة والاحتمال. ولا يجوز حذف فئة منصوص عليها صراحة إلا بقانون.

يلتزم مقدم النظام عالي المخاطر بإنشاء نظام مستمر لإدارة المخاطر طوال دورة الحياة يشمل تحديد المخاطر المعروفة والمتوقعة، اختبار الاستخدام المقصود وسوء الاستخدام المعقول، تقييم الفئات المتأثرة، تحديد ضوابط التخفيف، التحقق بعد النشر، وتوثيق القرارات الفنية والتنظيمية الأساسية.

يجب أن تكون بيانات التدريب والتحقق والاختبار ذات صلة بالغرض، مناسبة الجودة، ممثلة قدر الإمكان للفئات والسياقات التي سيستخدم فيها النظام، خاضعة لإجراءات كشف الأخطاء والتحيزات المعروفة، ومصحوبة بوصف لمصدرها وقيودها القانونية والفنية. ولا يفسر ذلك على أنه ترخيص بجمع بيانات شخصية دون سند قانوني.

يعد المقدم ملفاً فنياً قبل طرح النظام عالي المخاطر يتضمن الغرض المقصود، المعمارية العامة، حدود الأداء، البيانات المستخدمة، مقاييس الدقة، المخاطر المعروفة، ضوابط الأمن، أساليب التقييم، آليات الرقابة البشرية، سجل التغييرات الجوهرية، وتعليمات التشغيل الآمن، بالمستوى الذي يسمح للجهة المختصة بالتدقيق دون اشتراط كشف أسرار تجارية غير لازمة.

يصمم النظام عالي المخاطر بحيث ينشئ ويحفظ سجلات تشغيل كافية لتتبع القرارات والأحداث الجوهرية وكشف الأعطال والتحقيق في الحوادث، مع تحديد مدد احتفاظ متناسبة والحد من الوصول إليها وحمايتها من التلاعب. ويجب ألا تتحول متطلبات التسجيل إلى مراقبة غير مشروعة للمستخدمين أو الأشخاص المتأثرين.

يوفر المقدم للمشغل معلومات واضحة عن قدرات النظام وقيوده، مستوى الدقة والموثوقية، الفئات أو الظروف التي يضعف فيها الأداء، متطلبات البيانات، أخطار الأتمتة الزائدة، مؤشرات الخطأ، تدابير الأمن، وكيفية تعطيل النظام أو الرجوع إلى إجراء بديل عند الضرورة.

يجب تصميم وتشغيل النظام عالي المخاطر بما يتيح لشخص مؤهل فهم المهمة ومراقبة المخرجات والاشتباه في الخطأ ورفض التوصية أو تعديلها وإيقاف النظام عند الخطر. ولا تعد الرقابة بشرية فعلية إذا كان الموظف ملزماً عملياً باتباع المخرج أو لا يملك الوقت أو المعلومات أو السلطة لمراجعته.

يلتزم المقدم والمشغل، كل ضمن مسؤوليته، بمستويات مناسبة ومثبتة من الدقة والمتانة والاستمرارية والأمن السيبراني، وباختبار مقاومة التلاعب بالمدخلات والتسميم والتسريب والهجمات على النماذج، ووضع خطط لاستعادة الخدمة والتحديث الآمن وإدارة الثغرات.

يخضع النظام عالي المخاطر قبل التشغيل وبعده لاختبارات معقولة لكشف الفروق غير المبررة في معدلات الخطأ أو النتائج بين الفئات المحمية قانوناً. وعند ظهور تفاوت جوهري لا يفسره غرض مشروع ومتناسب، يوقف الاستخدام المؤثر أو يقيد إلى حين التصحيح.

يعد المشغل، قبل الاستخدام الأول لنظام عالي المخاطر، تقييماً لأثر الذكاء الاصطناعي يبين الغرض، البدائل الأقل تدخلاً، الأشخاص والفئات المتأثرة، البيانات والحقوق ذات الصلة، مخاطر الخطأ والتمييز والأمن، الرقابة البشرية، آلية الشكوى، مؤشرات الأداء، وخطة الإيقاف. وتكون خلاصة التقييم علنية إذا كان المشغل جهة عامة، ما لم يقتض الأمن أو سرية التحقيق حجب جزء محدد.

إذا كان النظام يستخدم من سلطة عامة أو مقدم خدمة أساسية أو صاحب عمل كبير أو مؤسسة مالية أو صحية أو تعليمية لاتخاذ قرارات مؤثرة، يجب أن يتضمن التقييم تحليلاً مستقلاً لاحتمال المساس بالمساواة والخصوصية وحرية التعبير والمحاكمة العادلة وحقوق الطفل والأشخاص ذوي الإعاقة والحق في العمل والتعليم والصحة بحسب السياق.

لا يوضع النظام عالي المخاطر في الخدمة قبل استكمال التقييم الفني والحقوقي المطلوبين وإثبات المطابقة للمعايير الملزمة وتسجيله عند الاقتضاء. ويكون التقييم من طرف مستقل في الاستخدامات الأشد حساسية التي تحددها الأنظمة، ومنها التعرف البيومتري وإنفاذ القانون والقضاء والبنية التحتية الحرجة.

يلتزم المقدم والمشغل بجمع مؤشرات الأداء والحوادث والشكاوى والأخطاء الجوهرية بعد النشر، ومراجعة ما إذا تغير السياق أو البيانات أو الجمهور على نحو يزيد الخطر. ويعاد التقييم عند تغيير جوهري في النموذج أو الغرض أو مصدر البيانات أو مستوى الاستقلالية.

يبلغ المقدم أو المشغل الجهة التنظيمية القطاعية والمركز الوطني العراقي للذكاء الاصطناعي عن أي حادث جسيم أو عطل يؤدي إلى وفاة أو إصابة خطرة أو انتهاك واسع للحقوق أو تعطل خدمة حيوية أو تسرب مؤثر أو تمييز جماعي، دون تأخير غير مبرر وبحد أقصى اثنتين وسبعين ساعة من العلم الأولي، مع استكمال التحقيق الفني لاحقاً.

يعد تغييراً جوهرياً كل تعديل في الغرض أو فئة المستخدمين أو مصدر بيانات رئيسي أو بنية النموذج أو قدرات الوكيل أو مستوى الاستقلالية أو عتبة قرار تؤثر في المخاطر. ويستلزم التغيير الجوهري إعادة التقييم والتوثيق وربما إعادة المطابقة قبل النشر.

على كل طرف في سلسلة القيمة أن يزود الطرف اللاحق بالمعلومات الفنية اللازمة للامتثال ضمن حدود مسؤوليته. ولا يجوز للمقدم الأساسي فرض شروط تعاقدية تمنع المشغل من الوفاء بواجباته القانونية أو الإبلاغ عن المخاطر، كما لا يتحمل مطور مكوّن مفتوح المصدر مسؤولية استخدام لم يطرحه هو في السوق ولم يتحكم فيه إلا في الحدود المقررة في هذا القانون.

لا يجوز التعاقد الحكومي على نظام عالي المخاطر ما لم تتضمن وثائق الشراء متطلبات قابلة للتدقيق للسلامة والحقوق والأمن وقابلية نقل البيانات والسجلات وحق الدولة في الاختبار والتدقيق، واشتراطات الخروج من المورد وتجنب الارتهان التقني، وتحديد ملكية البيانات ومكان المعالجة بما يوافق قوانين حماية البيانات والسيادة الرقمية.

يجب إخطار الشخص بصورة واضحة عندما يتفاعل مباشرة مع نظام ذكاء اصطناعي إذا كان من المعقول أن يعتقد أنه يتعامل مع إنسان، وعندما يستخدم نظام آلي بصورة مؤثرة في تقييم طلبه أو أهليته أو فرصه أو مركزه القانوني، ما لم يكن الاستخدام ظاهراً بطبيعته أو يمنع قانوناً كشفه مؤقتاً لضرورة تحقيق محدد.

لكل شخص تأثر بصورة جوهرية بقرار اعتمد على نظام ذكاء اصطناعي أن يحصل، بلغة مفهومة، على بيان بالعوامل الرئيسية التي أسهمت في النتيجة، مصدر البيانات ذي الصلة، حدود النظام المعروفة، ودور الإنسان في القرار، بالقدر اللازم لفهم القرار والطعن فيه دون إلزام بكشف شيفرة المصدر أو الأسرار التجارية غير الضرورية.

للشخص طلب مراجعة بشرية ذات معنى لأي قرار عالي الأثر اتخذ آلياً أو اعتمد بصورة حاسمة على نظام ذكاء اصطناعي. ويجب أن يتولى المراجعة شخص يملك سلطة تعديل القرار أو إلغائه ويطلع على الاعتراض والمعلومات اللازمة ولا يكتفي بإعادة اعتماد المخرج الآلي.

تحدد الجهات المشغلة قناة سهلة ومجانية للاعتراض على القرارات الخوارزمية المؤثرة، وتصدر رداً معللاً خلال مدة معقولة. ولا يمنع الاعتراض من استعمال طرق التظلم والطعن القضائي أو الإداري المقررة في القوانين النافذة.

يحظر تطوير أو استخدام نظام يؤدي إلى تمييز مباشر أو غير مباشر محظور قانوناً. ولا يعفي عدم معرفة المطور بصفة الشخص المحمية من المسؤولية إذا كان النظام يستخدم مؤشرات بديلة تؤدي بصورة متوقعة إلى النتيجة التمييزية وكان بالإمكان كشفها أو الحد منها بإجراءات معقولة.

تراعى متطلبات الأشخاص ذوي الإعاقة في واجهات الأنظمة والإخطارات وسبل الاعتراض، ويجب ألا يؤدي الاعتماد على الصوت أو الصورة أو الحركة أو القياسات البيومترية إلى استبعاد غير مبرر. وتوفر وسيلة بديلة مناسبة عندما لا يكون النظام قابلاً للاستخدام من فئة معينة.

يطبق معيار مصلحة الطفل الفضلى عند تصميم أو نشر أنظمة موجهة للأطفال أو من المحتمل أن يستخدموها على نطاق واسع. ويحظر الاستغلال السلوكي التجاري أو النفسي المفرط للطفل، وتخضع أنظمة التعليم والرعاية والقياس البيومتري الخاصة به لمتطلبات مشددة للضرورة والحد الأدنى من البيانات والرقابة البشرية.

لا يجوز للجهة العامة أو مقدم خدمة أساسية إجراء اختبار تشغيلي خفي لنظام قد يؤثر في حقوق الأشخاص أو أهليتهم أو أسعارهم أو وصولهم إلى خدمة أساسية دون أساس قانوني وخطة مخاطر ومراقبة، ولا يجوز اعتبار الأفراد ميداناً لتجارب قرارات عالية الأثر دون ضمانات مناسبة.

ينشر المركز الوطني العراقي للذكاء الاصطناعي سجلاً عاماً للأنظمة عالية المخاطر المستخدمة من الجهات العامة، يبين اسم الجهة، الغرض، مقدم النظام، فئة المخاطر، أساس الاستخدام، تاريخ التقييم، وجود مراجعة بشرية، ووسيلة الاعتراض. ويجوز حجب تفاصيل محددة إذا كان نشرها يهدد الأمن الوطني أو سلامة التحقيق أو الأمن السيبراني، مع بيان سبب الحجب بقدر الإمكان.

لا يتعرض الموظف أو المتعاقد أو الباحث الأمني حسن النية لإجراء انتقامي بسبب إبلاغ الجهة المختصة عن خطر جسيم أو مخالفة أو ثغرة في نظام ذكاء اصطناعي وفق إجراءات الإفصاح المسؤولة. ولا تشمل الحماية الاستيلاء غير المشروع على البيانات أو نشرها بما يتجاوز القدر اللازم للإبلاغ.

عند نشوء نزاع أو حادث، يلتزم المقدم والمشغل بحفظ السجلات والوثائق الفنية ذات الصلة لمدة تكفي لإجراء التحقيق أو الفصل في الدعوى، مع حماية السرية. وللمحكمة أن تأمر بإتاحة ما يلزم منها لخبير مستقل تحت تدابير تحمي الأسرار التجارية والبيانات الشخصية.

لا يخل هذا القانون بحق المتضرر في طلب وقف المعالجة أو تصحيح القرار أو إزالة الأثر غير المشروع أو التعويض وفق القواعد العامة للمسؤولية. ويجوز للمحكمة مراعاة عدم احتفاظ الجهة بالسجلات المفروضة قانوناً عند تقدير عبء الإثبات والقرائن.

يلتزم مقدم نموذج عام الغرض بإعداد توثيق فني مناسب لقدراته وحدوده ومتطلبات دمجه، وتزويد مطوري الأنظمة اللاحقة بالمعلومات اللازمة للامتثال، واتباع سياسة لإدارة الحقوق الفكرية ومصادر البيانات بما يوافق القانون، ونشر ملخص ذي معنى عن أنواع ومصادر بيانات التدريب الرئيسية دون إلزام بكشف أسرار أو بيانات شخصية.

يحدد النظام التنفيذي معايير مرنة لتعيين النموذج العام الغرض ذا المخاطر النظامية استناداً إلى القدرات، نطاق الانتشار، مستوى الاستقلالية، القدرة على العمل كوكيل، إمكان الاستخدام في البنية الحرجة أو الأمن السيبراني أو المجالات الحيوية، نتائج اختبارات السلامة، وحجم الضرر المحتمل، ولا يعتمد معياراً حسابياً واحداً بوصفه شرطاً حصرياً.

على مقدم النموذج ذي المخاطر النظامية إجراء تقييمات دورية للقدرات والمخاطر، اختبارات خصومة وفريق أحمر مناسبة، إدارة ثغرات الأمن، تقييم إساءة الاستخدام ذات الأثر الواسع، توثيق الحوادث الجسيمة، وتنفيذ إجراءات تخفيف قبل الإطلاق وبعده.

يبلغ مقدم النموذج ذي المخاطر النظامية المركز والجهة القطاعية المختصة عن اكتشاف قدرة أو سلوك أو حادث يمكن أن يؤدي على نحو معقول إلى ضرر واسع أو فقدان سيطرة خطير أو اختراق كبير أو تمكين مباشر لنشاط غير مشروع بالغ الخطورة، ويقدم خطة تصحيح دون تأخير غير مبرر.

على مقدم نظام يولد محتوى نصياً أو صوتياً أو صورياً أو مرئياً اتخاذ تدابير تقنية معقولة لتمكين كشف أن المحتوى مولد أو معدل آلياً عندما يكون ذلك عملياً، بما في ذلك بيانات منشأ أو وسم آلي قابل للقراءة، مع مراعاة المعايير المفتوحة وقابلية التشغيل البيني.

على من ينشر للجمهور محتوى اصطناعياً أو معدلاً بصورة جوهرية يحاكي قولاً أو فعلاً لشخص حقيقي على نحو قد يضلل المشاهد أن يبين بصورة واضحة أن المحتوى مولد أو معدل، ما لم يكن السياق الفني أو الساخر أو التعليمي يجعل ذلك واضحاً للمشاهد المعقول. ولا يعفي الوسم من المسؤولية عن التشهير أو الاحتيال أو انتهاك الخصوصية أو الحقوق الأخرى.

إذا كان النظام قادراً على تنفيذ إجراءات خارجية مستقلة، كتحويل الأموال أو إرسال أوامر أو تعديل أنظمة أو إبرام معاملات، يجب على المقدم والمشغل تحديد حدود الصلاحية، المصادقة المناسبة، موافقات بشرية للعمليات الحساسة، إمكان الإيقاف، سجلات يمكن تتبعها، ومنع التوسع غير المصرح في الامتيازات.

تراعى الطبيعة المفتوحة للتطوير ولا تفرض على من ينشر نموذجاً أو مكوّناً مفتوح المصدر مجاناً التزامات مقدم تجاري لمجرد النشر، ما لم يطرحه في السوق أو يقدمه كخدمة أو يكون نموذجاً ذا مخاطر نظامية وفق هذا القانون. وتبقى التزامات أمن البيانات وعدم التحايل على المحظورات نافذة.

لا ينشئ هذا القانون استثناءً جديداً من حقوق المؤلف أو الملكية الفكرية. ويلتزم مقدم النموذج بسياسة موثقة لاحترام الحقوق النافذة وآليات معقولة لتلقي طلبات أصحاب الحقوق، ولا يجوز الاحتجاج بالسرية التجارية لإخفاء ممارسة ثبت عدم مشروعيتها في جمع أو استخدام البيانات.

تحدد الأنظمة متطلبات إفصاح متناسبة لمقدمي النماذج الكبيرة عن استهلاك الطاقة والموارد في التدريب والتشغيل عندما يمكن قياسه بصورة موثوقة، ويشجع اعتماد تقنيات الكفاءة دون فرض قيود عددية غير مبنية على بيانات وطنية.

لا يجوز لجهة عامة تشغيل نظام عالي المخاطر قبل تحديد المسؤول الإداري عنه، استكمال تقييم الأثر، إدراجه في السجل، تدريب المستخدمين، تحديد مسار بشري بديل، واختبار جودة البيانات والسياق المحلي. ويجب أن يكون استخدامه قابلاً للمراجعة من جهة رقابية وقضائية.

يجوز استخدام الذكاء الاصطناعي في البحث القانوني وإدارة القضايا والتحليل المساعد، على ألا يحل محل القاضي في تكوين القناعة أو وزن الأدلة أو تحديد المسؤولية أو العقوبة. ويجب الإفصاح داخل الملف عن استخدام نظام ذي أثر جوهري في تحليل دليل أو توصية قضائية بما يسمح للأطراف بالطعن في منهجيته عند اللزوم.

تخضع أنظمة التحليل الجنائي والتعرف البيومتري وتقييم المخاطر لدى أجهزة إنفاذ القانون لترخيص داخلي مكتوب وضمانات قضائية بحسب نوع التدخل، ولا يجوز اعتماد مخرج آلي وحده كأساس كافٍ للقبض أو التفتيش أو الاتهام. وتخضع نماذج كشف الوجوه والصوت والبصمات لاختبارات دقة عبر الفئات السكانية ذات الصلة.

يخضع النظام الذي يؤثر في التشخيص أو العلاج أو ترتيب أولوية المرضى لمتطلبات السلامة الطبية والتنظيم القطاعي بالإضافة إلى هذا القانون. ويجب أن يعرف الطبيب أو المهني حدود النظام ومصدر التوصية، ولا يجوز حرمان المريض من رعاية ضرورية بناءً على قرار آلي غير قابل للمراجعة.

تخضع أنظمة القبول والتقييم والمراقبة الأكاديمية والتنبؤ بالتسرب لاختبارات الإنصاف والدقة وإتاحة الوصول، ويجب توفير مراجعة بشرية عند تأثيرها في قبول الطالب أو نجاحه أو انضباطه. ويحظر الاستنتاج غير الضروري للحالة العاطفية أو الصحية من المراقبة المستمرة للطلاب.

لا يجوز استخدام نظام لفرز المرشحين أو التقييم أو الترقية أو إنهاء الخدمة دون إخطار العامل أو المرشح بوجوده، اختبار التمييز، وجود مراجعة بشرية، وتحديد البيانات التي يعتمد عليها. ويحظر جمع السمات البيومترية أو السلوكية الزائدة عن الحاجة لمجرد رفع «كفاءة» التقييم.

يجب على المؤسسة المالية أو التأمينية التي تستخدم نظاماً عالي المخاطر في الائتمان أو التسعير أو الاحتيال أن تحتفظ بأسباب قابلة للفهم للنتيجة، تمنع استخدام المؤشرات البديلة التمييزية، وتتيح الاعتراض البشري. ويجوز للبنك المركزي العراقي إصدار متطلبات فنية أشد في نطاق اختصاصه.

عند استخدام نظام لتحديد الاستحقاق أو أولوية منفعة أو دعم أو سكن أو خدمة أساسية، يجب ألا يتسبب الخطأ الآلي في انقطاع فوري دون إشعار وفرصة تصحيح ومراجعة بشرية، ويجب توفير مسار يدوي للطوارئ عند تعطل النظام.

تخضع الأنظمة التي تتحكم أو تساعد في التحكم بالكهرباء والمياه والاتصالات والنقل والصحة والأنظمة المالية الحيوية لمتطلبات مشتركة بين هذا القانون وقانون الأمن السيبراني، تشمل العزل الآمن، الاختبار قبل التحديث، استمرارية الأعمال، إمكان التشغيل اليدوي أو البديل، وإدارة الموردين.

يعد عالي المخاطر النظام المستخدم من جهة انتخابية في تسجيل الناخبين أو التحقق منهم أو توزيع المراكز أو فرز النتائج أو القرارات المتعلقة بالأهلية. ويجب أن تكون القرارات الأساسية قابلة للتدقيق وإعادة العد أو التحقق بوسيلة مستقلة. ويحظر على السلطة العامة استخدام أنظمة للتنميط السياسي الفردي بهدف تقييد المشاركة المشروعة.

تخضع أنظمة التحقق البيومتري وتقييم المخاطر في المنافذ والهجرة لمراجعة بشرية وإجراءات تمنع التمييز والأخطاء الجماعية، ولا يجوز رفض دخول أو حق أو طلب حماية اعتماداً حصراً على تحليل سلوكي أو انفعالي أو تنبؤ خوارزمي غير قابل للتحقق.

تختص هيأة الإعلام والاتصالات بتنظيم خدمات الذكاء الاصطناعي التي تدخل في نطاق الاتصالات والمعلوماتية والمنصات الخاضعة لها، بما لا يتعارض مع هذا القانون. ولا يجوز أن تتحول متطلبات الشفافية أو السلامة إلى رقابة مسبقة عامة على الرأي أو الأخبار أو المحتوى المشروع.

تضع الجهات الأمنية والدفاعية، للأنظمة الخارجة عن نطاق التسجيل العام، معايير داخلية سرية للسلامة والتتبع والمساءلة والرقابة البشرية والأمن السيبراني، ويخضع أي استخدام يمس المدنيين أو الحقوق الإجرائية أو الخدمات العامة للضمانات المقررة في الدستور وهذا القانون والقوانين الخاصة. ولا يجوز التذرع بسرية النظام لمنع رقابة قضائية مختصة.

تستمر اللجنة العليا للذكاء الاصطناعي القائمة ضمن البنية الحكومية بصفتها لجنة وطنية عليا للتنسيق والسياسة، ويعاد تنظيم اختصاصاتها بقرار من مجلس الوزراء خلال تسعين يوماً من نفاذ هذا القانون بما يضمن تمثيل الجهات التنظيمية والحقوقية والاقتصادية والأمنية والعلمية، دون إنشاء جهاز موازٍ لا ضرورة له.

تتولى اللجنة اقتراح السياسة التنظيمية الوطنية، اعتماد تصنيف المخاطر والمعايير المشتركة، تنسيق الجهات القطاعية، اقتراح الأنظمة والتعليمات، مراجعة الاتجاهات والمخاطر الناشئة، اعتماد الأولويات البحثية وبناء القدرات، الإشراف على السجل الوطني، واقتراح الاتفاقيات والتعاون الدولي، مع نشر تقرير سنوي عن حالة حوكمة الذكاء الاصطناعي في العراق.

يتولى المركز الوطني العراقي للذكاء الاصطناعي الأمانة الفنية للجنة العليا، ويشغّل السجل الوطني للأنظمة عالية المخاطر، ويطور أدلة التقييم والاختبار، ويجمع بلاغات الحوادث، ويدير المختبرات التنظيمية، وينسق الاختبارات الفنية بين الجهات. ولا يحل المركز محل الجهة القطاعية صاحبة الاختصاص القانوني في الترخيص أو العقوبة.

يمارس البنك المركزي العراقي وهيأة الإعلام والاتصالات والجهات الصحية والتعليمية والنقلية والمالية والأمنية وغيرها اختصاصاتها التنظيمية القائمة على الأنظمة المستخدمة في قطاعاتها، وتطبق هذا القانون كحد أدنى مشترك. وإذا تعارضت تعليمات قطاعية مع ضمانة أعلى في هذا القانون، تقدم الضمانة الأعلى.

تستمر هيأة الإعلام والاتصالات في تنظيم خدمات الذكاء الاصطناعي الواقعة ضمن قطاعات الاتصالات والمعلوماتية والمنصات والخدمات الرقمية الداخلة في اختصاصها بموجب القانون، وتعدل لوائحها لتتوافق مع التصنيف والحقوق والإجراءات المنصوص عليها هنا. ولا تمتد اللائحة القطاعية وحدها إلى قرارات طبية أو قضائية أو مصرفية أو وظيفية لا تقع في نطاق اختصاص الهيأة.

عند خضوع نظام واحد لأكثر من جهة تنظيمية، تعين اللجنة العليا جهة قائدة للتنسيق مع بقاء صلاحيات الجهات الأخرى في نطاقها. ويمنع تكرار التسجيل أو التدقيق على نحو غير لازم، ويجوز اعتماد نتائج تقييم واحدة متى استوفت المتطلبات القانونية لجميع الجهات.

تشكل اللجنة العليا مجلساً استشارياً يضم خبراء مستقلين من الجامعات والقطاع الخاص والنقابات والمجتمع المدني وحقوق الإنسان والأمن السيبراني والأشخاص ذوي الإعاقة وممثلي الشركات الناشئة. وتكون مهمته استشارية ويعلن عن توصياته ومصالح أعضائه لتجنب تضارب المصالح.

تعتمد الجهات المختصة، قدر الإمكان، معايير دولية أو وطنية قابلة للتشغيل البيني لإدارة مخاطر الذكاء الاصطناعي والتقييم والتدقيق والأمن، مع تكييفها للسياق العراقي. ولا يجوز إحالة التزام أساسي يمس الحقوق بالكامل إلى معيار تجاري مغلق لا يستطيع الجمهور أو القضاء فهم مضمونه القانوني.

يحدد النظام شروط اعتماد المختبرات والمدققين المستقلين للأنظمة التي تستلزم تقييم طرف ثالث، بما يشمل الكفاءة والاستقلال وسرية البيانات وتجنب تضارب المصالح. ولا يمنع اعتماد المدقق الجهة الرقابية من إجراء فحصها الخاص.

ينشئ المركز سجلاً إلكترونياً موحداً للأنظمة عالية المخاطر الموضوعة في السوق أو الخدمة في العراق، ويتضمن بيانات المقدم والممثل والغرض وفئة المخاطر وحالة المطابقة والحوادث الجسيمة والإجراءات التصحيحية. وتحدد البيانات غير العلنية لحماية الأمن والأسرار التجارية بقواعد ضيقة.

تتولى الجهات المختصة تبادل الخبرات والمعلومات الفنية والإنذارات عن الأنظمة الخطرة وفق الاتفاقيات والقانون، وتسعى إلى مواءمة المعايير بما يقلل كلفة الامتثال على الشركات العراقية وييسر الاعتراف المتبادل بالتقييمات من دون تخفيض مستوى حماية الحقوق.

للجهة التنظيمية المختصة، ضمن اختصاصها، طلب الوثائق والسجلات، إجراء أو تكليف اختبارات، استدعاء ممثل المقدم أو المشغل، فحص الشكاوى والحوادث، الأمر بتصحيح العيب أو تقييد الاستخدام أو وقفه مؤقتاً عند خطر جسيم، وسحب النظام من السوق إذا تعذر الحد من الخطر بوسيلة أقل.

تحدد خطط الرقابة أولوية للأنظمة الأعلى خطراً والأوسع أثراً، ولا يخضع النظام منخفض المخاطر لتدقيق روتيني ثقيل دون سبب. ويجب تنسيق التدقيق مع الجهات القطاعية لتجنب الازدواج وإعطاء الشركات الصغيرة مسار امتثال مبسطاً ما لم يكن الاستخدام عالي المخاطر.

عند وجود خطر وشيك وجسيم على الحياة أو السلامة أو الحقوق أو البنية الحرجة، للجهة المختصة إصدار أمر مؤقت بوقف وظيفة أو نشر أو تحديث محدد لمدة لا تتجاوز ثلاثين يوماً قابلة للتجديد مرة بقرار معلل، على أن يتاح للمخاطب التظلم والطعن العاجل أمام القضاء المختص.

تعد مخالفة إدارية: تشغيل نظام عالي المخاطر دون استيفاء متطلبات التسجيل أو التقييم؛ الامتناع عن تقديم معلومات واجبة؛ عدم الإبلاغ عن حادث جسيم؛ تعطيل التدقيق؛ مخالفة متطلبات الشفافية؛ أو عدم تنفيذ أمر تصحيحي نهائي. وتعد ممارسة محظورة أو تقديم معلومات مزورة عمداً مخالفة جسيمة.

تراعى جسامة المخالفة ومدتها وتكرارها وعدد المتأثرين وحجم المنشأة والتعاون والإصلاح عند فرض الجزاء. وتشمل الجزاءات التنبيه، خطة تصحيح ملزمة، الإنذار، وقف وظيفة أو خدمة، سحب التسجيل، والمنع المؤقت من طرح نظام معين، والغرامة الإدارية ضمن الحدود التي يحددها هذا القانون.

لا تتجاوز الغرامة عن المخالفة العادية مئتين وخمسين مليون دينار عراقي أو واحداً بالمائة من الإيراد السنوي المتحقق في العراق أيهما أقل، ولا تتجاوز عن الممارسة المحظورة أو الإخفاء العمدي لحادث جسيم مليار دينار أو اثنين بالمائة من الإيراد السنوي المتحقق في العراق أيهما أقل. ويجوز للأنظمة تحديد شرائح أدنى تراعي المشروعات الصغيرة دون تجاوز هذه الحدود.

لا يفرض جزاء نهائي إلا بعد إخطار المخالف بالوقائع والأساس القانوني وتمكينه من الاطلاع على الأدلة غير السرية والرد خلال مدة معقولة، ويجب أن يكون القرار مكتوباً ومعللاً ومتناسباً. ويستثنى من ذلك الأمر المؤقت العاجل المنصوص عليه في المادة (85).

يجوز التظلم من القرار التنظيمي خلال ثلاثين يوماً أمام الجهة التي يحددها القانون أو النظام القطاعي، ولا يمنع ذلك من الطعن أمام القضاء المختص. وللمحكمة وقف تنفيذ القرار إذا رجح وقوع ضرر يتعذر تداركه ولم يهدد الوقف مصلحة عامة أرجح.

تحدد المسؤولية بحسب السيطرة الفعلية على مصدر الضرر: يكون المقدم مسؤولاً عن عيب التصميم أو المعلومات أو التحديثات التي تقع ضمن سيطرته، ويكون المشغل مسؤولاً عن الاستخدام المخالف للتعليمات أو تغيير الغرض أو إهمال الرقابة، ويجوز توزيع المسؤولية بينهما عند تعدد الأسباب وفق القواعد العامة.

لا تفسر المخالفات الإدارية في هذا القانون بوصفها جرائم جزائية ما لم ينص قانون على ذلك صراحة. وإذا استُخدم الذكاء الاصطناعي لارتكاب جريمة، تطبق نصوص التجريم القائمة بحسب الفعل، ولا يعاقب مجرد امتلاك أداة أو نموذج متعدد الاستخدامات.

إذا كشفت الرقابة عن خرق للبيانات الشخصية أو حادث سيبراني أو جريمة، تحيل الجهة المختصة المعلومات اللازمة إلى سلطة حماية البيانات أو المركز الوطني للأمن السيبراني أو جهة التحقيق بحسب القانون، مع منع تكرار الطلبات إلى المقدم دون ضرورة.

ينشئ المركز، بالتعاون مع الجهات القطاعية، مختبرات تنظيمية تسمح للشركات والجامعات والجهات العامة باختبار أنظمة مبتكرة تحت نطاق زمني ومكاني وعددي محدد، مع شروط بيانات وأمن ورقابة وتوقف واضحة. ولا يجوز للمختبر إعفاء ممارسة محظورة أو إسقاط حق أساسي.

تشجع الدولة البحث المستقل في سلامة الذكاء الاصطناعي والإنصاف والتفسير والأمن واللغة العربية والكردية والسياق العراقي. ويجوز للجهات العامة إتاحة بيانات منزوعة الهوية أو اصطناعية للبحث وفق قانون حماية البيانات والسرية، ولا يفرض هذا القانون ترخيصاً مسبقاً لمجرد البحث الأكاديمي غير الموضوع في السوق.

تعد الجهات التنظيمية أدلة ونماذج امتثال مبسطة وخدمات استشارية للشركات الناشئة والمشروعات الصغيرة، وتخفض أعباء التسجيل والتدقيق غير الضرورية عليها، مع عدم تخفيف المتطلبات الجوهرية إذا كان النظام مستخدماً في قرار عالي المخاطر.

تعتمد الجهات العامة والمؤسسات التي تشغل أنظمة عالية المخاطر برامج مناسبة لمحو أمية الذكاء الاصطناعي للموظفين والمستخدمين، تشمل قدرات الأنظمة وحدودها والتحيز والأمن والخصوصية والتحقق من المخرجات. ويراعى التدريب المتخصص بحسب القطاع والوظيفة.

يجب اختبار النظام المستخدم على نطاق واسع في خدمة عامة أو أساسية بالنسبة للغة العربية وبحسب الحاجة اللغة الكردية واللغات المعترف بها دستورياً والسياقات المحلية ذات الصلة، ولا يعد الأداء الجيد بلغة أجنبية دليلاً كافياً على الصلاحية في العراق.

تراعى في عقود الأنظمة الحكومية والخدمات العامة قابلية تصدير البيانات والسجلات والتكوينات غير السرية، واستخدام واجهات ومعايير مفتوحة حيثما كان ذلك عملياً، ومنع الشروط التي تجعل تغيير المورد غير ممكن بصورة غير مبررة. وتحال ممارسات الاحتكار أو الإغلاق التقني إلى الجهات المختصة بالمنافسة.

يجوز للجهة العامة شراء أو تجربة نظام مبتكر على نطاق محدود إذا حددت مؤشرات نجاح ومخاطر ومدة وتجربة بديلة وخطة خروج، ولا تتحول التجربة تلقائياً إلى نشر وطني أو عقد طويل الأجل دون تقييم مستقل للنتائج والمخاطر والتكلفة.

يصدر مجلس الوزراء والجهات القطاعية، كل ضمن اختصاصه، الأنظمة والتعليمات اللازمة لتنفيذ هذا القانون خلال مئة وثمانين يوماً من تاريخ نشره، ولا يجوز أن تضيف التعليمات ممارسة محظورة أو جزاءً أو تدخلاً في حق أساسي لا أصل له في القانون.

تراجع هيأة الإعلام والاتصالات أي لائحة نافذة أو مشروع لائحة يتعلق بخدمات الذكاء الاصطناعي خلال مئة وعشرين يوماً من نفاذ هذا القانون، وتعدل نطاقها وتصنيفها ومتطلبات التسجيل والبيانات والجزاءات بما ينسجم مع هذا الإطار ومع القوانين القطاعية الأخرى.

تنجز كل جهة عامة خلال مئة وثمانين يوماً جرداً للأنظمة الخوارزمية والذكاء الاصطناعي التي تستخدمها أو تتعاقد عليها، وتصنفها أولياً، وترسل بيانات الأنظمة عالية المخاطر إلى المركز لإدراجها في السجل وإعطائها أولوية للمراجعة.

تمنح الأنظمة عالية المخاطر الموضوعة في الخدمة قبل نفاذ القانون مدة اثني عشر شهراً لاستكمال التسجيل والتقييم والتوثيق، ما لم تكن ممارسة محظورة فتوقف وفق جدول أقصر لا يتجاوز تسعين يوماً، أو يكون استمرارها ضرورياً مؤقتاً لمنع خطر أشد بقرار معلل وتحت رقابة الجهة المختصة.

يمهل مقدم النموذج العام الغرض المتاح في العراق قبل نفاذ القانون اثني عشر شهراً لاستكمال التوثيق ومتطلبات الشفافية، وتمهل النماذج المصنفة ذات مخاطر نظامية تسعة أشهر لاستكمال تقييمات السلامة المطلوبة.

تطبق قواعد حماية البيانات الشخصية على كل معالجة للبيانات ضمن دورة حياة نظام الذكاء الاصطناعي، ولا يعد الامتثال لهذا القانون أساساً مستقلاً للمعالجة. وإذا استلزم تقييم النظام الوصول إلى بيانات حساسة أو شخصية، يجب تحديد السند القانوني وتقليل البيانات وضمان أمنها وفق القانون المختص.

تطبق متطلبات الأمن السيبراني وحماية البنى التحتية المعلوماتية الحرجة على الأنظمة المشمولة بها بالإضافة إلى هذا القانون. وتنسق بلاغات الحوادث لتفادي الازدواج، ويقدم المعيار الأمني الأشد عندما تتعلق المسألة ببنية تحتية حرجة أو خدمة حيوية.

تبقى قوانين الصحة والتعليم والعمل والمصارف والاتصالات وحماية المستهلك والملكية الفكرية والمنافسة والإجراءات الجزائية وغيرها نافذة. ولا يفسر تسجيل نظام أو اجتيازه تقييم المطابقة على أنه ترخيص بممارسة نشاط يحتاج أصلاً إلى ترخيص مهني أو قطاعي مستقل.

لا يجوز تفسير أي حكم في هذا القانون بما ينتقص من استقلال القضاء أو حق الدفاع أو حرية التعبير والصحافة والبحث العلمي أو سرية الاتصالات أو حق الخصوصية والمساواة أو أي ضمانة دستورية. وكل قيد على حق يجب أن يكون منصوصاً عليه قانوناً وضرورياً ومتناسباً وقابلاً للطعن.

ترفع اللجنة العليا إلى مجلس الوزراء ومجلس النواب كل سنتين تقريراً علنياً عن تطبيق القانون وتطور التقنية والحوادث والتكاليف والابتكار وأثر التنظيم على الحقوق والسوق، وتقترح تعديلات تشريعية عند الحاجة. ولا تستبدل المراجعة الدورية صلاحية البرلمان في تعديل المحظورات أو الحقوق الأساسية.

يلغى كل نص يتعارض صراحة مع هذا القانون في حدود التعارض، وتعدل التعليمات واللوائح التنظيمية القائمة وفق المادة (102). ولا يفسر ذلك على أنه إلغاء لصلاحية تنظيمية قطاعية قائمة ما لم يتعذر جمعها مع أحكام هذا القانون.

ينفذ هذا القانون بعد تسعين يوماً من تاريخ نشره في الجريدة الرسمية، مع مراعاة المدد الانتقالية الخاصة الواردة فيه.