بات مألوفًا أن تذكر منتَجًا في حديثك، ثم يطالعك إعلان عنه بعد دقائق. ويظن كثيرون أن هواتفهم تتنصّت عليهم. هذا التفسير خاطئ، لكن الحدس الكامن وراءه في محله: فالمنصات تجمع بياناتنا السلوكية على نحو روتيني، في غياب أي قانون ينظّم الموافقة على استخدامها أو مدة الاحتفاظ بها. وهذا الغياب في الحماية يمتد إلى قناة ثانية أقل وضوحًا: البيانات الشخصية التي يبوح بها المواطنون السودانيون لأنظمة المحادثة العاملة بالذكاء الاصطناعي. والخطر أشدّ في بلد لا يزال انتشار الإنترنت فيه دون 30 بالمئة، حيث دخل معظم السكان إلى الفضاء الرقمي حديثًا، فلم تتكوّن لديهم خبرة سابقة تُذكر بكيفية تعامل هذه الأنظمة مع معلوماتهم. (DataReportal, Digital 2026: Sudan). ولا يملك السودان اليوم أي إطار قانوني ينظّم أيًّا من القناتين. واليوم تتسع هذه الفجوة مع دفع اقتصاد الحرب نسبةً غير مسبوقة من السكان نحو أنظمة مالية رقمية لا يملكون زمامها، وذلك في اللحظة نفسها التي رفع فيها الذكاء الاصطناعي حجم المخاطر المترتبة على البيانات الشخصية غير الخاضعة لأي تنظيم.

هناك أربعة تطورات تجعل هذه المسألة ملحّة لا نظرية:

أولًا، انهارت البنية المصرفية على الأرض، فانتقل المواطنون إلى تطبيقات هاتفية تقع خوادمها خارج الولاية القضائية السودانية. والخطر لا يقتصر على السرقة الخارجية، بل يكمن في أن هذه البيانات تُغذّى بها — غالبًا دون علم أصحابها — أنظمة الذكاء الاصطناعي المبنية على تلك التطبيقات.

ثانيًا، حتى حين تكون المعاملات نفسها مشفّرة، فإنها تخلّف أثرًا (بيانات وصفية،metadata): مَن يتعامل مع مَن، ومتى، ومن أين. وهذا الأثر يكشف معلومات أمنية بالغة الخطورة في زمن الحرب، تتجاوز مخاوف الخصوصية التجارية المألوفة. فالتشفير يحمي مضمون الرسالة، لا النمط المحيط بها.

ثالثًا، يضاعف الذكاء الاصطناعي كل واحد من هذه الأخطار. فهو يهدد الخصوصية حين يتدرّب على بياناتنا الشخصية دون إذن؛ ويهدد الأمن حين يحلّل الشبكات بسرعة يعجز عنها أي محلل بشري؛ ويهدد الملكية الفكرية حين يبتلع المنتوجات الصحافية والفنية والبحوث السودانية دون أن يجد صانعوها أي سبيل قانوني محلي لإنصافهم.

رابعًا، إفريقيا أصغر قارات العالم سنّاً؛ إذ يبلغ متوسط الأعمار فيها 19.7 عامًا، أي أقل من نصف متوسط الأعمار في أوروبا (43.1 عامًا) (World Population Clock). يتبنّى سكان أفريقيا أدوات الذكاء الاصطناعي بوتيرة أسرع من أي مكان آخر تقريبًا؛ فقد فاق نمو استخدام الذكاء الاصطناعي التوليدي في أفقر دول العالم نظيره في أغناها بأربعة أضعاف (Microsoft AI Diffusion Report). ومن دون قانون للخصوصية، تُجمع هذه البيانات — وكثير منها صادر عن شباب معرفتهم الرقمية محدودة — دون رقابة تُذكر. والأرقام تتفاوت بحسب المصدر، لكن الاتجاه العام لا خلاف عليه.

 عقب الحرب في السودان، تم التبليغ أن أكثر من 600 فرع من نحو 900 فرع مصرفي في البلاد دُمّرت أو خرجت عن الخدمة منذ العام 2023، وإن كان رقم أحدث صادر عن البنك المركزي يقدّرها بنحو 100 فرع من أصل 833، وربما يعود هذا التباين إلى اختلاف الفترات التي تغطيها التقارير (Sudan Horizon; Sudan Horizon). ما لا خلاف عليه فهو حجم التحوّل: إذ صار نحو 13.4 مليون سوداني — أي أكثر من 30 بالمئة من السكان — يصلون إلى الخدمات المصرفية عبر تطبيقات الهواتف المحمولة. ويفيد تطبيق «بنكك» التابع لبنك الخرطوم بأن لديه سبعة ملايين مستخدم، وأن عمليات التفعيل ارتفعت بنسبة 85 بالمئة منذ بدء الحرب، وفق رئيس مجلس إدارة البنك نفسه (The New Humanitarian). وفي مارس 2026، وسّعت الحكومة الوصول للخدمات المصرفية عبر تقنية USSD لتشمل من لا يملكون هاتفًا ذكيًا أو اتصالًا بالإنترنت (TechAfrica News). وهذا إنجاز يُحسب لها في حد ذاته. لكنه خلق في المقابل ثغرة بنيوية: فهذا النشاط، والأثر الذي يخلّفه رغم التشفير، يمرّ عبر بنية تحتية لا يملكها السودان ولا ينظّمها، دون أي اشتراط قانوني يحكم ما يُعرف بـ«توطين البيانات» أو ما يُشار إليه بـ«النقل العابر للحدود».

وتوطين البيانات هو، ببساطة، مجموعة القوانين التي تُلزم الجهات المتعاملة مع البيانات بأن تحفظ بيانات مواطني الدولة وتعالجها داخل حدودها قبل نقلها إلى الخارج، وخاصةً الشخصية منها والمالية والحسّاسة. وهو ما يقيّد تدفّق المعلومات بحرية عبر الشبكات الرقمية العابرة للحدود (OECD). 

السودان ليس مضطرًّا إلى بناء فلسفة تنظيمية وقانونية من الصفر، ولا إلى استيراد إطار جاهز مصمَّم لدولة أخرى بحذافيره. فهو من الدول الموقّعة على اتفاقية الاتحاد الإفريقي بشأن الأمن السيبراني وحماية البيانات الشخصية، المعروفة بـ«اتفاقية مالابو»، التي اعتُمدت عام 2014 ودخلت حيّز النفاذ عام 2023 بوصفها الإطار الإقليمي المُلزم الوحيد لحماية البيانات خارج أوروبا (African Union, full treaty text). تحدّد المادة 13 ستة مبادئ حاكمة: الموافقة والمشروعية، والقانونية والإنصاف، والغرض والصلة، والدقة، والشفافية، والسرّية والأمن. وتمنح المواد من 16 إلى 19 صاحب البيانات حقوقًا أربعة: أن يُعلَم بها، وأن يطّلع عليها، وأن يعترض، وأن يصحّحها أو يمحوها. وحق المحو هنا أضيق من «الحق في النسيان» المعمول به في الاتحاد الأوروبي، لكنه يعالج الهاجس نفسه (African Union, 2014, Arts. 13, 16–19). وتُلزم المادة 11 كل دولة طرف بإنشاء هيئة مستقلة لحماية البيانات، وتقيّد المادة 14(6) نقل البيانات إلى الخارج ما لم تتوفر لها حماية كافية هناك (African Union, 2014, Arts. 11, 14). أما اللائحة الأوروبية العامة لحماية البيانات (GDPR)، والقانون النيجيري (NDPA)، والقانون الكيني (DPA)، فهي أمثلة على كيفية التطبيق، لا على النقل الحرفي؛ إذ يعكس كلٌّ منها مبادئ اتفاقية مالابو، لكن بما يلائم مؤسسات كل بلد (Future of Privacy Forum; Taylor & Francis). فمهمة السودان هي أن يحوّل التزامًا قطعه بالفعل إلى قانون محلي، لا أن يتبنّى التزامًا جديدًا.

أما التغطية القانونية المحلية فمازالت مجزّأة وقديمة: قانون لجرائم الحاسوب صدر عام 2007، ثم حلّ محله قانون الجرائم المعلوماتية عام 2018 وعُدّل عام 2020. وقد تعرّض هذا القانون لانتقادات متكررة لأنه يقيّد حرية الصحافة، ولأنه استُخدم لتهديد الصحفيين بدل حماية بيانات المواطنين (ARTICLE 19; Committee to Protect Journalists). وهناك كذلك مشروع قانون لحماية البيانات صيغ عام 2018 لكنه لم يُسنّ قط. في نوفمبر 2025، أنشئت بمراسيم «الهيئة السودانية للبيانات والذكاء الاصطناعي» و«الهيئة السودانية للأمن السيبراني»، وهي خطوات مهمّة، غير أن أيًّا من الهيئتين لم تصدر حتى منتصف عام 2026 أي قواعد مُلزمة (Anurag Verma, AI Regulation Tracker). فالبنية المؤسسية قائمة، أما القابلية للإنفاذ فلا. وبالنظر إلى محدودية القدرة على التشريع في ظل نزاع مستمر، يبدو التدرّج هو المسار الأكثر واقعية: دفعة أولى تعالج توطين البيانات وتمنح الهيئات المُنشأة عام 2025 سلطة إنفاذ حقيقية، تليها مرحلة ثانية تُدخل إلى القانون المحلي الحمايات التي توفّرها «اتفاقية مالابو» للمواطنين — الموافقة، والاطّلاع، والمحو، وضمانات نقل البيانات إلى الخارج — مع قواعد تمتد صراحةً إلى أنظمة الذكاء الاصطناعي، ومنها منصات المحادثة التي يتزايد استخدام المواطنين العاديين لها دون أن يدركوا إلا القليل عمّا يُحتفظ به من بياناتهم.

إن السيادة على البيانات — وعلى الأثر الذي يصفها حتى حين يكون مضمونها محميًا — ليست شأنًا هامشيًا يُؤجَّل إلى ما بعد أن تخفّ حدة النزاع. بل هي البنية التي يقوم عليها الشمول المالي والأمن ومصداقية أي اقتصاد رقمي في المستقبل. الغاية في نهاية المطاف ليست التعجّل، بل الدقة: فعلى الجهات المختصة أن تتحرك بسرعة، لكن التشريع الناتج يجب أن يُصاغ خصيصًا لظروف السودان القانونية والمؤسسية وظروف حربه، لا أن يكون استنساخًا مريحًا للائحة الأوروبية (GDPR)، ولا نقلًا غير نقدي لاتفاقية الاتحاد الإفريقي ذاتها. ويقدّم التاريخ التشريعي في السودان درسًا يدعو إلى الحذر: فقوانين الجرائم المعلوماتية القائمة، المشار إليها آنفًا، انتُقدت لسنوات لأنها لا تلائم الواقع المحلي، واستُخدمت مرارًا ضد الصحفيين والناشطين بطرق سلبية وخطيرة. إن قانون الخصوصية يمسّ حياة كل مواطن سوداني يملك هاتفًا أو يحتفظ بحساب مصرفي. ولذلك فهو يستحق أعلى معايير العناية.