هر مدیری که قرارداد صادراتی امضا کرده باشد، پرسش‌نامهٔ ارزیابی تأمین‌کننده را به خاطر دارد: داده‌های ما را کجا نگه می‌دارید؟ کدام تصمیم‌ها را نرم‌افزار می‌گیرد؟ سیاست حذف داده چیست؟ تا چند سال پیش پاسخ این پرسش‌ها را واحد حقوقی می‌نوشت؛ امروز پاسخ در معماری محصول نوشته می‌شود.

در نوامبر ۲۰۲۵ کمیسیون اروپا بستهٔ پیشنهادی موسوم به «Digital Omnibus» را رو کرد: کوششی برای ساده‌سازی و هم‌راستا کردن قواعد پراکندهٔ داده و هوش مصنوعی — از مقررات حفاظت از داده تا قانون داده و مقررات هوش مصنوعی — همراه با بازتنظیم زمان‌بندی اجرای بخش‌هایی از آن‌ها. جزئیات تا تصویب نهایی تغییر می‌کند، اما جهت حرکت روشن است: قواعدی که تا دیروز جداگانه خوانده می‌شدند، به سمت یک چارچوب واحد میل می‌کنند.

آنچه در این هم‌گرایی تغییر می‌کند

• یک زبان مشترک برای داده: الزام‌های پراکندهٔ نگهداری، انتقال و شفافیت هم‌راستا می‌شوند؛ پس پاسخ‌گویی به چند بازار، چند پروژهٔ جدا لازم ندارد.
• پیش‌بینی‌پذیری بیشتر: با قاعدهٔ روشن‌تر می‌توان انطباق را در نقشهٔ راه محصول بودجه‌بندی کرد، نه در میانهٔ بحران.
• جابه‌جایی هزینه، نه حذف آن: زودتر پرداخت شود، بخشی از هزینهٔ ساخت است؛ دیرتر پرداخت شود، هزینهٔ بازسازی.

چرا زمان‌بندی اهمیت دارد

در دوره‌های گذار مقرراتی، برنده کسی نیست که متن قاعده را کامل‌تر می‌فهمد؛ کسی است که زودتر آن را به الزام فنی ترجمه می‌کند. شرکتی که امروز می‌داند هر قلم داده‌اش کجا ذخیره می‌شود، چه کسی به آن دسترسی دارد و کدام تصمیمش خودکار است، پرسش‌نامهٔ خریدار را در چند ساعت پر می‌کند. رقیبی که این نقشه را ندارد هفته‌ها درگیر می‌شود و در بسیاری از مناقصه‌ها همین تأخیر به معنای حذف است. انطباق در این معنا هزینهٔ حقوقی نیست؛ بخشی از زمان رسیدن به بازار است.

جای واقعی اثر: محصول و قرارداد

این قواعد دو نقطه از کسب‌وکار را لمس می‌کنند. نخست محصول: کمینه‌سازی داده، امکان حذف و صدور دادهٔ کاربر، ثبت رخداد برای تصمیم‌های خودکار و نشان‌گذاری محتوای تولیدشده با هوش مصنوعی؛ ویژگی‌هایی که افزودنشان پس از ساخت، چند برابر هزینه دارد. دوم قرارداد: نقش هر طرف در پردازش داده، مرز مسئولیت در قبال خروجی مدل، محل نگهداری داده و حق حسابرسی مشتری.

چرا برای کسب‌وکارهای کوچک و متوسط ایران مهم است

شرکت ایرانی که با مشتری یا شریک خارج از کشور کار می‌کند عملاً در زمین همین قواعد بازی می‌کند، چون طرف مقابل ملزم است الزام‌هایش را به زنجیرهٔ تأمین منتقل کند. خبر خوب اینکه آمادگی اولیه بودجهٔ بزرگ نمی‌خواهد. شرکت‌هایی که این کار را مرتب انجام داده‌اند، پیش از هر مذاکرهٔ صادراتی یک برگهٔ دوصفحه‌ای آماده دارند: چه داده‌ای جمع می‌کنند، چه مدت نگه می‌دارند، کجا ذخیره می‌شود و مدل در کدام نقطه دخالت دارد. همین برگه گفت‌وگویی چندهفته‌ای را به یک جلسه فشرده می‌کند.

نقشهٔ ۹۰ روزهٔ شروع

• روز ۱ تا ۳۰: فهرست کنید چه داده‌ای جمع می‌کنید، به چه دلیل، کجا می‌ماند و چه کسی دسترسی دارد.
• روز ۳۰ تا ۶۰: قواعد بازار هدف را به الزام‌های فنی و قراردادی ترجمه و شکاف‌ها را بر اساس ریسک اولویت‌بندی کنید.
• روز ۶۰ تا ۹۰: پرهزینه‌ترین شکاف را ببندید، مستندات پاسخ به مشتری را آماده کنید و بازبینی را به تکراری فصلی تبدیل کنید.

خطاهای پرتکرار

• سپردن کل موضوع به واحد حقوقی، در حالی که بخش عمدهٔ کار در معماری داده و تیم محصول است.
• انتظار برای تصویب نهایی متن؛ الزام‌های پایه‌ای مانند شفافیت و کمینه‌سازی داده در همهٔ نسخه‌ها پابرجاست.
• انبار کردن داده «برای روز مبادا»؛ داده‌ای که نگه می‌دارید و به آن نیازی ندارید فقط بدهی است.
• نداشتن صاحب مشخص؛ مسئولیت پخش‌شده میان چند واحد یعنی بی‌مسئولیتی.

سه اقدام برای همین فصل

• قواعد دادهٔ بازار هدف اصلی را بخوانید و به زبان الزام فنی بازنویسی کنید.
• سیاست نگهداری و حذف داده را مکتوب کنید و در محصول اجرایی‌اش کنید.
• آمادگی را با یک شاخص بسنجید: پاسخ کامل به پرسش‌نامهٔ ارزیابی مشتری در چند روز آماده می‌شود؟

پرسش‌های پرتکرار

• ما مشتری اروپایی نداریم؛ باز هم موضوع به ما مربوط است؟
  اگر شریک، پلتفرم یا مشتریِ مشتری شما مشمول این قواعد باشد، الزام‌ها از مسیر قرارداد به شما منتقل می‌شود. بیرون ماندن از این زنجیره در عمل دشوار است.
• از کجا شروع کنیم؟
  از سیاههٔ دارایی‌های داده. تا ندانید چه داده‌ای دارید و کجا نگه داشته می‌شود، هیچ اقدام دیگری قابل اتکا نیست.
• آیا این قواعد استفاده از هوش مصنوعی را ممنوع می‌کنند؟
  خیر. تمرکزشان بر شفافیت، قابلیت توضیح و نگه داشتن انسان به‌عنوان مرجع نهایی در تصمیم‌های پرمخاطره است.

جمع‌بندی

هم‌گرایی مقررات را می‌توان دو گونه خواند: فهرست تازه‌ای از تکالیف، یا فرصتی برای مرتب کردن خانه. شرکت‌هایی که خوانش دوم را برمی‌گزینند چیزی بیش از انطباق به دست می‌آورند؛ دادهٔ تمیزتر، فرآیند روشن‌تر و چرخهٔ فروش کوتاه‌تر.

واژه‌نامه

• هم‌گرایی مقررات: نزدیک شدن قواعد حوزه‌های مختلف به یک استاندارد مشترک.
• کمینه‌سازی داده: نگهداری تنها همان داده‌ای که برای هدفی مشخص لازم است.
• تصمیم خودکار: تصمیمی که نرم‌افزار بدون دخالت انسان می‌گیرد و نیازمند شفافیت و امکان اعتراض است.
• انسان در حلقه: الگویی که در آن خروجی سامانه پیش از اثرگذاری به تأیید فردی مسئول می‌رسد.
• سیاههٔ دارایی داده: فهرست مکتوب داده‌های سازمان همراه با محل، هدف و سطح دسترسی هر یک.

اقدام این هفته

یک جلسهٔ ۹۰ دقیقه‌ای با حضور مدیر محصول، مسئول فنی و نمایندهٔ حقوقی ترتیب دهید و در آن «نقشهٔ دادهٔ محصول» را روی یک برگه ترسیم کنید: هر قلم داده‌ای که از مشتری جمع می‌شود، دلیل جمع‌آوری، محل ذخیره‌سازی، مدت نگهداری و نقاطی که نرم‌افزار تصمیم خودکار می‌گیرد را ستون‌بندی کنید. سپس دو ستون به آن اضافه کنید: «الزام بازار هدف» و «شکاف موجود». در پایان جلسه، سه شکاف پرریسک را انتخاب و برای هر یک یک مسئول و یک مهلت دو هفته‌ای تعیین کنید. اگر در پایان هفته فقط همین برگهٔ دوصفحه‌ای آماده شده باشد، شما از بسیاری از رقبا جلوترید.

منابع

• بستهٔ ساده‌سازی Digital Omnibus کمیسیون اروپا (نوامبر ۲۰۲۵)
• متن کامل مقررات عمومی حفاظت از داده (GDPR) اتحادیه اروپا
• مقررات هوش مصنوعی اتحادیه اروپا (EU AI Act) — متن و زمان‌بندی اجرا
• هیئت اروپایی حفاظت از داده (EDPB) — راهنماهای اجرایی و تفسیر مقررات
• استاندارد ISO/IEC 27001 — چارچوب مدیریت امنیت اطلاعات برای آمادگی قراردادی