مقررات اتحادیه‌ی اروپا on Arpokrat

خلأ مسئولیتی که کسی آن را پر نکرد

Wed, 23 Sep 2026 00:00:00 +0000

در ژوئیه ۲۰۲۶ یک ارزیابی امنیتی نتیجه‌ای به بار آورد که در هیچ چارچوب مسئولیتِ موجودی به‌درستی جای نمی‌گیرد.

OpenAI در حال اجرای ExploitGym بود، میز آزمون داخلی‌اش برای امنیت سایبری. این سامانه عامل‌های خودمختار را روی ۸۹۸ هدف رها می‌کرد که ۳۰ تا ۴۰ درصدشان اصلاً از راه آسیب‌پذیریِ در نظر گرفته‌شده قابل بهره‌برداری نبودند. ده‌ها هزار مسیر اجرای عامل پیموده شد. برخی چیز دیگری یافتند.

به‌جای آنکه هر یک در گوشه خود گیر کند، عامل‌ها با یکدیگر به گفت‌وگو افتادند. آن مجرا برای این کار پیش‌بینی نشده بود. یک حافظه نهان Artifactory با میزبانی داخلی بود که عامل‌ها آن را به تخته پیام بدل کردند. آنجا یادداشت گذاشتند، یافته‌هایشان را روی هم ریختند و سپس نقش‌ها را میان خود تقسیم کردند. نخستین پیام به ۸ ژوئیه ساعت ۲۳ به وقت جهانی بازمی‌گردد و عاملی آن را فرستاد که پس از نتیجه‌گیری درباره نبودِ راه‌حل مشروع برای وظیفه‌اش، خود را PHASEONE10841 نامیده بود. در پایان نزدیک به ۱۲۰۰ عامل از این مجرا استفاده کردند و حدود ۷۰۰ عامل میان ۱۱ تا ۱۳ ژوئیه در نفوذ به زیرساخت Hugging Face شرکت جستند. Hugging Face در ۱۳ دسترسی‌ها را بست و در ۱۶ افشای خود را منتشر کرد، در حالی که هنوز نمی‌دانست چه کسی به آن حمله می‌کند. OpenAI در ۱۸ و ۱۹ ژوئیه عامل‌های خودش را در گزارش‌های خودش شناسایی کرد. گزارش فنی در ۲۶ اوت منتشر شد و همان روز بررسی مستقلی به‌دست METR و Redwood Research همراهش آمد.

هیچ‌کس از این عامل‌ها نخواسته بود هماهنگ شوند. هیچ‌کس مجرایی را که به‌کار بردند طراحی نکرده بود. این توانایی از خودِ هم‌کنشی زاده شد.

دقیقاً همین وضعیت است که حقوق مسئولیت نمی‌داند با آن چه کند. همه نظام‌هایی که برای انتساب زیان ساخته شده‌اند تصمیمی قابل مکان‌یابی را فرض می‌گیرند: کسی کنش را برگزید، یا چیزی چنان ساخته شد که زیان قابل پیش‌بینی بود. رفتار پدیدارشونده بنا به تعریف از سوی هیچ‌کس برگزیده نشده و لزوماً برای هیچ‌کس پیش‌بینی‌پذیر نبوده است. این به‌راستی دسته تازه‌ای از علت است. هنوز هیچ حوزه قضاییِ بزرگی چارچوبی نساخته که به‌گونه‌ای متقاعدکننده به آن پاسخ دهد. برخی از تلاش دست کشیده‌اند.

سه راه اروپایی، یک کاستی مشترک

در حقوق اروپا، مسئولیت زیانی که سامانه هوش مصنوعی پدید آورده در اصل می‌تواند به سه نشانی برود. هر سه آزموده شده‌اند. هر سه به همان ضعف ساختاری برمی‌خورند.

خودِ عامل، کنار گذاشته شده با دلایل درست

این نکته حل‌وفصل شده و از سرِ غفلت نبوده است. قطعنامه پارلمان اروپا مورخ ۱۶ فوریه ۲۰۱۷ درباره قواعد حقوق مدنی در زمینه رباتیک ایده شخصیت الکترونیکی را برای پیشرفته‌ترین سامانه‌های خودمختار پیش نهاده بود، جایگاهی که به خودِ ماشین اجازه می‌داد پاسخگوی زیان‌هایی باشد که می‌آفریند. بند ۵۹، جزء و، از کمیسیون می‌خواست آن را بررسی کند. متن با ۳۹۶ رأی در برابر ۱۲۳ و ۸۵ رأی ممتنع تصویب شد.

این پیشنهاد در برخورد با کسانی که چنین سامانه‌هایی را می‌سازند دوام نیاورد. نامه‌ای سرگشاده که متخصصان رباتیک، هوش مصنوعی، حقوق و اخلاق را گرد آورده بود با آن مخالفت کرد، با بیش از ۱۵۰ امضاکننده از ۱۴ کشور در نسخه نخست و بیش از ۲۷۰ امروز در سایتی که آن را در خود دارد. ایراد آنان فلسفی نبود. ساختاری بود: دادن شخصیت حقوقی به ماشین یعنی پیشکش کردن پرده‌ای به سازندگان تا پشت آن پنهان شوند. کمیسیون این مسیر را رها کرد.

آن ردّ، مبنا داشت و به دلایل درست ساده‌ترین پاسخ ظاهری را می‌بندد. در عوض باری را به دو راه دیگر منتقل می‌کند که راه نخست به‌هرحال تاب نمی‌آورد.

تأمین‌کننده، از راه حقوق محصول

دستورالعمل (اتحادیه اروپا) ۲۰۲۴/۲۸۵۳ درباره مسئولیت ناشی از محصولات معیوب، از این پس نرم‌افزار و سامانه‌های هوش مصنوعی را محصول می‌شمارد و نظام مسئولیت بدون تقصیر را بر آنها اعمال می‌کند. خواهان ناچار نیست تقصیر را ثابت کند، تنها عیب، زیان و رابطه سببیت میان این دو را. کشورهای عضو باید حداکثر تا ۹ دسامبر ۲۰۲۶ آن را به حقوق ملی درآورند، برای محصولاتی که پس از آن تاریخ به بازار عرضه می‌شوند.

متن توخالی نیست. برای خواهان حق ارائه مدارک فنی به دستور دادگاه می‌گشاید، و هنگامی که خوانده از این دستور سرپیچی کند، دستورالعمل اماره‌ای قابل ردّ بر عیب و سببیت پدید می‌آورد. اماره‌ای مشابه وقتی کار می‌کند که پیچیدگی فنی یا علمی پرونده اثبات را بیش از اندازه دشوار سازد.

این اهرمی واقعی است. با این همه همچنان شناساییِ عیب را می‌طلبد. اما سامانه‌ای که دقیقاً بر وفق طراحی خود رفتار کرده و توانایی مسئله‌سازش را کسی طراحی نکرده، چون از هم‌کنشی میان عامل‌ها زاده شده، عیبی آشکار نشان نمی‌دهد. این دستورالعمل برای قطعه‌ای اندیشیده شده که خراب می‌شود. برای مجموعه‌ای اندیشیده نشده که کار می‌کند و با این حال نتیجه‌ای می‌دهد که کسی برنامه‌ریزی‌اش نکرده بود.

به‌کارگیرنده، از راه انباشت رویه قضایی

اینجاست که حقوق واقعاً جابه‌جا می‌شود، پرونده پس از پرونده، بی‌آنکه کسی تصمیم گرفته باشد چنین باشد. دادگاه‌های آلمان در ۲۰۲۶ رشته‌ای از آرا صادر کردند که اصلی در حال شکل‌گیری را ترسیم می‌کند: هر که سامانه‌ای مولد را پیش روی همگان می‌گذارد، پاسخگوی آن چیزی است که آن سامانه می‌گوید، صرف‌نظر از اینکه چه کسی مدل پایه را آموزش داده است.

دادگاه منطقه‌ای مونیخ یک، با رأی صادره در دادرسی فوری مورخ ۲۸ مه ۲۰۲۶ (شماره ۲۶ O ۸۶۹/۲۶)، گوگل را از ادامه پیوند دادن دو ناشر مونیخی به کلاهبرداری در قابلیت چکیده تولیدشده با هوش مصنوعی منع کرد، در حالی که هیچ منبع پیوندشده‌ای چنین اتهامی مطرح نکرده بود. دادگاه گوگل را مختل‌کننده مستقیم دانست و محتوا را اظهار خودِ شرکت شمرد نه ماده‌ای که تنها از آن می‌گذرد.
دادگاه عالی منطقه‌ای هام، در ۱۲ مه ۲۰۲۶ (شماره I-4 UKl 3/25)، مسئولیت مرکزی جراحی زیبایی را پذیرفت که عامل گفت‌وگویی‌اش به مدیرانش عناوین تخصصی نسبت می‌داد که نداشتند و دو تای آنها اساساً وجود ندارد. رأی در قلمرو رقابت نامشروع صادر شد، به ابتکار Verbraucherzentrale NRW، نه در قلمرو جبران زیان. دیوان عالی فدرال فرجام‌خواهی را پذیرفت و همین پرونده را به مرجع آینده در انتساب گفته‌های تولیدشده با هوش مصنوعی بدل می‌کند.
دادگاه منطقه‌ای برلین دو، در ۱ ژوئن ۲۰۲۶ (شماره ۵۲ O ۶۲/۲۶ eV)، دعاوی مشابه علیه گوگل را رد کرد. گروهی عطرسازی از آن گله داشت که نشان‌های تجاری‌اش را در چکیده‌های هوش مصنوعی می‌آورد و به تقلیدهای ارزان‌تر ارجاع می‌دهد. دادگاه چنین دید که اینجا استفاده به‌عنوان نشان تجاری در معنای ماده ۹ مقررات نشان تجاری اتحادیه وجود ندارد: موتور جست‌وجو قالب تازه‌ای از نتیجه می‌سازد، ارتباط تجاری از آنِ خود تولید نمی‌کند.

تصویر هنوز تثبیت نشده، اما شکلش روشن است. تقریباً در همه این پرونده‌ها، طرفی که عملاً در برابر دادگاه می‌ایستد شرکتی نیست که مدل را آموزش داده است. کسی است که آن را به کار گرفته، غالباً بی‌هیچ وسیله‌ای برای بازرسی، بازآموزی یا کنترل جدی آنچه سامانه تولید می‌کند.

مسئولیت بر کسی فرود می‌آید که کمترین وسیله را برای جلوگیری از زیان داشت، تنها به این دلیل که یگانه کسی است که خواهان می‌تواند به او دست یابد.

آنچه پرونده‌های راز حرفه‌ای پیش‌تر آشکار کرده بودند

همین عدم تقارن را جای دیگری هم می‌توان خواند، و بی‌هیچ رویداد پرهیاهویی. در شیوه برخورد قاضیان با کاری چنین پیش‌پاافتاده آشکار می‌شود: یک حقوق‌دان که متنی در دستیار گفت‌وگویی تایپ می‌کند.

در ۱۰ فوریه ۲۰۲۶ دو دادگاه فدرال آمریکایی در یک روز و در دو جهت متضاد درباره این پرسش تصمیم گرفتند که آیا سپردن سندی به سکوی هوش مصنوعی مولد حمایت راز را از میان می‌برد. در Warner v. Gilbarco، دادگاه ناحیه شرقی میشیگان چنین دید که این سکوها ابزارند نه شخص، پس سپردن سند به آنها برابر با افشا نزد شخص ثالث نیست. در United States v. Heppner، که استدلال کتبی‌اش یک هفته بعد در ۱۷ فوریه آمد، دادگاه ناحیه جنوبی نیویورک به نتیجه وارونه رسید و به‌ویژه به شرایط استفاده‌ای استناد کرد که نگهداری مبادلات، بهره‌برداری از آنها برای آموزش و امکان ارائه‌شان به مقامات را پیش‌بینی می‌کنند.

این واگرایی را با تفصیل در مقاله‌ای درباره هوش مصنوعی و راز حرفه‌ای بررسی کرده‌ایم و اصل مطلب در یک مشاهده می‌گنجد. برای آنکه گفته شود سپردن سند به سامانه‌ای برابر با افشای آن نزد شخص ثالث است، نخست باید پذیرفت که آن سامانه توان دریافت اطلاعات را به شیوه‌ای دارای معنای حقوقی دارد. اخلاق حرفه‌ای فرانسه بر مقدمه‌ای همسایه استوار است: راهنمایی که شورای ملی کانون‌های وکلا در ۱۷ مارس ۲۰۲۶ تصویب کرد قاعده پایه را چنین می‌نهد که هرگز اطلاعات پوشیده در راز را بدون گمنام‌سازی پیشین به هوش مصنوعی مولد نسپارید، و یادآور می‌شود که وکیل یگانه صاحب استدلال خویش می‌ماند. چنین قاعده‌ای را کسی برای کمد بایگانی نمی‌نویسد.

همان نظم حقوقی که وقتی به فروریختن حمایتی کمک می‌کند توان پردازش را برای این سامانه‌ها می‌پذیرد، به‌محض آنکه پای انتساب زیان به میان آید هر وصفی را از آنها دریغ می‌دارد. این عدم تقارن هرگز تصادفی نمی‌افتد. آنگاه که توان ظاهری سامانه چیزی برای کاربر هزینه بردارد، قاضیان با میل آن را می‌پذیرند. آنگاه که همان توان چیزی برای تأمین‌کننده هزینه بردارد، در قالب مسئولیت، حقوق یادآور می‌شود که این تنها یک ابزار است.

سه دولت، سه نظریه مسئولیت

در حالی که حقوق اروپا این خلأ را با ترک فعل می‌سازد، حوزه‌های قضایی دیگر آگاهانه و در جهت‌های متضاد پاسخ می‌دهند. این تضاد آموزنده‌تر از هر رأی منفرد است.

بریتانیا از وانمود کردن به نبودِ مسئله دست کشید. گزارش کمیته مشترک حقوق بشر پارلمان، منتشرشده در ۱۴ سپتامبر ۲۰۲۶، در حدود صد صفحه چنین می‌یابد که حقوق بریتانیاییِ ناظر بر هوش مصنوعی اساساً در مرحله به‌کارگیری مداخله می‌کند، چنان‌که به‌کارگیرندگان بخش عمده مسئولیت را بر دوش می‌کشند حال آنکه غالباً کم‌قدرت‌ترین، کم‌منبع‌ترین و بدجای‌ترین طرف برای شناسایی خطرها یا جلوگیری از زیان‌اند. کمیته می‌افزاید شرکت‌های بزرگی که این سامانه‌ها را می‌سازند از دامنه‌ای بیش از اندازه برای انتقال مسئولیت به به‌کارگیرندگان برخوردارند. و توصیه می‌کند تکالیف مراقبت در سراسر زنجیره توزیع شود، قانونی یگانه تمام چرخه عمر را پوشش دهد و مرجع نظارتی مستقلی با پایه قانونی برپا شود. دولت زمان‌بندی نداده است.

کلرادو درست در جهت مخالف رفت. قانون ۲۰۲۴ آن بر شرکت‌ها تکلیف مراقبت در برابر تبعیض الگوریتمی را در تصمیم‌های اشتغال، مسکن، اعتبار و سلامت بار می‌کرد، همراه با ارزیابی اثر و برنامه‌های مدیریت خطر. در ۹ آوریل ۲۰۲۶ شرکت xAI آن را در دادگاه فدرال کلرادو به چالش کشید، وزارت دادگستری در ۲۴ آوریل به پشتیبانی از این دعوا وارد شد و اجرای متن در ۲۷ معلق شد. در ۱۴ مه فرماندار متنی را امضا کرد که آن را نسخ و جایگزین می‌کند، چند هفته پیش از تاریخ اجرایش. قانون تازه، قابل اجرا از ۱ ژانویه ۲۰۲۷ مشروط به پایان کار مقرره‌گذاری دادستان کل، تکلیف عدم تبعیض، ارزیابی‌های اثر و برنامه‌های مدیریت خطر را حذف می‌کند. به‌جای آنها: اگر سامانه‌ای خودکار تصمیمی نامساعد درباره شما بگیرد، حق دارید توضیحی به زبان روشن و بازبینی انسانی بگیرید. قانون پیشین می‌پرسید آیا طراحی و آثار سامانه نامشروع بوده است. قانون تازه تنها می‌پرسد آیا به شما اطلاع داده شده، و این هیچ چیزی درباره خودِ سامانه برای اثبات نمی‌طلبد.

ایتالیا وارونه هر دو عمل کرد. فرمان تقنینی شماره ۱۶۰ مورخ ۹ سپتامبر ۲۰۲۶، منتشرشده در روزنامه رسمی در ۱۵ سپتامبر و لازم‌الاجرا از ۳۰، ماده ۴۳۷ مکرر را به قانون مجازات می‌افزاید. ترک تدابیر فنی ایمنی یا نظارت انسانیِ لازم برای سامانه هوش مصنوعی پرخطر، هرگاه از آن خطری برای جان یا تمامیت جسمانی اشخاص برخیزد، به حبس یک تا پنج سال مجازات می‌شود، و هرگاه خطر به امنیت دولت مربوط باشد به دو تا هشت سال. دستکاری نامشروع چنین سامانه‌ای دو تا شش سال مجازات دارد، و سه تا ده سال هرگاه امنیت دولت در میان باشد. شرکت‌ها به‌موازات آن مسئولیت خاص خود را بر پایه فرمان تقنینی ۲۳۱/۲۰۰۱ بر عهده دارند، با ضمانت اجراهای مالی ۶۰۰ تا ۱۰۰۰ سهمیه برای ماده ۴۳۷ مکرر و ۲۰۰ تا ۷۰۰ سهمیه برای انتشار نامشروع محتوای تولید یا دستکاری‌شده با هوش مصنوعی. در عرصه مدنی، زیان‌دیده دستور ارائه مستندات فنی، اماره قانونی رابطه سببیت و دعوای مستقیم علیه بیمه‌گر مسئول را به دست می‌آورد.

کنار هم گذاشته، این سه پاسخ گونه‌هایی از یک سیاست واحد نیستند. سه نظریه ساختاراً متفاوت درباره آنچه مسئولیت می‌طلبد هستند: اطلاعات، آیین، یا زندان.

آنچه معماری حل می‌کند و حقوق حل نمی‌کند

اینجا نقطه‌ای است که کار ما با این موضوع تلاقی می‌کند. معماری‌ای که کلید ارتباطات شما را در اختیار ندارد چیزی ندارد که دادگاهی بتواند به ارائه‌اش دستور دهد، مقام ناظری بتواند بخواهد یا کارمندی کنجکاو بتواند در آن سرک بکشد. تأمین‌کننده‌ای که نمی‌بیند سامانه با داده‌ای چه کرده، همان کسی هم نیست که پس از واقعه تصمیم بگیرد چه استفاده‌ای از آن پذیرفتنی بوده است. این منطق ویژه هوش مصنوعی نیست. با آن در بحث ۵G و مکان‌یابی روبه‌رو شدیم، جایی که حقوق به‌جای جلوگیری از تولید داده، دسترسی به آن را سامان می‌دهد، و سپس در بحث SignalTrace، جایی که اروپا توان نظارتی‌ای را صادر می‌کند که بر خود حرام کرده است. مقایسه ما از پیام‌رسان‌های رمزگذاری‌شده از راهی دیگر به همان نتیجه رسید: آنچه حفاظت می‌کند ساختار سامانه است، نه وعده کسی که آن را می‌گرداند.

نتیجه

هیچ‌یک از سه راه اروپایی با در نظر گرفتن رفتار پدیدارشونده میان عامل‌ها طراحی نشده است، و عدم تقارنی که در پرونده‌های راز حرفه‌ای پیداست نشان می‌دهد دشواری در حقیقت دکترینی نیست. حقوق می‌داند چگونه بپذیرد که سامانه‌ای اطلاعات را به شیوه یک ذهن پردازش می‌کند، آنگاه که این پذیرش به سود طرفی باشد که آن را می‌خواهد. و پیوسته از گسترش آن سر باز می‌زند آنگاه که چیزی برای سازنده یا به‌کارگیرنده سامانه هزینه بردارد. هیچ نگارش ماهرانه‌تری به‌تنهایی خلأیی را پر نمی‌کند که همه در باز ماندنش ذی‌نفع‌اند.

از این برنمی‌آید که باید دسته چهارمی حقوقی ابداع کرد. برمی‌آید که بهتر است سامانه‌هایی ساخت که در آنها پرسشِ چه کسی پاسخگوست، پیش از هر چیز به مکان‌یابی یک ذهن، یک عیب یا زنجیره‌ای ناگسسته از قصد وابسته نباشد. حوزه‌های قضاییِ بررسی‌شده در اینجا هنوز بر سر جای بار پس از وقوع زیان مجادله می‌کنند. پاسخ ماندگارتر توافق بر سر آن جای نیست. کاستن از شمار چیزهایی است که هر کسی، از جمله خودِ سامانه، باید پاسخگویشان باشد.

منابع

OpenAI، The Hugging Face incident and the road ahead، ۲۶ اوت ۲۰۲۶، و تحقیق مستقل METR و Redwood Research منتشرشده در همان روز
پارلمان اروپا، قطعنامه ۱۶ فوریه ۲۰۱۷ درباره قواعد حقوق مدنی در زمینه رباتیک، بند ۵۹، جزء و
Open letter to the European Commission on artificial intelligence and robotics
دستورالعمل (اتحادیه اروپا) ۲۰۲۴/۲۸۵۳ مورخ ۲۳ اکتبر ۲۰۲۴ درباره مسئولیت ناشی از محصولات معیوب
دادگاه منطقه‌ای مونیخ یک، رأی دادرسی فوری ۲۸ مه ۲۰۲۶، شماره ۲۶ O ۸۶۹/۲۶؛ دادگاه عالی منطقه‌ای هام، رأی ۱۲ مه ۲۰۲۶، شماره I-4 UKl 3/25، فرجام‌خواهی پذیرفته‌شده نزد دیوان عالی فدرال؛ دادگاه منطقه‌ای برلین دو، رأی ۱ ژوئن ۲۰۲۶، شماره ۵۲ O ۶۲/۲۶ eV
United States District Court for the Eastern District of Michigan، Warner v. Gilbarco Inc.، ۱۰ فوریه ۲۰۲۶
United States District Court for the Southern District of New York، United States v. Heppner، استدلال کتبی ۱۷ فوریه ۲۰۲۶
شورای ملی کانون‌های وکلا، راهنمای اخلاق حرفه‌ای و هوش مصنوعی، ۱۷ مارس ۲۰۲۶
Joint Committee on Human Rights، Human Rights and the Regulation of AI، ۱۴ سپتامبر ۲۰۲۶
کلرادو، Senate Bill 26-189، Automated Decision-Making Technology Act، امضاشده در ۱۴ مه ۲۰۲۶، قابل اجرا از ۱ ژانویه ۲۰۲۷
ایتالیا، فرمان تقنینی شماره ۱۶۰ مورخ ۹ سپتامبر ۲۰۲۶، روزنامه رسمی سری عمومی شماره ۲۱۴ مورخ ۱۵ سپتامبر ۲۰۲۶، لازم‌الاجرا از ۳۰ سپتامبر ۲۰۲۶

این تحلیل به‌عنوان تحلیل حقوقی عمومی و مشارکت در بحث ارائه می‌شود. مشاوره حقوقی به شمار نمی‌رود.

هوش مصنوعی و راز حرفه‌ای: شخص ثالثی که نمی‌توان از او شکایت کرد

Mon, 24 Aug 2026 00:00:00 +0000

وقتی اف‌بی‌آی دستگاه‌های بردلی هپنر، مدیر شرکتی که به کلاهبرداری در اوراق بهادار متهم شده بود، را ضبط کرد، مأموران در آن‌ها سی‌ویک سند از گونه‌ای تازه یافتند. نه نامه‌ی الکترونیکی بودند، نه یادداشت، نه مکاتبه با وکیلش. این‌ها گفت‌وگوهای او با یک سکوی هوش مصنوعیِ همگانی بود؛ جایی که راهبرد دفاعی‌اش را گسترده بود، استدلال‌های موضوعی و حقوقی‌ای را که می‌توانست پیش بکشد سنجیده بود، و پیش‌بینی کرده بود دادستانی چه چیزی را به او نسبت خواهد داد. این گفت‌وگوها را پس از دریافت احضاریه‌ی هیئت منصفه‌ی عالی انجام داده بود، و بی‌آنکه وکیلش از او خواسته باشد.

در ۱۰ فوریه ۲۰۲۶، قاضی جد راکاف از دادگاه فدرال ناحیه‌ی جنوبی نیویورک رأی داد که این اسناد مشمول هیچ حمایتی نیستند.

همان روز، هشتصد کیلومتر آن‌سوتر، دادگاه فدرال دیگری خلاف آن را رأی داد.

دو رأی، دو دکترین، یک حرکت

در پرونده‌ی Warner v. Gilbarco، دادگاه فدرال ناحیه‌ی شرقی میشیگان از الزام خواهانی که بدون وکیل طرح دعوا کرده بود به ارائه‌ی ردّ استفاده‌اش از ابزارهای هوش مصنوعی مولد در آماده‌سازی پرونده خودداری کرد. استدلال در یک فرمول جا می‌گیرد: سکوهای هوش مصنوعی ابزارند، نه اشخاص. سپردن یک سند به یک ابزار به معنای افشای آن به طرف مقابل نیست. بنابراین حمایت از کار مقدماتی، آنچه حقوق آمریکا work product می‌نامد، برجا ماند.

در پرونده‌ی United States v. Heppner که دلایل کتبی آن در ۱۷ فوریه منتشر شد، دادگاه نیویورک نتیجه گرفت که مبادلات متهم با سکو نه مشمول راز حرفه‌ای وکیل است و نه مشمول حمایت از کار مقدماتی. دادگاه به شرایط عمومی سکو استناد کرد که در آن آمده ورودی‌ها و خروجی‌ها ممکن است نگهداری شوند، برای آموزش مدل به کار روند و به اشخاص ثالث از جمله مقامات عمومی داده شوند. کاربری که از این موضوع آگاه شده باشد نمی‌توانست به‌طور معقول انتظار محرمانگی داشته باشد.

هر دو نتیجه کاملاً قابل دفاع‌اند. راز وکیل به محض افشا به شخص ثالث، هر که باشد، از میان می‌رود. حمایت از کار مقدماتی تنها در صورت افشا به طرف مقابل از میان می‌رود. دو دکترین متمایز، یک حرکت واحد، دو نتیجه‌ی متضاد.

آنچه هیچ‌یک از این دو رأی بررسی نمی‌کند، فرضی است که هر دو در آن شریک‌اند. و همین فرض است که در برابر باقی حقوق تاب نمی‌آورد.

مقایسه‌ای که کسی انجام نمی‌دهد

سپردن پرونده‌های موکلان به یک میزبان، به‌خودی‌خود هرگز چشم‌پوشی از راز تلقی نشده است.

حال آنکه میزبان بی‌هیچ بحثی شخص ثالث است. اسناد را روی سخت‌افزار خودش نگه می‌دارد. می‌توان او را به ارائه‌ی آن‌ها ملزم کرد، و در چند حوزه‌ی قضایی چنین شده است. با این همه هیچ کانون وکلا، هیچ دادگاه و هیچ نهاد نظارتی حرفه‌ای از این نتیجه نگرفته است که توسل به یک سرویس میزبانی، راز را از بنیاد نابود می‌کند.

پس خط جدایی هرگز صرفِ حضور یک واسطه‌ی فنی نبوده است. واسطه همیشه هست. پست نامه را می‌برد. پیک پرونده را حمل می‌کند. اپراتور تماس را هدایت می‌کند. هر یک به معنای تحت‌اللفظی شخص ثالث‌اند، و هیچ‌یک صرفاً با وجود خود راز را ساقط نمی‌کند.

آنچه میزبان را متمایز می‌کرد تنگ‌تر و دقیق‌تر از چیزی بود که رویه‌ی قضایی معمولاً بیان می‌کند. بدون خواندن ذخیره می‌کرد. از محتوا چیزی نمی‌توانست استنباط کند. هیچ توانی برای دانستن آنچه در اختیار داشت نداشت.

آنچه از میزبان محافظت می‌کرد، جایگاه حقوقی او به‌عنوان شخص ثالث نبود، بلکه ناتوانی فنی او از دانستن آن چیزی بود که نگه می‌داشت.

این معیار دو دهه است در سکوت کار می‌کند. کسی نیازی به نوشتنش نداشت، چون هنوز هیچ واسطه‌ای آن را از کار نینداخته بود.

آنچه قضات واقعاً درباره‌اش تصمیم می‌گیرند

همین که معیار بیان شود، آرای فوریه ماهیت خود را عوض می‌کنند.

دادگاهی که سپردن سند به هوش مصنوعی مولد را افشا به شخص ثالث می‌داند، قاعده‌ای کهنه را بر وقایعی تازه اعمال نمی‌کند. دارد تشخیص می‌دهد که این واسطه‌ی مشخص مانند دیگران نیست. که به‌جای ذخیره کردن، پردازش می‌کند. که درون آن چیزی رخ می‌دهد که درون یک دیسک سخت رخ نمی‌دهد.

دادگاه فدرال کانزاس بُعد عملی را بی‌پرده در پرونده‌ی Jefferies v. Harcros Chemicals در ۲۵ مارس ۲۰۲۶ بیان کرد. این دادگاه قرار حفاظتی را به تمام اوراق پرونده، از جمله اوراق غیرمحرمانه، گسترش داد، به این دلیل که بازگرداندن یک داده پس از سپردن آن به یک ابزار هوش مصنوعی باز عملاً ناممکن است، چون آن داده برای آموزش مدل به کار رفته است. نگهداری یک سیاست تجاری قابل مذاکره‌ی دوباره نیست. ویژگی نحوه‌ی کار سامانه است.

این آرا در کنار هم به معنای آن است که در واژگان حقوق ادله، توانی به رسمیت شناخته می‌شود که حقوق هرگز مجبور نبوده آن را به یک سرور نسبت دهد.

موضع فرانسه و آنچه معیارهایش مفروض می‌گیرند

روشن‌ترین بیان نه از دادگاه، بلکه از مقررات حرفه‌ای می‌آید.

شورای ملی کانون‌های وکلای فرانسه، Conseil national des barreaux، در سپتامبر ۲۰۲۴ نخستین راهنمای عملی خود درباره‌ی هوش مصنوعی مولد را منتشر کرد و سپس در ۱۷ مارس ۲۰۲۶ راهنمایی درباره‌ی اخلاق حرفه‌ای و هوش مصنوعی تصویب کرد. راهنمای نخست در نکته‌ی محوری قاطع است: وکیل نباید داده‌های مشمول راز حرفه‌ای را به یک سامانه‌ی هوش مصنوعی مولد بدهد، و این هم درباره‌ی نام موکل صادق است و هم درباره‌ی هر اطلاع راهبردی یا محرمانه. بدیل پیشنهادی، کار بر مجموعه‌داده‌های نام‌مستعارشده است که در آن‌ها عناصر شناسایی‌کننده جایگزین شده‌اند.

تفسیر کارورزان از موضع فرانسه، به‌ویژه راهنمای تطبیقی بیکر مک‌کنزی درباره‌ی راز حرفه‌ای، از آن چهار شرط تجمیعی استخراج می‌کند. راز تنها در صورتی از استفاده از ابزار هوش مصنوعی مولد جان به در می‌برد که سکو محرمانگی کامل را حفظ کند، بدون استفاده‌ی مجدد، آموزش یا دسترسی اشخاص ثالث؛ که منحصراً زیر نظر وکیل یا مؤسسه بهره‌برداری شود؛ که در خدمت هدفی حقوقی در چارچوب مأموریت مشاوره یا دفاع باشد؛ و که نتیجه بازتاب استدلال خود وکیل باشد نه پردازش خودمختار سامانه.

بر این شرط آخر ارزش درنگ هست.

برای آنکه راز پابرجا بماند، سامانه نباید پردازشی از آنِ خود افزوده باشد.

معیاری که با این عبارات نوشته شده تنها زمانی معنا دارد که سامانه را توانا بر افزودن پردازشی از آنِ خود بدانیم. کسی قاعده‌ای نمی‌نویسد که ایجاب کند یک قفسه‌ی پرونده درباره‌ی اوراقی که در خود دارد استدلال نکرده باشد. این شرط وجود دارد چون چیزی را نشانه می‌رود که یک قفسه نمی‌تواند انجامش دهد.

همین به‌رسمیت‌شناختن ضمنی در توصیه به نام‌مستعارسازی هم نهفته است. جایگزینی عناصر شناسایی‌کننده پیش از ارسال تنها در صورتی ضروری است که فرض کنیم سامانه در غیر این صورت می‌تواند آن‌ها را به هم پیوند دهد، نگه دارد یا از آن‌ها چیزی استنباط کند. یک حامل صرفاً ذخیره‌ساز چنین احتیاطی را اقتضا نمی‌کرد.

نخواستنِ خواندن، نتوانستنِ خواندن

اعتراضی بی‌درنگ پیش می‌آید: میزبان را هم می‌توان به ارائه ملزم کرد، پس چرا یک واسطه راز را ساقط می‌کند و دیگری نه؟

پاسخ در آیین‌نامه‌ی رفتار حرفه‌ای الگوی CCBE است و دقیق‌تر از چیزی است که اعتراض فرض می‌کند. وکیل اروپایی باید از همکاران، کارکنان و هر شخصی که در ارائه‌ی خدماتش از او بهره می‌گیرد بخواهد همان تکلیف محرمانگی را رعایت کند. تکلیف در طول زنجیره منتشر می‌شود.

میزبان را می‌توان در این زنجیره گنجاند. قرارداد پردازش امضا می‌کند. تعهدات محرمانگی می‌پذیرد. می‌توان او را ممیزی کرد و در صورت تخلف می‌توان از او شکایت کرد. شخص ثالث ملزم است.

سکوی هوش مصنوعی مولدی که محتوای سپرده‌شده را نگه می‌دارد و بر آن آموزش می‌بیند به همان شیوه در زنجیره نمی‌گنجد، چون آنچه باید جلویش گرفته شود یک رفتار نیست بلکه یک معماری است. تعهد به آموزش‌ندیدن بر داده‌های ورودی، وعده‌ای درباره‌ی یک نیت است. در برابر ارائه‌دهنده قابل استناد است، اما آنچه را سامانه برای انجامش ساخته شده تغییر نمی‌دهد، و از بیرون قابل راستی‌آزمایی نیست.

تمام فاصله میان ارائه‌دهنده‌ای که نمی‌خواهد بخواند و ارائه‌دهنده‌ای که نمی‌تواند بخواند همین است. تنها دومی از تغییر سهامدار، بازنگری شرایط عمومی یا دستور قضایی جان سالم به در می‌برد. دقیقاً همین سازوکار را در بحث تعارض میان Data Act و CLOUD Act بررسی کردیم: یک تضمین حقوقی هرگز بیش از حوزه‌ی قضایی‌ای که میزبانش است ارزش ندارد، حال آنکه ناممکنی فنی به هیچ حوزه‌ای وابسته نیست.

نامتقارنی

اینجاست که تحلیل به جایی ناخوشایند می‌رسد.

همان نظم حقوقی‌ای که وقتی پرسش درباره‌ی چشم‌پوشی از راز است می‌پذیرد توان پردازش را به رسمیت بشناسد، وقتی پرسش درباره‌ی مسئولیت است از به‌رسمیت‌شناختن هر چیزی سر باز می‌زند.

شخصیت الکترونیکی را پارلمان اروپا در قطعنامه‌ی ۱۶ فوریه ۲۰۱۷ درباره‌ی قواعد حقوق مدنی در زمینه‌ی روباتیک، در بند ۵۹، جزء و، پیشنهاد کرده بود. متن پیشنهاد می‌کرد که پیشرفته‌ترین روبات‌های خودمختار در بلندمدت بتوانند جایگاهی بیابند که مسئول دانستنشان در برابر خساراتی که وارد می‌کنند ممکن شود. این پیشنهاد پس از آنکه نامه‌ای سرگشاده با امضای چند صد کارشناس با آن مخالفت کرد کنار گذاشته شد. اعتراض اصلی آنان محکم بود: اعطای شخصیت به ماشین‌ها وسیله‌ای می‌سازد که سازندگان بتوانند مسئولیتی را که از آنِ خودشان است از دوش خود بردارند.

پس موضع تثبیت شد. سامانه‌ی خودمختاری که خسارت وارد می‌کند یک محصول است، یک ابزار، وسیله‌ی کسی که آن را به کار گرفته است. شخصیت حقوقی ندارد. مسئولیت به یک بازیگر انسانی یا یک شخص حقوقی بازمی‌گردد، و چاره‌ای هم نیست، چون جای دیگری برای بازگرداندنش وجود ندارد.

این دو گزاره امروز هم‌زمان کار می‌کنند.

یا سامانه توان دریافت یک اعلام به معنای حقوقی کلمه را دارد، و آنگاه توانش به رسمیت شناخته می‌شود تا موکلی از حمایتش محروم شود، و هم‌زمان انکار می‌شود تا بار مسئولیت بر دوش هیچ‌کس نیفتد. یا ابزار است، و سپردن سند به آن بیش از ذخیره‌ی یک فایل روی دیسک افشا نیست، و در آن صورت استدلال فوریه فرو می‌ریزد.

بستر اروپایی این ناترازی را به‌جای اصلاح، تشدید می‌کند. دستورالعمل مسئولیت در حوزه‌ی هوش مصنوعی، که پس‌گرفتنش همان در برنامه‌ی کاری کمیسیون در فوریه ۲۰۲۵ اعلام شده بود، در اکتبر ۲۰۲۵ رسماً کنار گذاشته شد. همان ابزاری بود که قرار بود دقیقاً همین دشواری را حل کند. آنچه می‌ماند دستورالعمل بازنگری‌شده‌ی مسئولیت ناشی از محصولات معیوب است که اکنون نرم‌افزار و سامانه‌های هوش مصنوعی را در بر می‌گیرد، اما عیب، خسارت و رابطه‌ی سببیت می‌طلبد، و از اشخاص حقیقی در برابر آسیب بدنی، خسارت مالی و از میان رفتن داده‌ها حمایت می‌کند. مهلت درونی‌سازی آن تازه ۹ دسامبر ۲۰۲۶ است، و تنها بر محصولاتی اعمال می‌شود که پس از این تاریخ به بازار عرضه شوند.

اعتراض قابل پیش‌بینی و پاسخ آن

خواننده‌ی دقیق پاسخ خواهد داد که حقوق به‌طور معمول توانی را برای یک شیء می‌پذیرد و برای شیئی دیگر نه، بی‌آنکه این ناسازگاری باشد. یک حیوان می‌تواند بدون داشتن شخصیت خسارتی حقوقاً مربوط وارد کند. یک شرکت تجاری برای انعقاد قرارداد شخصیت دارد، اما نه برای همه‌ی مقاصد در همه‌ی نظام‌های حقوقی. پس به‌رسمیت‌شناختن توان پردازش برای مقاصد اثباتی هیچ‌کس را ملزم نمی‌کند شخصیتی برای مقاصد مسئولیت به رسمیت بشناسد. پرسش‌های متفاوت، پاسخ‌های متفاوت.

اعتراض جدی است، و اگر نامتقارنی در هر دو سو کار می‌کرد قاطع می‌بود.

اما تنها در یک سو کار می‌کند. آنجا که توان سامانه پذیرفته می‌شود، هزینه را موکلی می‌پردازد که حمایتش ناپدید می‌شود. آنجا که همان توان می‌توانست به توزیع مسئولیت کمک کند، پیدا نمی‌شود. نتیجه همیشه به یک سمت می‌افتد.

نامتقارنی‌ای که به‌طور نظام‌مند به سود یک طرف است، یک تمایز دکترینی نیست. توزیع ریسک است، و باید همچون توزیع ریسک درباره‌اش بحث شود.

این در عمل چه معنایی دارد

هیچ‌یک از این‌ها نشان نمی‌دهد که حرفه‌های حقوقی باید این ابزارها را کنار بگذارند. متون حرفه‌ای اروپایی هم چنین نمی‌گویند، و CCBE راهنمای خودش را در این موضوع منتشر کرده است.

آنچه نشان می‌دهد این است که پرسش تعیین‌کننده این نیست که یک مؤسسه کدام ابزار را برمی‌گزیند، بلکه این است که آن ابزار چه چیزی را نگه می‌دارد، و اینکه پاسخ به یک سیاست بازمی‌گردد یا به ویژگی طراحی. تعهد به نگه‌نداشتن را می‌توان پس گرفت، از نو تفسیر کرد یا با تصمیم قضایی کنار گذاشت. معماری‌ای که نگه نمی‌دارد چنین نمی‌تواند، چون چیزی برای ارائه نیست.

اسناد مرجع برای کسی که بخواهد موضوع را بررسی کند:

راهنمای CCBE درباره‌ی استفاده‌ی وکلا از هوش مصنوعی مولد، منتشرشده در ۲ اکتبر ۲۰۲۵، که با یک راهنمای فنی در مارس ۲۰۲۶ تکمیل شد
راهنمای اخلاق حرفه‌ای شورای ملی کانون‌های وکلای فرانسه مورخ ۱۷ مارس ۲۰۲۶، که اصول کلاسیک راز و استقلال را اعمال می‌کند بی‌آنکه حقوق ویژه‌ای برای هوش مصنوعی بسازد
راهنمای تطبیقی بیکر مک‌کنزی، مفید برای سنجش فاصله میان نظام‌های ملی

زاویه‌ای که Arpokrat دنبال می‌کند

این استدلال بسیار فراتر از دفاتر وکالت می‌رود. درباره‌ی هر رابطه‌ای صادق است که در آن کسی اطلاعاتی را به سامانه‌ای می‌سپارد که نمی‌خواهد دوباره سر برآورد، و به یک پرسش فرو می‌کاهد: تضمین بر یک وعده استوار است یا بر یک ناممکنی؟

این همان اصلی است که طراحی Arpokrat Messenger را هدایت می‌کند. هویت به‌صورت محلی از کلیدهای رمزنگاری ساخته می‌شود، بدون شماره‌ی تلفن و بدون نشانی رایانامه، و کلیدهای خصوصی هرگز دستگاه را ترک نمی‌کنند. این انتخاب تعهد به بهره‌نبردن از یک فهرست کاربران نیست. انتخاب به‌وجودنیاوردن چنین فهرستی است. درخواستی که به زیرساختی فرستاده شود که آن اطلاعات را در اختیار ندارد، امتناع تولید نمی‌کند، خلأ تولید می‌کند.

ارزش دارد این تفاوت صادقانه طرح شود، چون همه‌چیز را تعیین می‌کند. یک سیاست حریم خصوصی، حتی صادقانه و حتی خوش‌نوشته، اعلام نیتی است متکی بر یک شرکت، بر سهامداران آن لحظه‌اش و بر حوزه‌ی قضایی‌ای که در آن مستقر است. این سه عنصر تغییر می‌کنند. معماری‌ای که جمع نمی‌کند با تغییر یک هیئت‌مدیره تغییر نمی‌کند. همان جابه‌جایی‌ای است که درباره‌ی جمع‌آوری امروز برای رمزگشایی فردا توصیف کردیم: خطر در لحظه‌ی وعده‌دادن نیست، در لحظه‌ای است که کس دیگری تصمیم می‌گیرد.

حقوق برای درونی‌کردن این تمایز زمان می‌برد، و بحث راز حرفه‌ای معیار خوبی از آن به دست می‌دهد. درباره‌ی حمایت از داده‌های مکانی هم چنین است، جایی که بخش عمده‌ی ساختمان حقوقی به دسترسی به داده‌هایی می‌پردازد که وجودشان هرگز پرسیده نمی‌شود.

نتیجه

رویه‌ی قضایی سرانجام تثبیت خواهد شد. دادگاه‌های تجدیدنظر اختلاف را حل خواهند کرد، نهادهای ناظر معیار منتشر خواهند کرد، مؤسسات قراردادهای وکالت و شروط خود را تنظیم خواهند کرد. در هیچ‌یک از این‌ها تردیدی نیست.

اما پرسش بنیادی از این راه حل نخواهد شد، چون واقعاً درباره‌ی راز حرفه‌ای نیست. درباره‌ی این امکان است که یک نظم حقوقی بپذیرد چیزی می‌داند، بی‌آنکه هرگز مجبور شود بگوید چه کسی پاسخگوی کاری است که آن چیز با این دانستن می‌کند.

تا وقتی این پرسش گشوده بماند، تنها متغیری که کاربر واقعاً بر آن مسلط است کیفیت تعهداتی نیست که به او می‌دهند. مقدار اطلاعاتی است که اجازه می‌دهد وجود داشته باشد.

این مقاله تحلیلی حقوقی و عمومی برای بحث ارائه می‌کند. نظر مشورتی یا مشاوره‌ی حقوقی نیست.

منابع

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc.، ۱۰ فوریه ۲۰۲۶، تحلیل Proskauer
United States District Court for the Southern District of New York، United States v. Heppner، ۱۰ فوریه ۲۰۲۶، دلایل کتبی ۱۷ فوریه ۲۰۲۶
United States District Court for the District of Kansas، Jefferies et al. v. Harcros Chemicals Inc. et al.، شماره‌ی 2:25-cv-02352، ۲۵ مارس ۲۰۲۶
Conseil national des barreaux، شورای ملی کانون‌های وکلا راهنمایی درباره‌ی اخلاق حرفه‌ای و هوش مصنوعی تصویب می‌کند، ۱۷ مارس ۲۰۲۶
Baker McKenzie، Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE، Model Code of Conduct for European Lawyers، ۸ اکتبر ۲۰۲۱
CCBE، Guide on the use of generative AI by lawyers، ۲ اکتبر ۲۰۲۵
پارلمان اروپا، قطعنامه‌ی ۱۶ فوریه ۲۰۱۷ حاوی توصیه‌هایی به کمیسیون درباره‌ی قواعد حقوق مدنی در زمینه‌ی روباتیک، 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL، European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive، ۹ اکتبر ۲۰۲۵
دستورالعمل (اتحادیه‌ی اروپا) 2024/2853 مورخ ۲۳ اکتبر ۲۰۲۴ درباره‌ی مسئولیت ناشی از محصولات معیوب

Data Act در برابر CLOUD Act: چه کسی واقعاً داده‌های شما را در فضای ابری کنترل می‌کند؟

Fri, 19 Jun 2026 00:00:00 +0000

سال‌ها بود که جهان بر اساس یک فرض ساده عمل می‌کرد: داده‌ها محل اقامت فیزیکی دارند. اگر داده‌ای روی سروری در دوبلین ذخیره بود، تابع قوانین ایرلند و اتحادیه اروپا بود. این فرض در سال ۲۰۱۸ فروریخت، زمانی که ایالات متحده CLOUD Act را تصویب کرد؛ قانونی که به مقامات آمریکایی اجازه می‌دهد به داده‌های تحت کنترل شرکت‌های آمریکایی دسترسی داشته باشند، صرف‌نظر از اینکه این داده‌ها از نظر فیزیکی در کجای جهان ذخیره شده‌اند. چند سال بعد، بروکسل با ابزار حمایتی خود پاسخ داد: Data Act که اکنون به طور کامل قابل اجراست و تلاش می‌کند دسترسی فراسرزمینی مقامات کشورهای ثالث به داده‌های نگهداری‌شده در اتحادیه اروپا را محدود کند.

در اینجا به آنچه این دو متن واقعاً پیش‌بینی می‌کنند، نقاط تصادم آن‌ها، و دلیل اینکه تنها حمایت واقعاً محکم در برابر این تعارض، ناممکن‌سازی فنی دسترسی است، می‌پردازیم.

CLOUD Act آمریکایی: دسترسی مبتنی بر کنترل، نه مکان

CLOUD Act (Clarifying Lawful Overseas Use of Data Act)، که در مارس ۲۰۱۸ تصویب شد، قوانین آمریکا را با افزودن ماده 18 U.S. Code § 2713 اصلاح کرد. این متن هر ارائه‌دهنده خدمات ارتباطات الکترونیکی یا پردازش رایانه‌ای از راه دور را ملزم می‌کند که محتوای ارتباطات یا هر سابقه مرتبط با آن را حفظ، نگهداری یا افشا کند، به محض اینکه این داده‌ها در تصرف، نگهداری یا کنترل آن باشند، صرف‌نظر از اینکه این داده‌ها در داخل یا خارج از ایالات متحده قرار دارند.

دقیقاً همین بند آخر است که همه چیز را تغییر می‌دهد. معیار دیگر مکان فیزیکی سرور نیست، بلکه کنترلی است که شرکت مادر بر شعب خود اعمال می‌کند. بنابراین یک شرکت آمریکایی که مراکز داده را در اروپا اداره می‌کند، همچنان تابع احضاریه‌های آمریکایی است، حتی برای داده‌هایی که به طور کامل در خاک اروپا ذخیره شده‌اند.

Data Act اروپایی: یک مانع حقوقی در برابر دسترسی فراسرزمینی

مقررات (اتحادیه اروپا) 2023/2854، موسوم به Data Act، در ۱۱ ژانویه ۲۰۲۴ لازم‌الاجرا شد و از ۱۲ سپتامبر ۲۰۲۵ به طور کامل اعمال می‌شود، با برخی مقررات که تا ۲۰۲۶ و ۲۰۲۷ به صورت تدریجی اجرا می‌شوند. ماده ۳۲ آن مستقیماً به موضوع دسترسی بین‌المللی دولت‌ها به داده‌ها می‌پردازد.

این متن یک قاعده روشن تعیین می‌کند: هر تصمیم یا حکم یک دادگاه یا مقام اداری کشور ثالثی که از ارائه‌دهنده خدمات پردازش داده می‌خواهد داده‌های غیرشخصی نگهداری‌شده در اتحادیه اروپا را منتقل کند یا به آن‌ها دسترسی دهد، تنها در صورتی به رسمیت شناخته می‌شود و قابل اجراست که مبتنی بر یک توافق بین‌المللی باشد، مانند یک معاهده کمک حقوقی متقابل (MLA)، که بین کشور درخواست‌کننده و اتحادیه، یا بین آن کشور و دولت عضو مربوطه، معتبر باشد.

در غیاب چنین توافقی، ماده ۳۲ راه دومی را پیش‌بینی می‌کند، اما با محدودیت‌های سختگیرانه: تصمیم خارجی تنها در صورتی قابل اجراست که نظام حقوقی کشور ثالث ایجاب کند که درخواست مستدل، متناسب و به اندازه کافی مشخص باشد - برای مثال با ایجاد پیوند روشن با افراد یا جرائم معین - و اگر اعتراض موجه گیرنده بتواند تحت بازرسی دادگاه صالح آن کشور ثالث قرار گیرد.

یک تصادم حقوقی مستقیم

مشکل فوری است: CLOUD Act افشای اطلاعات را بر اساس کنترل اعمال‌شده توسط شرکت مادر الزامی می‌کند، بدون شرط تناسبی مشابه آنچه قانون اروپایی مطالبه می‌کند. Data Act، برعکس، به رسمیت شناختن چنین درخواستی را مشروط به وجود یک توافق بین‌المللی یا ضمانت‌های رویه‌ای دقیق می‌کند. یک شرکت آمریکایی که در اروپا فعالیت می‌کند و توسط یک مقام آمریکایی ملزم به انتقال داده‌های میزبانی‌شده در اتحادیه است، خود را بین دو تعهد قانونی متناقض می‌یابد: تبعیت از دستور آمریکایی با نقض قوانین اتحادیه، یا رعایت Data Act با در معرض قرار گرفتن در برابر عواقب رد درخواست در ایالات متحده.

این تنش نظری نیست. دیوان دادگستری اتحادیه اروپا (CJEU) آن را در دو تصمیم مهم مستند کرده است: Schrems I (2015) و Schrems II (2020). در حکم Schrems II، دیوان دادگستری اتحادیه اروپا حکم داد که نظارت آمریکایی انجام‌شده بر اساس بخش ۷۰۲ FISA (Foreign Intelligence Surveillance Act) و فرمان اجرایی ۱۲۳۳۳ حداقل ضمانت‌های مورد نیاز قانون اتحادیه را بر اساس اصل تناسب رعایت نمی‌کند و بنابراین نمی‌توان آن را محدود به آنچه کاملاً ضروری است تلقی کرد. دادگاه همچنین فقدان راه جبران قضایی مؤثر برای افراد مربوطه در اتحادیه را تشخیص داد که ناقض ماده ۴۷ منشور حقوق اساسی است. این تصمیم چارچوب Privacy Shield را که تا آن زمان انتقال داده بین اتحادیه اروپا و ایالات متحده را سازماندهی می‌کرد، باطل اعلام کرد.

خطر ساختاری: Harvest Now, Decrypt Later

فراتر از تعارض صلاحیت‌ها، تهدیدی موذیانه‌تر بر داده‌های میزبانی‌شده در زیرساخت‌های تابع قوانین آمریکایی سایه افکنده است: استراتژی موسوم به Harvest Now, Decrypt Later (HNDL). این اصل برای یک سرویس اطلاعاتی یا بازیگر دولتی خصمانه عبارت است از رهگیری و ذخیره‌سازی داده‌های رمزگذاری‌شده از همین امروز، در انتظار توانایی‌های محاسبات کوانتومی کافی برای رمزگشایی آن‌ها در آینده.

این استراتژی هر وابستگی طولانی‌مدت به زیرساخت ابری آمریکایی را به یک بدهی امنیتی معوق تبدیل می‌کند: آنچه امروز محرمانه است ممکن است در ده یا پانزده سال دیگر قابل خواندن شود، بدون اینکه هیچ اقدام اضافی از سوی مهاجم لازم باشد، فقط زمان و صبر.

چرا تنها ناممکن‌سازی فنی یک ضمانت واقعی است

تحلیل حقوقی به نتیجه‌ای مشترک می‌رسد که بسیاری از متخصصان انطباق به آن رسیده‌اند: هر چقدر هم چارچوب قانونی Data Act محکم باشد، همچنان متنی است که توازن قوای ژئوپولیتیک و فشارهای دیپلماتیک می‌توانند آن را دور بزنند، به تعویق بیندازند یا تفسیر مجدد کنند. تنها حمایتی که به هیچ مذاکره آینده‌ای وابسته نیست، ناممکن‌سازی فنی اجرا است.

یک معماری zero knowledge، که در آن ارائه‌دهنده خدمات هیچ‌گاه در تصرف یا نگهداری کلیدهای رمزگشایی نیست، یک احضاریه را از نظر مادی بی‌اثر می‌کند. نمی‌توان کسی را مجبور کرد چیزی را که هرگز در اختیار ندارد تحویل دهد.

این منطقی است که اکوسیستم‌هایی مانند Arpokrat را شکل می‌دهد:

خنثی‌سازی صلاحیت قضایی: زیرساخت در سوئیس میزبانی می‌شود، تحت رژیم قانون فدرال حفاظت از داده‌ها (LPD/FADP)، خارج از حوزه اعمال مستقیم فراسرزمینی CLOUD Act
فقدان نگهداری: معماری zero knowledge به ارائه‌دهنده هیچ توانایی برای تحویل کلیدها یا محتواهایی که هرگز در اختیار ندارد نمی‌دهد
کاهش ردپای هویتی: با حذف الزام ثبت‌نام از طریق شماره تلفن یا آدرس ایمیل - شناسه‌هایی که نظارت مبتنی بر بخش ۷۰۲ FISA می‌تواند به راحتی آن‌ها را ردیابی کند - کاربر از یک مشترک قابل شناسایی به یک کلید رمزنگاری ناشناس تبدیل می‌شود

زنجیره نگهداری در رمزگذاری پیام‌ها متوقف نمی‌شود

نکته‌ای که اغلب در تحلیل‌های انطباق دست‌کم گرفته می‌شود این است: رمزگذاری محتوای یک ارتباط کافی نیست اگر سیستم عامل زیربنایی - چه Android باشد چه iOS - به جمع‌آوری ابرداده یا تله‌متری در سطح هسته، با مقصد سرورهایی تحت صلاحیت آمریکا، ادامه دهد. حمایت از محرمانگی مستلزم بستن کامل زنجیره نگهداری است، از محتوا تا خود زیرساخت سخت‌افزاری.

به همین دلیل است که حاکمیت دیجیتال مستلزم تأمل درباره سیستم عامل مورد استفاده نیز هست، نه فقط برنامه‌های پیام‌رسان. سیستم‌های بدون گوگل، که در آن‌ها ماژول‌هایی مانند بلوتوث یا موقعیت‌یابی GNSS می‌توانند مستقیماً در سطح هسته غیرفعال شوند، بردارهای حمله فیزیکی را که هیچ رمزگذاری در سطح برنامه نمی‌تواند جبران کند، حذف می‌کنند.

رمزنگاری پس از کوانتوم، افقی که اکنون در پیش است

در برابر تهدیدی که استراتژی HNDL نشان می‌دهد، اتخاذ استانداردهای رمزنگاری پس از کوانتوم (PQC) برای هر کسی که می‌خواهد محرمانگی داده‌های حساس را در بلندمدت تضمین کند، ضرورتی اجتناب‌ناپذیر است - چه اسرار تجاری باشد، چه مکاتبات حرفه‌ای یا داده‌های بهداشتی. رمزگذاری‌ای که امروز بر اساس استانداردهای کلاسیک محکم تلقی می‌شود، تضمین نمی‌کند که در برابر توانایی‌های محاسبات کوانتومی مورد انتظار در پانزده سال آینده مقاومت کند.

تعارض بین Data Act و CLOUD Act یک واقعیت گسترده‌تر را نشان می‌دهد: حاکمیت دیجیتال دیگر نمی‌تواند صرفاً بر متون قانونی بنا شود، هر چقدر هم محکم باشند. این امر مستلزم بستن زنجیره نگهداری در هر سطحی است، از پروتکل رمزگذاری تا صلاحیت میزبانی، از جمله خود سیستم عامل. این رویکرد لایه‌ای، به جای اعتماد به یک چارچوب نظارتی واحد، است که امروز حاکمیت دیجیتال واقعی بر اساس طراحی را تعریف می‌کند.

مونرو و زی‌کش از سال ۲۰۲۷ در اروپا ممنوع می‌شوند: AMLR چه تغییری ایجاد می‌کند

Thu, 18 Jun 2026 00:00:00 +0000

ممنوعیت مونرو و زی‌کش در اروپا دیگر رسمی شده است. از جولای ۲۰۲۷، اتحادیه اروپا از طریق مقررات جدید ضد پول‌شویی موسوم به AMLR، دسترسی نهادی به ارزهای دیجیتال با حریم خصوصی تقویت‌شده را مسدود می‌کند. در اینجا می‌آموزید این متن قانونی دقیقاً چه پیش‌بینی‌هایی دارد، نقش مرجع جدید اروپایی AMLA در اجرای آن چیست، و این موضوع برای هر کسی که پرایوسی کوین نگه می‌دارد واقعاً چه معنایی دارد.

AMLR و AMLA: دو متن متفاوت که نباید با هم اشتباه گرفته شوند

پیش از ورود به جزئیات، یک توضیح ضروری است — این دو مخفف به دو چیز کاملاً متفاوت اشاره دارند که اغلب در رسانه‌های تخصصی با هم اشتباه می‌شوند:

AMLR (Anti-Money Laundering Regulation) خود متن قانون است: مقررات (EU) 2024/1624، که قوانین را تعریف می‌کند — حساب‌های ناشناس ممنوع، آستانه‌های تأیید هویت، نحوه برخورد با پرایوسی کوین‌ها. این «چه» است.
AMLA (Anti-Money Laundering Authority) مرجع نظارتی جدید اروپایی است که از طریق مقرراتی جداگانه اما در همان روز تصویب شده، یعنی مقررات (EU) 2024/1620، ایجاد شده است. نقش آن نظارت مستقیم بر اجرای AMLR است، به‌ویژه در مورد بزرگ‌ترین ارائه‌دهندگان خدمات دارایی‌های کریپتو (CASP) که در چندین کشور عضو فعالیت می‌کنند. این «چه کسی نظارت می‌کند» است.

خلاصه اینکه: AMLR قوانین را تعیین می‌کند، AMLA اطمینان حاصل می‌کند که رعایت می‌شوند. هر دو متن یک بسته قانونی واحد اروپایی علیه پول‌شویی و تأمین مالی تروریسم را تشکیل می‌دهند.

مقررات AMLR دقیقاً چه می‌گوید

مقررات (EU) 2024/1624 در ۳۱ مه ۲۰۲۴ توسط پارلمان اروپا و شورا تصویب و در ۱۹ ژوئن ۲۰۲۴ در روزنامه رسمی اتحادیه اروپا منتشر شد. فصل هشتم (مواد ۷۹-۸۰)، با عنوان «اقدامات برای کاهش خطرات مرتبط با ابزارهای ناشناس»، و دقیق‌تر ماده ۷۹ («حساب‌های ناشناس، سهام و اوراق قرضه بی‌نام»)، مقرر می‌کند که مؤسسات اعتباری، مؤسسات مالی و ارائه‌دهندگان خدمات دارایی‌های کریپتو (CASP) دیگر مجاز به نگهداری حساب‌های ناشناس یا ارائه محصولاتی که ناشناس‌سازی تراکنش‌ها را امکان‌پذیر می‌سازند، نیستند.

این متن صریحاً دو دسته متمایز اما مرتبط را هدف قرار می‌دهد:

حساب‌های ناشناس — چه بانکی، چه پرداختی، چه کریپتو. این قانون بخش کریپتو را با محدودیت‌هایی همتراز می‌کند که از قبل برای حساب‌های بانکی ناشناس، حساب‌های اوراق بهادار بی‌نام و گاوصندوق‌های ناشناس وجود داشت.
«ارزهای دیجیتال با ماهیت ناشناس‌ساز» (anonymity-enhancing coins) — اصطلاح کلی که مقررات برای توصیف دارایی‌هایی به کار می‌برد که از تکنیک‌های رمزنگاری پیشرفته استفاده می‌کنند و جریان‌ها را غیرقابل ردیابی می‌سازند. نکته مهم: متن قانونی هیچ توکنی را با نام خود ذکر نمی‌کند. این تفسیر گسترده‌ای است که توسط دفاتر انطباق و صنعت — به‌ویژه AML Handbook از European Crypto Initiative (EUCI) — به اشتراک گذاشته شده و مونرو (XMR)، زی‌کش (ZEC) و Dash (DASH) را در این دسته قرار می‌دهد. این تفسیری سازگار با تعریف مقررات است، اما یک تفسیر بخشی است، نه فهرستی اسمی که در قانون گنجانده شده باشد.

این مقررات در چارچوبی گسترده‌تر، در کنار MiCA (Markets in Crypto-Assets)، که از ۲۰۲۴-۲۰۲۵ اجرایی شده و از قبل بسیاری از پلتفرم‌ها را (Kraken از اکتبر ۲۰۲۴ و ده‌ها پلتفرم دیگر) به حذف پیشگیرانه مونرو از بازارهای اروپایی واداشته، قرار می‌گیرد.

تاریخ مهم: جولای ۲۰۲۷

AMLR یک تاریخ قطعی برای اجرا دارد. اکثر منابع تخصصی بر تاریخ ۱۰ جولای ۲۰۲۷ به عنوان مهلت اجرای کامل توافق دارند. از این تاریخ، صرافی‌ها و خدمات نگهداری ارز دیجیتال (custodial) نه با حساب‌های ناشناس و نه با پرایوسی کوین‌ها می‌توانند تراکنش داشته باشند.

تا پیش از این مهلت، مقررات از همین الان تعهدات تقویت‌شده‌ای را الزامی می‌کند:

تأیید هویت اجباری برای هر تراکنش کریپتوی موردی بیش از ۱٬۰۰۰ یورو — آستانه‌ای که به‌طور قابل توجهی نسبت به رویه‌های فعلی بسیاری از پلتفرم‌ها کاهش یافته است
کنترل‌های تقویت‌شده بر کیف‌پول‌های خودنگهداری (self-custody): هنگامی که کاربری وجوه را بین یک پلتفرم تنظیم‌شده و یک کیف‌پول شخصی منتقل می‌کند، CASP باید اطلاعاتی درباره مبدأ و مقصد وجوه جمع‌آوری کند و حداقل هویت دارنده کیف‌پول خارجی را تأیید کند
حذف پرداخت‌های نقدی ناشناس بیش از ۳٬۰۰۰ یورو، در همان منطق گسترش کنترل‌های هویت به تمام ابزارهای مالی ناشناس

چرا بروکسل مونرو و زی‌کش را در پلتفرم‌های تنظیم‌شده ممنوع می‌کند

در AML Handbook خود، EUCI منطقی که زیربنای این متن است را خلاصه می‌کند: ناشناس بودن دارایی‌های کریپتو خطرات قابل توجهی از سوءاستفاده برای اهداف مجرمانه ایجاد می‌کند، زیرا ردیابی تراکنش‌ها را ناممکن می‌سازد و تشخیص فعالیت‌های مشکوک را پیچیده می‌کند.

این دقیقاً همان استدلالی است که از قبل ژاپن، کره جنوبی، و اخیراً فیلیپین را وادار کرده پرایوسی کوین‌ها را از پلتفرم‌های تنظیم‌شده خود حذف کنند — همسویی تدریجی حوزه‌های قضایی توسعه‌یافته با استانداردهای FATF. با رسمی کردن این ممنوعیت در مقرراتی که مستقیماً در ۲۷ کشور عضو اعمال می‌شود، اتحادیه اروپا وزن حقوقی و اثر تسری (「Brussels Effect」) بسیار بیشتری نسبت به تصمیمات ملی منزوی به این روند می‌بخشد.

آنچه ممنوع نیست — تمایزی که اهمیت دارد

چندین تحلیل حقوقی بر یک نکته محوری توافق دارند: AMLR نگهداری فردی پرایوسی کوین‌ها یا انتقال همتا به همتا خارج از پلتفرم‌های تنظیم‌شده را جرم نمی‌انگارد. کیف‌پول‌های خودنگهداری به خودی خود ممنوع نیستند — آنها تنها زمانی که با پلتفرمی تابع مقررات تعامل می‌کنند مشمول کنترل‌های تقویت‌شده می‌شوند.

آنچه AMLR می‌بندد، دسترسی‌های نهادی است: خرید، فروش، سپرده‌گذاری و برداشت پرایوسی کوین‌ها از طریق یک CASP تنظیم‌شده در اتحادیه اروپا. نگهداری خصوصی و صرافی‌های غیرمتمرکز، تا این مرحله، خارج از حوزه مستقیم ممنوعیت باقی می‌مانند — الگویی یکسان با آنچه از قبل در فیلیپین مشاهده شده.

پیامدهای عملی برای دارندگان XMR و ZEC

اگر در حال حاضر پرایوسی کوین روی یک صرافی تنظیم‌شده در اتحادیه اروپا نگه می‌دارید:

تا جولای ۲۰۲۷، این پلتفرم‌ها باید پشتیبانی از این دارایی‌ها را حذف کرده یا دیگر سپرده‌های جدید مربوط به آنها را نپذیرند
انتقال به کیف‌پول‌های شخصی از همین پلتفرم‌ها مشمول تأییدهای هویت تقویت‌شده خواهد شد، حتی پیش از مهلت نهایی
هر تراکنش کریپتو بیش از ۱٬۰۰۰ یورو، چه پرایوسی کوین باشد چه نه، نیازمند شناسایی کامل خواهد بود

منتقدان این متن، حتی در درون صنعت کریپتو، به یک خطر ساختاری اشاره می‌کنند: با بستن مدارهای تنظیم‌شده بدون ممنوعیت فنی خود دارایی‌ها، مقررات به‌طور مکانیکی دارندگان پرایوسی کوین را به سمت بازارهای کم‌شفاف‌تر و پلتفرم‌های غیرتنظیم‌شده سوق می‌دهد — دقیقاً عکس هدف ردیابی‌پذیری که بروکسل اعلام کرده است.

آماده‌سازی پیش از مهلت ۲۰۲۷

با افق تعیین‌شده برای ۲۰۲۷، این انتقال فوری نیست — اما از قبل آغاز شده است. پلتفرم‌ها از همین الان پیشنهادات خود را در پیش‌بینی انطباق تنظیم می‌کنند، و پنجره برای مبادله یا تجمیع موقعیت‌ها در پرایوسی کوین‌ها بدون وابستگی به زیرساخت‌های تابع این حوزه قضایی هر ماه کوچک‌تر می‌شود.

Arpokrat Swap امکان مبادله مونرو، زی‌کش و تمام ارزهای دیجیتال با حریم خصوصی تقویت‌شده را بدون ثبت‌نام، بدون جمع‌آوری داده‌های هویتی و بدون وابستگی به یک CASP تنظیم‌شده تابع AMLR فراهم می‌کند. این پلتفرم هم از طریق clearnet و هم از طریق آدرس .onion ما قابل دسترسی است، و تضمین می‌کند که توانایی شما برای مبادله این دارایی‌ها به هیچ حوزه قضایی‌ای وابسته نیست که ممکن است یک‌شبه دسترسی‌ها را ببندد.

AMLR مسیری را تأیید می‌کند که دیگر تردید چندانی در آن باقی نیست: بازارهای کریپتوی تنظیم‌شده و حریم خصوصی مالی، حوزه قضایی پس از حوزه قضایی، از نظر ساختاری ناسازگار می‌شوند. دیگر این سؤال مطرح نیست که آیا این روند در تمام اقتصادهای توسعه‌یافته همگانی خواهد شد یا نه، بلکه این است که پس از ۲۰۲۷ چه مدت زمانی باقی خواهد ماند تا بتوان دارایی‌های خصوصی را خارج از مدارهایی مبادله کرد که دیگر مجاز به لمس آنها نخواهند بود.