MiCA وDORA وقانون الذكاء الاصطناعي وNIS2: كيف تجعل قواعد الاتحاد الأوروبي الشركات الناشئة والصغيرة خارج أوروبا

أكسب رزقي من تنظيمات الاتحاد الأوروبي. يلجأ إلينا العملاء لأن MiCA وقواعد مكافحة غسل الأموال وبقية منظومة القواعد الأوروبية أكبر من أن يتولوها وحدهم، ونحن نتولاها عنهم. لذلك فهذه ليست شكوى من شخص يخسر عندما تكتب بروكسل قانوناً جديداً. بل إنني، إن كان من شيء، أكسب.

ومع ذلك، عندما أنظر إلى ما فُرض على الشركات الصغيرة والمتوسطة (SMEs) خلال السنوات القليلة الماضية، أرى أن أوروبا ترتكب خطأً. ليست المشكلة تشريعاً واحداً سيئ الصياغة، بل مجموعها جميعاً، وسرعة تصحيح الاتحاد الأوروبي لنفسه، ووقوع الفاتورة على الشركات الأقل قدرة على دفعها. وقد عرضنا موقفنا من تنظيم الذكاء الاصطناعي تحديداً في مقال منفصل؛ أما هذا المقال فيتناول النمط عبر منظومة القواعد برمتها.

طبقة فوق طبقة

إليك ما تطلبه تنظيمات الاتحاد الأوروبي الآن من شركة أوروبية، بحسب نشاطها.

• GDPR لكل من يحتفظ ببيانات شخصية.
• قانون الخدمات الرقمية وقانون الأسواق الرقمية للمنصات والأسواق الإلكترونية.
• قانون البيانات للأجهزة المتصلة وعقود الحوسبة السحابية.
• NIS2 وقانون المرونة السيبرانية للأمن السيبراني وللمنتجات التي تتضمن برمجيات.
• MiCA لخدمات الأصول المشفرة.
• DORA للبنوك وشركات الدفع والعملات المشفرة وموردي IT الذين يخدمونها.
• قانون الذكاء الاصطناعي لكل من يطور أنظمة AI أو يستخدمها في أعماله.
• لائحة AML الجديدة مع جهة رقابية على مستوى الاتحاد الأوروبي، AMLA.
• eIDAS 2.0 بمحافظ الهوية الرقمية التابعة له.
• واجبات الإبلاغ عن تحويلات العملات المشفرة (قاعدة السفر)، وبيانات ضريبة العملات المشفرة (DAC8)، والاستدامة (CSRD)، وسلاسل التوريد (CSDDD).

لا يعد أي منها بسيطاً. فلكل منها تعريفاته ونماذجه وجهته الرقابية وغراماته. وقد تخضع شركة fintech لديها اثنا عشر موظفاً لخمسة أو ستة منها في آن واحد.

كل قانون قابل للتبرير، لكن التراكم ليس كذلك

إذا نظرنا إلى كل واحد من هذه القوانين منفرداً، وجدنا أنه يجيب عن سؤال حقيقي. ينبغي ألا تختفي أموال العملاء عند انهيار منصة تداول للعملات المشفرة، وألا يتوقف بنك عن العمل لأن مزود الخدمة السحابية مر بليلة سيئة، ولا أحد يريد برمجيات تقرر من يحصل على قرض دون إنسان قادر على مراجعة النتيجة. جادل ضد أي من هذه القوانين منفرداً فستخسر، كما ينبغي أن تخسر.

المشكلة هي المجموع، والمشكلة هي الساعة. اقترحت المفوضية قانون الذكاء الاصطناعي في أبريل 2021 واعتمده الاتحاد الأوروبي في 2024. وكان من المقرر أن تبدأ قواعده الرئيسية للـAI عالي المخاطر، مثل الأنظمة المستخدمة في التوظيف أو تقييم الجدارة الائتمانية أو التعليم، في 2 أغسطس 2026. وفي يوليو 2026، قبل ذلك الموعد بأسابيع، أقر الاتحاد الأوروبي تصحيحاً يسمى الحزمة الرقمية الجامعة بشأن AI. وقد أرجأ القواعد إلى ديسمبر 2027، وإلى أغسطس 2028 للـAI المدمج في منتجات خاضعة للتنظيم. وكان السبب الرسمي أن المعايير التقنية والجهات الرقابية الوطنية لم تكن جاهزة. وبعد خمس سنوات من الاقتراح، لم تكن الآلية المخصصة لإنفاذ القانون موجودة. وكانت الشركات التي أمضت عامين في الاستعداد لأغسطس تستعد لموعد تغير.

هذا ما يعنيه البطء عملياً. تصل القوانين. وتصل التصحيحات بعد سنتين أو ثلاث، حين يرى الجميع المشكلة، في صورة تنظيم آخر.

لماذا تكلف القواعد نفسها الشركات الصغيرة أكثر

هذا هو الجزء الذي يزعجني أكثر من غيره. تكلفة الامتثال لا تعتمد تقريباً على حجم الشركة. دليل سياسات، وسجل لموردي IT، وإجراء للإبلاغ عن الحوادث، وتدقيق خارجي، وطلب ترخيص: تكلف هذه الأمور المقدار نفسه تقريباً، سواء كنت تخدم 50 عميلاً أو 5 مليون.

تُعد DORA أوضح مثال. ففي استطلاع Deloitte للمؤسسات المالية في 28 دولة أوروبية، المنشور في مارس 2025، توقع نحو ثلثي المشاركين إنفاق ما بين €2 مليون و€5 مليون على الامتثال، ولم يتوقع البقاء دون €2 مليون سوى واحد من كل عشرة. يستطيع بنك كبير استيعاب ذلك. أما مؤسسة دفع فيها عشرون موظفاً فلا تستطيع، وبالنسبة إلى أصغر الشركات قد تتجاوز فاتورة الامتثال قيمة سوق الاتحاد الأوروبي بالنسبة إليها.

وتروي MiCA القصة نفسها بالأرقام. قبل MiCA، ووفقاً لإحصاءات القطاع، كانت أكثر من ألف شركة تحمل تسجيلات وطنية للعملات المشفرة في أنحاء الاتحاد الأوروبي. انتهت الفترة الانتقالية في 1 يوليو 2026، وبحلول أكتوبر 2026 سجل ESMA نحو 370 مزوداً مرخصاً. بعض الشركات الغائبة كان ينبغي أن يخرج. لكن كثيراً منها كان صغيراً ومحلياً وقانونياً، وخرج لأن ترخيص MiCA (ترخيص CASP) يكلف ستة أرقام من رسوم المستشارين ورأس المال ووقت الإدارة، وهو ما لا تملكه منصة تداول أسسها مؤسسان. وقد تناولت على حدة ما فعلته MiCA بالشركات الناشئة الأوروبية في العملات المشفرة؛ وهنا هي مثال واحد على نمط أوسع.

نادراً ما يشتكي اللاعبون الكبار. فلكل شركة راسخة ممولة جيداً، يشكل كل تشريع جديد خندقاً واقياً: فريق الامتثال موجود بالفعل، والمحامون متعاقد معهم، وكل قاعدة جديدة ترفع كلفة الدخول على كل من يريد المنافسة. ينتهي الأمر بتنظيم كُتب لحماية المستهلكين إلى حماية الحصة السوقية.

إلى أين يذهب المؤسسون

الشركات الناشئة متنقلة على نحو لا تكون عليه البنوك. فالمؤسس الذي لديه فكرة وحاسوب محمول يقارن بين البلدان كما نقارن نحن الرحلات الجوية. عندما قررت Apple وMeta في 2024 حجب ميزات AI جديدة عن مستخدمي الاتحاد الأوروبي، مستشهدتين بقانون الأسواق الرقمية وبيئة تنظيمية «غير قابلة للتنبؤ»، كانت العناوين عن عملاقين. أما الأثر الأهدأ فوقع على كل مطور أوروبي أراد البناء على تلك النماذج، وأصبح عليه أن ينتظر أو ينتقل.

في عملي الخاص، يكون النمط أقل درامية لكنه ثابت بالقدر نفسه. تحول السؤال الذي يطرحه المؤسسون من «هل يمكننا الحصول على ترخيص في إستونيا؟» إلى «هل يستحق الترخيص الأوروبي كل ذلك مقارنة بدبي أو سنغافورة أو ولاية أمريكية؟». قبل سنوات قليلة كان السؤال الثاني نادراً. أما اليوم فهو اعتيادي، ولا أستطيع دائماً إقناعهم بالعدول عنه.

الأرقام تقول الشيء نفسه. وجدت دراسة صادرة عن بنك الاستثمار الأوروبي في يناير 2026 أنه بين عامي 2008 و2021، نقل ما يقرب من 30% من الشركات الأوروبية الناشئة العملاقة، وهي شركات ناشئة تُقدّر قيمتها بأكثر من $1 مليار، مقارها الرئيسية إلى خارج الاتحاد الأوروبي. اتجه معظمها إلى الولايات المتحدة، وتصدّرت التكنولوجيا الرقمية وAI والتقنية الحيوية هذا المسار. وقال ماريو دراغي الباقي في تقريره عن التنافسية الأوروبية الصادر في سبتمبر 2024: يفرض العبء التنظيمي قيوداً كثيرة جداً على الابتكار ويصعّب على الشركات الناشئة النمو. وبعد عامين، ووفقاً لإحصاء مرصد دراغي التابع للمجلس الأوروبي لابتكار السياسات، لم يُنفذ بالكامل سوى 16% من التدابير التي يتابعها. التشخيص مقبول. أما العلاج فبطيء.

لماذا لا تستطيع تالين إصلاح ما كتبته بروكسل

إستونيا مكان جيد لمراقبة هذا منه. فهي صغيرة ورقمية وعموماً تتعامل بعقلانية مع الأعمال. لكنها في هذه المسألة شبه عاجزة.

إن MiCA وDORA وقانون الذكاء الاصطناعي لوائح وليست توجيهات. فالتوجيه يحدد هدفاً ويتيح لكل بلد صياغة قانونه الخاص؛ أما اللائحة فتطبق حرفياً في كل دولة عضو، ولا يستطيع أي برلمان في تالين أو فيلنيوس أو لشبونة تخفيف مادة واحدة. والهامش الوطني يعمل في اتجاه واحد فقط: يمكن للبلد دائماً أن يكون أشد من بروكسل، لكنه لا يستطيع أن يكون أخف.

لذلك، عندما يقول لي مؤسس إن على إستونيا أن «تصلح هذا فحسب»، يتعين علي أن أشرح أن الإصلاح بيد 27 حكومة ومفوضية وبرلمان ودورة تشريعية تقاس بالسنوات. ومنذ بداية 2025، قدمت المفوضية اثنتي عشرة حزمة «جامعة»، تعدل كل منها عدة قوانين دفعة واحدة، ووعدت بخفض العبء الإداري بما لا يقل عن 25%، وبـ35% للشركات الصغيرة والمتوسطة، قبل نهاية ولايتها. وتقول جمعيات الأعمال إن النتيجة حتى الآن ليست قريبة من هذه الأرقام. وأنا أصدقهم لأنني أقرأ النصوص.

أوروبا تقلل مخاطرها بنفسها

كل من تعامل مع بنك خلال السنوات القليلة الماضية يعرف كلمة تقليل المخاطر. يبدو العميل غير معتاد قليلاً، فتتجاوز تكلفة مراقبته الرسوم التي يدفعها، ويُغلق الحساب. لا احتيال ولا مخالفة، بل قرار أقل تكلفة للبنك. يذهب العميل للبحث عن بنك آخر، غالباً في بلد آخر، ويبدو تقرير مخاطر البنك أفضل مما كان عليه.

وأميل أكثر فأكثر إلى الاعتقاد بأن الاتحاد الأوروبي يفعل الشيء نفسه مع قطاعات كاملة. بدت العملات المشفرة محفوفة بالمخاطر، فأنشأت أوروبا MiCA وشاهدت معظم الشركات المسجلة وطنياً تخرج. ويبدو AI محفوفاً بالمخاطر، فكتبت أوروبا أول قانون شامل في العالم للـAI قبل أن يكون لديها قطاع AI كبير بما يكفي للاعتراض. في كل مرة ينخفض الخطر، وفي كل مرة ينخفض معه النشاط الذي يحمل ذلك الخطر. في ميزانية لا تحصي إلا المخاطر المتجنبة، يعد ذلك نجاحاً. أما في ميزانية تحصي الشركات المؤسسة والوظائف المنشأة، فلا يعد كذلك.

توجد آلية أكثر هدوءاً تحت ذلك. فالمؤسسة التي يُقاس إنتاجها بالتنظيمات ستنتج تنظيمات. يحتاج كل تشريع إلى إرشادات ومعايير تقنية وأسئلة وأجوبة، ثم إلى جهة رقابية لتطبيقها، ثم إلى حزمة جامعة لإصلاح ما أفسدته الإرشادات. وتضيف كل خطوة موظفين سيحتاج إليهم التشريع التالي. لا يتصرف أحد في هذه السلسلة بسوء نية. لكن العملية ببساطة لا تتضمن سبباً ذاتياً للتوقف، ولا يدفع أحد داخلها ثمن الشركة الناشئة التي لم تؤسس قط.

ثلاثة سيناريوهات للشركات الناشئة الأوروبية

ولجعل ذلك ملموساً، إليكم الوجهة التي أرى أن جانب الشركات الناشئة في الاقتصاد الأوروبي يتجه إليها. يستند خط الأساس إلى Dealroom: يُؤسَّس نحو 14,800 شركة ناشئة في الاتحاد الأوروبي كل عام، ويحصل نحو 4,400 منها على تمويل خارجي، ويضم الاتحاد الأوروبي قرابة 450 شركة ناشئة عملاقة. واستحوذت أوروبا ككل، بما فيها المملكة المتحدة، على نسبة قياسية بلغت 19% من رأس المال الاستثماري العالمي في 2023 و16% في 2024، بينما استحوذت الولايات المتحدة على 57%.

لماذا تراجع لا انهيار في السيناريو الأول؟ لأن منظومة القواعد تصيب المؤسسين عند نقطة القرار، لا الشركات القائمة. لا يغادر بنك في فرانكفورت بسبب DORA. لكن شركة AI ناشئة من ثلاثة أشخاص في تارتو تسجل ببساطة في ديلاوير بدلاً من ذلك وتبقي المطورين في الوطن. يخسر الاتحاد الأوروبي المقر والقاعدة الضريبية والتخارج، ويحتفظ بكشوف الرواتب لبعض الوقت.

ولماذا لا يعد السيناريو الثالث خيالاً؟ لأن أرقامه قريبة مما كانت عليه أوروبا بالفعل في أفضل حالاتها: فحصة 19–20% من رأس المال المغامر العالمي هي المستوى الذي بلغته قبل سنوات قليلة، قبل بدء تطبيق الطبقة الحالية من القواعد. ولم تكن صياغة تنظيمات الاتحاد الأوروبي مع مراعاة الشركات الصغيرة لتكلف أوروبا حمايتها للمستهلك. بل كانت ستكلفها بضع فقرات من الصياغة.

الحجة للطرف الآخر

لن أستحق أن يؤخذ كلامي بجدية إذا تظاهرت بأن منظومة القواعد بلا مكاسب، لذا إليك ذلك. يتيح ترخيص MiCA واحد للشركة خدمة العملاء في جميع بلدان الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية الثلاثين؛ وقبله كانت شركة العملات المشفرة تحتاج إلى 27 محادثة منفصلة مع 27 جهة تنظيمية. أصبح GDPR النموذج العالمي لقانون الخصوصية. وينبغي، نظرياً، أن تنهي لائحة AML موحدة الوضع الذي يُقبل فيه عميل في دولة عضو ويُرفض في التالية. والمواءمة خير حقيقي، وأنا أستفيد منها كل يوم.

المفاضلة الصادقة هي هذه: تُشترى المواءمة على نطاق أوروبي بالسرعة، وبهيكل تكلفة يقع بأشد صورة على الأصغر. قررت أوروبا، في معظم الأحيان بحكم الواقع، أنها تفضل سوقاً آمناً على سوق سريع. وهذا اختيار مشروع. لكنني أرى أنه ينبغي اتخاذه علناً، مع إرفاق ثمنه، بدلاً من اكتشافه حزمة جامعة بعد أخرى.

ما ينبغي أن تفعله أوروبا بدلاً من ذلك

موقفي ليس أن تتوقف أوروبا عن التنظيم، بل أن تتوقف عن تنظيم شركة ناشئة من ثلاثة أشخاص كما لو كانت بنكاً. لا يستطيع فريق صغير تشغيل قسم امتثال، والقانون الذي يفترض وجوده ضمناً ليس قاعدة سلامة بل حاجزاً للدخول. ستة تغييرات ستزيل معظم الضرر، ولا شيء منها جذري: لكل منها سابقة في مكان ما من قانون الاتحاد الأوروبي بالفعل.

1. عتبات حجم حقيقية، مكتوبة في التشريع. دون تعريف الاتحاد الأوروبي نفسه للمؤسسة الصغيرة (أقل من 50 موظفاً وأقل من €10 مليون في حجم الأعمال)، ينبغي ألا تطبق الالتزامات الثقيلة مطلقاً، أو أن تطبق في صيغة قصيرة وثابتة. يفعل GDPR ذلك بالفعل لحفظ السجلات بموجب المادة 30(5)، التي تعفي معظم المؤسسات التي لديها أقل من 250 موظفاً، وفي 2025 اقترحت المفوضية توسيع ذلك الإعفاء. وينبغي أن ينطبق المنطق نفسه على DORA وNIS2 وقانون الذكاء الاصطناعي.
2. المعايير قبل تطبيق القانون. لا ينبغي أن يدخل أي التزام حيز النفاذ قبل وجود المعايير التقنية واستعداد جهة رقابية واحدة على الأقل في كل دولة عضو لتطبيقها. أثبت تأجيل قانون الذكاء الاصطناعي هذه النقطة بالطريقة الصعبة. وينبغي تدوين القاعدة كي لا يحتاج التشريع التالي إلى حزمة جامعة لإنقاذه.
3. بيئات الاختبار أولاً، والإنفاذ ثانياً. ينبغي أن يحصل قطاع جديد على فترة اختبار خاضعة للرقابة تستطيع فيها الشركة العمل تحت مراقبة الجهة التنظيمية قبل اشتراط الترخيص الكامل. يعد قانون الذكاء الاصطناعي بمثل هذه البيئات، لكنها أُجلت إلى أغسطس 2027، بعد بعض الالتزامات. ينبغي أن يكون الترتيب بالعكس.
4. جهة رقابية واحدة لكل شركة. قد تجيب شركة fintech تضم اثني عشر شخصاً اليوم، كل على حدة، أمام الجهة الرقابية المالية وFIU وسلطة حماية البيانات وقريباً سلطة للـAI. يبين نظام النافذة الواحدة في GDPR، حيث تتولى سلطة رائدة واحدة التعامل مع الشركة، النموذج المناسب. وينبغي توسيعه عبر منظومة القواعد.
5. تاريخ انتهاء في كل تشريع. إذا انقضت صلاحية تنظيم ما ما لم يُؤكد من جديد بعد مراجعة حقيقية لتكاليفه، يصبح التصحيح إلزامياً بدلاً من أن يكون مجاملة سياسية. تصبح الحزمة الجامعة هي القاعدة، لا الإنقاذ.
6. احسب الشركة التي لم تؤسس قط. يقيس كل تقييم للأثر في الاتحاد الأوروبي التكلفة على الأعمال القائمة. ولا يقيس أي منها الشركات الناشئة التي اختارت ديلاوير أو دبي أو سنغافورة بدلاً من ذلك. وإلى أن يوضع هذا الرقم على الطاولة، سيستمر من يصوغون التشريع التالي في التقليل من تكلفته.

لا يعني أي من ذلك تقليد الولايات المتحدة، التي لا يزال ليس لديها قانون اتحادي شامل للـAI ولا تملك إلا خليطاً من قواعد الولايات، أو المملكة المتحدة، التي اختارت حتى الآن عدم سن تشريع واحد للـAI وتطلب من جهاتها التنظيمية القائمة تطبيق مجموعة من المبادئ بدلاً من ذلك. بل يعني الإقرار بأن هذه هي الأماكن التي يقارن بها المؤسس الأوروبي أوروبا الآن. أضف EU Inc.، الشكل الأوروبي الموحد للشركة المقترح في مارس 2026، مع تسجيل في أقل من 48 ساعة بأقل من €100 ودون حد أدنى لرأس المال، كما تعد المفوضية، وستكون لدى أوروبا قيمة يستطيع فريق صغير الاستفادة منها فعلاً.

ما أقوله للمؤسسين

أصبحت نصيحتي للمؤسسين عملية بشكل ممل. تعامل مع تكاليف الامتثال كبند في تكلفة بضائعك، لا كرسوم قانونية لمرة واحدة. اختر بلدك في الاتحاد الأوروبي بناءً على جودة جهته التنظيمية وسرعة سجله، لأن القواعد نفسها ستكون واحدة في كل مكان. استخدم نوافذ الانتقال وتأخيرات الحزم الجامعة وقتاً للبناء لا إذناً لتجاهل القانون؛ فقد أُرجئت قواعد قانون الذكاء الاصطناعي عالية المخاطر ولم تُلغ. وإذا كان نموذج أعمالك لا يعمل إلا خارج منظومة قواعد الاتحاد الأوروبي، فأقر بذلك مبكراً، قبل طلب الترخيص لا بعده.

بناء شركة في أوروبا رغم منظومة القواعد

لا تزال أوروبا مكاناً جيداً لإدارة شركة، وأقول ذلك للعملاء كل أسبوع. ليس المقصود من هذا المقال إقناع أي شخص بالابتعاد عن إستونيا أو الاتحاد الأوروبي. بل المقصود القول إن تنظيمات الاتحاد الأوروبي تكلفة حقيقية وينبغي احتسابها منذ اليوم الأول. فالبنية المناسبة ومسار الترخيص المناسب والبلد المناسب داخل الاتحاد الأوروبي تحدث الآن فرقاً أكبر مما كانت عليه قبل خمس سنوات. إذا كنت توازن بين هذه الخيارات لشركة جديدة أو قائمة، يستطيع فريقنا في Eesti Firma إرشادك إلى ما ستعنيه القواعد فعلياً لحالتك، من تأسيس الشركة إلى الترخيص.

أرسل طلباً