حوكمة الذكاء الاصطناعي في المؤسسات: إطار عملي للسعودية والأردن

ماذا تعني حوكمة الذكاء الاصطناعي عمليا؟

لدى معظم المؤسسات بيان بمبادئ الذكاء الاصطناعي، والحوكمة هي ما يحوّل هذه المبادئ إلى قرارات وضوابط: قائمة بأنظمة الذكاء الاصطناعي المستخدمة، ومسؤول مسمّى لكل منها، وقواعد لما يحق لكل نظام فعله، وشخص يعتمد الإجراءات الحساسة، ودليل على أن كل ذلك حدث فعلا.

الانتقال إلى مساعدين يصلون إلى الأنظمة يجعل الأمر عاجلا. فروبوت المحادثة الذي يجيب عن الأسئلة قد يضلّل، أما بوتيفاي فيرسل البريد ويحدّث التذاكر ويجري المكالمات. لذا يجب أن تعيش الحوكمة جزئيا داخل المنتج نفسه، في صورة صلاحيات وبوابات موافقة تُفرض قبل تشغيل أي أداة، لا في وثائق السياسات وحدها.

هذا الدليل إطار للانطلاق وليس استشارة قانونية، فتحقق من التزاماتك مع المستشار القانوني ومسؤول حماية البيانات لديك.

ما الأنظمة والأطر التي تنطبق في السعودية والأردن؟

هناك نوعان من المرجعيات. أنظمة حماية البيانات ملزمة وتنطبق كلما عالج الذكاء الاصطناعي بيانات شخصية. أما أطر الذكاء الاصطناعي ومعاييره فطوعية في معظمها، لكنها تمنحك بنية مجرّبة ولغة مشتركة مع المدققين والجهات الرقابية.

الخطوة 1: احصر أنظمة الذكاء الاصطناعي وصنّف مخاطرها

لا يمكنك حوكمة ما لم تحصره. وظيفة الحوكمة في إطار NIST تنص صراحة على وجود آليات لجرد أنظمة الذكاء الاصطناعي. سجّل كل نموذج ومساعد وإعداد بوتيفاي مستخدم، بما في ذلك الأدوات التي اشترتها الفرق منفردة، مع الغرض والمسؤول والبيانات التي يصل إليها والأنظمة التي يستطيع تغييرها.

ثم صنّف بحسب ما يستطيع النظام فعله، لا بحسب قوة النموذج. ومع بوتيفاي، يكون التصنيف الأنفع على مستوى كل إجراء، لأن الإعداد الواحد قد يملك أدوات آمنة وأخرى خطرة معا.

الخطوة 2: حدّد الأدوار والمساءلة

المبدأ السابع في مبادئ سدايا، المساءلة والمسؤولية، يحمّل مصممي أنظمة الذكاء الاصطناعي ومزوّديها ومشتريها ومطوريها ومالكيها ومقيّميها مسؤولية آثارها، ويدعو إلى إشراف بشري على امتداد دورة حياة النظام. ويطلب إطار NIST كذلك توثيق الأدوار وقنوات التواصل الخاصة بمخاطر الذكاء الاصطناعي، وأن تتحمل القيادة التنفيذية مسؤولية قرارات هذه المخاطر. وعمليا، تكفي مجموعة صغيرة من الأدوار المسمّاة لتغطية معظم ذلك.

• الراعي التنفيذي: يحدد مستوى تقبّل مخاطر الذكاء الاصطناعي ويعتمد حالات الاستخدام عالية المخاطر.
• لجنة حوكمة الذكاء الاصطناعي: من الأمن والشؤون القانونية وحماية البيانات وتقنية المعلومات وأصحاب الأعمال؛ تعتمد الأنظمة الجديدة وتراجع الحوادث.
• مسؤول حماية البيانات: مطلوب في حالات محددة وفق قواعد النظام السعودي والقانون الأردني؛ يراجع تدفقات البيانات الشخصية قبل الإطلاق.
• مالك النظام: مسؤول عن نظام ذكاء اصطناعي واحد وإعداداته وسياساته ومراجعة سجل تدقيقه.
• الموافِقون: أدوار مسمّاة مخوّلة باعتماد إجراءات محددة، ولا يكون الموافق هو صاحب الطلب في الإجراءات عالية المخاطر.
• التدقيق الداخلي: يختبر أن الضوابط تعمل كما هي موثقة، اعتمادا على سجل التدقيق لا على المقابلات.

الخطوة 3: صمّم إشرافا بشريا يعمل فعلا

يفشل الإشراف البشري بطريقتين: إما لا يُسأل أحد، أو يُسأل الجميع بكثرة حتى تصبح الموافقة ردّ فعل تلقائيا. ضع البوابة على الإجراء لا على المحادثة؛ فقراءة البيانات نادرا ما تحتاج إلى شخص، بينما الإرسال أو الحذف أو تغيير السجلات خارج المنصة يحتاج إليه عادة.

الموافقة الجيدة تعرض على الموافق الإجراء بعينه ومحتواه، كنص البريد أو حقل الحادثة الذي سيتغير، وتوضح من طلبه ولماذا، ويسهل رفضها بقدر ما يسهل قبولها. ويبقى التشغيل متوقفا حتى يقرر شخص مخوّل، ويُسجَّل القرار بجانب الإجراء الذي ضبطه.

راجع سجل الموافقات بانتظام. إن كان إجراء ما يُعتمد في كل مرة دون تعديل، ففكّر في جعله «مسموحا»، وإن كان الموافقون يرفضون نوعا معيّنا من الطلبات باستمرار، فأصلح بوتيفاي أو تعليماته بدل الاعتماد على الأشخاص لالتقاط الخطأ.

الخطوة 4: طبّق حماية البيانات على سير عمل الذكاء الاصطناعي

ينقل بوتيفاي البيانات الشخصية بطرق جديدة: إلى نصوص الطلبات، وعبر مزوّدي النماذج، وإلى التقارير المُنتَجة والذاكرة. ارسم كل تدفق قبل الإطلاق. توجيهات النظام السعودي تؤكد تقليل البيانات وسجلات أنشطة المعالجة، وقواعد سدايا لنقل البيانات خارج المملكة تعتمد ضمانات مثل البنود التعاقدية القياسية أو القواعد المؤسسية الملزمة حين لا تكون جهة الوصول مصنّفة بمستوى حماية كاف.

أما القانون الأردني فيقوم على الموافقة المسبقة ما لم ينطبق استثناء، ويقيّد النقل إلى جهات توفر حماية أقل مما يوفره القانون، ويوجب إبلاغ أصحاب البيانات خلال 24 ساعة من اكتشاف اختراق قد يسبب لهم ضررا جسيما، وإبلاغ الجهة المختصة خلال 72 ساعة. اسأل مزوّد الذكاء الاصطناعي أين تُعالَج الطلبات ونتائج الأدوات والسجلات، وهل تبقى بيانات الاعتماد والمخرجات منفصلة لكل مستأجر.

• أرسل إلى النموذج الحقول التي تحتاجها المهمة فقط، وأبقِ المعرّفات الشخصية خارج الطلبات قدر الإمكان.
• أدرج معالجة الذكاء الاصطناعي في سجلات أنشطة المعالجة، مع اعتبار مزوّدي النماذج جهات معالجة.
• حدّد ما يحق لبوتيفاي تذكّره، ولأي مدة، ولصالح من.
• طبّق قواعد الاحتفاظ والإتلاف على التقارير والنصوص المُنتَجة، لا على البيانات المصدرية وحدها.

الخطوة 5: التدقيق والمراقبة والاستجابة للحوادث

سجل تدقيق الذكاء الاصطناعي يجب أن يجيب عن خمسة أسئلة لأي تشغيل: من طلب، وماذا فعل بوتيفاي، وبأي مدخلات، ومن وافق، وما النتيجة. ونصوص المحادثات وحدها لا تجيب عنها. وتضيف وظيفتا القياس والإدارة في إطار NIST إيقاع التشغيل: مراقبة السلوك في بيئة الإنتاج، وتتبع المخاطر الناشئة، ووجود خطط للاستجابة والتعافي وإيقاف الأنظمة بأمان.

عامل حوادث الذكاء الاصطناعي كالحوادث الأمنية: بريد خاطئ أُرسل، أو سجل تغيّر دون صلاحية، أو بيانات شخصية ظهرت في تقرير. حدّد من يتولى الفرز، وكيف يُوقف بوتيفاي أو تُسحب أداة، وكيف تعود الحادثة لتحسين السياسات.

كيف تجعل المنصة الحوكمة قابلة للتطبيق؟

السياسات المكتوبة لا تعمل إلا إذا فرضها البرنامج. وقد بُني بوتيفاي على هذه الفكرة: كل طلب يحمل هوية المستخدم وأدواره ويُتحقق منها قبل تشغيل أي أداة، وكل أداة مصنّفة قراءة أو كتابة أو حذفا أو إرسالا خارجيا، وسياسات المستأجر تسمح أو تمنع أو تشترط الموافقة لكل أداة ولكل إعداد، والتشغيل يتوقف حتى يوافق شخص مخوّل، والطلبات واستدعاءات الأدوات والموافقات والنتائج تُسجَّل في سجل تدقيق.

مثل هذه الضوابط تدعم برنامج الحوكمة ولا تحل محله، واستخدام أي منصة لا يجعل المؤسسة بحد ذاته ممتثلة لنظام حماية البيانات السعودي أو القانون الأردني أو أي معيار. الإطار أعلاه، حين يملكه أشخاص مسمّون ويُراجَع بانتظام، هو ما يؤدي هذا العمل.