امتثال أنظمة الذكاء الاصطناعي لضوابط الهيئة الوطنية للأمن السيبراني

لا يكتمل سؤال «هل يتوافق نظام الذكاء الاصطناعي مع ضوابط الهيئة الوطنية للأمن السيبراني؟» قبل تحديد الجهة والتشغيل والضوابط المنطبقة والأدلة. فالنموذج جزء من خدمة قد تضم إدارة الهوية ومستودعات الوثائق والتنسيق وواجهات خارجية وصلاحيات الدعم وإجراءات التشغيل. ولا يحسم تقييم منشور تسويقي امتثال هذه المنظومة كلها.

هذا الدليل لفرق الأمن السيبراني والمعمارية والمشتريات السعودية التي تجهّز تشغيلاً للذكاء الاصطناعي لمراجعة محددة النطاق. يستند إلى إصداري ECC 2:2024 وCCC 2:2024 الحاليين عند التحقق في 22 أكتوبر 2026. وورقة الأدلة المقترحة تنظّم التقييم؛ وليست ضوابط رسمية أو شهادة من الهيئة.

احسم نطاق الجهة قبل بناء مصفوفة الضوابط

تشمل الضوابط الأساسية ECC 2:2024 الجهات الحكومية السعودية والجهات التابعة لها، بما فيها التبعيات خارج المملكة، والجهات الخاصة التي تملك البنى التحتية الوطنية الحساسة أو تشغّلها أو تستضيفها. وتُشجَّع الجهات الأخرى على استخدامها. كما يتأثر انطباق الضوابط بأنشطة الجهة وتقنياتها.

وثّق الكيان النظامي والنشاط وأساس قرار الانطباق. افحص متطلبات القطاع وعقود العملاء وسياسات المجموعة بحثاً عن التزامات إضافية. لا تكفي عبارة «نحن شركة خاصة» أو «عميلنا جهة حكومية» وحدها للاستنتاج. اطلب من مسؤول الالتزام توثيق العلاقة والمتطلبات الناتجة عنها.

تنطبق الضوابط السحابية CCC 2:2024 على المشتركين الحكوميين وذوي البنى التحتية الحساسة المشمولين بنطاقها، ومقدمي الخدمات لهم. وتفصل مسؤوليات المقدم والمشترك. لذا حدّد دور المنشأة وحدود الخدمة قبل اختيار أدلة التقييم.

اربط النتيجة بعملية حوكمة الذكاء الاصطناعي. فلا يحسم قرار الانطباق الأمني قبول الغرض التجاري أو ملاءمة معالجة البيانات الشخصية أو صلاحية اعتماد إجراءات الوكيل.

لا تنسخ حكماً قديماً بشأن توطين البيانات

يحذف الملحق D من CCC 2:2024 الضابطين السابقين 2-3-p-1-10 و2-3-p-1-11، ويحيل مسائل التوطين إلى مكتب إدارة البيانات الوطنية. لذلك لا تكفي قائمة قديمة لاتخاذ قرار حالي؛ ارجع إلى إصدار الهيئة الحالي ومتطلبات البيانات المنطبقة.

أنشئ خريطة مواقع تتجاوز التخزين الأساسي: أين تُعالج المدخلات والوثائق المسترجعة والمخرجات والسجلات والنسخ الاحتياطية والوصول لأغراض الدعم؟ سجّل مصدر الدليل والمواقع غير المحسومة. فقد يتصل تطبيق مستضاف محلياً بنموذج خارجي أو يرسل معلومات تشخيصية لخدمة أخرى. وبالمقابل، لا يحدد وجود مورّد أجنبي وحده موقع كل نشاط معالجة.

دع مسؤولي البيانات والشؤون القانونية يحددون قواعد الموقع والنقل المنطبقة على المعلومات والجهة الفعلية. وأدرج الالتزامات التعاقدية في المراجعة. يجب أن يقود وصف المنطقة في عرض المبيعات إلى إعداد محدد ووصف تعاقدي دقيق، لا إلى افتراض استيفاء جميع المتطلبات.

ارسم حدود النظام الخاضع للتقييم

اجمع المستخدم وخدمة التحقق من الهوية والتطبيق ومخازن المعرفة وخدمة النموذج وأدوات التنفيذ والمراقبة في مخطط واحد. حدّد الجهة المشغّلة لكل مكوّن. وافصل تدفقات البيانات عن الوصول الإداري؛ فقد ينشئ موظفو الصيانة تعرضاً مختلفاً عن طلبات المستخدمين المعتادة.

ثم حدّد الإجراءات ذات العواقب. قراءة سياسة وإعداد تغيير في نظام الموارد وتنفيذ التغيير تحتاج إلى أدلة مختلفة. اسأل عن هوية التنفيذ وحدود صلاحيتها، وكيف يرى المراجع التغيير المقترح، وكيف يُحتوى إجراء غير متوقع. لا تستنتج وجود هذه الضوابط من قدرة النموذج على اتباع التعليمات.

امنح النطاق إصداراً وتاريخاً. لا يتحول تقييم إيجابي لمساعد صياغة تلقائياً إلى تقييم للمساعد بعد منحه صلاحية المعاملات. وقد يستدعي تغيير مصادر الاسترجاع أو المورّدين أو الدعم أو الأنظمة المتصلة مراجعة جديدة للانطباق أو الأدلة.

ابنِ ورقة أدلة تكشف فجوات المسؤولية

ورقة أدلة مقترحة لتشغيل الذكاء الاصطناعي تُربط بالضوابط الرسمية المنطبقة

سؤال التقييم	الدليل المفحوص	المسؤولية المطلوب حسمها
من يستخدم الخدمة ويديرها؟	الأدوار وموافقات الوصول واختبارات إلغاء الصلاحيات	مالك الهوية لدى المشترك ومدير المقدم
ماذا يستطيع الوكيل تغييره؟	صلاحيات الأدوات وحدود المعاملات واختبارات رفض الإجراءات	مالك التطبيق ومالك النظام المستهدف
أين تنتقل المعلومات؟	مخطط البيانات وإعداد الخدمة والمعالجون الفرعيون	مالك البيانات والمورّد ومالك العقد
هل تستطيع المنشأة التحقيق في حدث؟	سجلات ممثلة تتضمن الوقت والفاعل والنتيجة	العمليات والمراقبة الأمنية
هل يمكن احتواء الخدمة واستعادتها؟	نتائج التمارين وما تعتمد عليه الاستعادة وقدرة البديل	مالك الخدمة ومسؤول الاستمرارية
ما التغييرات التي تُبطل الأدلة القائمة؟	تاريخ الإصدارات وإشعارات التغيير وقواعد إعادة التقييم	مسؤول المورّد وصاحب صلاحية الإطلاق

أضف مرجع الضابط الفعلي ومبرر الانطباق وتاريخ الدليل ونتيجة الاختبار ومالك الفجوة وموعدها لكل صف ذي صلة. يظل النص الرسمي المرجع الحاكم للتقييم. وتساعد الورقة في العثور على الأدلة، ولا تستبدل الربط الكامل بالضوابط أو تنشئ متطلبات جديدة للهيئة.

ميّز «موثق» و«مطبق» و«مختبر». قد تنص السياسة على إلغاء الوصول، لكن الاختبار المرصود يبيّن سلوك الإعداد الفعلي. وقد يشغّل المورّد ضابطاً بينما يتحمل المشترك إعداد استخدامه. سجّل المسؤوليتين بدلاً من اعتبار الصف مكتملاً لأن طرفاً واحداً قدم بياناً.

افحص أدلة السحابة والبرمجيات كخدمة في نطاقها الصحيح

اطلب مواد التوكيد للخدمة والمنطقة والكيان المشغّل والفترة المحددة. اقرأ الاستثناءات ومسؤوليات العميل. فقد يخص تقرير البنية التحتية للمورّد نطاقاً يترك صلاحيات التطبيق والمدخلات والوصول إلى المعرفة وقواعد موافقات الأعمال لمنشأتك بالكامل.

إذا تعذر الإفصاح المفتوح، فاتفق على مراجعة مضبوطة تناسب المعلومات. هل يجيب ملخص أو فحص تحت إشراف أو تقرير مستقل عن السؤال؟ سجّل القيد المتبقي وأثره في القرار. فالسرية سبب لتنظيم الوصول إلى الدليل، وليست دليلاً على فعالية الضابط.

يقدم دليل الفحص النافي للجهالة لمورّد الذكاء الاصطناعي طريقة لربط الادعاء بالدليل. افصل المواعيد التجارية عن الاستنتاج الأمني. قد تفاوض المشتريات على التزام مرحلي أثناء معالجة الفجوة، لكن التوقيع لا يحول الدليل المفقود ضمنياً إلى قبول.

مثال تطبيقي: مساعد معرفة ينفذ إجراءً في نظام الموارد

لنفترض جهة مشمولة بالنطاق تستخدم مساعداً سحابياً للإجابة عن مشتريات الصيانة. يسترجع الإصدار الأول أدلة معتمدة. ثم يُقترح إعداد طلبات شراء وإرسالها إلى نظام تخطيط الموارد.

يحتاج التقييم إلى أكثر من تكرار مراجعة الوثائق. هل تستخدم أداة النظام صلاحية الشخص الطالب أم هوية خدمة مشتركة؟ هل الموردون والمبالغ محددون؟ وهل يمكن إرسال طلب مرفوض؟ حدّد الفريق الذي يحقق في محاولة تنفيذ غير مصرح بها، ومن يعطل الأداة مع إبقاء خدمة القراءة متاحة.

قد يسمح القرار الأولي بإعداد المسودات فقط، شريطة التحقق من الوصول والتعامل مع المعلومات. ويبقى الإرسال غير متاح حتى اكتمال أدلته المنفصلة. هذا نطاق تشغيل محدد، وليس ادعاءً عاماً بأن النموذج اجتاز امتثال الهيئة.

عالج الفجوات وحافظ على صلاحية التقييم

صف الفجوة كمتطلب مفتوح أو ضابط فاشل ذي عاقبة. تجنب عبارة «تحسين أمن الذكاء الاصطناعي» بلا دليل إكمال. مرّر القرارات الجوهرية بشأن المخاطر المتبقية عبر سجل المخاطر والمسار المخوّل. بعض الفجوات يستلزم إيقاف الاستخدام المقترح، وبعضها يسمح بنطاق أضيق أثناء المعالجة.

قبل الإطلاق، اطلب من مراجع مستقل بالقدر المناسب فحص الأدلة ضمن اختصاصه. حدّد حدود المراجعة عبر تدقيق الذكاء الاصطناعي والتوكيد. وبعد الإطلاق، احتفظ بالإعداد المعتمد وأعد تقييم التغييرات الجوهرية ضمن تسليم التجربة إلى التشغيل الإنتاجي.

يمكن أن تساعد استشارات الذكاء الاصطناعي الوكيلي من Open for AI في تحديد حدود النظام والصلاحيات واحتياجات التقييم. أحضر معمارية منقحة وقرار الانطباق ومصفوفة مسؤوليات المورّد إلى نقاش الأدلة اللازمة لتشغيل الذكاء الاصطناعي. وينبغي توضيح مسؤوليات التفسير المتخصص والقبول ضمن الارتباط.