تأسيس حوكمة الذكاء الاصطناعي

امنح الذكاء الاصطناعي مساحة للتقدّم، وحدوداً واضحة.

يريد فريق إطلاق مساعد ذكاء اصطناعي. تسأل تقنية المعلومات عمّن سيدعمه، ويسأل الأمن عن الأنظمة التي يستطيع الوصول إليها، ويسأل الفريق القانوني عن المعلومات التي تغادر المؤسسة، ويسأل راعي المشروع عمّن يملك صلاحية الاعتماد. إذا فتح كل سؤال نقاشاً جديداً دون مسؤول قرار، فالمشكلة ليست وثيقة سياسة ناقصة، بل آلية قرار ناقصة.

تساعد خدمة تأسيس حوكمة الذكاء الاصطناعي من Open for AI المؤسسات في السعودية على تحديد المسؤوليات ومسارات الموافقة والأدلة والمراجعات المستمرة اللازمة لاستخدام الذكاء الاصطناعي بصورة مقصودة ومنضبطة. نحوّل الحوكمة إلى عملية عمل للأنظمة المقترحة وخصائص الذكاء الاصطناعي المشتراة والتطبيقات القائمة، لا إلى مكتبة وثائق منفصلة عن التنفيذ.

النتيجة المطلوبة عملية: يعرف الأشخاص ما يحق لهم فعله، وأي القرارات تحتاج إلى مراجعة، وما الأدلة المطلوبة، ومَن يُحاسب على التشغيل بعد الإطلاق.

ابدأ بالقرارات التي تعجز مؤسستك عن حسمها اليوم

ينبغي للحوكمة الإجابة عن الأسئلة التي تؤخر العمل أو تعرّض المؤسسة لالتزامات غير مفهومة. هل يجوز لإدارة تجربة خاصية ذكاء اصطناعي من مورّد؟ هل يستطيع الوكيل استخدام سجلات العملاء؟ مَن يجيز انتقاله من إعداد الردود إلى إرسالها؟ وما الإجراء عندما يغيّر المورّد النموذج الذي تقوم عليه الخدمة؟

نستخدم قرارات تمثيلية لتصميم نموذج التشغيل. وبذلك تصبح الفجوات محددة: نظام بلا مسؤول، أو حد موافقة غامض، أو مراجعة مورّد تتجاهل تدفقات البيانات، أو استثناء مقبول إلى أجل غير محدد دون موعد مراجعة.

قد يشمل النطاق وحدة أعمال واحدة، أو مجموعة حالات استخدام، أو أساساً مؤسسياً عاماً. ونتفق أولاً على هذا النطاق. فلا ينبغي أن يفرض نموذج خفيف لمجموعة صغيرة من التطبيقات العبء الإداري نفسه لنموذج رسمي يخدم مسارات متعددة عالية الحساسية التنظيمية.

مسار متناسب من الفكرة إلى الاستخدام المسموح

نصمّم طلباً موحداً يوضح الغرض المقترح، والمستخدمين المتأثرين، ومصادر المعلومات، واعتماديات المورّدين، والإجراءات المقصودة، والراعي المسؤول. وينبغي أن يوضّح البديل أيضاً: العمل اليدوي، أو الأتمتة التقليدية، أو عدم التنفيذ. وبذلك لا يصبح «يستخدم الذكاء الاصطناعي» المبرر الوحيد للموافقة.

تُحدّد لكل حالة مراجعة تناسب عواقبها وسياق تشغيلها. أداة صياغة المحتوى والنظام الذي يغيّر استحقاقات العملاء يحتاجان إلى مستويات مختلفة من الفحص. نتفق على المعايير مع أصحاب القرار؛ ولا نقدّم تصنيفاتنا الداخلية بوصفها تصنيفات مخاطر نظامية مفروضة.

نموذج مراجعة توضيحي يُكيّف وفق المؤسسة

الاستخدام المقترح	الأدلة المطلوب فحصها	القرار المطلوب تسجيله
مساعدة موظف في صياغة منخفضة العواقب	المعلومات المسموح بها، وتوقعات المراجعة، والأداة المعتمدة	الغرض المسموح، ومسؤوليات المستخدم، وحدود الاستخدام
استرجاع معلومات مؤسسية مقيّدة	تصميم الوصول، وملكية المصادر، واختبارات التسرب، والاحتفاظ	المستخدمون والبيانات المعتمدة، ومخاطر الوصول غير المحسومة
التوصية بقرار عمل ذي أثر مهم	أدلة التقييم، والفئات المتأثرة، والقيود، وصلاحية المراجع	حدود القرار، والرقابة البشرية، ومسار الاعتراض
تنفيذ إجراء خارجي أو يصعب عكسه	صلاحيات الأدوات، وإنفاذ الموافقات، والتعافي، وخطة الحوادث	الإجراءات المصرّح بها، وحدودها، وشروط تعليقها

يسجّل قرار الموافقة ما جرى اعتماده وما لم يُعتمد. عبارة «معتمد لخدمة العملاء» فضفاضة. أما السجل القابل للتطبيق فيحدّد سير العمل والمستخدمين والبيانات والإجراءات المسموحة والشروط وموعد الانتهاء أو سبب إعادة المراجعة والمسؤول المسمّى.

أظهر المسؤولية عند اتخاذ القرار

نؤسّس خريطة تميّز بين اقتراح النظام وتقييمه والترخيص باستخدامه وتشغيله. وقد تفصل لجنة الذكاء الاصطناعي في القرارات الجوهرية، لكنها لا ينبغي أن تصبح صندوقاً لكل تعديل صغير في الإعدادات.

مسؤولية العمل والنظام

يحدّد مسؤول العمل الفائدة المقصودة والنتائج المقبولة وعواقب الخطأ. ويتولى مسؤول النظام الحفاظ على التنفيذ التقني وحدوده المعتمدة. ويحتاج كلاهما إلى مسار واضح لإيقاف الاستخدام أو تقييده عندما لا تعود الشروط مستوفاة.

مراجعة البيانات والأمن والخصوصية

يحدّد مسؤولو البيانات مرجعية المصادر والاستخدامات المسموحة. ويراجع الأمن الوصول والانكشاف التقني. ويحدّد مختصو الخصوصية والشؤون القانونية المتطلبات المتعلقة بالمعالجة والعقود. وينبغي أن تتحول استنتاجاتهم إلى شروط محددة في سجل النظام، لا إلى مرفقات منفصلة لا يراجعها أحد عند التغيير.

قبول المخاطر والرقابة

تقبل جهة مخوّلة ومسمّاة المخاطر المتبقية وفق قواعد تفويض المؤسسة. ويُسجّل سبب القبول والإجراءات التعويضية وموعد المراجعة. قبول الخطر لا يلغيه، ولا يجوز لمن ينفذ الضابط أن يفترض تلقائياً صلاحية الإعفاء منه.

نحدّد ما يجب رفعه إلى الرقابة التنفيذية: الحوادث الجوهرية، والإجراءات المتأخرة، والاستثناءات القريبة من الانتهاء، والاستخدامات عالية العواقب، والتغييرات المهمة. وينبغي للتقارير الدورية مساعدة القيادة على القرار، لا مجرد عدّ الأدوات المشتراة.

ما الذي نؤسّسه ضمن الخدمة؟

سجل للذكاء الاصطناعي ذو نطاق واضح. يشمل الأنظمة الداخلية وتطبيقات المورّدين والخصائص المدمجة المتفق عليها. ولكل سجل مسؤول وغرض ومستخدمون واعتماديات وفئات بيانات وحالة تشغيل وتاريخ مراجعة. ولعملية الحصر حدود معلنة؛ وإذا كان السجل غير مكتمل، يُذكر ذلك.

سياسات تبيّن المطلوب من الأشخاص. نطوّر أو نكيّف قواعد الاستخدام المقبول، ومتطلبات الشراء، وتوقعات التطوير والإطلاق، والرقابة البشرية، والتعامل مع الحوادث، وإيقاف الأنظمة نهائياً. وترتبط كل سياسة بالعملية التي تطبّق فيها. ونستفيد من عمليات المخاطر والتغيير والأمن القائمة حيثما كان ذلك عملياً.

سجلات تقييم تصلح لاتخاذ القرار. توثّق النماذج الاستخدام المقصود والمتوقع بصورة معقولة، والأشخاص المتأثرين، والأضرار المحتملة، والقيود، والضوابط، والمخاطر المتبقية. ويُربط الدليل بالادعاء الذي يدعمه. كما يُفصل تصريح المورّد عن نتيجة اختبار تمت ملاحظتها.

أسئلة للمورّد والعقد. نحدّد الأدلة المطلوبة حول مواقع المعالجة، ومزوّدي النماذج، والاحتفاظ، واستخدام البيانات المقدمة، والأمن، والإبلاغ عن الحوادث، والتغييرات الجوهرية، والوصول، والخروج من الخدمة. وتحدّد فرق المشتريات والشؤون القانونية النتيجة التعاقدية؛ فالاستبيان ليس بديلاً عن قرارها.

إدارة الاستثناءات والتغييرات. لكل إذن مؤقت مسؤول وسبب وتدابير تعويضية وانتهاء. ويمكن لتغيير النموذج أو الغرض أو المصادر أو المستخدمين أو صلاحيات التنفيذ أن يعيد فتح المراجعة. ويتحدد ذلك بأهمية التغيير، لا بمجرد تغيّر رقم إصدار التطبيق.

تمكين مناسب لكل دور. يتعلّم المستخدم ما يجوز إدخاله وما يجب مراجعته، ويتعلّم المعتمد فحص الأدلة والقيود، وتتعرّف الفرق التقنية إلى التغييرات التي تحتاج إلى موافقة، وتتدرّب العمليات على تصعيد الحوادث وتعليق الاستخدام. حضور التدريب وحده لا يثبت نجاح عملية الحوكمة.

المتطلبات السعودية والأطر الدولية والتزامات المؤسسة

نفصل بين أربعة أنواع من المتطلبات: الأنظمة الواجبة التطبيق، والالتزامات القطاعية ذات الصلة، والعقود، والأطر المعتمدة طوعياً. قد تتقاطع، لكنها ليست بدائل متكافئة. ويبيّن سجل الانطباق المصدر والمراجع المسؤول والنظام المتأثر والدليل المطلوب.

في معالجة البيانات الشخصية، تشمل المراجع الأولية إرشادات سدايا لجهات التحكم والمعالجة. نساعد على تنظيم أدلة النظام وتدفقات البيانات التي يحتاج إليها المختصون المؤهلون في الخصوصية والشؤون القانونية. ولا تحوّل الخدمة نموذجاً عاماً إلى رأي قانوني، ولا تفترض أن جميع تطبيقات الذكاء الاصطناعي في السعودية تخضع لمتطلبات استضافة متطابقة.

ويمثل التقييم الذاتي لأخلاقيات الذكاء الاصطناعي من سدايا مرجعاً ذا صلة لفحص الممارسات الحالية. إكمال التقييم الذاتي يختلف عن الحصول على شهادة خارجية أو موافقة تنظيمية.

دولياً، ينظّم إطار NIST AI RMF 1.0 نتائج إدارة المخاطر حول وظائف الحوكمة وتحديد السياق والقياس والإدارة. ويعالج ISO/IEC 42001 نظام الإدارة المؤسسية للذكاء الاصطناعي. نتفق على الإطار والإصدار المناسبين، ثم نربط بهما عملياتك الفعلية. هذا الربط يوضح استخدام الإطار، ولا يمثّل شهادة.

إذا كان هدفك الحصول على شهادة، فيجب تحديد نطاق الجاهزية وفق المتطلبات المرخّصة المعمول بها واستكمال مسار التقييم المناسب. وتفصل ISO بين وضع المعايير ومنح الشهادات. ولا تعني هذه الخدمة أن Open for AI جهة منح شهادات معتمدة.

اختبر العملية بتغيير فعلي، لا بورشة فقط

لنفترض مؤسسة خيالية اعتمدت مساعداً لصياغة ردود مبيعات بالعربية والإنجليزية. يريد فريق لاحقاً أن يرسل الرسائل تلقائياً. المنتج معروف والمستخدمون لم يتغيروا، لكن صلاحية التنفيذ اختلفت جوهرياً.

في حوكمة تعمل فعلاً، يفتح التغيير مراجعة لصلاحيات الإرسال واعتماد الادعاءات والتعامل مع المستلمين والمراقبة والتعافي. ويحدّد السجل مَن يجيز التوسّع وما الأدلة اللازمة. وإذا كانت الأدلة ناقصة، تستطيع المؤسسة إبقاء الصياغة قائمة مع حجب الإجراء الجديد.

نستخدم سيناريوهات متفقاً عليها كهذه لتجربة العملية من الطلب إلى القرار. وقد يتعلق سيناريو آخر بتغيير غير موثّق من المورّد أو استثناء منتهي الصلاحية. ويكشف التمرين ما إذا كانت النماذج والمسؤوليات ومسارات التصعيد تعمل معاً. وينبغي أن ينتج قرارات وتصحيحات، لا سجلات حضور فقط.

ما الذي يجب أن يتركه التأسيس المكتمل؟

المخرج هو نموذج تشغيل تتبنّاه المؤسسة وسجلات قابلة للاستخدام: الحصر، وخريطة المسؤوليات، ومسارات الموافقة، والسياسات، ومنهج التقييم، وأسئلة المورّدين، وسجل الاستثناءات، ومحفزات مراجعة التغيير، ودورية التقارير. وتُحدّد المجموعة وفق النطاق، لا باعتبارها عدداً ثابتاً من الوثائق المعروضة للبيع.

نتفق على القبول عبر عروض تشغيلية. تستطيع حالة جديدة إيجاد مسارها الصحيح، ويستطيع المعتمد العثور على الأدلة والمخاطر المفتوحة، ويعرف المسؤول شروط النظام العامل، ويصل التغيير الجوهري أو الحادث إلى الجهة المعنية.

قد تشمل المقاييس الزمن اللازم لقرار مكتمل، والشروط المتأخرة، وعمر الاستثناءات، ونسبة الأنظمة الداخلة في النطاق التي لها مسؤولون وأدلة محدّثة. تقيس هذه المؤشرات العملية، ولا تثبت خلو المجموعة كلها من المخاطر.

يعتمد النطاق والأتعاب على عدد الوحدات التنظيمية، والعمليات القائمة، وفئات الأنظمة، وجهات القرار، واللغات، والربط المطلوب بالأطر. ونتفق على الوصول والمشاركين وتوافر أصحاب القرار قبل الالتزام بجدول. وتبقى مسؤولية تبنّي السياسات وقرارات المخاطر لدى المؤسسة.

حوكمة تبقى متصلة بالتنفيذ

عندما تكون متطلبات البيانات وسير العمل غير واضحة، ابدأ بـجاهزية البيانات والذكاء الاصطناعي للمؤسسات. وبعد التشغيل، توفّر خدمات AgentOps الأدلة التشغيلية. ويفحص تدقيق الذكاء الاصطناعي ضوابط وادعاءات محددة ضمن نطاق متفق عليه.

ناقش تأسيس حوكمة الذكاء الاصطناعي. أحضر القرارات التي تسبب التأخير أو الغموض، والفرق المعنية، والأنظمة المستخدمة بالفعل. سنحدّد أبسط بنية حوكمة قابلة للعمل في واقعك، مع قابلية التوسّع.