حوكمة الذكاء الاصطناعي: من النوايا الحسنة إلى إطار عمل فعّال

فرقك تستخدم الذكاء الاصطناعي بالفعل، بسياسة أو بدونها. مساعدات تكتب الرسائل، ومساعدات برمجية تكتب الشيفرة، ووكلاء يقرؤون التذاكر ويحدّثون السجلات. لم يعد السؤال هل نعتمد الذكاء الاصطناعي، بل هل نعرف أين يعمل، وما البيانات التي يطّلع عليها، ومن يتحمل مسؤولية قراراته. هذا هو جوهر حوكمة الذكاء الاصطناعي: الحفاظ على الفوائد مع ضبط المخاطر.

لماذا لا يمكن التأجيل

أصبحت كلفة الذكاء الاصطناعي غير المحكوم قابلة للقياس. ففي تقرير IBM لكلفة اختراق البيانات 2025، لم تكن لدى 63% من المؤسسات المخترقة سياسة لحوكمة الذكاء الاصطناعي أو كانت ما تزال تعدّها. وكان الذكاء الاصطناعي الخفي، أي الأدوات المستخدمة دون موافقة، حاضراً في اختراق من كل خمسة، وأضاف ما يصل إلى 670 ألف دولار إلى متوسط الكلفة. وبدأت معظم هذه الحوادث بأمر عادي: بيانات سرية تُلصق في أداة عامة، أو مساعد يُمنح صلاحيات أوسع من حاجته.

الأطر المرجعية

لا حاجة إلى ابتكار الحوكمة من الصفر. ثلاثة مراجع باتت تنظّم هذا المجال:

• قانون الذكاء الاصطناعي الأوروبي (اللائحة 2024/1689)، النافذ منذ 1 أغسطس 2024. الممارسات المحظورة ممنوعة منذ 2 فبراير 2025، والتزامات نماذج الذكاء الاصطناعي العامة سارية منذ 2 أغسطس 2025. وكانت معظم قواعد الأنظمة عالية المخاطر مقررة لأغسطس 2026، وقد اقترحت المفوضية الأوروبية تأجيل جزء منها، لذا تحقّق من الجدول النهائي. ويسري القانون أيضاً على الشركات من خارج الاتحاد الأوروبي التي تُطرح أنظمتها في السوق الأوروبية أو تُستخدم مخرجاتها داخله، وهو ما يعني كثيراً من الشركات التونسية التي تخدم عملاء أوروبيين.
• ISO/IEC 42001:2023، أول معيار قابل للإشهاد لنظام إدارة الذكاء الاصطناعي. يعتمد بنية ISO/IEC 27001 نفسها، ما يسمح للمؤسسات الحاصلة على شهادة أمن المعلومات بتوسيع نظامها القائم.
• إطار NIST لإدارة مخاطر الذكاء الاصطناعي، المنظّم حول أربع وظائف (الحوكمة، والتحديد، والقياس، والإدارة)، مع ملف خاص بالذكاء الاصطناعي التوليدي نُشر في 2024. وهو إطار طوعي وعملي يُستخدم كثيراً كقائمة تحقق.

وفي تونس، يخضع كل نظام ذكاء اصطناعي يعالج بيانات شخصية أيضاً لـالقانون الأساسي 2004-63 ولرقابة الهيئة الوطنية لحماية المعطيات الشخصية: فالغاية والموافقة ومدة الحفظ والنقل إلى الخارج كلها تنطبق على بيانات التدريب وعلى الأوامر النصية.

منهجية عملية من ست خطوات

• 1. الجرد. أنشئ سجلاً للذكاء الاصطناعي يضم كل نموذج ومساعد ووكيل وميزة سحابية مستخدمة، بما في ذلك الذكاء الاصطناعي الخفي المكتشف في حركة الشبكة ومصاريف الاشتراكات. سجّل المسؤول والغاية والبيانات والمورّد.
• 2. تصنيف المخاطر. قيّم كل حالة استخدام حسب أثرها (العملاء، المال، السلامة، الحقوق) وحساسية بياناتها. فمساعد الكتابة ونموذج تقييم الائتمان لا يستحقان الضوابط نفسها.
• 3. توزيع الأدوار. عيّن مسؤولاً لكل نظام، وشكّل لجنة صغيرة للذكاء الاصطناعي (الأعمال، تقنية المعلومات، الأمن، الشؤون القانونية، مسؤول حماية البيانات)، وحدّد من يوافق على حالات الاستخدام الجديدة.
• 4. تطبيق الضوابط. وصول بأدنى صلاحيات للنماذج والوكلاء، وقواعد للبيانات، ومراجعة بشرية للقرارات عالية الأثر، وتسجيل للأحداث، واختبارات ضد حقن الأوامر والتحيّز قبل الإطلاق.
• 5. المراقبة. تابع الجودة والانحراف والحوادث والتكاليف. وتعامل مع إخفاق الذكاء الاصطناعي كأي حادث أمني، بدليل استجابة وتحليل لاحق.
• 6. التدريب والتوثيق. تدريب قصير حسب الدور، وأدلة موثّقة يمكن لمدقق أو جهة رقابية أو عميل مراجعتها.

الحوكمة الجيدة ليست مكابح. إنها ما يتيح لك الموافقة بسرعة على مشروع الذكاء الاصطناعي التالي، لأنك تعرف مسبقاً كيف تقيّمه.

ابدأ بما لديك

لا تحتاج معظم المؤسسات إلى برنامج منفصل. فإذا كان لديك ISO/IEC 27001 ومسار لإدارة خدمات تقنية المعلومات وسجل لمعالجة البيانات، فحوكمة الذكاء الاصطناعي امتداد لها: أصول جديدة في السجل، ومخاطر جديدة في التحليل، وضوابط جديدة في بيان قابلية التطبيق. ويمكن أن يكون أول مُخرج جاهزاً خلال أسابيع قليلة: سياسة للذكاء الاصطناعي، وسجل لحالات الاستخدام الحالية، ومسار موافقة خفيف.