ISO/IEC 42001: النطاق الذي ترسمه في الشهر الأول هو الذي يحدد الفاتورة

ISO/IEC 42001 معيار نظام إدارة، موضوعه الذكاء الاصطناعي. بنيته هي بنية Annex SL ذاتها التي تعرفها من ISO 9001 وISO/IEC 27001: سياق المنشأة، القيادة، التخطيط، الدعم، التشغيل، تقييم الأداء، التحسين — مصوَّبة نحو أنظمة الذكاء الاصطناعي التي تطوّرها المنشأة أو توردها أو تشغّلها.

وهو لا يعتمد نموذجاً، ولا يقيس دقته، ولا يحكم على تحيّزه. ما يشهد به أن حول الذكاء الاصطناعي نظام إدارة: أنك تعرف ما لديك من أنظمة، وأن لكل نظام مالكاً مسمى، وأن أحداً قيّم ما قد يصيب الناس المتأثرين به، وأن إنساناً يتدخل عند نقطة محددة، وأن ثمة مساراً مكتوباً حين يخطئ. المدقق يقرأ سجلات ويقابل أشخاصاً. القليل جداً من هذا تقني.

هذه هي الإجابة كاملة. وبقية المقال هي القرار الذي يحدد ما ستدفعه، والعمل الجديد فعلاً، وما يطلبه المدقق، والحجة ضد الشراء أصلاً.

أنت هنا لأن صفقة توقفت

لا أحد يبحث عن هذا المعيار فضولاً. أنت تقرأ عنه لأن فريق المشتريات أو الأمن عند عميل أرسل استبياناً فيه سطر يسأل إن كنت تشغّل نظام إدارة للذكاء الاصطناعي، والفرصة معلّقة في المراجعة منذ ذلك اليوم. المحفّز نادراً ما يأتي من الداخل.

وهذا يخبرك بما تشتريه. لا سلامة ولا أخلاقيات. أنت تشتري إجابة يقبلها إطار رقابي يخص طرفاً ثالثاً، بصيغة يستطيع مدققه حفظها في ملف. والموعد النهائي ليس موعدك أيضاً؛ هو موعد دورة المشتريات عند العميل. لذلك أول ما يُحسم: هل تحتاج الصفقة شهادة أم تحتاج إجابة؟ هما شراءان مختلفان، والتمييز بينهما هو الاختبار ذاته الذي يفصل التحول الحقيقي عن الموجة العابرة: هل يغيّر ما يكتبه أحدهم أو يوقّعه أو يُمنع من فعله؟

النطاق هو القرار، وكل ما بعده تنفيذ

حدّ نظام الإدارة — أي أنظمة الذكاء الاصطناعي داخله وأيها خارجه — هو ما يحدد التكلفة والمدة وحجم التوثيق وعدد من عليهم تغيير طريقة عملهم وعدد الملاحظات التي تدخل بها التدقيق. ويُحسم في الأسابيع الأولى، غالباً في نقاش لا يُدوَّن، وهو آخر ما ترغب شركة استشارية في تضييقه: النطاق الواسع ارتباط أطول.

ارسمه بأنظمة الذكاء الاصطناعي التي تشغّلها وتُسأل عنها، لا بكل أداة يملك أحدهم في الشركة اشتراكاً فيها.

الاختبار هو المسؤولية عن الإجابة. إن كان النظام ينتج مخرجاً تقف منشأتك خلفه أمام طرف آخر — عميل، أو موظف، أو متقدم لوظيفة، أو جهة رقابية — فهو داخل النطاق. أما موظف تسويق يصوغ منشوراً بروبوت محادثة وينشره باسمه فذاك شخص يستخدم أداة. ضعه في سياسة استخدام مقبول وتوقف.

وطبّق الاختبار ذاته على ما تبيعه. إن كان برنامجك يصدر توصية أو تقييماً أو ترتيباً أو قرار فرز أو موافقة آلية يعتمد عليها عميلك، فذاك قلب نطاقك. وإن كان فيه زر «لخّص لي» يستدعي نموذجاً عند طرف ثالث ويعرض النتيجة على من ضغطه، فتلك دعوى أضعف بكثير، ويجب أن تقولها في جملة. وداخل عملياتك يبقى الخط نفسه: وكيل له حساب خاص وحدود كتابة وسقف قيمة — وهو التصميم الذي يحتاجه أي وكيل يعمل بلا مراقبة داخل نظام أعمال قبل أن يُشغَّل — شيء تشغّله أنت بلا لبس.

اكتب النطاق بياناً له داخل وخارج، وأعطِ كل استثناء سببه. الاستثناء المعلَّل يصمد أمام السؤال. والاستثناء بالصمت يبدو إغفالاً، والمدقق الذي يعثر على واحد يذهب يبحث عن غيره.

الفرق الذي يوفّر أكثر من سواه

وهذا ما لا مصلحة لبائع الشهادات في قوله:

المنتج المشترى الذي أُضيفت إليه ميزة ذكاء اصطناعي هو في الغالب سؤال مخاطر مورّد، لا سؤال نطاق.

برنامج المحاسبة أضاف اقتراح ترميز. نظام إدارة العملاء أضاف تقييم عميل محتمل. مورّد نظام تخطيط الموارد شحن نموذجاً يقترح المطابقة الثلاثية. في كل منها بناه غيرك ودرّبه ويقرر متى يتغيّر، ولا تستطيع فحصه. اسحبها كلها داخل الحد وستحصل على نظام إدارة لا تملك إثبات ضوابطه، لأن الوقائع التي تحتاجها موجودة في شركة أخرى.

ما تحتاجه تلك الأدوات تقييم مورّد: ماذا تفعل، وأي بيانات تراها، وإلى أين تذهب، وماذا يقول العقد عن التدريب عليها، ومن يخبرك حين تتغيّر، وماذا يحدث حين تخطئ. سجل وبنود عقدية، لا أكثر — جزء يسير من كلفة حوكمة الأداة ذاتها كأنك من بناها. الخط هو ملكية القرار، لا وجود نموذج. وحين يُرسم رديئاً ينتج الإخفاق ذاته الذي يحوّل ربط كل نظام بكل نظام إلى نفقة دائمة: لم يقرر أحد أي طرف يملك الحقيقة، فوثّق الجميع كل شيء ولم يكن أي منه مرجعاً.

فالنطاق القابل للدفاع عنه يحوي عادةً أنظمة أقل مما تُخرجه ورشة العمل الأولى، وبجانبه سجل مورّدين طويل. وإن كانت النصيحة التي تتلقاها تسير في الاتجاه المعاكس، فاسأل: أي ضابط بعينه يتعذر إثباته لو بقي هذا النظام خارج الحد؟ ثم انظر أتأتي الإجابة جملةً أم صمتاً.

والسجل لا يساوي أكثر مما سألت، وأغلب استبيانات موردي الذكاء الاصطناعي المتداولة استبيانات أمن معلومات أُقحمت فيها كلمة «ذكاء اصطناعي». الأسئلة التي تستحق أن تُطرح على مورّد ذكاء اصطناعي قائمة مختلفة وأقصر بكثير، والمفيد منها ما لا يستطيع المورّد الإجابة عنه بجملة تسويقية.

إن كنت تحمل شهادة ISO/IEC 27001 أصلاً

لديك أكثر مما تظن، وأقل مما سيُقال لك.

بنية Annex SL تعني أن البنود المشتركة هي العناوين ذاتها تؤدي العمل ذاته. إطار سياساتك، وضبط الوثائق، وسجلات الكفاءة، وبرنامج التدقيق الداخلي، ومراجعة الإدارة، وعملية الإجراء التصحيحي — آلة بنيتها وأسندت لها أشخاصاً ومرّرتها في دورة تدقيق كاملة. لا شيء منها يُهدم؛ كلها تُمدّ. وبناء نظام إدارة ثانٍ موازٍ هو الخطأ المكلف هنا، وهو يفشل متأخراً: النظامان يفترقان مع الوقت فيجد المدقق الفاصل بينهما. وكم يُرحَّل من تلك الآلة فعلاً هو أكبر متغير منفرد في قيمة ارتباط حوكمة الذكاء الاصطناعي، ولهذا يأتي الرقم الأمين بعد تحديد النطاق لا قبله.

أما النصف الأمين فهو أن «قابل لإعادة الاستخدام» ليست «منجَزة».

عملية المخاطر لديك قائمة، لكنها تقيس المخاطر على المنشأة. وهذا المعيار يطلب تقييم الأثر على الناس المتأثرين بالنظام — سؤال آخر بمشاركين آخرين. وسجل الأصول قائم، لكن نظام الذكاء الاصطناعي ليس أصلاً بالمعنى الذي يفهمه ذلك السجل: هو تركيب من بيانات ونموذج وغرض ومجموعة قرارات، والنموذج نفسه إذا خدم غرضين فهو مدخلان. وإدارة التغيير لديك قائمة، لكنها تحكم التغييرات التي تجريها أنت، وأهم تغيير هنا هو الذي يجريه مورّدك دون أن يستأذن.

فتوقّع أن ينتقل الإطار وألا ينتقل المحتوى. ومن يسعّر وكأن ISO/IEC 27001 يلغي نصف العمل يصف التوثيق ويتجاهل عمل المخاطر. ومن يسعّر وكأنه لا يلغي شيئاً يبيعك نظام إدارة ثانياً يجب أن ترفضه. وبنداً ببند، ما الذي ينتقل فعلاً بين المعيارين وما الذي لا ينتقل هو التقدير الذي يستحق أن يكون بين يديك قبل أن يسعّر أحد الفجوة.

العمل الجديد فعلاً

خمسة أشياء. هي جوهر المعيار، وفيها يقضي المدقق وقته.

سجل بأنظمة الذكاء الاصطناعي، لكل نظام مالك مسؤول بالاسم. لا إدارة، بل شخص يُسأل لماذا يتصرف النظام هكذا. السجل دفتر، والدفاتر تنحرف للسبب الذي يجعل رقم المخزون ينحرف عن الرف: الحركات التي تُبقيه صادقاً هي الحركات التي لا يُلزَم أحد بتسجيلها. قرّر أي حدث يوجب قيداً — اعتماد شراء، أو إصدار، أو مصدر بيانات جديد — ومن يُسأل عن إدخاله. وإلا أعدت بناء السجل في الأسبوع السابق للتدقيق، وسيظهر ذلك فيه.

تقييم أثر ينظر إلى الناس، لا إلى المنشأة وحدها. هذا أوضح جزء ليس ضابطاً أمنياً. السؤال ليس ماذا يكلّفك النظام حين يفشل، بل ماذا يصيب الشخص الواقف على الطرف الآخر من المخرَج: المتقدم المستبعَد، والعميل الذي فُرزت مطالبته إلى أسفل، والموظف الذي وُلِّد جدول ورديّاته، والمورّد الذي قُيّم ائتمانه. اسأل من قد يتأثر على نحو مختلف عن المتوسط، وما الذي يستطيع فعله حيال نتيجة خاطئة، وكيف سيعلم بها أصلاً. وخلاصة «مخاطر منخفضة» لا تسمّي الفئة المتأثرة ليست تقييماً.

مصدر البيانات وحق استخدامها. من أين جاءت بيانات التدريب أو الضبط، وعلى أي أساس تحتفظ بها، وماذا يبيح عقد مصدرها، وهل تغطي تلك الإباحة الاستخدام الذي أجريته أنت. هي مشكلة سجلات قبل أن تكون مشكلة قانونية، وهي موجعة لأن الوقائع تُلتقط لحظة دخول البيانات ولا تُجمَّع بعد سنة، وهي البنية ذاتها التي تجعل إقرار ضريبة الشركات محاسبةً لا تنقيباً — يُحسم أمرها قبل موعد الإقرار بوقت طويل.

إشراف بشري محدد لكل نظام، لا جملة في سياسة. عبارة «يراجع إنسان مخرجات الذكاء الاصطناعي» بلا قيمة. الإشراف مواصفة: أي شخص، بأي صلاحية، يرى أي دليل، عند أي نقطة، وله سلطة فعل ماذا، وماذا يُسجَّل حين يفعل. والمراجعة التي لا تترك أثراً لم تقع من ناحية التدقيق، والمراجعة التي يمرّ عليها الجميع في ثانيتين أتمتت الختم لا العمل.

واجب إشعار بالتغيير على المورّدين الذين قد يتبدّل نموذجهم تحتك. هذا الضابط الذي لا يملكه أحد تقريباً، وهو الأرجح أن يعضّ. مزوّد يحدّث النموذج خلف واجهة برمجية. لم يتغيّر سطر واحد في كودك، ولم يصلك إشعار إصدار، والسلوك الذي تحققت منه في مارس صار غيره في يونيو. وما لم يُلزمه العقد بإخبارك، ويُلزم أحداً عندك بالتصرف حين يخبر، فلتحقّقك تاريخ انتهاء لا تراه. ضعه عند التجديد، واربطه بمشغّل إعادة تحقق داخل عملية التغيير لديك.

ما يطلبه المدقق

أدلة. مؤرَّخة، ومنسوبة إلى فاعل، ومنتَجة من العملية لا من أجل التدقيق.

وكلمة منسوبة تحمل معظم الحمل. سجل يقول إن مخرَجاً روجِع لا يساوي شيئاً إذا كان الحساب الذي راجعه مشتركاً بين أربعة أشخاص، وهو الانهيار الاستدلالي نفسه في سجل تدقيق إجابته الوحيدة admin. الحسابات المسماة ليست ترفاً أمنياً هنا؛ هي الفرق بين ضابط تثبته وضابط تدّعيه.

والسجل الذي وُلد لأن عملاً جرى يحمل تاريخاً يوافق سجلات أخرى ومؤلفاً كان حاضراً. أما الذي وُلد للتدقيق فله إيقاع منتظم ومؤلف واحد وتاريخ إنشاء متجمّع في أسبوعين. والفرق ليس خفياً على من يقرأ الاثنين.

وتوقّع طلبات تسمّي حالات لا سياسات:

• سجل أنظمة الذكاء الاصطناعي، ثم: أرني قيد النظام الذي سمعته في المقابلة السابقة.
• تقييم أثر لنظام مسمى، بتاريخه، ومن حضره، وما الذي تغيّر نتيجة له.
• سجل آخر مرة تجاوز فيها إنسان مخرَج ذكاء اصطناعي، وماذا حدث بعدها.
• ما يثبت أن خطوة الإشراف في العملية الموثقة موجودة في العملية الجارية — بمشاهدة أحدهم يؤديها عادةً.
• تدقيقك الداخلي الأخير، وإجراءاته التصحيحية، وما يثبت إغلاقها.
• مراجعة إدارة بمحضر مؤرَّخ وقرارات فيه، لا عرض شرائح.
• سجلات المورّدين: التقييم، وبند العقد، وآخر إشعار تغيير وصلك، وماذا فعلت به.
• سجلات كفاءة للأشخاص الذين يقول نظام الإدارة إنهم أكفاء.

ونمط الإخفاق واحد دائماً: سياسة كُتبت قبل التدقيق بشهر، ووقّعها مدير، وكل سجل تشغيلي يناقضها بهدوء. السياسة تقول إن النماذج تُراجع قبل الإصدار، وعملية الإصدار لا خطوة مراجعة فيها. لا يحتاج المدقق ذكاءً؛ يطلب آخر ثلاثة إصدارات.

وإن بدا لك الشكل مألوفاً فهو كذلك. هو الإخفاق الذي يحوّل فحصاً ضريبياً إلى أزمة، حيث جُمِّعت الإقرارات بعملية لم يسجّلها النظام وتعذّر إخراج المطابقة من قاعدة البيانات. والعلاج ليس كتابة أفضل، بل تغيير العملية حتى يصير السجل ناتجاً جانبياً لأداء العمل — أغلى في البداية، وهو الشكل الوحيد الذي يصمد.

متى لا تحتاج هذا

نحن نبيع هذا العمل. وهذه هي الحجة ضد شرائه، لأنها تصحّ أكثر مما يعترف به السوق.

إن لم يسألك أحد. لا استبيان ولا مؤمِّن ولا جهة رقابية ولا بند عقدي. الشهادة المشتراة استباقاً تجيب سؤالاً لم يُطرح، وتشيخ، وتلزمك بإعادة فحص ما دمت تحملها. انتظر السؤال.

إن لم تشغّل نظام ذكاء اصطناعي خاصاً بك. إذا كان كل نموذج في العمل قد وصل داخل برنامج اشتريته، ولا تضبط أنت شيئاً منه، ولا تدرّب شيئاً، ولا يُقدَّم مخرَج لأحد باعتباره قرار منشأتك، فنظام إدارة كامل سيحكم شيئاً لا تملكه أصلاً. والمتناسب هنا سياسة استخدام مقبول، وسجل بالأدوات المستخدمة وما تراه كل أداة من بيانات، وتقييم مورّد لما يلامس منها بيانات شخصية أو تعاقدية. أعطِ ذلك السجل تاريخ مراجعة ومالكاً بالاسم، بالانضباط ذاته الذي يحكم كل ما على المنشأة أن تعيد فعله كل سنة، وستملك إجابة قابلة للدفاع عنها بسعر متناسب.

إن أمكن فكّ الصفقة بموقف موثَّق. جرّب هذا أولاً، بقراءة الاستبيان كما هو بدل الارتداد عنه. وعدد لافت من هذه الأسئلة يسأل هل لديك إطار حوكمة قائم، لا هل تحمل شهادة معتمدة. وذاك يُجاب كتابةً: بيان النطاق، والسجل، والملّاك المسمّون، ونقاط الإشراف، وسجل المورّدين، وخطة مؤرَّخة تعرض ما لم تبنِه بعد بوصفه فجوات، بصراحة. الوثيقة المحددة المؤرَّخة التي فيها أسماء حقيقية تُقبل كثيراً حيث لا تُقبل طمأنة غامضة. وتكلفتها كسر من برنامج شهادة، وهي أول مخرجات ذلك البرنامج على أي حال، وتحوّل مراجعة متوقفة إلى محادثة. وإن عاد العميل مصرّاً على شهادة معتمدة فلم تخسر كثيراً، وصرت تعرف طلبه الحقيقي بدل تخمينه، وربحت وضوحاً بثمن وثيقة واحدة.

ولا شيء من هذا يُسقط حكم قانون. الشهادة ليست رأياً قانونياً، ولا تفي وحدها بالتزام حماية بيانات. هي البنية التي تُقاس عليها تلك الالتزامات، بالطريقة نفسها التي تنحلّ بها بقية الالتزامات التنظيمية إلى أشياء تحملها أنظمتك أو تعيد بناءها. ومن يقدّم لك شهادة بوصفها امتثالاً لتشريع فهو يصف شيئاً غير موجود، ويصفه لك بثقة.

الترتيب، وكيف تتعاقد عليه

النطاق أولاً: عملاً صغيراً منفصلاً مكتوباً له سعره الخاص، يُشترى وحده قبل أي التزام بتنفيذ. وما تخرج به منه بيان حد بأسبابه، ودورك في سلسلة قيمة الذكاء الاصطناعي مسمّى، والسجل مبتدأ، وقائمة فجوات مرتّبة بالتعرّض لا بالجهد. وهذه أول لحظة يصير فيها الرقم قابلاً للحساب؛ كل تسعيرة قبلها تخمين، سواء جاءتك منا أو من سوانا. تلك الوثيقة قابلة للنقل: خذها إلى شركة أخرى، أو إلى جهة منح شهادة، أو إلى العميل بوصفها الموقف الموثَّق أعلاه، وهي تبقى صالحة ما لم يتغيّر ما تشغّله فعلاً. ولا شيء فيها يلزمك بإنفاق إضافي عند من كتبها، وهذا بالضبط هو المقصود من شرائها وحدها ومنفصلة عن التنفيذ. وإن رفض عرضٌ ما أن تشتري تحديد النطاق منفرداً فتلك معلومة عن العرض نفسه، وهي سبب نشر الطريقة التي نعمل بها كاملة قبل أي تسعير بدل وصفها في اجتماع.

ثم أغلق الفجوات التي هي تغييرات عملية قبل تلك التي هي وثائق. فالوثائق التي تصف عمليات لم تتغيّر بعد هي بالضبط الملاحظة التي تحاول تفاديها، وهي أرخص ما يُكتب في البرنامج كله، ولهذا تُكتب أولاً حين لا يراقب أحد الترتيب.

ثم تدقيق داخلي يجريه من لم يبنِ النظام، وإجابة أمينة عن جاهزيتك قبل أن تدفع لتدقيق خارجي. فالشهادة ليست حدثاً ينتهي: النظام يُعاد فحصه دورياً، وعليه أن يصمد دون مستشار في الغرفة.

ثم جهة منح الشهادة، تُختار بالعناية ذاتها التي اخترت بها المستشار. والاعتماد أرضية لا ترتيب: هو يقول إن الجهة مؤهلة للتدقيق، لا إنها الأفضل لك. اسأل ماذا تدقق أيضاً، وهل دقّق المدقق منشأة تشبه منشأتك، وكيف تتعامل مع نطاق مرسوم كما رسمته أنت.

ونقطتان في التعاقد، كلتاهما عمّن يحمل الأدلة بعد انتهائه. الشركة التي تبني نظام الإدارة لا تستطيع منحه الشهادة، ولا تستطيع أي شركة استشارية إصدار شهادة لك؛ ومن يعرض ذلك يبيع شيئاً غير موجود. فاقرأ العرض بما يسلّمه لا بالنتيجة المطبوعة على غلافه.

وأصرّ على أن تكون المخرجات ملكك، يصونها أشخاصك المسمّون. السجل وتقييمات الأثر وسجل المورّدين وبرنامج التدقيق الداخلي هي الأدلة. والأدلة التي تحتاج طرفاً خارجياً حاضراً كي تبقى حية تسقط عند أول إعادة فحص، وهي اللحظة التي لا يراقبها أحد. وذاك هو المعيار الذي نحاكم به عملنا في حوكمة الذكاء الاصطناعي: نظام إدارة يشغّله موظفوك أنفسهم، مكتوب على طريقة عمل فرقك فعلاً، أو توثيق عن شركة غير موجودة.