أثبت أن ذكاءك الاصطناعي محكوم، لا مبهر فقط

الذكاء الاصطناعي لم يعد قدرة تقنية، صار سؤال امتثال

سواء كنت تستهلك نماذج طرف ثالث عبر واجهة برمجية، أو تدمج ميزة ذكاء اصطناعي من مورّد داخل منتج تبيعه، أو تدرّب على بيانات عملائك، فالسؤال الذي يصلك واحد: أرِنا كيف يُحكَم هذا. يأتي من فرق المشتريات المؤسسية، ومن شركات التأمين، وبشكل متزايد من الجهات التنظيمية — قانون حماية البيانات الشخصية في الإمارات ومكتب إدارة البيانات الوطنية في السعودية كلاهما يطال البيانات التي تلمسها نماذجك.

ISO/IEC 42001 هو أول معيار قابل للاعتماد لنظام إدارة الذكاء الاصطناعي. وُجد لأن الإجابة الصادقة عن ذلك السؤال هي نظام إدارة، لا شريحة عرض عن مبادئك الأخلاقية.

لمن هذه الخدمة

شركات البرمجيات المؤسسية القائمة على الذكاء الاصطناعي التي تتعطل صفقاتها في المراجعة الأمنية، وتحتاج إثبات حوكمة مسار البيانات قبل أن توقّع المشتريات.

المؤسسات الخاضعة للتنظيم — التمويل والرعاية الصحية والجهات الحكومية — التي تستخدم الذكاء الاصطناعي لمعالجة بيانات شخصية أو أتمتة قرارات أو تصنيف عملاء.

أي شركة تدرّب أو تضبط نماذج على بيانات عملائها، حيث تصبح الأسئلة عن مصدر البيانات والتحيّز والحق في تفسير القرار.

ثلاث طرق للبدء

ورشة تحديد النطاق. رسم حدود نظام الإدارة هو الخطوة الأكثر خطأً. نطاق واسع أكثر من اللازم يحرق وقت الهندسة في حوكمة أنظمة لم يسأل عنها أحد، ونطاق ضيق أكثر من اللازم يعطيك شهادة لا تجيب عن أي سؤال لدى المشتري. نُجري الورشة مع من يملكون القرار فعلًا، ونخرج بنطاق قابل للدفاع عنه وبدورك في سلسلة قيمة الذكاء الاصطناعي محددًا — مزوّد أم منتج أم مستخدم.

تحليل الفجوات وتقييم مخاطر الموردين. أغلب تعرّضك ليس في كود كتبته أنت. نقيّمك مقابل ضوابط الملحق A، وندقّق ما يلتزم به موردو الذكاء الاصطناعي لديك — وموردوهم — تعاقديًا وتقنيًا. تخرج بنتائج مرتبة بحجم التعرّض وبترتيب معالجة.

تطبيق كامل حتى الجاهزية للتدقيق. سياسات وتقييمات أثر ومعالجة مخاطر ونقاط إشراف بشري وإدارة حوادث وتدقيق داخلي — مبنية داخل دورة التطوير التي تشغّلها أصلًا، ومربوطة بضوابط ISO 27001 حيث تتقاطع، وهو أمر شائع. يشترك ISO/IEC 42001 في بنية Annex SL، فالتكامل هو الهدف لا نظام ثانٍ موازٍ.

لماذا تسقط أغلب مشاريع امتثال الذكاء الاصطناعي في التدقيق

لأنها تنتج توثيقًا يصف شركة غير موجودة. السياسة تقول إن النماذج تُراجَع قبل الإطلاق؛ وعملية الإطلاق نفسها لا تحتوي خطوة مراجعة. المدقق يجد هذه الفجوة في بعد ظهر واحد، وكذلك يفعل أي عميل مؤسسي جاد.

نكتب نظام الإدارة على أساس طريقة عمل الهندسة والتشغيل عندك فعلًا، ثم نغيّر ما يجب تغييره حقًا. هذا أبطأ في البداية، وهو النسخة الوحيدة التي تصمد أمام مدقق.

ما الذي يحدد الكلفة، وما الذي لا نستطيع بيعه لك

النطاق هو الذي يحدد السعر والمدة معًا، والنطاق نفسه أول مخرج نسلّمه لا افتراضًا نبدأ منه. ما يحرّكه: كم نظام ذكاء اصطناعي يقع داخل الحدود، وهل أنتم مزوّدون لها أم مستخدمون لأنظمة غيركم، وهل لديكم ISO 27001 قائم — عندها جزء كبير من نظام الإدارة موجود ويحتاج توسيعًا لا كتابة من الصفر — وكم من ممارساتكم الحالية موثّق بأدلة لا مجرد مُتقَن في العمل اليومي.

ورشة تحديد النطاق عمل صغير محدد بسعر ثابت وبمخرج مكتوب، وتأتي قبل أي التزام بالتطبيق. ما يخرج منها: حدود قابلة للدفاع عنها، ودوركم في سلسلة قيمة الذكاء الاصطناعي محددًا بالاسم، ونطاق تستطيعون أخذه إلى مكتب استشاري آخر أو إلى جهة اعتماد مباشرة.

نحن لسنا جهة اعتماد ولا يمكن أن نكون. الشهادة تصدرها جهة معتمدة بعد تدقيقها المستقل، والشركة نفسها لا تستطيع أن تبني نظام إدارة وتعتمده. من يعرض عليكم شهادة يصف شيئًا غير موجود. ما نستطيعه أن نبني النظام الذي يقبله المدقق، وأن نقول لكم بوضوح متى لا تكونون جاهزين للتدقيق.

وإذا لم يطلب منكم أحد هذا، وكان استخدامكم للذكاء الاصطناعي ميزة من مورّد داخل برنامج اشتريتموه، ولا تمرّ عبره بيانات شخصية، فغالبًا ISO/IEC 42001 ليس إنفاقكم التالي. محادثة قصيرة لتحديد النطاق تُثبت ذلك، وسنقولها لكم بدل أن نبدأ برنامجًا.