قبل الإطلاق، يجب أن يرى مجلس الإدارة خمسة أمور مكتوبة: مسارات العمل التي سيمسها الذكاء الاصطناعي، ومن يعتمد مخرجاته، وما الذي يُسجَّل، وأي إطار للمخاطر يتبعه التقييم، وكيف توقف الشركة مسار عمل. وتشكل هذه الأمور معاً خطة حوكمة قصيرة تحافظ الإدارة على تحديثها، لا سياسة تُكتب مرة واحدة ثم تُحفظ في الأدراج.
أبرز النقاط
- تبدأ الحوكمة بحصر شامل: لا يستطيع مجلس الإدارة الإشراف على ذكاء اصطناعي لا يعرف أنه يعمل.
- كل مسار عمل يحتاج إلى شخص محدد يعتمد مخرجات الذكاء الاصطناعي ويستطيع تجاوزها.
- يجب أن تتيح السجلات للمدقق إعادة بناء ما فعله النظام، وبأي مدخلات، ومن اعتمده.
- سمِّ إطاراً معترفاً به، مثل إطار NIST لإدارة مخاطر الذكاء الاصطناعي أو معيار ISO/IEC 42001، حتى لا يحكم المجلس على إطار من صنع داخلي.
- الشركات الخاضعة للتنظيم تجيب أيضاً أمام الجهات التنظيمية في قطاعها، وقواعدها تُضاف إلى القواعد العامة.
ما الحوكمة التي يجب أن تكون قائمة قبل إطلاق الذكاء الاصطناعي؟
- حصر لكل مسار عمل ينتج فيه الذكاء الاصطناعي شيئاً أو يغيّره، بما في ذلك الأدوات التي يستخدمها الموظفون من تلقاء أنفسهم.
- معتمِد محدد لكل مسار عمل، بصلاحية رفض المخرجات أو تصحيحها.
- تقييم للمخاطر لكل مسار عمل وفق إطار محدد بالاسم، يُحفظ مع الحصر.
- تسجيل يوثّق المدخلات والمخرجات وإصدارات النماذج والاعتمادات.
- مفتاح إيقاف: من يستطيع إيقاف مسار العمل، وكيف، وماذا يفعل الفريق يدوياً أثناء التوقف.
- موعد مراجعة يحدده المجلس، يُعاد فيه فحص الحصر والتقييمات.
هذه هي القائمة التي تكتبها Stennir في كل مشروع استشاري. وقد شرحنا السبب في لماذا نسلّم خطط حوكمة مع كل مشروع استشاري.
عن أي أطر للمخاطر يجب أن يسأل مجلس الإدارة؟
هناك إطاران واسعا الاستخدام. يعدّ إطار NIST لإدارة مخاطر الذكاء الاصطناعي الرقابة البشرية والمساءلة جزءاً من إدارة مخاطر الذكاء الاصطناعي (NIST، يناير 2023). أما ISO/IEC 42001 فهو المعيار الدولي لنظام إدارة الذكاء الاصطناعي (ISO، ديسمبر 2023)، ويمكن للشركة الحصول على شهادة بالمطابقة له.
وفي الجانب الأمني، تضع قائمة OWASP لأهم 10 مخاطر في تطبيقات النماذج اللغوية حقن الأوامر في المرتبة الأولى: نص من عميل أو مستند قد يحاول تغيير ما يفعله النموذج. لا يحتاج المجلس إلى التفاصيل التقنية، بل إلى تأكيد أن أحداً اختبر ذلك في كل مسار عمل.
ما الذي يتغير بالنسبة لشركة مالية خاضعة للتنظيم؟
تضع الجهات التنظيمية القطاعية، مثل البنك المركزي السعودي (SAMA) والهيئة الوطنية للأمن السيبراني (NCA)، قواعدها الخاصة، فراجعها. وهذه القواعد تُضاف إلى قانون حماية البيانات العام، لذا قد يحتاج مسار عمل اجتاز مراجعة عامة إلى المزيد في حالة بنك أو شركة تأمين. اطلب من فريق الامتثال مطابقة كل مسار عمل مع المتطلبات المنشورة للجهة التنظيمية قبل استخدام أي بيانات للعملاء.
هذا المقال ليس استشارة قانونية أو تنظيمية، فتحقق مع مستشارك القانوني وإدارة الامتثال لديك. ما تضيفه Stennir هو تفاصيل مسار العمل التي يحتاجونها لاتخاذ القرار: البيانات التي تمسها كل خطوة، ومكان معالجتها، ومن يعتمد النتيجة، وما الذي يُسجَّل.
ما الذي يجب تسجيله لتدقيق ما فعله نظام الذكاء الاصطناعي؟
- المُدخَل الذي تلقاه النظام، أو مرجع له إذا لم يكن تخزين النص الكامل مسموحاً.
- النموذج وإصداره، وإصدار التعليمات التي أُعطيت له.
- المستندات أو السجلات التي استرجعها لإنتاج الإجابة.
- المُخرَج الذي أنتجه، قبل أي تعديل بشري.
- من اعتمده أو عدّله أو رفضه، مع الوقت والتاريخ.
- ما حدث بعد ذلك في النظام اللاحق، مثل تحديث سجل أو إرسال رسالة.
بهذه البنود الستة يستطيع المدقق إعادة بناء أي قرار بعد وقوعه. ودون بند الاعتماد، لا يستطيع أحد أن يقول من كان المسؤول حين يحدث خطأ.
We are
تكتب Stennir الحصر والمعتمِدين والتسجيل ومفتاح الإيقاف في كل مسار عمل قبل تشغيله، وتترك لك ملكية الحسابات والسجلات ومفتاح الإيقاف.
We aren't
Stennir ليست مكتب محاماة ولا جهة منح شهادات، ولا تحل محل إدارة الامتثال لديك أو مراجعة الجهة التنظيمية.
ماذا يفعل مجلس الإدارة أو لجنة المخاطر بعد ذلك؟
اطلب من الإدارة الحصر أولاً: كل موضع يمس فيه الذكاء الاصطناعي العمل اليوم، بما في ذلك الأدوات التي اعتمدها الموظفون من تلقاء أنفسهم. ثم اطلب معتمِداً وتصميماً للسجلات لكل منها. تنتج استشارات الذكاء الاصطناعي الأمرين، وتعرض صفحة الذكاء الاصطناعي للامتثال كيف تعمل مسارات المراجعة. أجرِ تقييم الجاهزية المجاني أو احجز مكالمة مدتها 30 دقيقة.
أسئلة شائعة
هل يحتاج مجلس الإدارة إلى اعتماد كل مسار عمل بالذكاء الاصطناعي؟
لا. يعتمد المجلس خطة الحوكمة ومستوى تقبّل المخاطر، ويطّلع على الحصر. وتعتمد الإدارة مسارات العمل الفردية ضمن هذه القواعد. ويجب إبلاغ المجلس حين يمس مسار عمل بيانات العملاء، أو يتخذ قراراً بشأن شخص، أو يخضع لجهة تنظيمية قطاعية، لأن هذه الحالات تحمل أعلى المخاطر.
من يعتمد ما ينتجه الذكاء الاصطناعي؟
شخص محدد في الشركة يملك هذا العمل أصلاً، مثل رئيس فريق المطالبات أو المالية. يستطيع رفض أي مُخرَج أو تصحيحه، ويُسجَّل قراره. ولا تتولى Stennir هذا الدور، لأن المساءلة يجب أن تبقى داخل شركتك.
ما الذي يبقى معنا؟
كل ما يهم في التدقيق: الحسابات، والبيانات، والسجلات، والتعليمات المعطاة للنموذج، ومفتاح الإيقاف. تُعدّها Stennir باسمك. وإذا توقفت عن العمل معنا، تبقى السجلات وسجل الحوكمة مقروءة لفريقك ومدققيك.
ما الذي قد يحدث بشكل خاطئ؟
الإخفاقات المعتادة هي حصر يُغفل أدوات اعتمدها الموظفون بأنفسهم، واعتمادات تتحول إلى نقرة دون مراجعة حقيقية، وسجلات توثّق المُخرَج ولا توثّق من اعتمده. ومن السهل اكتشاف كل منها في تدقيق تجريبي قبل الإطلاق، ومن الأصعب بكثير تبريرها بعده.
