السياسات والحوكمة

الأمن والجودة

كيف نعمل معك في ملف حوكمة وأمن الذكاء الاصطناعي

ما يشمله هذا القسم

هذا القسم يجمع أربع خدمات تكمل بعضها ولا تكرر بعضها. خدمة سياسات استخدام الذكاء الاصطناعي تبني الإطار الذي يحكم الاستخدام اليومي: أي الأدوات مسموح بها، وما البيانات التي لا تدخلها أبدًا، ومتى تلزم المراجعة البشرية، وكيف يُصارح العملاء عند الحاجة. وخدمة تقييم مخاطر نماذج الذكاء الاصطناعي تسبق التشغيل وتُصدر قرارًا واضحًا بالاعتماد أو الرفض المشروط، فلا تُترك المخاطر للاحتمال أو لحكم شخص واحد في الفريق.

أما خدمة أمن تطبيقات الذكاء الاصطناعي فتتعامل مع طبقة التكامل نفسها: حقن الأوامر المباشر وغير المباشر، وتسريب سياق المحادثة، واستدعاء الأدوات بصلاحية مفرطة، والإنفاق غير المحدود، والإخراج غير الآمن. وخدمة تدقيق مخرجات الذكاء الاصطناعي تبقى بعد الإطلاق: معايير تقييم، وسحب عيّنات، وتصنيف أخطاء، وتصحيح يعود إلى مصدره بدل معالجة الأعراض فقط. من يجمع الأربع معًا يحصل على حلقة واحدة، ومن يأخذ واحدة منها فقط يحصل على نتيجة محدودة تبقى قابلة للاستعمال.

كيف تسير الخدمة عملياً

نبدأ عادة بجرد واقعي لا نظري: ما الأدوات المستخدمة فعلًا، ومن يستخدمها، وما البيانات التي تمر عبرها. يظهر في هذه الخطوة دائمًا أدوات دخلت عبر اشتراكات فردية دون علم التقنية، وهي أكثر أسباب المفاجآت لاحقًا. ثم نصنف حالات الاستخدام بحسب أثر الخطأ وحساسية البيانات، فتتحدد منها شدة الضوابط وترتيب أولويات العمل.

بعد التصنيف تُبنى الوثائق التي يستخدمها فريقكم بعد خروجنا: سياسة مكتوبة بلغة يفهمها الموظف لا بلغة المحامين وحدهم، وسجل أدوات معتمدة، ومصفوفة تصنيف، ونموذج طلب استثناء، ودليل تدقيق للمخرجات. ولا تُسلَّم هذه الوثائق وتُترك؛ بل تُشرح في جلسة عمل مع الأدوار المعنية، وتُختبر على حالة واقعية واحدة على الأقل، لأن الوثيقة التي لم تُختبر عمليًا تُكتشف عيوبها في أول استعجال حقيقي.

الجانب الأمني يسير بالتوازي: نرسم خريطة سطح الهجوم للتطبيق أو المساعد، ونحدد صلاحيات الأدوات، ونختبر ضوابط الإدخال والخروج، ونضبط حدود النفقات والمراقبة. وفي مرحلة ما بعد التشغيل يُبنى نموذج التدقيق ويُدرَّب عليه فريقكم على عيّنة موافقة عليها، ثم تُراجع النتائج معًا في تقرير دوري يبيّن ما تحسّن وما يحتاج إغلاقًا.

متى تحتاج إلى هذا القسم

تحتاجون إليه حين تستعدون لإطلاق مساعد أو تكامل يستخدم نموذجًا لغويًا في خدمة عميل، أو حين تكتشفون أن الأدوات دخلت إلى العمل دون تقييم، أو حين طلب منكم عميل كبير أو جهة مشترية توضيحًا حول كيفية استخدام الذكاء الاصطناعي في الخدمة التي تقدموها لها. ويأتي الطلب في أغلب الحالات من الخارج: عقد جديد، أو مراجعة موردين، أو استفسار من جهة تنظيمية، أو حادث صغير كشف أن القواعد غير موجودة أصلًا.

كذلك تحتاجون إليه حين تكون المخاطرة مركّزة في قطاع واحد: قسم يعتمد توليد عروض أو ردود للعملاء، أو فريق تقني يبني تكاملات جديدة كل شهر، أو جهة تشتري أدوات ذكاء اصطناعي من موردين متعددين. في هذه الحالات لا يُبنى القسم لكل المؤسسة دفعة واحدة، بل يُبدأ من الميدان الأكثر تأثيرًا، وتُنشر نتائجه كنموذج يُقاس عليه ما تبقى.

ما لا نفعله

لا نصدر شهادات امتثال ولا نضمن قبول جهة تنظيمية معينة، فهذه الشهادات تصدر جهات مرخصة لها، وقرارات القبول تعود للجهة المختصة. ولا نستبدل الرأي القانوني، فالمواقف القانونية الدقيقة تُراجع مع إدارتكم القانونية أو مستشار قانوني معتمد، ونحن نبيّن الإطار العام ونقاط الخطر الظاهرة فيه. ولا نبيع نموذجًا جاهزًا ولا نطبّق أدوات بدلًا منكم؛ فإن نجاح أي سياسة أو ضابط يعتمد على من يطبقه يوميًا داخل المؤسسة، وكل ما نبنيه يُسلَّم مع شرح لمن يحمله بعدنا.

ولا نضمن خلو تطبيقكم من الثغرات أو صحة كل مخرج ينتجه نموذج، فكلاهما يتغير بتغيّر النموذج أو القالب أو البيانات. ما نضمنه هو طريقة عمل قابلة للتكرار: ضوابط مكتوبة، واختبارات قابلة لإعادة الإنتاج، وسجلات تُظهر ما أُنجز وما تبقّى. بهذه الصيغة يستطيع فريقكم متابعة العمل بنفسه عند تغيّر الأدوات، بدل أن يعود إلى طلب المساعدة في كل تحديث.