حوكمة الذكاء الاصطناعي والجاهزية التنظيمية سياسات وحصر وأدلة للذكاء الاصطناعي الذي تستخدمونه فعلاً

يعتمد ذلك على صفة جهتكم والبيانات التي تعالجها أنظمتكم. فإن كانت تعالج بيانات شخصية انطبق نظام حماية البيانات الشخصية بوصفه نظاماً ملزماً، وإن كان النموذج يعمل خارج المملكة نشأت مسألة نقل للبيانات. وإن كنتم ضمن نطاق الهيئة الوطنية للأمن السيبراني، جهةً حكومية أو جهة لديها بنية تحتية وطنية حساسة، فالضوابط الأساسية (ECC-2:2024) وضوابط البيانات (DCC) ملزمة لكم، ومعها ضوابط الحوسبة السحابية (CCC) للخدمات السحابية، وإن كنتم مؤسسة مالية خاضعة لإشراف البنك المركزي السعودي فإطاره للأمن السيبراني متطلب قطاعي عليكم. أما مبادئ أخلاقيات الذكاء الاصطناعي الصادرة عن سدايا فمبادئ لكل من يطوّر الذكاء الاصطناعي أو يستخدمه، ومبادئها التوجيهية للذكاء الاصطناعي التوليدي للجهات الحكومية موجهة إلى هذه الجهات وموظفيها، ومبادئها للعموم استرشادية، وإرشادات الهيئة الوطنية للأمن السيبراني للذكاء الاصطناعي ما زالت مسودة. ونجمع ذلك في بيان للمتطلبات المنطبقة يسمّي كل متطلب وصفته الإلزامية وسبب انطباقه، ليؤكده مستشاركم القانوني.

لا. فإرشادات الأمن السيبراني للذكاء الاصطناعي (AICG-1:2026) مسودة طرحتها الهيئة لاستطلاع آراء العموم في يوليو وأغسطس 2026، والمسودة المطروحة للاستطلاع لا تُنشئ التزاماً. ويعود للهيئة تحديد نصها النهائي ونطاقها وصفتها الإلزامية. لذلك نتعامل معها بوصفها اتجاهاً: نبيّن أين تسير ضوابطكم الحالية في الاتجاه نفسه، وأي الفجوات ستكون مهمة إن حافظ النص النهائي على هذا الاتجاه. وتبقى التزاماتكم الحالية تجاه الهيئة، إن كنتم ضمن نطاقها، هي الضوابط الأساسية وضوابط البيانات، وضوابط الحوسبة السحابية للخدمات السحابية.

لا. لا تصدر DataSec شهادة أو إقراراً بامتثال أي جهة، ولا تقدّم آراء قانونية. نسلّمكم مصفوفة تربط كل متطلب منطبق بالأدلة المتوفرة لديكم، وبالفجوات، وبالمسؤول عن كل فجوة، لتصل إدارتكم ومستشاركم القانوني ومدققوكم إلى استنتاجهم بأنفسهم. وإن احتجتم إلى إقرار رسمي أو شهادة، فمصدرها مدققوكم أو الجهة التنظيمية أو جهة حاصلة على الاعتماد.

في الغالب لا، بل توسّعون ما لديكم. فمكان أنظمة الذكاء الاصطناعي هو سجل الأصول وسجل المخاطر وإجراءات مخاطر الأطراف الثالثة وإدارة التغيير وخطة التدقيق الداخلي القائمة لديكم. والجديد هو ما يخص الذكاء الاصطناعي تحديداً: معايير مخاطر لسلوك النماذج، والإشراف البشري، وأسئلة للموردين عن التدريب وتغيير النماذج، وسياسات الذكاء الاصطناعي. نضيف ذلك إلى إطاركم ولجانكم الحالية، ولا نقترح لجنة أو دوراً مستقلاً للذكاء الاصطناعي إلا إذا برّره حجم جهتكم أو مستوى تعرضها للمخاطر. وإن كان الإطار الأشمل للحوكمة لم يُبنَ بعد، فبناؤه من مهام خدمة استشارات الحوكمة والمخاطر والامتثال.

بالجمع بين عدة مصادر، لأن أياً منها لا يكشف كل شيء وحده. نراجع سجلات الشراء والتراخيص، ونقابل مالكي الأنظمة في الأعمال وتقنية المعلومات، ونتحقق من ميزات الذكاء الاصطناعي التي أضافها الموردون إلى برمجيات تملكون تراخيصها، ونحدد ما بنته فرق التطوير أو ربطته بالنماذج عبر واجهات برمجة التطبيقات (API). أما استخدام الموظفين لأدوات الذكاء الاصطناعي العامة فيُكتشف برصد الشبكة والأجهزة الطرفية، وهو جزء من خدمة حماية البيانات عند استخدام الذكاء الاصطناعي التوليدي، وإن كنتم تستخدمونها أُضيفت نتائجها إلى السجل. وبعد ذلك يبقى السجل محدّثاً عبر إجراءات الشراء واعتماد التغييرات، فلا يكون قائمة تُعدّ مرة واحدة.

يعني أن أشخاصاً محددين بالاسم يستطيعون مراجعة نظام الذكاء الاصطناعي وتصحيحه وإيقافه عند النقاط التي يكون لمخرجاته فيها أثر. ويحدد الإجراء لكل نظام المخرجات التي يراجعها شخص قبل استخدامها، والإجراءات التي تتطلب موافقة، وما يحتاج المراجع إلى رؤيته ليحكم على المخرج، وطريقة تجاوز النظام أو إيقافه، وكيفية توثيق القرارات. ويتفاوت عمق الإشراف بحسب المخاطر، فمساعد صياغة المراسلات يحتاج إلى إشراف أقل من نظام يمس حقوق الأفراد أو ينفّذ إجراءات في أنظمة أخرى. والإشراف يحدّ من أثر الأخطاء ولا يمنع وقوعها، لذلك يحدد الإجراء أيضاً كيف يُبلَّغ عن الأخطاء وكيف تُصحَّح.

اطلبوا إجابات مكتوبة وواضحة عن طريقة التعامل مع بياناتكم، وبنوداً تعاقدية تُلزمهم بها. اسألوا: هل تُحفظ الأوامر والملفات والمخرجات ولأي مدة؟ وهل يجوز استخدامها في التدريب؟ وأين تُعالَج ومن المعالجون من الباطن؟ وكيف يُتعامل مع البيانات الشخصية التي تخرج من المملكة؟ وما الاختبارات الأمنية التي خضع لها المنتج؟ وكيف تُدار الحوادث وتغييرات النماذج والخروج من الخدمة؟ وفي البرمجيات التي تضيف ميزات ذكاء اصطناعي، اسألوا هل يمكن إيقاف كل ميزة، وهل تغيّر الميزة شروط التعامل مع البيانات المتفق عليها. نقدّم استبيان العناية الواجبة وقائمة التحقق التعاقدية، ويتولى مستشاركم القانوني صياغة البنود النهائية.

نعم، نُعدّكم لذلك، أما الشهادة نفسها فتصدرها جهة مانحة للشهادات حاصلة على الاعتماد بعد تدقيقها، ولا تصدرها DataSec. والمواصفة ISO/IEC 42001 مواصفة دولية لأنظمة إدارة الذكاء الاصطناعي، وليست متطلباً سعودياً. نقيّم وضعكم الحالي مقابلها، ونبني العناصر الناقصة مثل نطاق نظام الإدارة وسياسة الذكاء الاصطناعي وإجراءات تقييم المخاطر والأثر والتدقيق الداخلي، ويمكننا إجراء مراجعة تسبق التدقيق.