- سياسة الاستخدام الداخلية تحدد من يستخدم أي أداة، وبأي بيانات، ولأي غرض، ومن يراجع المخرجات، ومتى يُبلَّغ عن حادث.
- إطار NIST لإدارة مخاطر الذكاء الاصطناعي ومعيار ISO/IEC 42001 ومبادئ سدايا تكمل بعضها: الأول للمخاطر، والثاني لنظام الإدارة، والثالث للمبادئ والأدوار في السعودية.
- أفضل طريقة لجعل السياسة قابلة للتطبيق هي تصنيف الاستخدامات إلى محظور ومشروط ومسموح، وربطها بتصنيف البيانات المعتمد في الجهة.
هذا المقال إرشاد عام لصياغة سياسة داخلية، ولا يغني عن مراجعة المتطلبات النظامية الخاصة بدولتك وقطاعك.
لماذا تحتاج الجهة إلى سياسة استخدام مكتوبة؟
الموظفون يستخدمون أدوات الذكاء الاصطناعي التوليدي فعلًا في كتابة الرسائل وتلخيص التقارير وتحليل البيانات، سواء وُجدت سياسة أم لا. والسؤال ليس هل يُستخدم الذكاء الاصطناعي، بل هل يُستخدم بقواعد معروفة.
ويحدد ملف الذكاء الاصطناعي التوليدي الذي أصدرته NIST عام 2024 اثني عشر خطرًا يرتبط بهذه التقنية أو يتضاعف بسببها، منها: اختلاق المعلومات وتقديمها بثقة، وخصوصية البيانات، وأمن المعلومات، والملكية الفكرية، والتحيز الضار، والاعتماد على مكونات وموردين خارجيين. [2] وكل خطر من هذه يتحول داخل الجهة إلى سؤال عملي: ماذا يُسمح للموظف بإدخاله؟ ومن يتحقق من المخرجات؟ ومن يتحمل المسؤولية؟
وتوصي NIST صراحة بأن تضع الجهات سياسات استخدام مقبول لواجهات الذكاء الاصطناعي التوليدي، وأن تعالج فيها الاستخدامات غير النظامية. [2]
على ماذا تبني السياسة؟
| المرجع | طبيعته | ما تأخذه السياسة |
|---|---|---|
| NIST AI RMF وملف GAI | إطار طوعي لإدارة المخاطر | قائمة المخاطر والإجراءات المقترحة |
| ISO/IEC 42001:2023 | معيار متطلبات لنظام إدارة | السياسة وتقييم الأثر والضوابط |
| مبادئ سدايا | مبادئ أخلاقية في السعودية | المبادئ السبعة وفئات الخطورة والأدوار |
إطار NIST لإدارة مخاطر الذكاء الاصطناعي (AI RMF 1.0) صدر في يناير 2023 للاستخدام الطوعي، ويقوم على أربع وظائف: الحوكمة، وتحديد السياق والمخاطر، والقياس، والإدارة. ووظيفة الحوكمة هي التي تضع السياسات والمساءلة وتمتد عبر الوظائف الأخرى، لذلك تقع سياسة الاستخدام في قلبها. [1]
معيار ISO/IEC 42001:2023 صدر في ديسمبر 2023، ويضع متطلبات لإنشاء نظام لإدارة الذكاء الاصطناعي وتطبيقه وصيانته وتحسينه المستمر، وينطبق على أي جهة تقدم منتجات أو خدمات تعتمد على الذكاء الاصطناعي أو تستخدمها، مهما كان حجمها. [3] ويتضمن بندًا لسياسة الذكاء الاصطناعي (5.2) ضمن متطلبات القيادة، وبندًا لتقييم أثر أنظمة الذكاء الاصطناعي (6.1.4)، وملحقًا بالضوابط المرجعية. [4]
مبادئ أخلاقيات الذكاء الاصطناعي من سدايا (الإصدار 1.0، سبتمبر 2023) تنطبق على كل من يصمم أنظمة الذكاء الاصطناعي أو يطورها أو ينشرها أو يستخدمها أو يتأثر بها في المملكة، وتشمل سبعة مبادئ: العدالة، والخصوصية والأمن، والإنسانية، والمنافع الاجتماعية والبيئية، والموثوقية والسلامة، والشفافية وقابلية التفسير، والمساءلة والمسؤولية. [5]
البنود العشرة للسياسة
1. الغرض والنطاق
حدد من تشملهم السياسة: الموظفون والمتعاقدون والمتدربون. وحدد ما تشمله: أدوات الذكاء الاصطناعي التوليدي العامة، وخصائص الذكاء الاصطناعي المدمجة في البرامج المكتبية والأنظمة، والنماذج التي تطورها الجهة أو تشتريها.
2. الأدوار والمسؤوليات
سمِّ مالك السياسة، والجهة التي تعتمد الأدوات الجديدة، ومن يقيّم الاستخدامات عالية الخطورة. ويطلب إطار NIST توثيق الأدوار وتدريب العاملين على إدارة مخاطر الذكاء الاصطناعي. [1] وتنص مبادئ سدايا على أدوار محددة للجهات التي تتبناها، منها مسؤول الذكاء الاصطناعي المسؤول ومقيّم أنظمة الذكاء الاصطناعي. [5]
3. الأدوات المعتمدة وسجل الاستخدامات
اعتمد قائمة بالأدوات المسموح بها وشروط كل منها، واحتفظ بسجل لأنظمة الذكاء الاصطناعي المستخدمة في الجهة. فإطار NIST يتطلب آليات لحصر أنظمة الذكاء الاصطناعي، [1] وملف الذكاء الاصطناعي التوليدي يقترح أن يشمل السجل مصدر البيانات والمشكلات المعروفة وأدوار الإشراف البشري والنموذج الأساسي المستخدم. [2]
4. تصنيف البيانات: ماذا يُسمح بإدخاله؟
هذا أهم بند عمليًا. اربطه مباشرة بسياسة تصنيف البيانات المعتمدة في الجهة: البيانات العامة مسموحة في الأدوات المعتمدة، والبيانات الداخلية مسموحة فقط في أدوات تعاقدت عليها الجهة، والبيانات الشخصية والسرية لا تُدخل إلا في بيئة معتمدة لهذا الغرض، مع الالتزام بتشريعات حماية البيانات الشخصية في دولتك.
5. الاستخدامات المسموحة والمشروطة والمحظورة
صنّف الاستخدامات حسب الخطورة بدل كتابة قائمة طويلة من الممنوعات. وتصنف مبادئ سدايا الأنظمة إلى أربع فئات: خطورة ضئيلة أو معدومة، وخطورة محدودة، وخطورة عالية تتطلب تقييم مطابقة قبل النشر وبعده، وخطورة غير مقبولة لا يُسمح بها، ومن أمثلتها التصنيف الاجتماعي للأفراد واستغلال الأطفال. [5]
6. المراجعة البشرية والتحقق من المخرجات
الموظف مسؤول عن أي مخرج يستخدمه كما لو كتبه بنفسه. اطلب التحقق من الأرقام والمراجع والأسماء قبل الاستخدام، لأن اختلاق المعلومات من أبرز مخاطر النماذج التوليدية. [2] وأي قرار يمس حقوق شخص، كالتوظيف أو التقييم أو الاستحقاق، يبقى قرارًا بشريًا موثقًا.
7. الإفصاح والشفافية
حدد متى يجب الإفصاح عن استخدام الذكاء الاصطناعي: في المحتوى المنشور للجمهور، وفي الردود الآلية على المتعاملين، وفي التقارير التي تعتمد على تحليل آلي. والشفافية وقابلية التفسير من المبادئ السبعة لسدايا. [5]
8. الملكية الفكرية والسرية
امنع إدخال مستندات الغير المحمية أو أسرار التعاقد في الأدوات العامة، وحدد من يملك المخرجات وكيف تُستخدم في المواد المنشورة. والملكية الفكرية من المخاطر الاثني عشر في ملف NIST. [2]
9. الأمن السيبراني والموردون
اشترط موافقة الأمن السيبراني قبل ربط أي أداة بأنظمة الجهة أو بياناتها. ويقترح ملف NIST اختبار صمود الأنظمة التوليدية عبر محاكاة الهجوم (red-teaming) أمام هجمات مثل حقن الأوامر (prompt injection)، وتضمين العقود واتفاقيات مستوى الخدمة بنودًا عن ملكية المحتوى والأمن. [2] ويطلب الإطار الأساسي سياسات وإجراءات تعالج مخاطر الذكاء الاصطناعي المرتبطة بالأطراف الخارجية، بما فيها مخاطر الملكية الفكرية. [1]
10. الحوادث والتدريب والمراجعة
عرّف حادث الذكاء الاصطناعي، كتسريب بيانات عبر أداة أو نشر محتوى خاطئ أو قرار متحيز، وحدد قناة الإبلاغ عنه. فإطار NIST يطلب إبلاغ الأطراف المعنية بالحوادث والأخطاء وتتبعها ومعالجتها وفق إجراءات موثقة. [1] واربط السياسة بتدريب إلزامي قصير، وحدد موعدًا لمراجعتها.
مثال افتراضي: جدول تصنيف الاستخدامات
مثال افتراضي: جهة خدمية متوسطة الحجم أعدت هذا الجدول ملحقًا بسياستها:
| الاستخدام | الفئة | الشرط |
|---|---|---|
| صياغة رسالة داخلية من معلومات عامة | مسموح | مراجعة الموظف قبل الإرسال |
| تلخيص محضر اجتماع يتضمن أسماء موظفين | مشروط | الأداة المعتمدة من الجهة فقط |
| ترجمة تعميم قبل نشره للجمهور | مشروط | مراجعة لغوية بشرية وإفصاح عند اللزوم |
| فرز طلبات التوظيف آليًا | عالي الخطورة | موافقة مسبقة، تقييم أثر، قرار بشري نهائي |
| إدخال وثيقة مصنفة سرية في أداة عامة | محظور | لا استثناء |
ميزة هذا الجدول أن الموظف يعرف الجواب في ثوانٍ، وأن أي استخدام جديد يُضاف إلى الفئة المناسبة بدل تعديل السياسة كلها.
كيف تطلق السياسة دون أن تبقى حبرًا على ورق؟
- احصر الواقع أولًا: استبيان قصير عن الأدوات المستخدمة فعلًا والأغراض.
- صغها بفريق مشترك: القانونية، وتقنية المعلومات، والأمن السيبراني، وحماية البيانات، والموارد البشرية، وممثل عن الإدارات المستخدِمة.
- اعتمدها من الإدارة العليا: فمعيار ISO/IEC 42001 يضع سياسة الذكاء الاصطناعي ضمن متطلبات القيادة. [4]
- وفر البديل المعتمد قبل المنع: أداة مؤسسية واحدة على الأقل.
- درّب ثم قِس: تدريب قصير بأمثلة من عمل الجهة، ثم مراجعة السجل والحوادث كل فترة.
ماذا يختلف بين دول الخليج؟
تختلف المرجعيات من دولة خليجية إلى أخرى، فلا تعمم مرجع دولة واحدة على غيرها. في السعودية، تعد مبادئ سدايا مرجعًا رئيسيًا للمبادئ وفئات الخطورة والأدوار، [5] وقد أصدرت الهيئة بعدها أدوات أخرى منها إطار وطني لإدارة مخاطر الذكاء الاصطناعي، فراجع أحدث إصداراتها قبل اعتماد السياسة. وفي الإمارات، تذكر البوابة الرسمية للحكومة دليلًا للذكاء الاصطناعي التوليدي يغطي الاستخدامات وخصوصية البيانات، وتذكر أن الحكومة استحدثت منصب الرئيس التنفيذي للذكاء الاصطناعي في الوزارات والجهات الاتحادية، ومن مهامه التخطيط الاستراتيجي ووضع أطر حوكمة تبني الذكاء الاصطناعي. [6] وفي بقية الدول، ارجع إلى الجهة الوطنية المعنية بالبيانات والذكاء الاصطناعي وإلى منظم قطاعك قبل اعتماد السياسة.
الخلاصة
سياسة استخدام الذكاء الاصطناعي الجيدة قصيرة بما يكفي ليقرأها الموظف، ومحددة بما يكفي ليجد فيها جوابًا عن موقفه اليومي. ابنها على البنود العشرة، واربطها بتصنيف البيانات، وصنّف الاستخدامات حسب الخطورة، ثم راجعها كلما تغيرت الأدوات أو المتطلبات.
أسئلة شائعة
هل إطار NIST لإدارة مخاطر الذكاء الاصطناعي ملزم؟
لا. أصدرته NIST في يناير 2023 للاستخدام الطوعي من الجهات التي تصمم أنظمة الذكاء الاصطناعي أو تطورها أو تنشرها أو تستخدمها. [1]
ما علاقة ISO/IEC 42001 بسياسة الاستخدام؟
المعيار يضع متطلبات لنظام إدارة الذكاء الاصطناعي في الجهة، ومنها بند خاص بسياسة الذكاء الاصطناعي ضمن متطلبات القيادة. فالسياسة الداخلية جزء من النظام، لا بديل عنه. [3، 4]
هل يكفي حظر أدوات الذكاء الاصطناعي التوليدي لتجنب المخاطر؟
الحظر الشامل يدفع الموظفين غالبًا إلى استخدام أدوات شخصية خارج رقابة الجهة. الأفضل توفير أدوات معتمدة وتحديد البيانات المسموح إدخالها والاستخدامات التي تحتاج إلى موافقة.
من يملك سياسة الذكاء الاصطناعي في الجهة؟
تحتاج السياسة إلى مالك واحد واضح يعتمدها من الإدارة العليا. وتنص مبادئ سدايا على أدوار مثل مسؤول الذكاء الاصطناعي المسؤول ومقيّم أنظمة الذكاء الاصطناعي. [5]
كل كم تُراجع السياسة؟
حدد موعد مراجعة دوريًا في السياسة نفسها، وراجعها أيضًا عند اعتماد أداة جديدة أو وقوع حادث أو صدور متطلبات تنظيمية جديدة.
المراجع
- NIST. Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1 (2023)
- NIST. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile, NIST AI 600-1 (2024)
- ISO/IEC (متجر IEC). ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system (2023)
- ISO/IEC (معاينة VDE Verlag). ISO/IEC 42001:2023 preview (table of contents) (2023)
- الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). AI Ethics Principles, Version 1.0 (2023)
- البوابة الرسمية لحكومة الإمارات. Artificial intelligence in government policies
دورات مقترحة
