سجل مخاطر الذكاء الاصطناعي: الأعمدة والمسؤولون ومثال جاهز للنسخ
سجل المخاطر الذي يعمل فعلاً فيه صف لكل استخدام للذكاء الاصطناعي، ومسؤول محدد لكل خطر، وموعد مراجعة يلتزم به الجميع. إليك 14 عموداً وثلاثة أدوار وجدول مراجعة ومثالاً كاملاً.
اسأل ثلاثة مديرين في مؤسستك: ما أدوات الذكاء الاصطناعي التي تصل إلى بيانات العملاء؟ إذا حصلت على ثلاث قوائم مختلفة، فهذا يعني أن سجل مخاطر الذكاء الاصطناعي في مؤسستك موجود على الورق فقط، أو غير موجود أصلاً. السجل الذي يعمل فعلاً جدول قصير ومشترك: صف لكل استخدام، وشخص محدد بالاسم لكل خطر، وقرار واضح للتعامل معه، وموعد مراجعة يلتزم به الجميع. في هذا المقال الأعمدة والمسؤولون وجدول المراجعة، ومثال لصف كامل يمكنك نسخه.
ما العلامات التي تدل على أن سجل المخاطر توقف عن العمل؟
يتوقف السجل عن العمل دون أن ينتبه أحد. وكل علامة من العلامات التالية تشير إلى إصلاح محدد.
- الصفوف تصف أدوات لا استخدامات. يظهر ChatGPT في صف واحد، مع أن فريق التسويق يكتب به المنشورات وفريق الموارد البشرية يفرز به السير الذاتية. المخاطر مختلفة، فيجب أن تختلف الصفوف.
- عمود المسؤول يذكر إدارة كاملة. لا يمكن أن تسأل "إدارة تقنية المعلومات" سؤالاً في اجتماع. كل خطر يحتاج إلى شخص واحد.
- فاتت مواعيد المراجعة. إذا لم يحدّث أحد الصف بعد أن غيّر المورد نموذجه أو شروطه، فالتقييم يصف نظاماً قديماً.
- كل المخاطر "متوسطة". عندما تحصل كل الصفوف على درجة متوسطة، فقد يدل ذلك على تقييم بحكم العادة لا بناءً على أدلة، فراجع بعضها في ضوء ما حدث فعلاً.
- لا يُغلق أي خطر ولا يُقبل. السجل الذي يكبر فقط يصبح قائمة مخاوف، لا سجل قرارات.
رأينا: حدّد أولاً ماذا يمثل كل صف. ننصح بصف لكل حالة استخدام، أي أداة يستخدمها فريق لغرض محدد، لا صف لكل نموذج أو مورد. الثمن عدد أكبر من الصفوف. والفائدة أن لكل صف مسؤولاً واضحاً وخطراً يمكن اختباره فعلاً.
ماذا تتوقع أطر NIST ومعايير ISO من السجل؟
لا يفرض أي إطار أعمدة بعينها، لكن الأطر الرئيسية تصف ما يجب أن يدعمه السجل. إطار NIST لإدارة مخاطر الذكاء الاصطناعي (الإصدار 1.0)، الصادر في 26 يناير 2023، إطار طوعي. وتقول NIST إنها تعمل الآن على تحديث الإصدار 1.0، فتأكد من وجود إصدار أحدث قبل أن تعتمد على أرقام البنود التالية. وفي دليل وظيفة الحوكمة (Govern) التابع له، يطلب البند GOVERN 1.6 وجود آليات لحصر أنظمة الذكاء الاصطناعي، أي إعداد قائمة بها. ويطلب البند GOVERN 1.5 متابعة ومراجعة دورية مخططاً لها لعملية إدارة المخاطر ونتائجها، مع تحديد الأدوار وعدد مرات المراجعة.
ويقول دليل وظيفة إدارة المخاطر (Manage) إن ترتيب أولوية المخاطر الموثقة يكون حسب الأثر أو الاحتمال أو الموارد المتاحة (MANAGE 1.2). ويذكر البند MANAGE 1.3 أن خيارات التعامل مع الخطر يمكن أن تشمل التخفيف أو النقل أو التجنب أو القبول. هذه الكلمات الأربع تصلح خيارات جاهزة لعمود "طريقة التعامل".
وفي الذكاء الاصطناعي التوليدي، يحدد ملف NIST للذكاء الاصطناعي التوليدي (NIST AI 600-1، يوليو 2024) 12 خطراً ينشئها هذا النوع من الذكاء الاصطناعي أو يزيدها سوءاً، منها اختلاق المعلومات وخصوصية البيانات وأمن المعلومات. استخدمها قائمة تذكير عند كتابة عمود الخطر.
أما معيار ISO/IEC 42001:2023، المنشور في 18 ديسمبر 2023، فيحدد متطلبات نظام إدارة الذكاء الاصطناعي. ويقدم معيار ISO/IEC 23894:2023، المنشور في فبراير 2023، إرشادات لإدارة مخاطر الذكاء الاصطناعي. والسجل هو المكان الذي يلتقي فيه الاثنان مع العمل اليومي. ويوضح مقالنا عن إطار عملي لحوكمة الذكاء الاصطناعي في السعودية والإمارات والأردن مكان السجل إلى جانب السياسة وصلاحيات اتخاذ القرار.
قالب سجل مخاطر الذكاء الاصطناعي: 14 عموداً
احفظ السجل في جدول بيانات مشترك أو في أداة الحوكمة والمخاطر والامتثال (GRC) التي تستخدمها اليوم. لا تبنِ برنامجاً جديداً له. يكفي 14 عموداً:
| العمود | ماذا تكتب فيه |
|---|---|
| 1. الرمز | رمز قصير لا يتغير، مثل AI-014. |
| 2. حالة الاستخدام | الأداة والغرض والفريق في سطر واحد. |
| 3. المسؤول عن الاستخدام | مدير الإدارة المعنية الذي قرر استخدام الذكاء الاصطناعي هنا. |
| 4. البيانات المعنية | فئات البيانات المعتمدة في مؤسستك، مثل عامة أو داخلية أو شخصية أو سرية (Confidential) وفق تصنيف الشركة. |
| 5. الخطر | ما الذي قد يحدث، مكتوباً على شكل سبب ثم حدث ثم نتيجة. |
| 6. نوع الخطر | مثل الخصوصية أو الأمن أو الدقة أو التحيز أو الجانب القانوني أو المورد أو التشغيل. |
| 7. الاحتمال | من 1 إلى 3 (منخفض، متوسط، مرتفع)، مع سبب في سطر واحد. |
| 8. الأثر | من 1 إلى 3، حسب أثره في العملاء والموظفين والمال والسمعة. |
| 9. الدرجة | الاحتمال مضروباً في الأثر، أي من 1 إلى 9. |
| 10. طريقة التعامل | تخفيف أو نقل أو تجنب أو قبول. |
| 11. الضوابط | ما هو مطبق الآن، وما هو مخطط له مع موعد التنفيذ. |
| 12. المسؤول عن الخطر | الشخص الذي يتولى معالجة الخطر، وقد يختلف عن المسؤول عن الاستخدام. |
| 13. الدرجة بعد الضوابط والموافقة | الدرجة المتبقية بعد الضوابط، ومن وافق على قبولها. |
| 14. المراجعة القادمة | تاريخ محدد، والأحداث التي تقدّم موعدها. |
ننصح بسلّم من 3 درجات بدلاً من 5. مع ثلاث درجات فقط تقل الحالات الحدّية التي يطول النقاش حولها، فنتوقع أن تسير المراجعة أسرع. والثمن تفاصيل أقل في أعلى السلّم، فإذا حصلت عدة مخاطر على 9، رتّبها يدوياً.
من المسؤول عن كل صف، ومن المسؤول عن السجل كله؟
ثلاثة أدوار تحافظ على السجل محدّثاً. حددها في سياسة الذكاء الاصطناعي، لا في جدول البيانات فقط.
- المسؤول عن الاستخدام. المدير الذي يدير العملية. يوضح ماذا يفعل الذكاء الاصطناعي، وما البيانات التي يصل إليها، ومتى يتغير الاستخدام.
- المسؤول عن الخطر. الشخص الذي يتولى معالجة خطر معين. في خطر تسرّب البيانات قد يكون مسؤول أمن المعلومات، وفي خطر الإجابات الخاطئة قد يكون رئيس خدمة العملاء.
- أمين السجل. شخص واحد في إدارة المخاطر أو الامتثال أو فريق الذكاء الاصطناعي. يتابع المراجعات المتأخرة، ويتأكد من اتساق الدرجات، ويرفع أهم المخاطر إلى الإدارة العليا.
أمين السجل لا يتحمل المخاطر نفسها. فإذا صار مسؤولاً عن كل شيء، يميل مديرو الأعمال إلى التوقف عن قراءة السجل. مهمته أن يتابع المسؤولين حتى يقوم كل منهم بما عليه.
تأتي الصفوف الجديدة من حصر أدوات الذكاء الاصطناعي. وإذا كنت لا تعرف بعد ما يستخدمه الموظفون، فابدأ بدليلنا عن اكتشاف الذكاء الاصطناعي غير المعتمد وحوكمته، ثم أضف صفاً لكل استخدام معتمد.
مثال لصف من سجل مخاطر الذكاء الاصطناعي
هذا الصف للتوضيح فقط. تخيّل بنكاً متوسط الحجم في الأردن يجيب عن أسئلة العملاء عبر روبوت محادثة بالعربية على موقعه.
| العمود | مثال |
|---|---|
| الرمز | AI-007 |
| حالة الاستخدام | روبوت محادثة بالعربية يجيب عن أسئلة البطاقات والحسابات على الموقع العام (الخدمات المصرفية للأفراد). |
| المسؤول عن الاستخدام | رئيس خدمة العملاء |
| البيانات المعنية | معلومات عامة عن المنتجات، وقد يكتب العملاء بيانات شخصية. |
| الخطر | يذكر النموذج رسماً أو شرطاً خاطئاً بثقة، فيتصرف العميل بناءً عليه ثم يقدّم شكوى. |
| نوع الخطر | الدقة (اختلاق المعلومات في NIST AI 600-1)، ومخاطر السلوك المهني |
| الاحتمال / الأثر / الدرجة | 2 / 3 / 6 |
| طريقة التعامل | تخفيف |
| الضوابط | إجابات من صفحات المنتجات المعتمدة فقط؛ تحويل المحادثة إلى موظف في الرسوم والنزاعات؛ اختبار شهري من 50 سؤالاً باللهجة المحلية. مخطط له: مراجعة أسبوعية يجريها فريق الامتثال لعينة من المحادثات، تبدأ خلال 30 يوماً. |
| المسؤول عن الخطر | مسؤول جودة خدمة العملاء |
| الدرجة بعد الضوابط والموافقة | 2 (1 / 2)، وافق عليها الرئيس التنفيذي للمخاطر |
| المراجعة القادمة | كل ثلاثة أشهر، أو قبل ذلك عند تغيير النموذج أو إطلاق منتج جديد أو ورود شكوى مرتبطة بالروبوت |
لاحظ ما لا يقوله هذا الصف. لا يكتفي بعبارة "قد يخطئ الذكاء الاصطناعي". بل يحدد الحدث والنتيجة والاختبار الذي يبيّن ما إذا كان الضابط يعمل.
ومثال توضيحي ثانٍ: شركة تجزئة عائلية في الرياض تسمح لفريق المشتريات بكتابة رسائل الموردين عبر Microsoft Copilot. الخطر الرئيسي أن تُنسخ أسعار الموردين غير المعلنة إلى المراسلة الخطأ. طريقة التعامل هي التخفيف عبر تصنيفات حساسية الملفات وإرشادات للموظفين، والدرجة 4 قبل الضوابط و2 بعدها. صف واحد ومسؤولان.
كم مرة تراجع السجل؟
اجمع بين موعد ثابت وأحداث تستدعي المراجعة. الموعد الثابت وحده يفوّت التغييرات المفاجئة، والأحداث وحدها تترك المخاطر الهادئة دون متابعة.
- كل شهر، لمدة 30 دقيقة. يراجع أمين السجل الصفوف المتأخرة وأي استخدامات جديدة ظهرت في الحصر.
- كل ثلاثة أشهر، مع المسؤولين. أعد تقييم كل صف درجته 6 أو أكثر، وأغلق صفوف الاستخدامات التي توقفت.
- مرتين في السنة، للإدارة العليا. اعرض أهم المخاطر والمخاطر المقبولة والضوابط المتأخرة على اللجنة التنفيذية أو لجنة المخاطر في مجلس الإدارة.
- في أي وقت يقع فيه حدث مهم. مثل تغيير النموذج أو المورد، أو نوع جديد من البيانات، أو معالجة البيانات في بلد جديد، أو حادثة أو شكوى، أو قانون أو تعليمات جديدة من جهة تنظيمية.
تختلف قواعد حماية البيانات الشخصية حسب البلد والقطاع. فلكل من السعودية والإمارات والأردن تشريع لحماية البيانات الشخصية، لكن نطاقها يختلف. فالقانون الاتحادي الإماراتي لا يطبَّق في المناطق الحرة التي لها قوانينها الخاصة مثل DIFC وADGM، ويترك بعض القطاعات مثل البيانات الصحية والمصرفية لتشريعاتها الخاصة. وقد تضيف الجهات التنظيمية القطاعية متطلبات أخرى. هذه معلومات عامة وليست استشارة قانونية، والتزاماتك تتوقف على قطاعك ونوع بياناتك. وتوضح صفحة حماية البيانات الشخصية والجهات التنظيمية كيف نساعد الفرق على الاستعداد.
كيف تبدأ سجل مخاطر الذكاء الاصطناعي هذا الشهر؟
ابدأ بخطوة صغيرة. اختر الاستخدامات الخمسة التي تصل إلى أكبر قدر من بيانات العملاء أو البيانات الشخصية. اكتب صفاً لكل منها مع المسؤولين، واحجز موعد أول مراجعة ربع سنوية الآن. ثم أضف الباقي كلما اتسع الحصر.
وإذا أردت مساعدة، فخدمة إرساء حوكمة الذكاء الاصطناعي والامتثال (GB4) تغطي السياسة وصلاحيات القرار وسجلات الذكاء الاصطناعي والمخاطر والتوافق مع قوانين حماية البيانات الشخصية. وهي جزء من مختبر الحوكمة. ولتحديد خطوتك الأولى، احجز مسح واقع الذكاء الاصطناعي في شركتكم: محادثة مجانية مدتها 45 دقيقة تنتهي بخطوة تالية مكتوبة.
أسئلة شائعة
ما الفرق بين حصر أدوات الذكاء الاصطناعي وسجل مخاطر الذكاء الاصطناعي؟
الحصر قائمة بأدوات الذكاء الاصطناعي واستخداماتها، ومن يستخدمها، وما البيانات التي تصل إليها. أما سجل المخاطر فيأخذ كل استخدام معتمد من هذه القائمة ويكتب ما قد يحدث من خطأ، واحتماله وأثره، وطريقة التعامل معه، والضوابط، والشخص المسؤول عنه. الحصر يغذّي السجل، لذلك اربط بينهما برمز واحد لكل استخدام.
من المسؤول عن سجل مخاطر الذكاء الاصطناعي؟
يتولى أمين سجل واحد، غالباً في إدارة المخاطر أو الامتثال أو فريق الذكاء الاصطناعي، تحديث السجل ومتابعة المراجعات المتأخرة ورفع أهم المخاطر إلى الإدارة العليا. لكنه لا يتحمل المخاطر نفسها. فلكل خطر مسؤول محدد بالاسم، مثل مسؤول أمن المعلومات في خطر تسرّب البيانات، أو رئيس خدمة العملاء في خطر الإجابات الخاطئة.
كم مرة يجب مراجعة سجل المخاطر؟
ننصح بمراجعة شهرية قصيرة يجريها أمين السجل، وإعادة تقييم كل ثلاثة أشهر للمخاطر الأعلى درجة مع المسؤولين عنها، وتقرير للإدارة العليا مرتين في السنة. وراجع الصف فوراً عند وقوع حدث مهم، مثل تغيير النموذج أو المورد، أو استخدام نوع جديد من البيانات، أو حادثة أو شكوى، أو قانون أو تعليمات جديدة من جهة تنظيمية.
هل يفرض NIST أو ISO شكلاً محدداً لسجل المخاطر؟
لا. إطار NIST لإدارة مخاطر الذكاء الاصطناعي بإصداره 1.0 طوعي ولا يحدد أعمدة بعينها، لكن دليله يطلب حصر الأنظمة والمراجعة الدورية وتوثيق طريقة التعامل مع المخاطر. ويحدد معيار ISO/IEC 42001:2023 متطلبات نظام إدارة الذكاء الاصطناعي، ويقدم ISO/IEC 23894:2023 إرشادات لإدارة مخاطره. اختر الشكل الذي يناسب طريقة إدارة المخاطر في مؤسستك.
تصلكم مقالاتنا الجديدة بالبريد
رسالة واحدة عند نشر ما يفيدكم، بلا إزعاج، ويمكنكم إلغاء الاشتراك في أي وقت.
الخدمات في هذا المقال
المختبر المرتبط: مختبر الحوكمة ↖
