📚 قاعدة المعرفة

أنشأت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) مبادئ شاملة لأخلاقيات الذكاء الاصطناعي متوافقة مع أهداف التحول الرقمي لرؤية 2030. تشمل متطلبات الامتثال الرئيسية: (1) العدالة وعدم التمييز - يجب تصميم أنظمة الذكاء الاصطناعي لمنع التحيز وضمان المعاملة العادلة لجميع الفئات الديموغرافية، مع اهتمام خاص بالاعتبارات الثقافية واللغوية في السياق السعودي. (2) الشفافية وقابلية التفسير - يجب على المؤسسات توثيق عمليات اتخاذ القرار بالذكاء الاصطناعي وتقديم تفسيرات واضحة لكيفية توصل أنظمة الذكاء الاصطناعي للاستنتاجات، خاصة في المجالات عالية التأثير مثل الخدمات المالية والرعاية الصحية والخدمات الحكومية. (3) الخصوصية وحماية البيانات - يجب أن تمتثل تطبيقات الذكاء الاصطناعي لنظام حماية البيانات الشخصية السعودي ولوائحه التنفيذية، مع ضمان جمع البيانات ومعالجتها وتخزينها بشكل قانوني مع آليات موافقة مناسبة. (4) المساءلة والحوكمة - يجب على المؤسسات إنشاء هياكل حوكمة واضحة بأدوار محددة للإشراف على الذكاء الاصطناعي، بما في ذلك عمليات التدقيق المنتظمة وتقييمات الأثر. (5) السلامة والأمن - يجب أن تتضمن أنظمة الذكاء الاصطناعي ضوابط أمن سيبراني قوية متوافقة مع الضوابط الأساسية للأمن السيبراني للمركز الوطني للأمن السيبراني وتخضع لتقييمات المخاطر وفقاً لأطر مثل ISO/IEC 42001 لأنظمة إدارة الذكاء الاصطناعي. (6) الوكالة البشرية والرقابة - يجب أن تحافظ القرارات الحرجة على سيطرة بشرية ذات مغزى، خاصة في القطاعات المنظمة من قبل البنك المركزي السعودي حيث تؤثر القرارات الآلية على حقوق العملاء. يجب على المؤسسات تنفيذ لجان أخلاقيات الذكاء الاصطناعي، وإجراء عمليات تدقيق خوارزمية منتظمة، والحفاظ على توثيق شامل، وإنشاء إجراءات الاستجابة للحوادث المتعلقة بفشل الذكاء الاصطناعي أو الانتهاكات الأخلاقية.

يجب على المؤسسات المالية دمج مبادئ أخلاقيات الذكاء الاصطناعي لسدايا مع الإطار السيبراني للبنك المركزي السعودي (SAMA CSF) لضمان الامتثال الشامل. تشمل خطوات التنفيذ الرئيسية: (1) تكامل الحوكمة - إنشاء لجنة أخلاقيات الذكاء الاصطناعي ترفع تقاريرها لمجلس الإدارة، تعمل جنباً إلى جنب مع لجنة أمن المعلومات المطلوبة من قبل الإطار السيبراني للبنك المركزي. يجب أن تضم هذه اللجنة علماء بيانات ومسؤولي امتثال ومديري مخاطر وخبراء قانونيين للإشراف على نشر الذكاء الاصطناعي في تسجيل الائتمان وكشف الاحتيال وروبوتات خدمة العملاء وأنظمة التداول الآلي. (2) إطار تقييم المخاطر - إجراء تقييمات مخاطر خاصة بالذكاء الاصطناعي باستخدام منهجيات متوافقة مع كل من مجالات إدارة المخاطر في الإطار السيبراني للبنك المركزي وإطار إدارة مخاطر الذكاء الاصطناعي من NIST. تقييم المخاطر بما في ذلك التحيز الخوارزمي في قرارات الإقراض، وانتهاكات خصوصية البيانات، وانحراف النموذج، والهجمات العدائية على أنظمة الذكاء الاصطناعي، وأخطاء القرارات الآلية التي تؤثر على حقوق العملاء. توثيق خطط معالجة المخاطر والحصول على الموافقات المناسبة. (3) حوكمة البيانات والخصوصية - تنفيذ ضوابط حوكمة البيانات التي تلبي متطلبات أمن البيانات في الإطار السيبراني للبنك المركزي والامتثال لنظام حماية البيانات الشخصية. التأكد من جمع بيانات تدريب الذكاء الاصطناعي بشكل قانوني مع الموافقة المناسبة، وإخفاء الهوية عند الاقتضاء، وحمايتها بالتشفير أثناء التخزين والنقل. الحفاظ على توثيق نسب البيانات وتنفيذ مبادئ تقليل البيانات. (4) شفافية النموذج وقابلية التفسير - لأنظمة الذكاء الاصطناعي التي تتخذ قرارات بشأن الائتمان أو التأمين أو أهلية العملاء، تنفيذ تقنيات الذكاء الاصطناعي القابل للتفسير (XAI) التي يمكنها تقديم مبررات واضحة. الحفاظ على بطاقات النموذج التي توثق الاستخدام المقصود وخصائص بيانات التدريب ومقاييس الأداء والقيود المعروفة. التأكد من أن العملاء يمكنهم طلب تفسيرات للقرارات الآلية كما هو مطلوب بموجب حقوق نظام حماية البيانات الشخصية. (5) الاختبار والتحقق - إنشاء بروتوكولات اختبار صارمة بما في ذلك اختبار التحيز عبر المجموعات الديموغرافية، والاختبار العدائي لنقاط الضعف الأمنية، والتحقق من الأداء مقابل مجموعات بيانات متنوعة. إجراء عمليات تدقيق منتظمة للنموذج والحفاظ على التحكم في الإصدار. (6) المراقبة والاستجابة للحوادث - تنفيذ مراقبة مستمرة لتدهور أداء النموذج وانحراف التحيز والحوادث الأمنية. دمج حوادث الذكاء الاصطناعي في خطة الاستجابة للحوادث المطلوبة من قبل الإطار السيبراني للبنك المركزي، مع إجراءات محددة لخروقات البيانات المتعلقة بالذكاء الاصطناعي أو النتائج التمييزية. (7) إدارة مخاطر الذكاء الاصطناعي من طرف ثالث - عند استخدام خدمات الذكاء الاصطناعي من البائعين، إجراء العناية الواجبة بشأن ممارساتهم الأخلاقية ومعالجة البيانات والضوابط الأمنية. التأكد من أن العقود تتضمن أحكاماً للتدقيق وحماية البيانات والامتثال للوائح السعودية. يتوافق هذا مع متطلبات إدارة مخاطر الطرف الثالث في الإطار السيبراني للبنك المركزي. يجب على المؤسسات المالية الرجوع إلى ISO/IEC 42001 لأنظمة إدارة الذكاء الاصطناعي والحفاظ على التوثيق الذي يثبت الامتثال لكل من مبادئ أخلاقيات سدايا والمتطلبات التنظيمية للبنك المركزي السعودي.

يحدد إطار أخلاقيات الذكاء الاصطناعي الصادر عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) سبعة مبادئ أساسية للتطوير والنشر المسؤول للذكاء الاصطناعي في المملكة العربية السعودية: (1) العدالة وعدم التمييز - ضمان معاملة أنظمة الذكاء الاصطناعي لجميع الأفراد بإنصاف دون تحيز بناءً على الخصائص المحمية؛ (2) الشفافية وقابلية التفسير - جعل عمليات اتخاذ القرار بالذكاء الاصطناعي مفهومة وقابلة للمراجعة؛ (3) الخصوصية وحماية البيانات - التوافق مع متطلبات نظام حماية البيانات الشخصية في التعامل مع البيانات الشخصية؛ (4) السلامة والأمن - تنفيذ ضوابط قوية ضد الاستخدام الضار والأضرار غير المقصودة؛ (5) المساءلة - إنشاء سلاسل مسؤولية واضحة لنتائج الذكاء الاصطناعي؛ (6) الوكالة البشرية والإشراف - الحفاظ على سيطرة بشرية فعالة على القرارات الحرجة؛ و(7) الرفاهية المجتمعية والبيئية - ضمان مساهمة الذكاء الاصطناعي بشكل إيجابي في أهداف رؤية 2030. يجب على المؤسسات إجراء تقييمات أثر أخلاقيات الذكاء الاصطناعي، وتنفيذ هياكل الحوكمة، وتوفير التدريب على الأخلاقيات، والحفاظ على الوثائق التي تثبت الامتثال لهذه المبادئ طوال دورة حياة الذكاء الاصطناعي.

يجب على المؤسسات المالية دمج الامتثال لأخلاقيات الذكاء الاصطناعي من سدايا مع متطلبات الإطار السيبراني لساما من خلال نهج حوكمة موحد. تشمل مجالات المواءمة الرئيسية: (1) حوكمة البيانات (مجال 1.3 من الإطار السيبراني لساما) - تنفيذ ضوابط جودة البيانات الخاصة بالذكاء الاصطناعي، واكتشاف التحيز في مجموعات بيانات التدريب، وتتبع محسّن لنسب البيانات متوافق مع المادة 6 من نظام حماية البيانات الشخصية؛ (2) إدارة المخاطر (مجال 2) - إجراء تقييمات مخاطر خاصة بالذكاء الاصطناعي تغطي التحيز الخوارزمي، وانحراف النموذج، والمخاطر الأخلاقية إلى جانب التهديدات السيبرانية التقليدية؛ (3) إدارة الأطراف الثالثة (مجال 3) - تقييم موردي الذكاء الاصطناعي للامتثال الأخلاقي، مع طلب التزامات تعاقدية بمبادئ سدايا وحقوق المراجعة لنماذج الذكاء الاصطناعي؛ (4) مخاطر التقنية (مجال 5) - تنفيذ أطر التحقق من صحة النماذج، وأدوات قابلية التفسير، والمراقبة المستمرة لأنظمة الذكاء الاصطناعي المستخدمة في قرارات الائتمان، واكتشاف الاحتيال، وخدمة العملاء؛ (5) إدارة الحوادث - وضع بروتوكولات لحوادث أخلاقيات الذكاء الاصطناعي بما في ذلك اكتشاف التحيز، والنتائج غير العادلة، وانتهاكات الخصوصية. يجب أن تثبت الوثائق كيف تلبي أنظمة الذكاء الاصطناعي متطلبات المرونة التشغيلية لساما والمبادئ الأخلاقية لسدايا، مع تقديم تقارير منتظمة للجان حوكمة الذكاء الاصطناعي على مستوى مجلس الإدارة.

يجب على مشغلي البنية التحتية الحرجة (بموجب الضوابط الأساسية للأمن السيبراني من الهيئة الوطنية للأمن السيبراني ECC-1:2018 وECC-2:2021) الذين ينشرون أنظمة الذكاء الاصطناعي الاحتفاظ بوثائق شاملة تثبت الامتثال لأخلاقيات سدايا: (1) جرد أنظمة الذكاء الاصطناعي - سجل مفصل لجميع تطبيقات الذكاء الاصطناعي بما في ذلك الغرض، ومصادر البيانات، ومستوى سلطة اتخاذ القرار، وتصنيف المخاطر؛ (2) تقييمات الأثر الأخلاقي - تقييمات إلزامية قبل النشر توثق المخاطر الأخلاقية المحتملة، ونتائج اختبار التحيز، ومقاييس العدالة، واستراتيجيات التخفيف، تُحدث سنويًا أو عند تعديل الأنظمة؛ (3) سجلات حوكمة البيانات - دليل على ضوابط جودة البيانات، وإدارة الموافقة متوافقة مع المواد 4-6 من نظام حماية البيانات الشخصية، وممارسات تقليل البيانات، وعمليات تدقيق التحيز لمجموعات بيانات التدريب؛ (4) توثيق النماذج - المواصفات التقنية، ومنهجيات التدريب، ومقاييس الأداء، وآليات قابلية التفسير، ونتائج اختبارات التحقق؛ (5) بروتوكولات الإشراف البشري - إجراءات موثقة للمراجعة البشرية لقرارات الذكاء الاصطناعي في السيناريوهات الحرجة (التشخيصات الصحية، التصاريح الأمنية، التحكم في البنية التحتية)؛ (6) سجلات الحوادث - سجلات انتهاكات أخلاقيات الذكاء الاصطناعي، وحوادث التحيز، والنتائج غير العادلة، وإجراءات المعالجة؛ (7) الشهادات من الأطراف الثالثة - شهادات امتثال الموردين وتقارير المراجعة المستقلة. يجب أن تتحقق عمليات المراجعة السنوية من التوافق مع مبادئ سدايا وضوابط الهيئة الوطنية للأمن السيبراني (خاصة المجال 4 من ECC-2 حول التقنيات الناشئة)، مع الإبلاغ عن النتائج لسدايا والجهات التنظيمية القطاعية ذات الصلة. قد يؤدي عدم الامتثال إلى قيود تشغيلية بموجب مبادرات التحول الرقمي لرؤية 2030.