المشهد التنظيمي يتحول نحو المساءلة في مجال الذكاء الاصطناعي

تسارع اعتماد الذكاء الاصطناعي عبر الخدمات المالية والرعاية الصحية والبنية التحتية الحرجة في المملكة العربية السعودية، لكن أطر الحوكمة تأخرت عن الركب. قامت هيئة النقد السعودي (SAMA) والهيئة الوطنية للسيبرأمن (NCA) الآن بدمج توقعات مخاطر الذكاء الاصطناعي في أطر التحكم الخاصة بها، بينما يتناول قانون حماية البيانات الشخصية السعودي (PDPL) ولوائحه التنفيذية بشكل صريح عملية صنع القرار الآلي والشفافية الخوارزمية.

على عكس التوجيهات السابقة التي تعاملت مع الذكاء الاصطناعي كمخاطر تكنولوجية عامة، تتطلب التوقعات التنظيمية الحالية من المنظمات توثيق أصل نماذج الذكاء الاصطناعي والتحقق من سلامة بيانات التدريب والتأكد من الإشراف البشري على القرارات ذات التأثير العالي. يعكس هذا التحول إجماعاً عالمياً—مقنناً في ISO/IEC 42001 وإطار إدارة مخاطر الذكاء الاصطناعي من NIST—بأن أنظمة الذكاء الاصطناعي تقدم أنماط فشل وناقلات انحياز جديدة لا تعالجها ضوابط الأمان السيبراني التقليدية بالكامل.

مخاطر الأمان والحوكمة الرئيسية

يجب على قادة الأمان الآن أن يأخذوا في الاعتبار أسطح الهجوم الخاصة بالذكاء الاصطناعي:

  • تسميم البيانات واستخراج النموذج: يمكن للجهات الفاعلة في التهديدات التلاعب ببيانات التدريب أو سرقة النماذج الملكية، مما يضر بسلامة القرار والميزة التنافسية.
  • حقن الفحص والهروب: يمكن التلاعب بنماذج اللغة الكبيرة المنتشرة في سير العمل الموجه للعملاء أو الداخلي لتجاوز حواجز الأمان أو الكشف عن المعلومات الحساسة.
  • الانحياز الخوارزمي والتمييز: قد تنتهك النماذج المدربة على مجموعات بيانات منحرفة مبادئ العدالة في PDPL وتعرض المنظمة للمخاطر التنظيمية والسمعة.
  • نقص القابلية للشرح: يطالب المنظمون بشكل متزايد بالقابلية للتفسير في قرارات الذكاء الاصطناعي، خاصة في الإقراض والاكتتاب في التأمين وتقييم مخاطر العملاء.
  • اعتماديات النموذج من الجهات الخارجية: يقدم الاعتماد على بائعي الذكاء الاصطناعي الخارجيين أو النماذج مفتوحة المصدر مخاطر سلسلة التوريد وفقدان السيطرة على تحديثات النموذج والبقع الأمنية.

مواءمة حوكمة الذكاء الاصطناعي مع SAMA CSF و NCA ECC

يتوقع إطار SAMA للسيبرأمن والضوابط الأساسية للسيبرأمن من NCA الآن من المنظمات إنشاء وظيفة حوكمة الذكاء الاصطناعي مع مساءلة واضحة. يتضمن هذا:

  • جرد مخاطر الذكاء الاصطناعي مرتبط بعمليات العمل وتصنيف البيانات.
  • بروتوكول التحقق من النموذج والاختبار قبل النشر، بما في ذلك الاختبار العكسي وتدقيق الانحياز.
  • سياسات حوكمة البيانات الموثقة التي تضمن أن مجموعات بيانات التدريب تمثيلية ومأذون بها وقابلة للتدقيق.
  • المراقبة المستمرة لأداء النموذج واكتشاف الانجراف لتحديد التدهور أو السلوك الشاذ.
  • عملية تقييم البائع لأدوات الذكاء الاصطناعي من الجهات الخارجية، بما في ذلك البنود التعاقدية المتعلقة بالأمان وإقامة البيانات وإخطار الحوادث.

خطوات عملية لقادة الأمان

جرد وتصنيف أصول الذكاء الاصطناعي: خريطة جميع أنظمة الذكاء الاصطناعي قيد الاستخدام—بما في ذلك أدوات الذكاء الاصطناعي التوليدي ونماذج التعلم الآلي والمساعدات الافتراضية—وتصنيفها حسب المخاطر (القرارات عالية التأثير والبيانات الحساسة والموجهة خارجياً).

دمج الذكاء الاصطناعي في معمارية الأمان الخاصة بك: وسع ضوابط ISO/IEC 27001:2022 و PCI DSS 4.0 لتغطية أمان النموذج والنسب والحسب وحوكمة الوصول. تعامل مع البنية التحتية للذكاء الاصطناعي (خطوط أنابيب التدريب وسجلات النموذج ونقاط الاستدلال) بنفس الصرامة مثل الأنظمة الإنتاجية.

إنشاء مجلس حوكمة الذكاء الاصطناعي متعدد الوظائف: قم بتضمين السيبرأمن والامتثال وحوكمة البيانات وأصحاب المصلحة في الأعمال لمراجعة مبادرات الذكاء الاصطناعي قبل النشر ومراقبة المخاطر الجارية.

إجراء نمذجة التهديد الخاصة بالذكاء الاصطناعي: العمل مع SOC وفريق الاستخبارات التهديدية لتوقع الهجمات على أنظمة الذكاء الاصطناعي وتحديد قواعد الكشف لتسميم النموذج والأنماط الاستدلالية غير العادية والوصول غير المصرح به للنموذج.

توثيق وتدقيق: الاحتفاظ بسجلات لإصدارات النموذج ومصادر بيانات التدريب ونتائج التحقق وأي حوادث. يتوقع المنظمون الشفافية والتتبع.

آفاق المستقبل

حوكمة الذكاء الاصطناعي لم تعد اختيارية للمؤسسات الخاضعة للتنظيم في المملكة العربية السعودية ودول مجلس التعاون الخليجي. ستتجنب المنظمات التي تدمج ضوابط مخاطر الذكاء الاصطناعي في أطر الامتثال الخاصة بها الآن الإصلاح المكلف والإجراء التنظيمي لاحقاً. يخلق تقارب توقعات SAMA و NCA و PDPL ولاية واضحة: يجب على قادة الأمان امتلاك حوكمة الذكاء الاصطناعي، وليس تفويضها لفرق علوم البيانات وحدها.