يتحول المشهد التنظيمي نحو المساءلة في مجال الذكاء الاصطناعي

قامت جهة التنظيم المالي السعودية (SAMA) بدمج توقعات حوكمة الذكاء الاصطناعي في أحدث نسخة من إطار عملها للأمان السيبراني (SAMA CSF)، مما يتطلب من المؤسسات توثيق أصل نماذج الذكاء الاصطناعي والتحقق من سلامة بيانات التدريب والحفاظ على سجلات تدقيق للقرارات الخوارزمية. أشارت الهيئة الوطنية للأمن السيبراني (NCA) إلى أن الأنظمة المدفوعة بالذكاء الاصطناعي ستعامل كمكونات البنية التحتية الحرجة، وتخضع لنفس صرامة تقييم المخاطر والإبلاغ عن الحوادث مثل أصول تكنولوجيا المعلومات التقليدية.

بالنسبة للمؤسسات الخاضعة للتنظيم—خاصة في القطاعات المصرفية والتأمين والبنية التحتية الحرجة—هذا يعني أن الذكاء الاصطناعي لم يعد صومعة ابتكار تنافسي؛ بل أصبح التزاماً تنظيمياً. يجب على المنظمات التي تنشر نماذج اللغات الكبيرة (LLMs) أو مصنفات التعلم الآلي أو الأنظمة التوليدية للعمليات الموجهة للعملاء أو الخلفية أن تثبت أن هذه الأنظمة لا تدخل مخاطر أمان أو تشغيلية غير مضبوطة.

مخاطر الذكاء الاصطناعي الأساسية للكيانات الخاضعة للتنظيم

تسميم النموذج واختراق سلسلة التوريد

النماذج المدربة مسبقاً ومكونات الذكاء الاصطناعي من الجهات الخارجية شائعة في البيئات الخاضعة للتنظيم. إذا تم الحصول على نموذج من بائع غير موثوق به أو تم تدريبه على بيانات مخترقة، فإن القرارات اللاحقة—تسجيل الائتمان والكشف عن الاحتيال والتحكم في الوصول—يمكن أن تكون منحازة بشكل منهجي أو قابلة للاستغلال. يتطلب إطار SAMA CSF الآن تقييماً موثقاً للبائع والتحقق من النموذج قبل النشر.

حقن المطالب والالتفاف على الحماية

الأنظمة القائمة على LLM المستخدمة في خدمة العملاء أو الإبلاغ عن الامتثال أو تحليل التهديدات عرضة لهجمات حقن المطالب التي تجعل النموذج يتجاوز حماية السلامة أو يسرب معلومات حساسة. يجب على المؤسسات تنفيذ التحقق من المدخلات وتصفية المخرجات والتحكم في الوصول القائم على الأدوار حول أنظمة الذكاء الاصطناعي التوليدية.

تسرب البيانات من خلال التدريب

إذا تم استخدام البيانات الملكية أو بيانات العملاء لضبط نماذج الذكاء الاصطناعي الداخلية دون حوكمة بيانات مناسبة، فقد تكون هذه المعلومات قابلة للاسترجاع من خلال هجمات عكس النموذج أو هجمات الاستدلال على العضوية. يتطلب قانون حماية البيانات الشخصية السعودي (PDPL) والأنظمة المنفذة له موافقة صريحة وتحديد الغرض؛ يجب أن يمتثل تدريب الذكاء الاصطناعي لهذه المبادئ وإلا سيواجه إجراءات تطبيقية.

الهجمات العدائية وتجنب النموذج

نماذج التعلم الآلي المستخدمة في عمليات الأمان (أتمتة SOC والكشف عن الاختراق) يمكن خداعها بمدخلات مصممة بعناية. يمكن لمهاجم يفهم حدود قرار النموذج أن يصنع برامج ضارة أو حركة شبكة تتجنب الكشف. يعتبر المراقبة المستمرة للنموذج والاختبار العدائي ضروريين.

خطوات الامتثال العملية

الجرد والتصنيف: وثق جميع أنظمة الذكاء الاصطناعي المستخدمة، صنفها حسب مستوى المخاطر (عالي الخطورة: قرارات العملاء والكشف عن الاحتيال؛ متوسط الخطورة: التحليلات الداخلية؛ منخفض الخطورة: أدوات الإنتاجية)، وقم بمحاذاتها مع خط الأساس NCA ECC (الأساسيات والضوابط الأمنية).

حوكمة النموذج: أنشئ سجل نموذج مع التحكم في الإصدارات وأصل بيانات التدريب والمقاييس الأداء. اطلب الموافقة من فريق القانون والامتثال والأمان قبل نشر الإنتاج.

حوكمة البيانات: تأكد من تصنيف بيانات تدريب الذكاء الاصطناعي والموافقة عليها وخضوعها لقواعد الاحتفاظ والحذف بموجب PDPL. نفذ تقليل البيانات—استخدم فقط البيانات الضرورية لغرض النموذج.

المراقبة والاستجابة للحوادث: نشر المراقبة المستمرة لانجراف النموذج والهجمات العدائية والمخرجات الشاذة. قم بتضمين سيناريوهات محددة للذكاء الاصطناعي في خطة الاستجابة للحوادث وأبلغ عن الخروقات التي تتضمن أنظمة الذكاء الاصطناعي إلى NCA ضمن الإطار الزمني المطلوب.

إدارة الجهات الخارجية: قيّم بائعي الذكاء الاصطناعي ومزودي النماذج مقابل SAMA CSF ومتطلبات NCA. اطلب التزامات تعاقدية بشأن اختبار الأمان والكشف عن الثغرات ومعالجة البيانات.

النظر إلى الأمام

ستتخلف المؤسسات التي تعامل حوكمة الذكاء الاصطناعي كصندوق امتثال عن تلك التي تدمجها في ثقافة أمانها. يعني التقارب بين SAMA CSF وإشراف NCA وتطبيق PDPL أن مخاطر الذكاء الاصطناعي أصبحت الآن مخاطر المؤسسة. يجب على قادة الأمان أن يعطوا الأولوية لحوكمة الذكاء الاصطناعي في خارطة الطريق الخاصة بهم لعام 2026، وتخصيص ميزانية للأدوات والخبرة، والتأكد من أن مجلس الإدارة يفهم كلاً من الفرصة التجارية والحصة التنظيمية.