تحول المشهد التنظيمي

أصبح الذكاء الاصطناعي جزءاً لا يتجزأ من التحول الرقمي عبر قطاعات الخدمات المالية والاتصالات والرعاية الصحية والطاقة في دول مجلس التعاون. ومع ذلك، فإن النشر السريع لأنظمة الذكاء الاصطناعي—من نماذج اللغات الكبيرة إلى محركات اتخاذ القرار الآلية—قد تجاوز نضج الحوكمة في العديد من المؤسسات. والمنظمون يلحقون بسرعة.

أشارت البنك المركزي السعودي (SAMA) والهيئة الوطنية للأمن السيبراني (NCA) إلى توقعات واضحة: يجب أن تخضع أنظمة الذكاء الاصطناعي للحوكمة بنفس الصرامة المطبقة على أي عملية تجارية حرجة. يتطلب إطار الأمن السيبراني المحدّث (CSF) الخاص بـ SAMA من المؤسسات المالية الآن تقييم ومراقبة المخاطر المرتبطة بالذكاء الاصطناعي، بما في ذلك انجراف النموذج والتسمم البيانات والهجمات العدائية. يفرض إطار الضوابط الأساسية للأمن السيبراني (ECC) التابع لـ NCA على المؤسسات توثيق مصدر نظام الذكاء الاصطناعي والتحقق من سلامة بيانات التدريب والحفاظ على سجلات تدقيق لقرارات النموذج.

تضيف قانون حماية البيانات الشخصية السعودي (PDPL) ولوائحه التنفيذية طبقة أخرى: يجب على المؤسسات التي تنشر الذكاء الاصطناعي للتنميط أو اتخاذ القرار الآلي أو معالجة البيانات أن تثبت الأساس القانوني وتحصل على الموافقة الصريحة عند الضرورة وتضمن الشفافية. وقد أوضح المنظمون أن أنظمة الذكاء الاصطناعي "غير الشفافة" التي لا تستطيع شرح مخرجاتها تشكل مخاطر امتثال غير مقبولة.

الفجوات الأساسية في الأمان والحوكمة

تفتقر معظم المؤسسات الخاضعة للتنظيم اليوم إلى حوكمة ذكاء اصطناعي ناضجة. تشمل الثغرات الشائعة:

  • التحقق من النموذج غير الكافي: تنشر المؤسسات الذكاء الاصطناعي دون اختبار صارم للانحياز والقوة والمرونة في مواجهة الهجمات. قد يؤدي النموذج المدرب على بيانات تاريخية منحرفة إلى استمرار التمييز بينما تحمل المنظمون مسؤولية المؤسسة.
  • الإشراف الضعيف على سلسلة التوريد: غالباً ما تدخل نماذج الذكاء الاصطناعي من جهات خارجية وواجهات برمجية التطبيقات والأوزان المدربة مسبقاً البيئة بالحد الأدنى من الفحص. يمكن للنماذج المخترقة أو المسممة أن تفسد القرارات اللاحقة عبر ملايين المعاملات.
  • المراقبة والاستجابة غير الكافية للحوادث: بمجرد النشر، غالباً ما تفتقر أنظمة الذكاء الاصطناعي إلى المراقبة في الوقت الفعلي أو إجراءات التراجع السريع. قد يستمر تدهور النموذج أو هجمات الاستدلال أو هجمات حقن الأوامر دون اكتشاف.
  • عدم توافق المساءلة: غالباً ما تقع مسؤولية مخاطر الذكاء الاصطناعي بين فريق الأعمال وعلوم البيانات والأمن، مع عدم وجود مالك واضح للامتثال التنظيمي أو تصعيد الحوادث.

المواءمة مع إطار SAMA CSF و NCA ECC

يتطلب الامتثال نهجاً منظماً. يجب على المؤسسات:

  • تأسيس مجلس حوكمة الذكاء الاصطناعي بتمثيل من فرق الأمن والامتثال وعلوم البيانات والأعمال. يمتلك هذا المجلس سجل مخاطر الذكاء الاصطناعي ويوافق على نشر النموذج ويضمن المواءمة مع متطلبات SAMA CSF و NCA ECC.
  • إجراء تقييمات مخاطر الذكاء الاصطناعي لكل نموذج في الإنتاج. توثيق مصادر بيانات التدريب والتحقق من سلوك النموذج في ظروف عدائية وتحديد الأضرار اللاحقة (مثل قرارات الإقراض التمييزية). ربط النتائج بعائلات التحكم في SAMA CSF ومجالات NCA ECC.
  • تطبيق أدوات مراقبة وحوكمة النموذج. نشر الحلول التي تتبع انجراف أداء النموذج وتكتشف هجمات وقت الاستدلال وتسجل جميع القرارات للتدقيق. الدمج مع مركز العمليات الأمنية (SOC) وسير عمل الاستجابة للحوادث.
  • دمج امتثال PDPL من التصميم. إجراء تقييمات تأثير حماية البيانات (DPIAs) لأنظمة الذكاء الاصطناعي التي تعالج البيانات الشخصية. توثيق الأساس القانوني وآليات الموافقة وحقوق المستخدم (الوصول والتصحيح والحذف). ضمان القابلية للشرح للقرارات الآلية التي تؤثر على الأفراد.
  • تأمين سلسلة توريد الذكاء الاصطناعي. فحص نماذج الجهات الخارجية وواجهات برمجية التطبيقات والمجموعات البيانات. طلب من البائعين تقديم بطاقات النموذج وتوثيق بيانات التدريب والشهادات الأمنية. ربط البائعين تعاقدياً بمعايير الأمن والامتثال الخاصة بك.

النظر إلى الأمام

يشير تقارب متطلبات SAMA و NCA و PDPL إلى أن حوكمة الذكاء الاصطناعي لم تعد اختيارية—بل هي ضرورة أساسية للأمن والامتثال. ستتنقل المؤسسات التي تدمج إدارة مخاطر الذكاء الاصطناعي في نطاق اختصاص رئيس الأمن المعلوماتي (CISO) والمواءمة مع الأطر الحالية والحفاظ على عمليات ذكاء اصطناعي شفافة وقابلة للتدقيق عبر البيئة التنظيمية بثقة. أما المؤسسات التي تعامل الذكاء الاصطناعي كمبادرة تقنية أو تجارية بحتة، منفصلة عن الأمن والامتثال، فستواجه ضغوطاً تنظيمية متصاعدة ومخاطر تشغيلية.

الوقت للعمل هو الآن.