قانون الذكاء الاصطناعي الأوروبي لفرق الأمن: حوكمة الذكاء الاصطناعي دون إبطاء الابتكار

مشكلة حوكمة الذكاء الاصطناعي وصلت للتو إلى مكتبك

دخل قانون الذكاء الاصطناعي الأوروبي (اللائحة (الاتحاد الأوروبي) 2024/1689) حيز التنفيذ في 1 أغسطس 2024، مع تطبيق تدريجي يمتد حتى عامي 2026 و2027. الموجة الأولى من الالتزامات (حظر ممارسات الذكاء الاصطناعي غير المقبولة المخاطر، والشفافية بالنسبة لنماذج الذكاء الاصطناعي ذات الغرض العام) سارية بالفعل منذ فبراير 2025. أما متطلبات أنظمة الذكاء الاصطناعي عالية المخاطر فستدخل حيز التنفيذ الكامل اعتبارًا من أغسطس 2026.

إذا كنت مسؤول أمن المعلومات (CISO)، فأنت الآن المالك الفعلي لحوكمة الذكاء الاصطناعي في معظم المؤسسات. ليس لأن التشريع ينص على ذلك، بل لأن:

• أنت بالفعل تدير أطر تصنيف المخاطر.
• أنت بالفعل تجري تقييمات تقنية للأنظمة قبل نشرها.
• لديك بالفعل إدارة مخاطر الموردين لمزوّدي خدمات SaaS.
• أنت بالفعل تُنتج أدلة إثبات للمدققين.

هذه بالضبط هي الأسس التشغيلية التي يتوقع قانون الذكاء الاصطناعي من المؤسسات تطبيقها على أنظمة الذكاء الاصطناعي. حوكمة الذكاء الاصطناعي هي في معظمها امتداد لممارسات الأمن وإدارة المخاطر القائمة، شريطة القيام بها بشكل متعمّد لا عرضي.

نموذج مستويات المخاطر

يصنّف قانون الذكاء الاصطناعي أنظمة الذكاء الاصطناعي إلى أربعة مستويات، بالتزامات مختلفة جدًا:

• مخاطر غير مقبولة: محظورة تمامًا. أمثلة: التصنيف الاجتماعي من قبل السلطات العامة، التعرّف البيومتري في الوقت الفعلي في الأماكن العامة (باستثناءات ضيقة)، التعرّف على المشاعر في أماكن العمل والمدارس، الذكاء الاصطناعي الذي يتلاعب بالسلوك عبر تقنيات لا شعورية.
• مخاطر عالية: التزامات جوهرية. أمثلة: الذكاء الاصطناعي في البنية التحتية الحيوية، التعليم والتدريب المهني، التوظيف وإدارة العمال، إنفاذ القانون، الهجرة ومراقبة الحدود، إقامة العدل، بعض عمليات التصنيف البيومتري، بعض الأجهزة الطبية.
• مخاطر محدودة: التزامات الشفافية. أمثلة: روبوتات المحادثة، أنظمة التعرّف على المشاعر (حيثما يُسمح بها)، المحتوى المُولَّد بالذكاء الاصطناعي (يجب وسم عمليات التزييف العميق).
• مخاطر ضئيلة: لا التزامات محددة. تندرج معظم استخدامات الذكاء الاصطناعي الداخلية لأغراض الإنتاجية ضمن هذه الفئة.

المهمة العملية الأولى لأي مسؤول أمن معلومات هي تصنيف أنظمة الذكاء الاصطناعي المستخدمة عبر المؤسسة. يُفاجأ معظم مسؤولي أمن المعلومات باكتشاف أن مؤسستهم تستخدم من الذكاء الاصطناعي أكثر بكثير مما تدركه الإدارة العليا، بما في ذلك الذكاء الاصطناعي المدمج في منتجات SaaS التي قد تدخل الآن ضمن نطاق التنظيم.

التزامات المخاطر العالية (الجزء الذي يستهلك الميزانية)

بالنسبة لأنظمة الذكاء الاصطناعي عالية المخاطر، يفرض القانون مجموعة ضوابط واسعة:

• نظام إدارة المخاطر طوال دورة حياة الذكاء الاصطناعي.
• حوكمة البيانات: يجب أن تستوفي بيانات التدريب والتحقق والاختبار معايير الجودة.
• توثيق تقني يُثبت الامتثال.
• حفظ السجلات: تسجيل تلقائي للأحداث.
• الشفافية وتوفير المعلومات للمشغّلين.
• الإشراف البشري: تدابير تُمكّن من إشراف بشري فعّال.
• الدقة والمتانة والأمن السيبراني: بمستوى مناسب للغرض المقصود.
• تقييم المطابقة: رقابة داخلية أو تقييم من طرف ثالث حسب فئة الذكاء الاصطناعي.
• علامة CE قبل طرح المنتجات في السوق.
• نظام مراقبة ما بعد التسويق.

يتوافق العديد من هذه الالتزامات مع قدرات قائمة بالفعل (إدارة المخاطر، التوثيق التقني، التسجيل، المراقبة) تم توسيعها لتشمل الذكاء الاصطناعي. أما الالتزامات الجديدة فعليًا فهي تقييم المطابقة، وعلامة CE (لمزوّدي الذكاء الاصطناعي)، ومتطلبات حوكمة البيانات الخاصة بالذكاء الاصطناعي.

ISO 42001: إجابة نظام الإدارة

معيار ISO/IEC 42001:2023 هو معيار نظام الإدارة الخاص بالذكاء الاصطناعي. صدر في أواخر عام 2023، وهو المعادل لمعيار ISO 27001 بالنسبة للذكاء الاصطناعي: إطار عمل للحوكمة المنهجية لتطوير الذكاء الاصطناعي ونشره، مع إمكانية الحصول على شهادة من هيئات معتمدة.

بالنسبة لمعظم المؤسسات الأمنية، السؤال الاستراتيجي هو: هل نوسّع نطاق ISO 27001 ليشمل الذكاء الاصطناعي، أم نعتمد ISO 42001 كنظام إدارة منفصل؟

تعتمد الإجابة على مدى كثافة استخدام الذكاء الاصطناعي في المؤسسة:

• الذكاء الاصطناعي عرضي بالنسبة للعمليات: وسّع نظام إدارة أمن المعلومات القائم على ISO 27001 ليشمل الذكاء الاصطناعي كفئة من أنظمة المعلومات. أضِف مخاطر خاصة بالذكاء الاصطناعي إلى سجل المخاطر، وبنودًا خاصة بالذكاء الاصطناعي إلى السياسات ذات الصلة. لا حاجة لنظام إدارة منفصل.
• الذكاء الاصطناعي محوري بالنسبة للمنتج أو العمليات: أنشئ نظام إدارة ISO 42001 بالتوازي مع ISO 27001. يشترك المعياران في معظم العناصر الأساسية لكن لهما نطاقات وضوابط وجمهور مستهدف مختلف. تمنح الشهادة مصداقية لدى الجهات التنظيمية الأوروبية، وبشكل متزايد لدى عملاء المؤسسات.

نموذج الذكاء الاصطناعي المحلي (On-Premise)

القرار الأكثر أهمية من الناحية التشغيلية لمسؤول أمن المعلومات في عام 2026 هو أين تتم معالجة البيانات بواسطة الذكاء الاصطناعي.

خدمات الذكاء الاصطناعي السحابية العامة (OpenAI، Anthropic، Google، AWS Bedrock) قوية للغاية لكنها تطرح ثلاث إشكاليات:

1. خروج البيانات. يغادر المحتوى الحساس (العقود، السياسات، بيانات العملاء، الشيفرة المصدرية) حدود سيطرتكم. يتقاطع هذا مع GDPR (المادة 28 المتعلقة بمعالجة البيانات)، وDORA (مخاطر أطراف تقنية المعلومات والاتصالات الثالثة)، وNIS2 (أمن سلسلة التوريد)، والتزامات الشفافية بموجب قانون الذكاء الاصطناعي.
2. الارتباط بمزوّد واحد ومخاطر التركّز. تتابع العديد من الكيانات الخاضعة للتنظيم الآن رسميًا مخاطر التركّز لدى مزوّدي الذكاء الاصطناعي، معاملةً إياهم كأطراف ثالثة حرجة في تقنية المعلومات والاتصالات.
3. قابلية التدقيق. عندما تعالج واجهة برمجية خارجية بياناتكم، يكون مسار التدقيق جزئيًا ومحفوظًا لدى المزوّد.

البديل، وهو تشغيل نماذج لغوية كبيرة محلية أو معزولة عن الشبكة عبر أطر مثل Ollama أو vLLM، قد نضج بسرعة. قلّصت النماذج مفتوحة الأوزان (Llama 3.x، Qwen، DeepSeek) جزءًا كبيرًا من الفجوة في القدرات مقارنة بالنماذج المغلقة الرائدة بالنسبة لمعظم استخدامات المؤسسات: توليد المستندات، تحليل الفجوات، مراجعة العقود، التلخيص. أما بالنسبة للاستدلال العام الأكثر تعقيدًا، فلا تزال النماذج المغلقة متقدمة، لكن الفجوة تتقلص كل ربع سنة.

بنية عملية لعام 2026 بالنسبة للعديد من مسؤولي أمن المعلومات الخاضعين للتنظيم:

• ذكاء اصطناعي محلي لأي عملية تلامس بيانات حساسة: السياسات، العقود، أدلة إثبات الامتثال، محتوى دعم العملاء، المستندات الداخلية.
• ذكاء اصطناعي عام (مع اتفاقيات موردين وتقييمات أثر حماية البيانات) لسير العمل غير الحساس: البحث، المساعدة البرمجية مع مرشحات مناسبة، التسويق.
• حظر صريح لاستخدام الذكاء الاصطناعي العام مع فئات بيانات محددة، مُدرجة بوضوح في السياسة ومطبَّقة عبر أدوات منع تسرب البيانات (DLP).

هذا النموذج مطلوب بشكل متزايد للكيانات الخاضعة لـDORA وNIS2، وهو مواتٍ بموجب قانون الذكاء الاصطناعي لأنه يوفر بطبيعته قابلية التدقيق والتزامات الإشراف البشري.

كيفية التفعيل العملي دون تباطؤ

أنماط الفشل الشائعة لدى مسؤولي أمن المعلومات تجاه حوكمة الذكاء الاصطناعي:

• حظر كل شيء إلى حين وجود سياسة. يُبطئ الابتكار ويدفع نحو استخدام "الذكاء الاصطناعي الخفي" (shadow AI).
• الموافقة على كل شيء لأن الأعمال تطلب ذلك. تتراكم المخاطر بصمت، ثم تُفاجئ الجهة التنظيمية.
• بناء عملية موسّعة للاستخدامات منخفضة المخاطر. يستهلك الموارد في الطرف الخاطئ من منحنى المخاطر.

البديل العملي، المتناسب مع مستوى المخاطر:

• بالنسبة للاستخدام الداخلي منخفض المخاطر (المساعدة في الكتابة، الإنتاجية الأساسية): انشر سياسة استخدام مقبول، درّب الموظفين، ولا تفرض بوابة تحكم.
• بالنسبة للاستخدام محدود المخاطر الموجه للعملاء (روبوتات المحادثة، توليد المحتوى): اشترط الشفافية، وتسجيلًا أساسيًا، وبطاقة نموذج (model card) موثّقة.
• بالنسبة للاستخدام عالي المخاطر كما يحدده القانون: اشترط عملية كاملة لإدارة المخاطر، وتوثيقًا تقنيًا، وتصميمًا للإشراف البشري، ومراجعة قبل النشر.
• بالنسبة للاستخدام غير المقبول المخاطر: احظره، سجّله، وراقب المحاولات الخفية.

ما الذي سيسأل عنه المفتش أو مجلس الإدارة

الأسئلة التي يطرحها كل من المشرفين ولجان التدقيق في عام 2026:

1. هل لديكم جرد لأنظمة الذكاء الاصطناعي المستخدمة، مصنّفة حسب مستوى المخاطر بموجب قانون الذكاء الاصطناعي؟
2. هل لديكم سياسة حوكمة للذكاء الاصطناعي، معتمدة من مجلس الإدارة خلال الاثني عشر شهرًا الماضية؟
3. هل قيّمتم مزوّدي الذكاء الاصطناعي من الأطراف الثالثة باعتبارهم أطرافًا ثالثة في تقنية المعلومات والاتصالات (DORA / NIS2)؟
4. أين تُعالج أنظمة الذكاء الاصطناعي عالية المخاطر البيانات الشخصية، وكيف يتوافق ذلك مع GDPR؟
5. ما هي إجراءات الاستجابة للحوادث الخاصة بالذكاء الاصطناعي (هلوسة تسبب ضررًا، انحراف النموذج، حقن الأوامر - prompt injection)؟
6. كيف تضمنون الإشراف البشري حيثما يكون مطلوبًا؟
7. ما هو برنامجكم التدريبي للموظفين الذين يستخدمون الذكاء الاصطناعي؟

إذا استطعتم الإجابة بثقة على هذه الأسئلة السبعة جميعًا، فأنتم في وضع جيد سواء بالنسبة لالتزامات المخاطر العالية في أغسطس 2026 أو للتوجه التنظيمي الأوسع.

خلاصة القول

قانون الذكاء الاصطناعي الأوروبي ليس العبء التنظيمي الوجودي الذي يُصوَّر أحيانًا. بالنسبة للذكاء الاصطناعي منخفض ومحدود المخاطر، الذي يمثل الغالبية العظمى من استخدامات الذكاء الاصطناعي في المؤسسات، الالتزامات متواضعة ومغطاة إلى حد كبير بالممارسات الأمنية القائمة. أما بالنسبة للذكاء الاصطناعي عالي المخاطر، فالالتزامات حقيقية لكنها قابلة للتنفيذ عمليًا عند التعامل معها كامتداد لنظام إدارة أمن معلومات قائم بدلًا من مشروع امتثال منفصل.

مسؤولو أمن المعلومات الذين يواجهون صعوبات مع حوكمة الذكاء الاصطناعي في عام 2026 هم أولئك الذين لم يبدؤوا قط. أما الذين ينجحون فقد بدؤوا بخطوتين بسيطتين في عام 2024: جرد للذكاء الاصطناعي، وسياسة استخدام مقبول مكتوبة. كل ما عدا ذلك تطوّر بشكل تراكمي انطلاقًا من هاتين الخطوتين.