سياسة الاستخدام المقبول للذكاء الاصطناعي: ما تتضمنه وقالب من صفحة

سياسة الاستخدام المقبول للذكاء الاصطناعي وثيقة قصيرة تحدد للموظفين أدوات الذكاء الاصطناعي المسموح بها، والبيانات التي يجوز إدخالها فيها، ومن يقرر عندما لا يكون الجواب واضحاً. وتكون سياسة الاستخدام المقبول للذكاء الاصطناعي عملية عندما لا تتجاوز صفحة واحدة، وتستخدم تصنيف البيانات المعمول به عندكم، وتحدد شخصاً ومساراً لطلب الأدوات الجديدة. القالب أدناه مكتوب لتنسخوه وتعدلوه.

قد تبقى السياسات الطويلة دون أن يقرأها أحد. اجعلوا القواعد الموجهة للموظفين قصيرة، وانقلوا التفاصيل إلى معايير مرتبطة بها تتولاها إدارات الأمن والشؤون القانونية والموارد البشرية.

ما سياسة الاستخدام المقبول للذكاء الاصطناعي وما الذي لا تشمله؟

هي الجزء من حوكمة الذكاء الاصطناعي (أي القواعد والمسؤوليات التي تنظم استخدامه) الذي يقرؤه الموظف العادي. وتجيب عن ثلاثة أسئلة يومية: هل أستطيع استخدام هذه الأداة، وهل أستطيع لصق هذه البيانات فيها، وماذا أفعل إذا حدث خطأ. أما إطار الحوكمة الكامل فأوسع منها، إذ يشمل تحديد صلاحيات القرار وسجلات المخاطر وتقييم الأثر (أي دراسة ما قد يسببه النظام من ضرر قبل تشغيله).

وتضع المعايير الدولية هذه السياسة داخل منظومة أوسع. فالمعيار ISO/IEC 42001:2023 الصادر في ديسمبر 2023 يحدد متطلبات نظام إدارة للذكاء الاصطناعي، وتذكر صفحة الشرح الصادرة عن ISO «سياسة الذكاء الاصطناعي وأهدافه» ضمن هذه المتطلبات. أما إطار إدارة مخاطر الذكاء الاصطناعي من NIST في إصداره 1.0 الصادر في 26 يناير 2023 فهو طوعي، وينظم إرشاداته في أربع وظائف: الحوكمة (Govern) وتحديد السياق والمخاطر (Map) والقياس (Measure) والإدارة (Manage). ولا يحدد أي منهما ما تكتبونه في صفحتكم، لكن قراءتهما معاً تشير إلى أن الصفحة تحتاج إلى مسؤول عنها ودورة مراجعة وارتباط بإدارة المخاطر.

ماذا تقول الجهات التنظيمية والإرشادات عن استخدام الموظفين للذكاء الاصطناعي؟

في السعودية، تُعد إرشادات الذكاء الاصطناعي التوليدي للعموم الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) في مايو 2025، الإصدار 1، وثيقة إرشادية وليست نظاماً ملزماً. وفي بند تسرب البيانات المصنفة، توصي بأن تضع الجهات سياسات لاستخدام الذكاء الاصطناعي التوليدي تمنع المستخدمين من إدخال معلومات مصنفة سرية في أدوات تابعة لأطراف خارجية. وعلى هذه السياسات أن توضح ممارسات إنشاء المحتوى المقبولة، والإجراءات التي تمنع تسرب البيانات الحساسة، والخطوات التي تدعم الاستخدام الأخلاقي. كما تدعو إلى الإشراف والمراجعة الدورية وتدريب الموظفين، وتذكر أن المستخدم مسؤول عن التحقق من المحتوى الذي تنتجه الأداة.

أما القواعد الملزمة فمصدرها غير ذلك. فنظام حماية البيانات الشخصية السعودي، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ وتعديلاته، يضع في المادة 29 شروطاً لنقل البيانات الشخصية خارج المملكة، وتلزم المادة 20 جهة التحكم بإبلاغ الجهة المختصة عند تسرب البيانات أو الوصول غير المصرح به إليها، وفق ما تحدده اللائحة التنفيذية. لذلك قد يكون لصق البيانات الشخصية للعملاء في روبوت محادثة يعالجها خارج المملكة مسألة تتعلق بحماية البيانات، لا مخالفة للسياسة الداخلية فقط. ولدى دول أخرى في المنطقة قوانينها الخاصة لحماية البيانات، وقد تضيف الجهات التنظيمية للقطاعات (مثل البنوك والصحة والجهات الحكومية) وقواعد الأمن السيبراني والحوسبة السحابية قيوداً على الأدوات المسموحة وأماكن استضافة البيانات. راجعوا ما ينطبق عليكم.

هذه معلومات عامة وليست استشارة قانونية. والتزاماتكم تتوقف على قطاعكم والبيانات التي تحتفظون بها والدول التي تعملون فيها.

ماذا ينبغي أن تتضمن سياسة الذكاء الاصطناعي العملية؟

عشرة عناصر تغطي ما يحتاجه الموظفون. ولكل عنصر اختبار بسيط: هل يستطيع الموظف أن يجيب عن السؤال في أقل من دقيقة دون أن يتصل بأحد؟

قالب سياسة الاستخدام المقبول للذكاء الاصطناعي في صفحة واحدة

انسخوا هذا القالب إلى تنسيقكم الخاص. استبدلوا كل ما بين الأقواس المربعة، واحذفوا أي سطر لا تستطيعون تطبيقه.

1. الغرض. نستخدم الذكاء الاصطناعي في [توفير الوقت في الصياغة والتحليل والبحث] مع حماية بيانات العملاء والموظفين والشركة.
2. من تشمل السياسة. جميع [الموظفين والمتعاقدين والمتدربين]، على أي جهاز، عند استخدام أي أداة ذكاء اصطناعي للعمل، بما فيها ميزات الذكاء الاصطناعي داخل البرامج التي نستخدمها أصلاً.
3. الأدوات المعتمدة. يمكنك استخدام الأدوات الموجودة في [رابط السجل]. ويبيّن السجل لكل أداة فئات البيانات المسموح بها. وإن لم تكن الأداة مدرجة فاسأل قبل استخدامها.
4. البيانات التي يجوز إدخالها. بيانات [عامة] و[داخلية]: في أي أداة معتمدة. بيانات [سرية (Confidential)] وفق تصنيف الشركة: في الأدوات المعتمدة لها فقط. [البيانات المحظورة (Restricted) وفق تصنيف الشركة، أو البيانات الشخصية]: ممنوعة، إلا إذا نص السجل على اعتماد الأداة لها.
5. ممنوعات. إدخال كلمات المرور أو المفاتيح أو النتائج المالية غير المعلنة. استخدام الذكاء الاصطناعي لاتخاذ قرار نهائي بشأن شخص، كالتوظيف أو الإجراءات التأديبية. رفع ملفات العملاء إلى أداة غير مدرجة في السجل.
6. راجع قبل أن ترسل. أنت مسؤول عن كل ما ترسله، سواء استعنت بالذكاء الاصطناعي أم لا. وعلى [المنصب] مراجعة [العقود والمراسلات الرسمية للجهات المنظمة والنصوص الموجهة للعملاء والبرمجيات قبل إطلاقها].
7. أخبر الآخرين عند الحاجة. اذكر أن الذكاء الاصطناعي ساعد في العمل عندما [يسأل العميل، أو يشترط العقد ذلك، أو تتوقعه الجهة المنظمة].
8. الحسابات. استخدم حساب العمل. لا تُنشئ حساباً في أدوات الذكاء الاصطناعي ببريدك الشخصي لمهام العمل.
9. طلب أداة جديدة. أرسل إلى [الاستمارة أو البريد الإلكتروني] المهمة والبيانات المعنية واسم المزود. نسعى إلى الرد خلال [عدد] أيام عمل.
10. إذا حدث خطأ. إذا لصقت بيانات لا يجوز لصقها، أو أعطت الأداة نتائج غير متوقعة، فأبلغ [جهة الاتصال] فوراً. لا عقاب على البلاغ الصادق.
11. المسؤول والمراجعة. يتولاها [المنصب]. الإصدار [الرقم] بتاريخ [التاريخ]، وتُراجع قبل [التاريخ].

كيف تضعون قواعد لاستخدام البيانات يستطيع الموظفون اتباعها؟

اربطوا القواعد بتسميات التصنيف التي يعرفها الموظفون أصلاً. وتكون ثلاث فئات أسهل في الحفظ من ست: بيانات يجوز إدخالها في أي أداة معتمدة، وبيانات لا تدخل إلا في أدوات مخصصة لها، وبيانات لا تدخل أبداً. وتعمل الجهات العامة في السعودية وفق سياسة تصنيف البيانات الوطنية، وقد يكون للمؤسسات الأخرى تسمياتها الخاصة، فاستخدموا ما ينطبق عليكم.

لنأخذ بنكاً إقليمياً مثالاً توضيحياً. قد يسمح لموظفيه بلصق أوصاف المنتجات المعلنة في مساعد معتمد، ويحصر مراسلات العملاء في أداة راجعها فريق الأمن، ويمنع إدخال أرقام الحسابات في أي أداة ذكاء اصطناعي. أما الحدود الدقيقة فترسمونها أنتم مع فريقي الأمن والشؤون القانونية.

كيف تطلقون السياسة بحيث يستخدمها الموظفون فعلاً؟

1. اعرفوا ما يستخدمه الموظفون الآن. استبيان قصير تطمئنون فيه المشاركين إلى عدم محاسبتهم، ومراجعة سجلات تسجيل الدخول، يمكن أن يُظهرا السلوك الفعلي، كما نشرح في دليلنا عن الذكاء الاصطناعي غير المعتمد. وتأكدوا من أن إشعار الخصوصية للموظفين يغطي مراجعة هذه السجلات.
2. اكتبوا المسودة مع الأمن والشؤون القانونية والموارد البشرية وفريقين من الأعمال في اجتماع واحد، لتعكس القواعد المهام الحقيقية.
3. انشروا سجل الأدوات المعتمدة قبل السياسة. فالسياسة التي تقول «لا» دون أن تقول «استخدموا هذا بدلاً منه» قد تدفع العمل نفسه إلى الهواتف الشخصية.
4. درّبوا كل فريق على ثلاثة أمثلة حقيقية، منها مثال يكون الجواب الصحيح فيه أن يسأل الموظف قبل أن يستخدم الأداة.
5. حددوا تاريخاً للمراجعة. الأدوات تتغير أسرع من السياسات، فراجعوا السجل شهرياً والسياسة على الأقل عند تغير قائمة الأدوات أو الأنظمة المطبقة.

ما الأخطاء التي تُفشل سياسة الذكاء الاصطناعي؟

• قائمة منع بلا بديل معتمد.
• قالب منقول من بلد أو قطاع آخر دون التحقق من القانون المحلي.
• غياب مسؤول محدد بمنصبه، فلا يحدّث أحد السياسة.
• قواعد تتجاهل ميزات الذكاء الاصطناعي المفعّلة داخل البريد أو أنظمة إدارة علاقات العملاء (CRM) أو برامج الاجتماعات.
• غياب طريق سريع لطلب أداة جديدة، فيتوقف الموظفون عن السؤال.
• مراقبة لم يُخبَر بها الموظفون.

كيف تبدؤون؟

إن كنتم لا تعرفون ما يستخدمه موظفوكم الآن، فابدؤوا بمسح واقع الذكاء الاصطناعي في شركتكم: محادثة مجانية مدتها 45 دقيقة تنتهي بخطوة تالية مكتوبة. اطلعوا على مسح واقع الذكاء الاصطناعي في شركتكم (GB1). وإن كنتم تعرفون وتريدون أن نكتب معكم السياسة ونحدد صلاحيات القرار ونُعدّ السجلات، فاقرؤوا عن خدمة إرساء حوكمة الذكاء الاصطناعي والامتثال (GB4) في مختبر الحوكمة.

المختبر المرتبط: مختبر الحوكمة ↖