إطار حوكمة الذكاء الاصطناعي: نموذج عملي للسعودية والإمارات والأردن

إطار حوكمة الذكاء الاصطناعي هو مجموعة صلاحيات القرار والسياسات والسجلات والضوابط التي تحدد أدوات الذكاء الاصطناعي التي تستخدمها مؤسستكم، والغرض من كل أداة، ومن المسؤول عنها. وللمؤسسات في السعودية والإمارات والأردن وسائر دول الخليج، يقوم الإطار العملي على خمسة عناصر: مسؤولون محددون بالاسم عن القرار، وسياسة استخدام قصيرة، وسجل لأنظمة الذكاء الاصطناعي مع سجل للمخاطر، ومجموعة ضوابط، ودورة مراجعة منتظمة. ويستعير الإطار بنيته من المعيار ISO/IEC 42001 أو من إطار إدارة مخاطر الذكاء الاصطناعي الصادر عن المعهد الوطني للمعايير والتقنية الأمريكي (NIST)، ويربط كل استخدام بقانون حماية البيانات الذي ينطبق عليه.

تملك معظم المؤسسات أجزاءً من ذلك أصلاً: إجراءً لاعتماد الأنظمة التقنية، ومسؤولاً لحماية البيانات، وسياسة لأمن المعلومات. ودور الإطار أن يربط هذه الأجزاء في كل ما يخص الذكاء الاصطناعي، فلا تقع أداة أو نموذج جديد في الفجوة بينها.

ما مكوّنات إطار حوكمة الذكاء الاصطناعي؟

نبني الأطر من خمسة مكوّنات، يجيب كل منها عن سؤال سيطرحه مجلس الإدارة أو الجهة التنظيمية أو المدقق عاجلاً أو آجلاً.

1. صلاحيات اتخاذ القرار: من يعتمد أداة الذكاء الاصطناعي وحالة الاستخدام وتغيير النموذج، ومن يقبل المخاطر المتبقية.
2. سياسة الذكاء الاصطناعي: ما يجوز للموظفين وما لا يجوز، في صفحتين أو ثلاث، بالعربية والإنجليزية.
3. سجل الأنظمة وسجل المخاطر: كل نظام مستخدم، ومالكه، والبيانات التي يتعامل معها، ومخاطره وخطط معالجتها.
4. مجموعة الضوابط: الضوابط التقنية والإجرائية المطبقة، مثل تسجيل الدخول الموحَّد ومنع تسرب البيانات والمراجعة البشرية وشروط التعاقد مع المورّدين.
5. التحقق والمتابعة: المراقبة، والتعامل مع الحوادث، والتدقيق الداخلي، ومراجعة الإدارة الدورية.

والترتيب مهم، فالضوابط التي تُشترى قبل تحديد الصلاحيات وبناء السجل كثيراً ما تعالج مخاطر غير التي تواجهها المؤسسة فعلاً.

من يتخذ القرار؟ توزيع صلاحيات الذكاء الاصطناعي

صلاحيات القرار هي الحلقة الغائبة في أغلب المؤسسات. قد يملك بنك إقليمي لجنة لمخاطر النماذج، دون أن يكون أحد مسؤولاً عن أدوات الذكاء الاصطناعي التوليدي التي تشترك فيها وحدات الأعمال. وقد لا يكون لدى شركة تجزئة عائلية أي مسؤول على الإطلاق. دوِّنوا صاحب القرار في كل بند من البنود التالية.

وتصف مبادئ أخلاقيات الذكاء الاصطناعي في المملكة أدواراً مشابهة داخل الجهات، منها مسؤول الذكاء الاصطناعي بوصفه القائد التشغيلي للذكاء الاصطناعي في الجهة. ويمكن للمؤسسات الأصغر دمج الأدوار، بشرط وجود مسؤول تنفيذي واحد محدد بالاسم، وألا يكون من يعتمد حالة الاستخدام هو نفسه من بناها.

ما القوانين والقواعد التي تحكم حوكمة الذكاء الاصطناعي في السعودية والإمارات والأردن؟

في الدول الثلاث، تتضمن قوانين حماية البيانات الشخصية معظم الالتزامات الإلزامية التي تسري على أي نظام ذكاء اصطناعي يعالج بيانات شخصية. وراجعوا أيضاً متطلبات الجهة التنظيمية لقطاعكم، فالبنوك المركزية والجهات الصحية وهيئات تنظيم الاتصالات تضيف قواعدها الخاصة.

المملكة العربية السعودية

يُلزم نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ والمعدَّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، جهةَ التحكم بتقييم الآثار المترتبة على معالجة البيانات الشخصية لمنتجاتها وخدماتها (المادة 22)، وبإشعار الجهة المختصة عند علمها بأي تسرب أو وصول غير مشروع إلى البيانات (المادة 20). وتشترط اللائحة التنفيذية لنظام حماية البيانات الشخصية أن يكون هذا التقييم مكتوباً وموثقاً في حالات محددة، منها المعالجة باستخدام تقنيات ناشئة واتخاذ القرارات بناءً على المعالجة الآلية (المادة 25). وتشترط اللائحة كذلك موافقة صريحة حين يُبنى القرار كلياً على المعالجة الآلية، وإشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة إذا كان التسرب قد يُلحق ضرراً.

أما مبادئ أخلاقيات الذكاء الاصطناعي الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، فهي وثيقة سياسات وليست نظاماً، وتنص على أنها تنطبق على جميع الجهات العامة والخاصة وغير الربحية والأفراد الذين يطورون حلول الذكاء الاصطناعي أو يتبنونها في المملكة. وتضم سبعة مبادئ: النزاهة والإنصاف، والخصوصية والأمن، والإنسانية، والمنافع الاجتماعية والبيئية، والموثوقية والسلامة، والشفافية والقابلية للتفسير، والمساءلة والمسؤولية. وتصنّف الأنظمة في أربعة مستويات للمخاطر: الأنظمة ذات المخاطر البسيطة أو المنعدمة لا قيود عليها، والأنظمة ذات المخاطر المحدودة يُتوقع منها تطبيق المبادئ، والأنظمة عالية المخاطر تحتاج إلى تقييم المطابقة قبل النشر وبعده، أما الأنظمة ذات المخاطر غير المقبولة فلا يُسمح بها. والنسخة الإنجليزية المنشورة على موقع سدايا مؤرخة في مايو 2025.

الإمارات العربية المتحدة

دخل المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية حيز التنفيذ في 2 يناير 2022، بحسب البوابة الرسمية لحكومة الإمارات. ويشترط القانون موافقة صاحب البيانات على المعالجة إلا في حالات محددة، ويمنح الأفراد حق تصحيح بياناتهم وتقييد المعالجة أو إيقافها، ويضع ضوابط لنقل البيانات عبر الحدود. ويتولى مكتب الإمارات للبيانات دور الجهة الاتحادية المنظِّمة للبيانات. وللقانون استثناءات: فالمناطق الحرة التي لها قوانينها الخاصة لحماية البيانات، مثل مركز دبي المالي العالمي، خارج نطاقه، وتستثني المادة 2 فئات أخرى منها البيانات الحكومية والبيانات الصحية والمصرفية والائتمانية التي تنظمها تشريعات خاصة. لذا حدِّدوا الإطار القانوني الذي يسري على كل كيان قانوني وكل فئة بيانات لديكم. وتعتمد تفاصيل تشغيلية كثيرة في القانون الاتحادي على اللائحة التنفيذية، فتحقّقوا من وضعها الحالي مع مستشاركم القانوني بدلاً من الاعتماد على الملخصات المتداولة.

الأردن

نُشر قانون حماية البيانات الشخصية رقم (24) لسنة 2023 في الجريدة الرسمية في 17 سبتمبر 2023، وبدأ العمل به في 17 مارس 2024، وتذكر المواد المنشورة لوزارة الاقتصاد الرقمي والريادة 17 مارس 2025 موعداً لبدء الامتثال الكامل. ويُلزم القانون المسؤول (أي الجهة التي تحدد أغراض المعالجة) بتعيين مراقب لحماية البيانات في حالات محددة، منها معالجة البيانات الحساسة أو البيانات المالية ونقل قواعد البيانات إلى خارج المملكة (المادة 11). وإذا وقع إخلال بأمن البيانات قد يسبب ضرراً جسيماً، فيجب على المسؤول إبلاغ الأشخاص المعنيين خلال 24 ساعة، وإبلاغ الوحدة المختصة في الوزارة خلال 72 ساعة (المادة 20). وللأفراد حق الاعتراض على المعالجة والتشخيص (أي تحليل البيانات لتكوين صورة عن الشخص) إذا تجاوزا الغرض من جمع البيانات أو كانا تمييزيين. وتدرج الوزارة دليلاً إرشادياً لتقييم أثر حماية البيانات ضمن أدلتها المنشورة.

هذه معلومات عامة وليست استشارة قانونية، وتختلف الالتزامات بحسب قطاع المؤسسة والبيانات التي تعالجها ومكان تسجيل كياناتها.

ISO/IEC 42001 أم إطار NIST: أي بنية تعتمدون؟

صدر المعيار ISO/IEC 42001:2023 في ديسمبر 2023، ويحدد متطلبات نظام إدارة الذكاء الاصطناعي: السياسات والأهداف والعمليات التي تحتاجها المؤسسة لتطوير الذكاء الاصطناعي أو تقديمه أو استخدامه بمسؤولية، وفق دورة التخطيط والتنفيذ والتحقق والتحسين. وتتولى جهات منح الشهادات المستقلة إصدار شهادات المطابقة له، ولا تمنح المنظمة الدولية للتقييس (ISO) نفسها أي شهادة.

أما إطار NIST لإدارة مخاطر الذكاء الاصطناعي في إصداره 1.0، فقد صدر في 26 يناير 2023، وهو اختياري ويقوم على أربع وظائف: الحوكمة (Govern)، والتحديد (Map)، والقياس (Measure)، والإدارة (Manage). وأضاف المعهد في يوليو 2024 ملفاً خاصاً بالذكاء الاصطناعي التوليدي (NIST AI 600-1)، ويذكر أن الإطار قيد المراجعة حالياً.

قاعدتنا العملية: اعتمدوا ISO/IEC 42001 نظاماً للإدارة إذا كان العملاء أو الجهات التنظيمية أو الشركة الأم قد يطلبون شهادة، واستخدموا إطار NIST مرجعاً لمفردات المخاطر وقائمة تحقق داخله. وإذا كانت لديكم شهادة ISO/IEC 27001، فالمعياران يتبعان البنية الموحدة لمعايير أنظمة الإدارة، ما يسمح بدورة واحدة للتدقيق الداخلي ومراجعة الإدارة تغطي النظامين.

كيف تبنون سجل الأنظمة وسجل المخاطر؟

في السجل تتحول الحوكمة إلى عمل ملموس. أدرجوا كل نظام ذكاء اصطناعي مستخدم، بما في ذلك ميزات الذكاء الاصطناعي داخل البرمجيات التي تدفعون اشتراكها أصلاً، ثم أضيفوا بنداً لكل خطر جوهري. وهذا نموذج مختصر:

قدّروا المخاطر بالمنهجية التي تستخدمها إدارة المخاطر المؤسسية لديكم أصلاً، فمقياس منفصل للذكاء الاصطناعي يخلق لغة ثانية لن يقرأها مجلس الإدارة.

خطة من 90 يوماً لتطبيق الإطار

1. من اليوم 1 إلى 15: عيّنوا المسؤول التنفيذي ولجنة الاعتماد، وانشروا تعليمات مؤقتة للاستخدام المقبول تحدد الأدوات المسموح بها الآن.
2. من اليوم 15 إلى 45: ابنوا سجل الأنظمة من استبيانات الموظفين وسجلات تسجيل الدخول الموحَّد وسجلات المشتريات وطلبات استرداد المصاريف، وصنّفوا البيانات التي يتعامل معها كل نظام.
3. من اليوم 30 إلى 60: أجروا تقييمات الأثر للأنظمة التي تحتاج إليها وفق قانون حماية البيانات المنطبق على كل كيان (نظام حماية البيانات الشخصية السعودي أو المرسوم بقانون الإماراتي أو القانون الأردني) أو القواعد القطاعية، واستكملوا سجل المخاطر.
4. من اليوم 45 إلى 75: اعتمدوا السياسة الكاملة ومجموعة الضوابط، واربطوا الضوابط بمتطلبات ISO/IEC 42001 وبضوابط أمن المعلومات القائمة.
5. من اليوم 75 إلى 90: اعقدوا أول مراجعة للإدارة، واتفقوا على المؤشرات التي يطّلع عليها المجلس كل ربع سنة، وقرروا ما إذا كنتم ستسعون إلى شهادة ISO/IEC 42001.

ستتقدم وزارة لديها مكتب قائم لإدارة البيانات أسرع في بناء السجلات، بينما ستحتاج شركة سريعة النمو بلا مسؤول لحماية البيانات وقتاً أطول لتحديد الأدوار. عدّلوا المواعيد، وحافظوا على الترتيب.

من أين تبدأون؟

إذا لم تعرفوا بعد أدوات الذكاء الاصطناعي التي يستخدمها موظفوكم أو البيانات التي يشاركونها، فابدأوا بخدمة مسح واقع الذكاء الاصطناعي في شركتكم المجانية، وهي محادثة مدتها 45 دقيقة تنتهي بخطوة تالية مكتوبة. وحين تكونون مستعدين لبناء الإطار، تغطي خدمة إرساء حوكمة الذكاء الاصطناعي والامتثال السياسة وصلاحيات القرار وسجلات الأنظمة والمخاطر والتوافق مع أنظمة حماية البيانات والجاهزية لمعيار ISO/IEC 42001. وإذا احتجتم إلى قيادة عليا دون تعيين بدوام كامل، فاطّلعوا على خدمة رئيس الذكاء الاصطناعي بدوام جزئي. وللأسئلة الخاصة بكل جهة تنظيمية، راجعوا صفحة حماية البيانات الشخصية والجهات التنظيمية أو صفحة مختبر الحوكمة.

المختبر المرتبط: مختبر الحوكمة ↖