التدريب على حوكمة الذكاء الاصطناعي لفرق المخاطر والشؤون القانونية والتدقيق
منهج عملي لفرق المخاطر والشؤون القانونية والامتثال والتدقيق الداخلي: ست وحدات، وتمارين من السعودية والإمارات والأردن، وطريقة واضحة وعادلة لتقييم المشاركين.
فرق المخاطر والشؤون القانونية والامتثال والتدقيق الداخلي هي التي سيُطلب منها الموافقة على مساعد ذكاء اصطناعي، ومراجعة مورّد لأدوات الذكاء الاصطناعي، وتقييم خطر استخدام جديد، والتحقيق عندما تكشف أداة ما بيانات العملاء. الدورة العامة في الذكاء الاصطناعي تعلّمهم كتابة الأوامر، لكنها لا تعلّمهم هذا العمل. لذلك يحتاج التدريب على حوكمة الذكاء الاصطناعي لهذه الفرق إلى منهج خاص: مخاطر الذكاء الاصطناعي بلغتهم المهنية، وقوانين حماية البيانات في السعودية والإمارات والأردن، وأساسيات معيار ISO/IEC 42001، وتقييم الأثر، ومراجعة وكلاء الذكاء الاصطناعي (أدوات تنفّذ مهام بنفسها) والموردين، والتعامل مع الحوادث، مع حالة عملية لكل موضوع. نعرض هنا المنهج الذي نوصي به: من يحضر، والوحدات، والتمارين، وطريقة التقييم.
من يحتاج إلى التدريب على حوكمة الذكاء الاصطناعي، ولماذا لا تكفي الدورة العامة؟
التدريب الموجّه لجميع الموظفين، مثل ما نشرحه في مقالنا عن تدريب الموظفين على الذكاء الاصطناعي حسب الدور، يساعد الناس على استخدام الأدوات المعتمدة استخداماً جيداً. أما الإدارات الرقابية فعملها مختلف. لا يُطلب منها أن تكون الأمهر في استخدام Claude أو Microsoft Copilot، بل أن تحكم على استخدام غيرها لهذه الأدوات، وأن تكتب ملاحظات تصمد أمام النقاش.
تظهر الفجوة في أسئلة يومية. مسؤول الامتثال الذي يُسأل: "هل يستطيع مركز الاتصال استخدام روبوت المحادثة هذا؟" يحتاج إلى معرفة البيانات التي يطّلع عليها الروبوت، وأين تُعالَج، ومن المسؤول عن أخطائه، وما الأدلة التي يجب حفظها. والمدقق الداخلي يحتاج إلى أن يعرف شكل الضابط الرقابي الفعّال قبل أن يختبره. الدورة العامة لا تغطي شيئاً من ذلك.
| الدور | ما يجب أن يستطيع فعله بعد التدريب |
|---|---|
| إدارة المخاطر | تقييم حالة استخدام وفق مقياس المؤسسة وتسجيلها في سجل مخاطر الذكاء الاصطناعي |
| الشؤون القانونية وحماية البيانات (ومنهم مسؤول حماية البيانات إن كان معيّناً) | تحديد القانون الذي ينطبق، والانتباه إلى أسئلة الأساس القانوني للمعالجة (أي السند الذي يسمح باستخدام البيانات) ونقل البيانات إلى الخارج، وصياغة أسئلة واضحة للمستشار القانوني |
| الامتثال | مقارنة الاستخدام المقترح بسياسة الذكاء الاصطناعي وقواعد القطاع، وتحديد ما يجب رفعه إلى الإدارة |
| التدقيق الداخلي | تخطيط اختبار ضوابط الذكاء الاصطناعي وتنفيذه، وكتابة ملاحظات تستند إلى أدلة |
| أمن المعلومات والمشتريات | مراجعة صلاحيات المورّد أو الوكيل، وطريقة تعامله مع البيانات، وشروط العقد |
نوصي بمجموعة من 10 إلى 15 مشاركاً تجمع هذه الأدوار، ومن بينهم مسؤول أو اثنان عن منتج أو سير عمل، حتى تبقى الضوابط قابلة للتطبيق.
المنهج: ست وحدات ومشروع ختامي
تستغرق كل وحدة نحو ثلاث ساعات: شرح قصير، وقالب يملؤه المشاركون، وتمرين على حالة لمؤسسة افتراضية. وتوزيع الوحدات على ثلاثة إلى ستة أسابيع يمنح المشاركين وقتاً لتجربة كل قالب على عملهم بين الجلسات.
| الوحدة | ما يتعلمه المشاركون ويتدربون عليه | التمرين |
|---|---|---|
| 1. أساسيات مخاطر الذكاء الاصطناعي | كيف تختلف مخاطر الذكاء الاصطناعي عن مخاطر تقنية المعلومات المعتادة: إجابات خاطئة تُقدَّم بثقة، وتسرّب البيانات عبر الأوامر، والتحيز في القرارات التي تخص الأفراد، والاعتماد الزائد على الأداة؛ ثم تقدير احتمال الخطر وأثره. | تقييم خمس حالات استخدام لشركة تأمين افتراضية وإدخالها في سجل المخاطر |
| 2. حماية البيانات في السعودية والإمارات والأردن | أي قانون ينطبق، والبيانات الشخصية والحساسة، والأساس القانوني للمعالجة، ونقل البيانات إلى خارج الدولة، وواجبات الإبلاغ عن التسرّب | رسم مسار البيانات في روبوت محادثة يخدم عملاء في دولتين |
| 3. أساسيات ISO/IEC 42001 | ما نظام إدارة الذكاء الاصطناعي، وكيف ترتبط أجزاؤه: السياسة، والأدوار، وتقييم المخاطر والأثر، والمتابعة، والتحسين | تتبّع نظام ذكاء اصطناعي واحد داخل نظام الإدارة وتحديد الأدلة الناقصة |
| 4. تقييم الأثر | من قد يتأثر بالنظام، وكيف يُوصَف الضرر المحتمل، وما الذي ينبغي أن يغيّر قرار الموافقة | إعداد تقييم أثر لأداة فرز السير الذاتية |
| 5. مراجعة الوكلاء والموردين | ما الذي يستطيع الوكيل فعله وحده، وما الأدوات والبيانات التي يصل إليها، ومتى يلزم التأكيد البشري؛ وأسئلة المورّد عن استخدام البيانات ومدة الاحتفاظ بها وموقع الاستضافة والجهات التي يستعين بها في المعالجة | مراجعة إجابات مكتوبة من مورّد وقائمة صلاحيات وكيل، ثم القرار: قبول، أو قبول بشروط، أو رفض |
| 6. حوادث الذكاء الاصطناعي | ما الذي يُعدّ حادثة، ومن يقرر، وما الذي يُسجَّل، ومتى تنطبق قواعد الإبلاغ عن تسرّب البيانات | تمرين محاكاة بمهلة زمنية محددة عن روبوت محادثة عرض بيانات عميل على عميل آخر |
| المشروع الختامي | مراجعة كاملة لنظام افتراضي: تقييم المخاطر، وملاحظات حماية البيانات، وتقييم الأثر، وقرار المورّد، وخطة الحوادث | عمل مكتوب يُقيَّم وفق سلّم التقييم أدناه |
الوحدة 2: حماية البيانات بصورة عامة
تشرح الوحدة الإطار العام لكل قانون حتى يعرف المشاركون الأسئلة الصحيحة. صدر نظام حماية البيانات الشخصية السعودي بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، وعُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، كما ورد في دليل قواعد البنك المركزي السعودي (ساما). وفي الإمارات، دخل المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية حيز التنفيذ في 2 يناير 2022، بحسب البوابة الرسمية لحكومة الإمارات، لكنه لا يغطي كل الحالات: فالمناطق الحرة التي لها قانونها الخاص، مثل مركز دبي المالي العالمي، والقطاعات التي لها تشريعاتها، مثل الصحة، تتبع قواعد مستقلة. واسألوا المستشار القانوني هل صدرت اللائحة التنفيذية للمرسوم بقانون، وماذا تتطلب. أما قانون حماية البيانات الشخصية الأردني رقم (24) لسنة 2023 فيشترط تعيين مسؤول لحماية البيانات في حالات محددة، منها معالجة البيانات الحساسة ونقل قواعد البيانات إلى خارج المملكة (المادة 11 من الترجمة الإنجليزية الرسمية للقانون).
محتوى هذه الوحدة معلومات عامة وليس استشارة قانونية. فالالتزامات تتوقف على قطاع المؤسسة وبياناتها والدول التي تعمل فيها، وقد تضيف الجهات الرقابية القطاعية قواعدها الخاصة. لذلك ننصح بأن يراجع مستشاركم القانوني الوحدة قبل تقديمها.
الوحدتان 3 و4: معياران من ISO
نُشر معيار ISO/IEC 42001:2023 في ديسمبر 2023، وهو يحدد متطلبات إنشاء نظام لإدارة الذكاء الاصطناعي وتطبيقه والمحافظة عليه وتحسينه باستمرار. وتذكر صفحة ISO الخاصة بالمعيار أنه ينطبق على المؤسسات من كل الأحجام التي تطوّر الذكاء الاصطناعي أو تقدّمه أو تستخدمه، ومنها الجهات الحكومية. أما ISO/IEC 42005:2025، المنشور في مايو 2025، فيقدّم إرشادات لتقييم أثر أنظمة الذكاء الاصطناعي، أي دراسة كيف قد يؤثر النظام واستخداماته المتوقعة في الأفراد أو الجماعات أو المجتمع طوال دورة حياته (صفحة ISO). تشرح الوحدتان المعيارين من حيث البنية والغرض دون نقل نصوصهما. ولمعرفة كيف تحصل المؤسسة على الشهادة، راجعوا مقالنا عن الاستعداد لشهادة آيزو 42001.
الوحدة 6: حوادث بمهلة زمنية حقيقية
تمارين الحوادث أكثر فائدة عندما يكون هناك موعد نهائي. وقانون حماية البيانات الشخصية الأردني يحدد هذا الموعد: بموجب المادة 20، إذا وقع خرق لأمن البيانات يُرجَّح أن يسبب ضرراً جسيماً لأصحابها، يُبلغ المسؤول عن البيانات أصحابها خلال 24 ساعة من اكتشافه، ويُبلغ الوحدة التنظيمية المختصة في وزارة الاقتصاد الرقمي والريادة خلال 72 ساعة. وفي التمرين يقرر الفريق، خلال هاتين المهلتين، هل ينطبق هذا الوصف على إجابة من أداة ذكاء اصطناعي كشفت بيانات عميل، ومن يوقّع البلاغ.
تمرينان من المنطقة (أمثلة توضيحية)
الحالات افتراضية، لكنها تقع حيث يعمل المشاركون وتحمل القيود التي سيواجهونها. وهذان مثالان توضيحيان:
فريق التدقيق الداخلي في بنك سعودي يخطط لأول مراجعة للذكاء الاصطناعي
بنك متوسط الحجم في الرياض يستخدم مساعد ذكاء اصطناعي في مركز الاتصال، وأداة من مورّد تلخّص ملفات الائتمان. ويطلب تعميم صادر عن البنك المركزي السعودي بتاريخ 19/5/1443هـ (23 ديسمبر 2021)، ومنشور في دليل قواعده، من المؤسسات الخاضعة لإشرافه تقييم الفجوات بينها وبين نظام حماية البيانات الشخصية وسياسات حوكمة البيانات الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) ومكتب إدارة البيانات الوطنية. ويطلب التعميم أيضاً عرض خطة لسدّ هذه الفجوات على مجلس الإدارة لاعتمادها. يكتب المدققون خطة تدقيق من صفحة واحدة للأداتين ترتبط بخطة سدّ الفجوات، ويحددون الأدلة التي سيطلبونها، ويختارون أول ضابطين سيختبرونهما. ويمنح مفتاح الإجابة الدرجات للضوابط القابلة للاختبار، لا للعبارات العامة مثل "نستخدم الذكاء الاصطناعي بمسؤولية".
الفريق القانوني في شركة تأمين أردنية يراجع مورّد روبوت محادثة للمطالبات
شركة تأمين مملوكة لعائلة في عمّان تريد روبوت محادثة من مورّد يقرأ صور المطالبات ومستنداتها، ويُستضاف خارج الأردن. تمنع المادة 15 من قانون حماية البيانات الشخصية الأردني نقل البيانات إلى جهة في الخارج مستوى حمايتها أقل مما يوفره القانون، إلا في حالات محددة، وتطلب من المسؤول عن البيانات التحقق من هذا المستوى قبل بدء النقل. يكتب المشاركون الأسئلة التي يجب أن يجيب عنها المورّد كتابةً (استخدام بيانات العملاء في تدريب نماذجه، ومدة الاحتفاظ بها، وموقع الاستضافة، والجهات التي يستعين بها، وإبلاغ الشركة عند حدوث تسرّب)، ثم يقررون هل يمكن المضي في الصفقة بشروط. والإجابة الجيدة تفصل بين ما يفرضه القانون وما تقبله الشركة من مخاطر وفق سياستها.
كيف نقيّم المشاركين دون ادّعاء منح شهادة؟
نحن لا نمنح شهادات لأحد، فشهادة ISO/IEC 42001 تخص نظام الإدارة في المؤسسة، وتمنحها جهات منح شهادات مستقلة. أما ما يستطيع برنامج التدريب تقديمه بصدق فهو سجل تدريب: الحضور، والأعمال المقدَّمة، ونتائج التقييم الداخلي.
نوصي بتقييم القوالب التي يملؤها المشاركون بدلاً من اختبار الاختيار من متعدد. فمن يحفظ اسم القانون لكنه لا يستطيع تقييم حالة استخدام لم يتعلم العمل بعد. ويكفي سلّم تقييم من أربع درجات:
| المعيار | 1: لم يصل بعد | 4: قوي |
|---|---|---|
| الحكم على المخاطر | تقييمات بلا أسباب | تقييمات مع أسبابها ومتسقة مع مقياس السجل |
| استخدام القوانين والمعايير | عبارات عامة | يشير إلى القاعدة الصحيحة ويحدد ما يحتاج إلى رأي قانوني |
| الأدلة | يطلب "سياسة" فقط | يحدد المستند أو السجل أو الاختبار الذي يثبت أن الضابط يعمل |
| القرار | لا نتيجة واضحة | قبول، أو قبول بشروط، أو رفض، مع اسم المسؤول وموعد محدد |
قاعدة إتمام عادلة: حضور 80% على الأقل، ومتوسط 3 أو أكثر، ومشروع ختامي بدرجة 3 أو أكثر. وبعد 60 يوماً راجعوا مرة أخرى: هل أُضيفت حالات جديدة إلى سجل الذكاء الاصطناعي، وهل بدأت تقييمات أثر، وهل كُتبت مراجعات للموردين؟ هذه المراجعة تبيّن هل غيّر التدريب طريقة العمل، أما الحضور وحده فلا يبيّن ذلك.
هل يأتي التدريب قبل بناء إطار الحوكمة أم بعده؟
نوصي بتقديم التدريب بالتوازي مع أول وثائق الحوكمة، لا قبلها. فالمشاركون يتعلمون أسرع عندما تستخدم التمارين سياسة الذكاء الاصطناعي الخاصة بالمؤسسة ومقياس المخاطر وقالب السجل، ولو كانت مسودات. أما انتظار إطار مكتمل فقد يؤخر التدريب أشهراً، لذا ابدأوا عندما تتوفر مسودة سياسة وقالب للسجل.
تشمل خدمة إرساء حوكمة الذكاء الاصطناعي والامتثال (GB4) السياسة، وصلاحيات القرار، وسجلات الذكاء الاصطناعي والمخاطر، والتوافق مع قوانين حماية البيانات الشخصية، والاستعداد لمعيار ISO/IEC 42001، والتدريب على حوكمة الذكاء الاصطناعي يُجهّز الأشخاص الذين سيديرون ذلك كله. وإذا بدأ النقاش بسؤال من جهة رقابية، فصفحتنا عن حماية البيانات الشخصية والجهات التنظيمية توضح من أين تبدأون.
من أين تبدأون؟
في مختبر الأكاديمية، يندرج هذا المنهج ضمن خدمة التدريب على الذكاء الاصطناعي حسب الدور الوظيفي (بالعربية والإنجليزية): تدريب عملي على المهام الفعلية للفريق، مع مسار للمديرين والمسؤولين عن سير العمل. ومهام فرق المخاطر والشؤون القانونية والتدقيق هي المراجعات والتقييمات والملاحظات، فتُبنى التمارين حولها، مع حالات افتراضية عندما تكون الملفات الحقيقية حساسة. وإذا لم تكونوا متأكدين من مواضع الفجوات لديكم، فإن مسح واقع الذكاء الاصطناعي في شركتكم محادثة مجانية مدتها 45 دقيقة تنتهي بخطوة تالية مكتوبة.
أسئلة شائعة
هل التدريب على حوكمة الذكاء الاصطناعي هو نفسه شهادة ISO/IEC 42001؟
لا. شهادة ISO/IEC 42001 تخص نظام إدارة الذكاء الاصطناعي في المؤسسة، وتمنحها جهات منح شهادات مستقلة بعد تدقيق. أما التدريب فيبني مهارات الأشخاص الذين يديرون الحوكمة: تقييم المخاطر، وتقييم الأثر، ومراجعة الموردين، والتعامل مع الحوادث. وينتهي المنهج الذي نوصي به بسجل تدريب يوضح الحضور ونتائج التقييم الداخلي، ولا يمنح شهادة أو مؤهلاً مهنياً.
من يحتاج إلى التدريب على حوكمة الذكاء الاصطناعي؟
من يوافقون على استخدام الذكاء الاصطناعي ويراجعونه ويدققونه: مديرو المخاطر، وفريق الشؤون القانونية وحماية البيانات، ومسؤولو الامتثال، والمدققون الداخليون، وفريقا أمن المعلومات والمشتريات اللذان يراجعان الموردين. وإضافة مسؤول أو اثنين عن منتج أو سير عمل تبقي النقاش عملياً. ونوصي بمجموعة من 10 إلى 15 مشاركاً، لأن كل حالة تُناقش من أكثر من زاوية كما في اجتماعات الموافقة الفعلية.
كم يستغرق برنامج التدريب على حوكمة الذكاء الاصطناعي؟
المنهج الذي نوصي به يضم ست وحدات، مدة كل منها نحو ثلاث ساعات، ومشروعاً ختامياً، موزعة على ثلاثة إلى ستة أسابيع. والفاصل بين الجلسات مهم، لأن المشاركين يجربون كل قالب على عملهم قبل الوحدة التالية. وبعد 60 يوماً تبيّن مراجعة المتابعة هل تُستخدم القوالب فعلاً، مثل الحالات الجديدة في سجل الذكاء الاصطناعي وتقييمات الأثر التي بدأت.
هل يحتاج موظفو المخاطر والتدقيق إلى معرفة تقنية بالذكاء الاصطناعي؟
يحتاجون إلى ما يكفي لطرح الأسئلة الصحيحة، لا إلى بناء النماذج. تشرح الوحدة الأولى كيف تخطئ أنظمة الذكاء الاصطناعي بطرق لا تخطئ بها البرمجيات المعتادة، مثل الإجابات الخاطئة التي تُقدَّم بثقة أو تسرّب البيانات عبر الأوامر. وتركز الوحدات التالية على الحكم: أي قانون ينطبق، وما الدليل على أن الضابط يعمل، ومتى يحتاج عمل الوكيل إلى تأكيد بشري قبل تنفيذه.
تصلكم مقالاتنا الجديدة بالبريد
رسالة واحدة عند نشر ما يفيدكم، بلا إزعاج، ويمكنكم إلغاء الاشتراك في أي وقت.
الخدمات في هذا المقال
المختبر المرتبط: مختبر الأكاديمية ↖
