شهادة آيزو 42001: ماذا يتطلب المعيار وكيف تستعد مؤسستك
تؤكد شهادة آيزو 42001 أن نظام إدارة الذكاء الاصطناعي في مؤسستك يستوفي متطلبات المعيار ISO/IEC 42001:2023. نشرح ما يطلبه المعيار، ونقدم قائمة جاهزية، ونبيّن ما يفحصه المدققون في كل مرحلة.
شهادة آيزو 42001 تأكيد مستقل، تصدره جهة منح شهادات، بأن نظام إدارة الذكاء الاصطناعي في مؤسستكم يستوفي متطلبات المعيار ISO/IEC 42001:2023. صدر المعيار في ديسمبر 2023، ويطلب منكم إدارة الذكاء الاصطناعي بالطريقة التي يطلب بها معيار ISO/IEC 27001 إدارة أمن المعلومات: نطاق محدد، وسياسة للذكاء الاصطناعي، وتقييمات للمخاطر والأثر، واختيار مبرَّر للضوابط، وسجلات تثبت أن النظام يعمل. وتصف المنظمة الدولية للتقييس (ISO) الشهادة بأنها اختيارية، ولا تمنح الشهادات بنفسها، بل تتولى ذلك جهات منح شهادات مستقلة.
قبل أن تلتزموا، حددوا سبب سعيكم إلى الشهادة: متطلب لدى عميل أو في مناقصة، أو سياسة للمجموعة، أو توقع من جهة تنظيمية. فالسبب يحدد النطاق، والنطاق يحدد حجم الجهد.
ماذا يتطلب معيار آيزو 42001؟
المعيار ISO/IEC 42001 معيار لنظام إدارة، فهو لا يشرح طريقة بناء النماذج، بل يطلب وضع سياسات وأهداف لتطوير الذكاء الاصطناعي أو تقديمه أو استخدامه بمسؤولية، وتشغيل العمليات التي تحققها وفق دورة التخطيط والتنفيذ والتحقق والتحسين. ويتبع المعيار البنية الموحدة لمعايير أنظمة الإدارة في ISO، فتحمل بنوده الرئيسية (من 4 إلى 10) الأرقام والعناوين نفسها الموجودة في ISO/IEC 27001، مع متطلبات خاصة بالذكاء الاصطناعي ضمنها.
- سياق المؤسسة (البند 4): القضايا والأطراف المعنية المؤثرة، ودور مؤسستكم: مطوِّر للذكاء الاصطناعي أو مقدِّم له أو مستخدم، ونطاق نظام الإدارة.
- القيادة (البند 5): التزام الإدارة العليا، وسياسة الذكاء الاصطناعي، وتوزيع الأدوار والمسؤوليات.
- التخطيط (البند 6): تقييم مخاطر الذكاء الاصطناعي ومعالجتها، وتقييم أثر أنظمة الذكاء الاصطناعي، وأهداف قابلة للقياس.
- الدعم (البند 7): الموارد والكفاءة والتوعية والتواصل وضبط الوثائق.
- التشغيل (البند 8): تنفيذ العمليات المخطط لها، وإعادة تقييم المخاطر والأثر عند تغيّر الأنظمة.
- تقييم الأداء (البند 9): المراقبة والقياس والتدقيق الداخلي ومراجعة الإدارة.
- التحسين (البند 10): حالات عدم المطابقة والإجراءات التصحيحية والتحسين المستمر.
وتصف الملخصات المنشورة للمعيار، ومنها أدلة جهات منح الشهادات، الملحق (A) بأنه يضم أهدافاً وضوابط مرجعية تغطي سياسات الذكاء الاصطناعي، والتنظيم الداخلي، والموارد، وتقييم الأثر، ودورة حياة النظام، وبيانات أنظمة الذكاء الاصطناعي، والمعلومات المقدَّمة للأطراف المعنية، واستخدام الأنظمة، والعلاقات مع الأطراف الخارجية والعملاء. ولا تطبقون كل الضوابط تلقائياً، بل تختارون ما يستدعيه تقييم المخاطر، وتسجلون قرار الإدراج أو الاستبعاد ومبرره في بيان قابلية التطبيق، وهو وثيقة يراجعها المدققون.
ما علاقة آيزو 42001 بمعايير ISO/IEC 27001 و23894 و42005؟
يعمل ISO/IEC 42001 إلى جانب معايير أخرى. فمعايير الذكاء الاصطناعي في الجدول تصدرها لجنة فنية واحدة مشتركة بين ISO وIEC (JTC 1/SC 42)، أما ISO/IEC 27001 فهو معيار أمن المعلومات الذي حصلت مؤسسات كثيرة في المنطقة على شهادته أصلاً. وبعض هذه المعايير فقط قابل للتدقيق ومنح الشهادة.
| المعيار | مضمونه | هل تُمنح عليه شهادة؟ | طريقة الاستفادة منه |
|---|---|---|---|
| ISO/IEC 42001:2023 | متطلبات نظام إدارة الذكاء الاصطناعي | نعم | النظام الذي يجري التدقيق عليه |
| ISO/IEC 27001:2022 | متطلبات نظام إدارة أمن المعلومات | نعم | إعادة استخدام إجراءات التدقيق والمراجعة والوثائق والإجراءات التصحيحية |
| ISO/IEC 23894:2023 | إرشادات لإدارة مخاطر الذكاء الاصطناعي | لا، إرشادي | صياغة معايير المخاطر ومنهجيتها |
| ISO/IEC 42005:2025 | إرشادات لتقييم أثر أنظمة الذكاء الاصطناعي | لا، إرشادي | تصميم عملية تقييم الأثر التي يطلبها البند 6 |
| ISO/IEC 42006:2025 | متطلبات الجهات التي تدقق أنظمة إدارة الذكاء الاصطناعي وتمنح شهاداتها | يخص جهات منح الشهادات | التحقق من اعتماد الجهة التي تختارونها |
صدر المعيار ISO/IEC 42005 في مايو 2025، ويتناول أثر نظام الذكاء الاصطناعي واستخداماته المتوقعة على الأفراد والمجموعات والمجتمع، ويوصي بتقييم الأثر طوال دورة حياة النظام. وإذا كانت لديكم شهادة ISO/IEC 27001، فالعمل الجديد خاص بالذكاء الاصطناعي: سجل الأنظمة، ومعايير المخاطر، وتقييمات الأثر، وضوابط دورة الحياة، ومصدر البيانات. أما إجراءات الحوكمة القائمة فيمكن توسيعها لتغطي النظامين.
قائمة الجاهزية لشهادة آيزو 42001
استخدموا هذه القائمة للحكم على جاهزيتكم لحجز تدقيق منح الشهادة. ويجب أن يستند كل بند إلى دليل عملي، لا إلى وثيقة فقط.
| المجال | تكونون جاهزين حين تستطيعون إثبات |
|---|---|
| النطاق | نطاق مكتوب يحدد وحدات الأعمال والمواقع والأنظمة ودوركم مطوِّرين أو مقدِّمين أو مستخدمين |
| سجل الأنظمة | كل نظام ذكاء اصطناعي ضمن النطاق، بما في ذلك ميزات الذكاء الاصطناعي المدمجة في البرمجيات المشتراة، مع مالك محدد بالاسم |
| السياسة | سياسة تعتمدها الإدارة العليا وتُبلَّغ للموظفين باللغات التي يعملون بها |
| الأدوار | مسؤوليات محددة بأسماء أصحابها، منها من يقبل مخاطر الذكاء الاصطناعي ومن يملك صلاحية إيقاف النظام |
| منهجية المخاطر وسجلها | معايير للمخاطر، وسجل مكتمل، وخطط معالجة لها مالكون ومواعيد |
| تقييمات الأثر | منهجية موثقة وتقييمات منجزة للأنظمة ضمن النطاق |
| بيان قابلية التطبيق | قرار إدراج أو استبعاد لكل ضابط في الملحق (A) مع المبرر |
| الأهداف | أهداف للذكاء الاصطناعي لها مؤشرات ومالكون ونتائج مسجلة |
| الكفاءة | سجلات تدريب وكفاءة للعاملين على النظام |
| المورّدون | متطلبات خاصة بالذكاء الاصطناعي في عقود مزوّدي النماذج والمنصات والبيانات |
| التدقيق الداخلي | تدقيق داخلي واحد على الأقل يغطي النطاق كاملاً، وملاحظاته مغلقة أو مخطط لإغلاقها |
| مراجعة الإدارة | مراجعة إدارة واحدة على الأقل بمحضر يتضمن القرارات والإجراءات |
كم يستغرق الاستعداد لشهادة آيزو 42001؟
لا توجد مدة قياسية، ولا نقدّر مدة قبل الاطلاع على النطاق. ويتوقف زمن الاستعداد على أربعة عوامل:
- اتساع النطاق: فريق منتج واحد أو المؤسسة كلها؛
- عدد أنظمة الذكاء الاصطناعي ضمن النطاق ومستوى مخاطرها؛
- وجود نظام إدارة قائم مثل ISO/IEC 27001؛
- سرعة الإدارة في اعتماد السياسة ومستوى تقبّل المخاطر والنطاق.
وتتوقع جهات منح الشهادات أن يكون النظام قد عمل فعلاً قبل تدقيق المرحلة الثانية. فعلى سبيل المثال، تنص مذكرة المعلومات التي نشرتها LRQA لعملائها على أن المرحلة الثانية تتحقق من إجراء مراجعة إدارة واحدة وتدقيق داخلي واحد على الأقل يغطيان النطاق. لذا ضعوا خطتكم بالعدّ التنازلي من موعد التدقيق، على أن يكون الترتيب الزمني: تحليل الفجوات، ثم تطبيق الضوابط، ثم فترة من سجلات التشغيل، ثم التدقيق الداخلي، ثم مراجعة الإدارة. وستتقدم شركة تقنية مالية إقليمية حاصلة على شهادة ISO/IEC 27001 ولديها ثلاثة أنظمة ضمن النطاق أسرع من وزارة لا تملك أي نظام إدارة وتستخدم الذكاء الاصطناعي في إدارات كثيرة.
ما الذي يفحصه مدققو آيزو 42001؟
تمر عملية منح الشهادة عادةً بمرحلتين من التدقيق. في المرحلة الأولى يراجع المدقق التصميم والوثائق: سياق الأعمال، وسياسة الذكاء الاصطناعي وأهدافه، والنطاق ونوع المؤسسة من حيث دورها في الذكاء الاصطناعي، وتقييم المخاطر واختيار الضوابط في بيان قابلية التطبيق، والأدوار، والمتطلبات النظامية والتنظيمية، وخطط معالجة المخاطر وخطط القياس، وسجلات التدقيق الداخلي ومراجعة الإدارة.
وفي المرحلة الثانية يختبر المدقق عمل النظام على أرض الواقع، فيقابل العاملين عليه، ويأخذ عينات من الضوابط، ويسأل هل يلائم تقييم المخاطر الأنظمة التي يشملها النطاق. نقترح إعداد إجابات واضحة عن أسئلة مثل:
- من أين جاء كل نظام ذكاء اصطناعي، ومن اعتمده؟
- كيف قررتم أي ضوابط الملحق (A) تنطبق؟
- أي تقييم أثر غيّر قراراً في تصميم نظام أو نشره، وكيف؟
- ماذا جرى في آخر مراجعة للإدارة، وما الذي تقرر؟
- كيف تعرفون أن تغيير نموذج أو مورّد استدعى إجراء تقييم جديد؟
وتؤخر حالات عدم المطابقة الجوهرية منح الشهادة حتى يتحقق المدقق من الإجراءات التصحيحية. وبعد المنح تأتي تدقيقات المتابعة الدورية ثم إعادة منح الشهادة، وتصف مذكرة LRQA، وهي مثال منشور واحد، تجديد الشهادة كل ثلاث سنوات، وتختلف الشروط بين الجهات. وتُقيَّم جهات منح الشهادات المعتمدة وفق المعيار ISO/IEC 42006:2025 الصادر في يوليو 2025، الذي يضيف متطلبات خاصة بالذكاء الاصطناعي إلى المعيار ISO/IEC 17021-1. اسألوا أي جهة تفكرون فيها عن جهة الاعتماد التي اعتمدتها لمنح شهادات ISO/IEC 42001.
هل تغطي شهادة آيزو 42001 متطلبات نظام حماية البيانات الشخصية السعودي والقوانين الإقليمية؟
لا. تنص ISO على أن المعيار لا يحل محل القوانين والأنظمة، لكن العمل متداخل. فاللائحة التنفيذية لنظام حماية البيانات الشخصية في المملكة تشترط تقييماً مكتوباً للأثر عند المعالجة باستخدام تقنيات ناشئة أو اتخاذ القرارات بناءً على المعالجة الآلية، ووزارة الاقتصاد الرقمي والريادة في الأردن تنشر دليلاً إرشادياً لتقييم أثر حماية البيانات. وقالب واحد يغطي أثر حماية البيانات وأثر الذكاء الاصطناعي معاً يتيح استخدام الأدلة نفسها أمام الجهة التنظيمية والمدقق. هذه معلومات عامة وليست استشارة قانونية، وتختلف الالتزامات بحسب قطاع المؤسسة والبيانات التي تعالجها.
من أين تبدأون؟
تشمل خدمة إرساء حوكمة الذكاء الاصطناعي والامتثال الجاهزية لمعيار ISO/IEC 42001: النطاق، وسجل الفجوات، والسياسة، وتقييم المخاطر والأثر، والسجلات التي يطلبها المدققون. وللفريق الذي سيدير النظام، يبني التدريب على الذكاء الاصطناعي حسب الدور الوظيفي المهارات العملية التي يحتاجها كل دور. وإذا لم تتضح لكم بعد أدوات الذكاء الاصطناعي المستخدمة، فابدأوا بخدمة مسح واقع الذكاء الاصطناعي في شركتكم المجانية، أو تعرّفوا إلى مختبر الحوكمة.
نحن نجهّز المؤسسات للتدقيق، أما الشهادة فتصدرها جهة منح شهادات مستقلة.
أسئلة شائعة
ما شهادة آيزو 42001؟
شهادة آيزو 42001 تصدرها جهة منح شهادات مستقلة لتؤكد أن نظام إدارة الذكاء الاصطناعي في المؤسسة يستوفي متطلبات المعيار ISO/IEC 42001:2023. ويفحص التدقيق النطاق وسياسة الذكاء الاصطناعي وتقييمات المخاطر والأثر وبيان قابلية التطبيق لضوابط الملحق (A)، ويتحقق من أن التدقيق الداخلي ومراجعة الإدارة يعملان. ولا تصدر ISO نفسها أي شهادة.
هل شهادة آيزو 42001 إلزامية في السعودية أو الإمارات أو الأردن؟
تصف ISO الشهادة على المعيار ISO/IEC 42001 بأنها اختيارية. ومع ذلك قد يطلبها عملاء أو مناقصات أو سياسات مجموعة أو جهات تنظيمية قطاعية، أو يطلبون دليلاً مكافئاً على حوكمة الذكاء الاصطناعي، لذا راجعوا عقودكم والمتطلبات الحالية للجهة التنظيمية المختصة. ولا تحل الشهادة محل التزامات حماية البيانات، مثل تقييم الأثر وفق نظام حماية البيانات الشخصية السعودي.
ما الفرق بين آيزو 42001 وآيزو 27001؟
يضع ISO/IEC 27001 متطلبات نظام إدارة أمن المعلومات، ويضع ISO/IEC 42001 متطلبات نظام إدارة الذكاء الاصطناعي. ويتبع المعياران البنية الموحدة نفسها في البنود الرئيسية من 4 إلى 10، فيمكن للمؤسسة أن توحّد بينهما التدقيق الداخلي ومراجعة الإدارة وضبط الوثائق. ويضيف ISO/IEC 42001 أعمالاً خاصة بالذكاء الاصطناعي، مثل تقييم أثر الأنظمة وضوابط دورة الحياة.
ما مدة صلاحية شهادة آيزو 42001؟
تعمل جهات منح الشهادات وفق دورة تبدأ بالمنح الأولي للشهادة، ثم تدقيقات متابعة دورية، ثم إعادة منح الشهادة. وتصف مذكرة LRQA المنشورة لعملائها، على سبيل المثال، تجديد الشهادة كل ثلاث سنوات مع زيارات متابعة بينها. تحققوا من الدورة الدقيقة وعدد مرات التدقيق وشروطه مع الجهة التي تختارونها، لأن الترتيبات تختلف من جهة إلى أخرى.
هل تستطيع شركة صغيرة الحصول على شهادة آيزو 42001؟
نعم. تذكر ISO أن المعيار ISO/IEC 42001 ينطبق على المؤسسات بمختلف أحجامها إذا كانت تطور منتجات أو خدمات قائمة على الذكاء الاصطناعي أو تقدمها أو تستخدمها. ويمكن للشركة الصغيرة أن تبقي النطاق ضيقاً، كمنتج واحد أو وحدة أعمال واحدة، فيقل عدد الأنظمة والضوابط والسجلات التي يحتاج المدقق إلى رؤيتها.
تصلكم مقالاتنا الجديدة بالبريد
رسالة واحدة عند نشر ما يفيدكم، بلا إزعاج، ويمكنكم إلغاء الاشتراك في أي وقت.
الخدمات في هذا المقال
المختبر المرتبط: مختبر الحوكمة ↖
