الذكاء الاصطناعي الخفي: كيف تكتشف أدوات الذكاء الاصطناعي التي يستخدمها موظفوك وتُخضعها للحوكمة
الذكاء الاصطناعي الخفي هو ما يستخدمه موظفوك دون اعتماد. اكتشفه عبر الاستبيانات وسجلات الدخول والشبكة والمصاريف، ثم أخضِعه للحوكمة بقائمة أدوات معتمدة وضوابط للوصول ومنع التسرب.
الذكاء الاصطناعي الخفي، أو غير المعتمد، هو أي أداة ذكاء اصطناعي يستخدمها الموظفون في العمل دون موافقة المؤسسة: حساب شخصي في ChatGPT، أو إضافة للمتصفح تلخص البريد الإلكتروني، أو ميزة ذكاء اصطناعي أضافها مورّد إلى برنامج تدفعون اشتراكه أصلاً. وتُدار هذه الظاهرة بأربع خطوات: اكتشاف الأدوات المستخدمة، وتصنيف البيانات المعرّضة للخطر، ونشر قائمة بالأدوات المعتمدة مع مسار سريع لطلب أدوات جديدة، ثم إضافة ضوابط للوصول ولمنع تسرب البيانات. أما الحظر الشامل دون بدائل معتمدة فقد ينقل الاستخدام إلى الهواتف الشخصية، حيث لا ترونه.
يصعب تقدير حجم الظاهرة من الخارج. فقد أفاد مؤشر اتجاهات العمل لعام 2024 الصادر عن Microsoft وLinkedIn في مايو 2024 بأن 78% من مستخدمي الذكاء الاصطناعي يجلبون أدواتهم الخاصة إلى العمل. وشمل الاستطلاع نحو 31 ألف شخص في 31 سوقاً، لذا اعتبروه مؤشراً عالمياً عاماً، وتحققوا من الواقع في مؤسستكم.
لماذا لا ينجح حظر أدوات الذكاء الاصطناعي غالباً؟
يلجأ الموظفون إلى الأدوات غير المعتمدة لأنها توفر عليهم الوقت في مهام حقيقية: صياغة الخطابات بالعربية والإنجليزية، وتلخيص وثائق المناقصات، وتنظيف جداول البيانات. وإذا أزلتم الأداة دون بديل بقيت الحاجة قائمة، والنتيجة المرجحة أن تُكتب الأوامر نفسها على هاتف شخصي، خارج شبكتكم وسجلاتكم وضوابط حماية البيانات لديكم.
وتتجه الإرشادات السعودية إلى ضبط البيانات لا منع استخدام الذكاء الاصطناعي من حيث المبدأ. إذ توجّه إرشادات الذكاء الاصطناعي التوليدي للعموم الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) الجهاتِ إلى اعتماد سياسات استخدام تمنع إدخال المعلومات المصنفة في الأدوات الخارجية، مع مراقبة الالتزام ومراجعته دورياً، وتوعية الموظفين وتدريبهم. امنعوا ما هو غير آمن، واعتمدوا ما هو مفيد، وأخبروا الموظفين بالفرق بينهما.
كيف تكتشفون الذكاء الاصطناعي الخفي في مؤسستكم؟
لا يكشف مصدر واحد كل شيء، لذا اجمعوا بين أربعة مصادر وقارنوا ما يظهره كل منها. وتأكدوا من أن مراجعة هذه السجلات مشمولة بإشعار الخصوصية للموظفين وسياسة الاستخدام المقبول.
| الطريقة | ما تكشفه | ما لا تكشفه |
|---|---|---|
| استبيان لا يُذكر فيه الاسم ومقابلات قصيرة | الأدوات والمهام ونوع البيانات التي يلصقها الموظفون، بكلماتهم | الاستخدام الذي ينساه الناس أو يفضلون عدم ذكره |
| سجلات الهوية وتسجيل الدخول الموحَّد | تطبيقات الذكاء الاصطناعي التي دخلها الموظفون بحساباتهم المؤسسية، والصلاحيات التي منحوها | الحسابات الشخصية على الأجهزة الشخصية |
| سجلات بوابة الويب الآمنة أو وسيط أمان الوصول السحابي (CASB) | الاتصال بمواقع الذكاء الاصطناعي وتطبيقاته من الأجهزة والشبكات المُدارة | بيانات الجوال على الهواتف الشخصية، وميزات الذكاء الاصطناعي داخل البرمجيات المعتمدة |
| طلبات استرداد المصاريف وسجلات المشتريات | الاشتراكات المدفوعة بالبطاقات المؤسسية أو التي استُردّت قيمتها | النسخ المجانية |
قدّموا الاستبيان بوصفه فرصة للإفصاح دون محاسبة: الهدف جمع الاستخدامات لاعتماد الأدوات الجيدة، لا معاقبة أحد. واسألوا عن المهام التي يستخدم فيها الموظفون الذكاء الاصطناعي، والأدوات، وهل أدخلوا بيانات عملاء أو موظفين أو بيانات مالية. ولن تكون الإجابات صادقة إلا إذا التزمتم بهذا الوعد. وهذا الوعد يعني عدم محاسبة الموظفين، لكنه لا يُلغي الالتزامات النظامية: فإذا كشفت إجابة أن بيانات شخصية خرجت من سيطرتكم، فعالجوها عبر إجراءات الحوادث لديكم، وقد يشمل ذلك الإبلاغ عن التسرب وفق قانون حماية البيانات المنطبق.
وتملك مؤسسات كثيرة أدوات الاكتشاف التقنية أصلاً. فوثائق Microsoft، بحسب مراجعتها في أكتوبر 2026، تذكر أن فهرس تطبيقات Defender for Cloud Apps يضم فئة للذكاء الاصطناعي التوليدي فيها أكثر من ألف تطبيق، مع تقييم مخاطر لكل تطبيق، وإمكانية اعتماده أو حظره، وسياسات تكتشف التطبيقات الجديدة باستمرار بحسب درجة المخاطر أو العدد اليومي للمستخدمين. وتقدم منتجات أخرى لوساطة أمان الوصول السحابي وبوابات الويب الآمنة فئات مشابهة، فراجعوا ما تشمله تراخيصكم الحالية قبل شراء أي جديد.
وأخيراً، راجعوا لوحات الإدارة في البرمجيات التي تستخدمونها، مثل أنظمة إدارة علاقات العملاء وحزم البرامج المكتبية وأدوات الاجتماعات. فالمورّدون يضيفون ميزات ذكاء اصطناعي بمرور الوقت، وكل ميزة منها تحتاج إلى القرار نفسه الذي تحتاجه أداة جديدة.
صنّفوا البيانات قبل الحكم على الأدوات
تتوقف مخاطر أداة الذكاء الاصطناعي الخفي على ما يدخل فيها أكثر مما تتوقف على الأداة نفسها. لذا استخدموا نظام التصنيف الذي لديكم. وللجهات العامة في المملكة نظام قائم، إذ تحدد سياسة تصنيف البيانات الوطنية الصادرة عن مكتب إدارة البيانات الوطنية التابع لسدايا أربعة مستويات هي: سري للغاية، وسري، ومقيد، وعام. وتستخدم شركات خاصة كثيرة مستويات أخرى، مثل: عام، وداخلي، وسري (Confidential)، ومقيد (Restricted). حددوا لكل مستوى الأدوات التي يجوز إدخال بياناته فيها.
| فئة البيانات | أدوات المستهلكين بحسابات شخصية | أدوات مؤسسية معتمدة | ذكاء اصطناعي خاص أو مستضاف داخل المنطقة |
|---|---|---|---|
| عام | مسموح | مسموح | مسموح |
| داخلي | غير مسموح | مسموح | مسموح |
| سري وفق تصنيف الشركة (Confidential) أو بيانات شخصية | غير مسموح | لحالات الاستخدام المعتمدة فقط بعد التحقق من النقل والأثر | لحالات الاستخدام المعتمدة |
| مقيد وفق تصنيف الشركة | غير مسموح | غير مسموح افتراضياً | بموافقة لكل حالة على حدة |
| بيانات حكومية مصنفة مقيد أو سري أو سري للغاية وفق السياسة الوطنية | غير مسموح | غير مسموح | فقط بما تسمح به سياسة التصنيف لديكم والضوابط القطاعية |
هذا الجدول للتوضيح، وعند أي تعارض تُطبَّق سياسة التصنيف لديكم والضوابط القطاعية.
وتحتاج البيانات الشخصية إلى عناية إضافية. فنظام حماية البيانات الشخصية في المملكة، والمرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية في الإمارات، وقانون حماية البيانات الشخصية رقم (24) لسنة 2023 في الأردن، تضع جميعها شروطاً للمعالجة ولنقل البيانات خارج الدولة، فتحققوا من المكان الذي يعالج فيه كل مزوّد البيانات ويخزنها. هذه معلومات عامة وليست استشارة قانونية، وتختلف الالتزامات بحسب القطاع والبيانات المعنية.
قائمة أدوات معتمدة يستخدمها الموظفون فعلاً
قائمة الأدوات المعتمدة هي الجواب عن سؤال يطرحه كل موظف: ما الأدوات التي يُسمح لي باستخدامها؟ اجعلوها في صفحة واحدة بالعربية والإنجليزية، وسجّلوا لكل أداة:
- اسم الأداة والباقة (للمؤسسات أو للأفراد)، لأن المنتج نفسه قد يحمل شروطاً مختلفة للبيانات؛
- فئات البيانات المسموح إدخالها والمهام المعتمدة لها؛
- مالكاً محدداً بالاسم وموعد المراجعة التالية؛
- طريقة الحصول على الوصول، وغالباً عبر تسجيل الدخول الموحَّد.
وأرفقوا بالقائمة مساراً للطلبات: نموذجاً قصيراً، ومراجِعاً محدداً بالاسم، ومدة رد معلنة. فإذا انتظر الموظفون أشهراً للحصول على جواب، عاد الذكاء الاصطناعي الخفي. وسيضع بنك إقليمي حدوداً تختلف عن حدود شركة تجزئة عائلية، لكن كليهما يحتاج إلى القائمة والمسار.
ضوابط الوصول ومنع تسرب البيانات
السياسة تخبر الناس بما ينبغي أن يفعلوه، والضوابط تلتقط الأخطاء. طبّقوها أولاً في وضع المراقبة، ثم التحذير، ثم الحظر، لتعرفوا ما الذي سيتعطل قبل أن يكتشفه المستخدمون.
- الهوية: اربطوا الأدوات المعتمدة بتسجيل الدخول الموحَّد والوصول المشروط، فلا يصل إلى بيانات المؤسسة إلا الحسابات والأجهزة المُدارة.
- ضوابط حافة الشبكة: فعّلوا التحذير عند الوصول إلى فئات الذكاء الاصطناعي غير المعتمدة ثم احظروها على البوابة أو وسيط أمان الوصول السحابي، بدءاً بالتطبيقات الأعلى خطورةً.
- منع تسرب البيانات: طبّقوا سياسات منع التسرب على الأوامر والملفات المرفوعة. وتذكر Microsoft أن Purview DSPM for AI يقدم سياسات جاهزة لمنع تسرب البيانات عبر أوامر الذكاء الاصطناعي، وأن مراقبة مواقع الذكاء الاصطناعي الخارجية تتطلب تسجيل الأجهزة في خدمة Purview.
- إضافات المتصفح: اعتمدوا قائمة بالإضافات المسموح بها في المتصفحات المُدارة، لأن كثيراً من إضافات الذكاء الاصطناعي تستطيع قراءة محتوى الصفحات.
- السجلات: احتفظوا بسجلات التدقيق للأدوات المعتمدة حتى تتمكنوا من التحقيق في أي حادثة لاحقاً.
خطة من 30 يوماً لضبط الذكاء الاصطناعي الخفي
- من اليوم 1 إلى 5: عيّنوا مسؤولاً، وأعلنوا الاستبيان بوصفه فرصة للإفصاح دون محاسبة، ومرّروا أي شراء جديد لأدوات الذكاء الاصطناعي عبر نموذج الطلبات.
- من اليوم 6 إلى 12: نفّذوا الاستبيان والمقابلات، واجمعوا بيانات تسجيل الدخول والبوابة والمصاريف في سجل واحد.
- من اليوم 13 إلى 18: صنّفوا البيانات التي تتلقاها كل أداة، وقرروا الإبقاء عليها أو استبدالها أو حظرها.
- من اليوم 19 إلى 24: انشروا الإصدار الأول من قائمة الأدوات المعتمدة ومسار الطلبات، وفعّلوا البدائل المؤسسية للمهام الأكثر شيوعاً.
- من اليوم 25 إلى 30: انقلوا قواعد البوابة للتطبيقات الأعلى خطورةً من المراقبة إلى التحذير أو الحظر، واختبروا سياسات منع التسرب، وارفعوا السجل والقرارات إلى الإدارة.
لن تزيلوا كل أداة غير معتمدة خلال 30 يوماً، لكنكم ستعرفون ما يُستخدم، وأي البيانات معرّضة للخطر، وما البديل الذي ينبغي أن يستخدمه الموظفون.
من أين تبدأون؟
خدمة مسح واقع الذكاء الاصطناعي في شركتكم المجانية محادثة مدتها 45 دقيقة حول المواضع التي يعرّضكم فيها الذكاء الاصطناعي للمخاطر حالياً، وتنتهي بخطوة تالية مكتوبة. وللحصول على سجل كامل والسياسة التي تنظّمه، اطّلعوا على صفحة الذكاء الاصطناعي غير المعتمد وخدمة إرساء حوكمة الذكاء الاصطناعي والامتثال. وحين تكونون مستعدين لربط الأدوات المعتمدة بالهوية المؤسسية وإضافة ضوابط منع التسرب، تغطي خدمة حماية الوصول والبيانات في الذكاء الاصطناعي تسجيل الدخول الموحَّد والوصول المشروط وضوابط حافة الشبكة وتوثيق إعدادات المنصات. ولمزيد من التفاصيل، زوروا صفحة مختبر الحوكمة.
أسئلة شائعة
ما الذكاء الاصطناعي الخفي؟
الذكاء الاصطناعي الخفي، أو غير المعتمد، هو أي أداة ذكاء اصطناعي تُستخدم في العمل دون موافقة المؤسسة، مثل الحسابات الشخصية في ChatGPT أو Gemini، وإضافات المتصفح، وتطبيقات التفريغ الصوتي المجانية، وميزات الذكاء الاصطناعي المفعّلة داخل البرمجيات القائمة. وينشأ الخطر أساساً من البيانات التي يدخلها الموظفون، مثل سجلات العملاء والأرقام المالية، إذ قد تخرج هذه البيانات عن سيطرة المؤسسة.
هل استخدام الذكاء الاصطناعي الخفي مخالف للقانون؟
استخدام أداة غير معتمدة مسألة تتعلق بسياسة المؤسسة في الغالب. لكنه يصبح مسألة قانونية حين يُدخل الموظفون بيانات شخصية أو مصنفة في خدمة لا تستوفي شروط قوانين مثل نظام حماية البيانات الشخصية السعودي، أو المرسوم بقانون اتحادي رقم (45) لسنة 2021 في الإمارات، أو القانون رقم (24) لسنة 2023 في الأردن. هذه معلومات عامة وليست استشارة قانونية.
كيف نكتشف استخدام ChatGPT وأدوات الذكاء الاصطناعي الأخرى في مؤسستنا؟
اجمعوا بين أربعة مصادر: استبيان للموظفين لا يُذكر فيه الاسم، وسجلات الهوية وتسجيل الدخول الموحَّد، وسجلات بوابة الويب الآمنة أو وسيط أمان الوصول السحابي، وسجلات المصاريف والمشتريات. وتتضمن أدوات مثل Microsoft Defender for Cloud Apps فئة للذكاء الاصطناعي التوليدي تساعد في اكتشاف التطبيقات. ولا يكشف مصدر واحد كل شيء، فقارنوا النتائج وتابعوا الثغرات.
هل نحظر ChatGPT في العمل؟
الحظر دون بديل معتمد قد يدفع الاستخدام إلى الهواتف الشخصية، فتفقدون القدرة على رصده. والأفضل اعتماد أداة ذكاء اصطناعي مؤسسية للمهام الشائعة، ونشر فئات البيانات المسموح استخدامها معها، وحظر التطبيقات غير المعتمدة عالية المخاطر على حافة الشبكة، وتطبيق سياسات منع تسرب البيانات على الأوامر والملفات المرفوعة.
ما الفرق بين الذكاء الاصطناعي الخفي وتقنية المعلومات الخفية؟
تقنية المعلومات الخفية هي أي برنامج أو خدمة تُستخدم دون موافقة إدارة تقنية المعلومات، والذكاء الاصطناعي الخفي هو الجزء المتعلق بأدوات الذكاء الاصطناعي وميزاته. ويحتاج إلى اهتمام إضافي لأن الموظفين يلصقون الوثائق والبيانات في أوامر الذكاء الاصطناعي، ولأن المورّدين يضيفون ميزات جديدة إلى برمجيات اعتُمدت قبل وجودها.
تصلكم مقالاتنا الجديدة بالبريد
رسالة واحدة عند نشر ما يفيدكم، بلا إزعاج، ويمكنكم إلغاء الاشتراك في أي وقت.
الخدمات في هذا المقال
المختبر المرتبط: مختبر الحوكمة ↖
