حوكمة الذكاء الاصطناعي: من المسؤول عن الذكاء الاصطناعي في المؤسسة؟

أمن المعلومات، المعايير، التنظيم، الخصوصية وإدارة المخاطر.

بقلم روي كيش – إنفوغارد، من مجموعة عيدور

نلتقي اليوم بعدد متزايد من المؤسسات التي تستخدم الذكاء الاصطناعي فعلياً، حتى وإن لم تكن قد وضعت لنفسها سياسة منظمة في هذا الشأن بعد.

يستخدم الموظفون أدوات الذكاء الاصطناعي التوليدي لصياغة المستندات وتلخيص الاجتماعات وتحليل البيانات وكتابة الشيفرة البرمجية. وتربط أقسام التسويق الذكاء الاصطناعي ببيانات العملاء، وتطبّق فرق الخدمة روبوتات المحادثة، وتبدأ وحدات الأعمال بتشغيل وكلاء ذكاء اصطناعي لديهم صلاحية الوصول إلى الأنظمة والبيانات المؤسسية.

من وجهة نظرنا في إنفوغارد، لم يعد السؤال هو ما إذا كان الذكاء الاصطناعي سيدخل المؤسسة. ففي معظم الحالات هو موجود بالفعل في الداخل.

السؤال المهم مختلف: من يديره، ومن يشرف عليه، ومن يتحمّل المسؤولية عندما يحدث خلل؟

التنظيم لم يعد شأناً مستقبلياً

في عالم الذكاء الاصطناعي يتقدّم التنظيم بسرعة.

يوضّح قانون الذكاء الاصطناعي الأوروبي الانتقال من مبادئ عامة إلى إطار يضع متطلبات أوضح حول استخدام أنظمة الذكاء الاصطناعي. وكلما زاد تأثير النظام على الأشخاص أو الحقوق أو القرارات المهمة، زادت متطلبات الرقابة والتوثيق والشفافية والإشراف على المؤسسة.

لكننا في إنفوغارد، بصفتنا شركة أمن معلومات، ننصح المؤسسات بألا تنظر إلى تنظيم الذكاء الاصطناعي وحده.

عملياً، يلتقي استخدام الذكاء الاصطناعي بالتزامات قائمة في مجالات الخصوصية وأمن المعلومات وإدارة المخاطر والتعاقدات مع المورّدين ومسؤولية الإدارة.

وحتى المؤسسة التي لا تعمل مباشرة تحت التنظيم الأوروبي عليها أن تسأل نفسها ماذا يحدث عندما تعالج أداة ذكاء اصطناعي بيانات شخصية، أو تحصل على صلاحية الوصول إلى معلومات حساسة، أو تؤثر على قرارات تجارية.

بالنسبة لنا، لم يعد هذا سؤالاً تقنياً فحسب. إنه سؤال إداري.

الخصوصية يجب أن تدخل في مرحلة التوصيف

من النقاط التي نؤكد عليها مراراً أنه من غير الحكمة الانتظار حتى نهاية المشروع للحديث عن الخصوصية.

إذا حصل نظام ذكاء اصطناعي على صلاحية الوصول إلى نظام إدارة العملاء أو المراسلات أو مستندات الموظفين أو بيانات العملاء أو معلومات تجارية حساسة، فيجب التوقف وطرح بعض الأسئلة الأساسية:

• هل نحتاج فعلاً إلى كل هذه البيانات؟
• هل يُسمح لنا باستخدامها لهذا الغرض؟
• هل تُنقل إلى مورّد خارجي؟
• أين تُخزَّن؟
• هل تُستخدم لتدريب النموذج؟
• من يمكنه الوصول إليها؟
• ماذا يحدث للبيانات عند التوقف عن استخدام النظام؟

هذه هي بالضبط المواضع التي تتحوّل فيها مبادئ مثل الخصوصية بالتصميم وتقليل البيانات وإدارة دورة حياة المعلومات من أمر نظري إلى عملية عمل فعلية.

نحن في إنفوغارد نفضّل أن تدخل أسئلة الخصوصية في مرحلة دراسة حالة الاستخدام، لا بعد أن يصبح النظام في الخدمة.

المعايير تجعل الحوكمة أمراً قابلاً للإدارة

يمكن للتنظيم أن يخبرنا بما هو مطلوب. لكن المؤسسة لا تزال بحاجة إلى منهجية تساعدها على إدارة ذلك عملياً.

هنا يأتي دور المعيار ISO/IEC 42001، المعيار الدولي لنظام إدارة الذكاء الاصطناعي.

نراه إطاراً مهماً لأنه يُلزم المؤسسة بالنظر إلى الذكاء الاصطناعي كنظام إدارة متكامل: سياسة، أصحاب أدوار، مخاطر، ضوابط، أهداف، متابعة وتحسين مستمر.

وإلى جانبه، يوفّر ISO/IEC 27001 الأساس لإدارة أمن المعلومات، ويضيف ISO/IEC 27701 طبقة إدارة الخصوصية.

عملياً تترابط العوالم الثلاثة:

• ISO 27001 – كيف ندير أمن المعلومات.
• ISO 27701 – كيف ندير الخصوصية والبيانات الشخصية.
• ISO 42001 – كيف ندير أنظمة الذكاء الاصطناعي والمخاطر المرتبطة بها.

بالنسبة لنا هذا ترابط طبيعي. فالمؤسسة التي بنت بالفعل عمليات حوكمة جيدة حول أمن المعلومات والخصوصية ليست بحاجة إلى البدء من الصفر، لكنها بحاجة إلى توسيعها لتشمل عالم الذكاء الاصطناعي والوكلاء.

سياسة الذكاء الاصطناعي أكثر بكثير من قائمة أدوات

نرى عدداً لا بأس به من المؤسسات تبدأ بشكل صحيح لكنها تتوقف مبكراً جداً.

تنشر قائمة بالأدوات المسموحة والممنوعة وتعتقد أن لديها سياسة ذكاء اصطناعي.

هذه بداية، لكن الحوكمة الحقيقية يجب أن تذهب أبعد من ذلك.

ننصح بأن يُحدَّد أيضاً: ما هي المعلومات المسموح إدخالها إلى أدوات الذكاء الاصطناعي، وأي الاستخدامات تتطلب موافقة، وكيف يُقيَّم مورّد جديد، ومن يحق له ربط الذكاء الاصطناعي بنظام مؤسسي، ومتى يُشرَك مدير أمن المعلومات أو مسؤول حماية البيانات أو الاستشارة القانونية، وأي القرارات تستوجب إشرافاً بشرياً.

إضافة إلى ذلك، يُستحسن إعداد جرد منظم للذكاء الاصطناعي.

أي معرفة ما هي أنظمة واستخدامات الذكاء الاصطناعي القائمة، ومن يملكها، وإلى أي بيانات تصل، وما مستوى المخاطر فيها.

لا يمكن إدارة شيء لا نعرف بوجوده.

إذن على من تقع المسؤولية؟

هذا من الأسئلة التي نسمعها أكثر من غيرها.

الجواب أنه لا يمكن إلقاء المسؤولية كاملة على قسم واحد.

• تقنية المعلومات تدير الأنظمة.
• مدير أمن المعلومات يدير مخاطر أمن المعلومات.
• مسؤول حماية البيانات يفحص جوانب الخصوصية.
• الاستشارة القانونية تتعامل مع التنظيم والتعاقدات.
• وحدة الأعمال هي عادةً من تطلب التشغيل وتتحمّل التبعات التجارية.

لذلك ننصح بمسؤولية مشتركة لكنها واضحة.

كل نظام أو حالة استخدام مهمة تحتاج إلى مالك محدّد. وبالتوازي، على المؤسسة أن تقرّر من يحمل المسؤولية الشاملة عن سياسة الذكاء الاصطناعي وإدارة المخاطر.

نحب اختبار ذلك عبر أربعة أسئلة بسيطة:

• من وافق على الاستخدام؟
• من يشرف عليه ويوثّقه؟
• من يدير المخاطر؟
• من يتحمّل المسؤولية إذا حدث خلل؟

إذا لم يكن هناك جواب واضح على الأسئلة الأربعة، فالأرجح أن الحوكمة لم تنضج بعد بما يكفي.

وماذا عن الموظفين؟

حتى أفضل سياسة لن تنفع إذا لم يعرف الموظفون بوجودها.

نرى اليوم خطراً متنامياً يُعرف بالذكاء الاصطناعي الظلّي – موظفون يستخدمون أدوات ذكاء اصطناعي لا تعلم المؤسسة عنها شيئاً.

لذلك يجب أن تكون الثقافة المعرفية بالذكاء الاصطناعي وتدريب الموظفين جزءاً من العملية.

على الموظفين أن يعرفوا ما هي المعلومات الممنوع إدخالها، ومتى تتطلب النتيجة مراجعة بشرية، ومتى يجب أن تمر أداة جديدة عبر الموافقة.

كذلك، فإن المورّد الذي يدير خدمات الذكاء الاصطناعي خارجياً ووفق المعايير يتيح رصد الظاهرة ومخاطرها أو تقليصها، وإدخال أنماط العمل ضمن أطر مضبوطة ومُدارة.

كيف ننظر إلى ذلك في إنفوغارد

نحن في إنفوغارد نرافق المؤسسات عند نقطة التقاء أمن المعلومات والخصوصية والتنظيم والمعايير وإدارة المخاطر.

من وجهة نظرنا، الانتقال إلى الذكاء الاصطناعي لا يعيد اختراع قواعد اللعبة. بل يتطلب من المؤسسة أن تأخذ المبادئ التي تعرفها وتوسّعها إلى عالم جديد أسرع وأكثر ديناميكية.

ضمن خدمات أمن المعلومات للشركات، نساعد المؤسسات على الربط بين سياسة الذكاء الاصطناعي وتقييمات المخاطر والخصوصية والمعايير والمسؤولية المؤسسية وتدريب الموظفين، كي يتم تبنّي الذكاء الاصطناعي كعملية مُدارة لا كمبادرة معزولة.

من أين نبدأ؟

ننصح بالبدء ببساطة:

• رسم خريطة لأنظمة واستخدامات الذكاء الاصطناعي القائمة.
• تصنيفها بحسب البيانات والصلاحيات ومستوى المخاطر.
• تحديد سياسة ذكاء اصطناعي وقواعد خصوصية.
• تعيين مالك وعملية موافقة للاستخدامات المهمة.
• فحص الفجوات مقابل التنظيم والمعايير ذات الصلة.

لم يعد السؤال ما إذا كانت المؤسسة ستستخدم الذكاء الاصطناعي.

السؤال هو ما إذا كان الذكاء الاصطناعي يتقدّم أسرع من نظام الإدارة المحيط به.

بالنسبة لنا، حوكمة الذكاء الاصطناعي ليست حاجزاً أمام الابتكار. بل هي ما يتيح للمؤسسة أن تبتكر دون التنازل عن السيطرة والخصوصية والمسؤولية.

كُتب هذا المقال بالتعاون مع خبراء أمن المعلومات في شركة إنفوغارد.