ما الذي يجوز إدخاله إلى نموذج لغوي: تصنيف المعلومات في أربعة مستويات

الإجابة القصيرة: المعلومات العامة والداخلية يمكن إدخالها إلى نموذج لغوي في معظم الحالات، والمعلومات السرّية فقط في بيئة تحمل التزامًا تعاقديًا بعدم التدريب وعدم الاحتفاظ، أما المعلومات المقيّدة فلا تدخل إلى الموجّه إطلاقًا إلا في نسخة مموّهة. القاعدة التشغيلية هي الحدّ الأدنى من الكشف: نرسل إلى النموذج ما يلزم للإجابة فقط. وبيانات 2026 تفسّر الإلحاح: نحو 35% من المعلومات المؤسسية التي يُدخلها الموظفون إلى أدوات الذكاء الاصطناعي مصنّفة حسّاسة، مقابل 27% قبل عام و11% قبل عامين.

المشكلة الحقيقية ليست التقنية، بل الاستخدام الجاري بالفعل

في معظم المؤسسات يدور النقاش حول “هل ندخل الذكاء الاصطناعي” في قاعة الاجتماعات بينما الموظفون يُدخلونه فعلًا. تشير استطلاعات 2026 إلى أن نحو 80% من الموظفين يستخدمون أدوات ذكاء اصطناعي لم تُصادق عليها إدارة تقنية المعلومات، وأن نحو 63% منهم سبق أن لصقوا معلومات حسّاسة, شفرة مصدرية، سجلات عملاء، بيانات مالية أو وثائق استراتيجية, في حساب شخصي داخل روبوت محادثة.

التفصيل المقلق هو ملكية الحساب. حين يتم اللصق من حساب شخصي فإنه يقع خارج أي سيطرة مؤسسية: لا سجل، ولا تحكّم في مدة حفظ البيانات، ولا طريقة للحذف لاحقًا. ووفق التقارير نفسها، نحو 82% من عمليات اللصق إلى أدوات الذكاء الاصطناعي تأتي من حسابات شخصية.

الثمن: المؤسسات ذات المستوى المرتفع من الاستخدام غير المصادق عليه تتحمّل في المتوسط نحو 670 ألف دولار من تكاليف حادثة إضافية، و97% من المؤسسات التي أبلغت عن حادثة متعلقة بالذكاء الاصطناعي لم تكن لديها ضوابط وصول ملائمة. ومع ذلك، نحو 37% فقط من المؤسسات تملك أصلًا سياسة لرصد هذا الاستخدام أو إدارته.

مستويات التصنيف الأربعة وما هو مسموح في كل منها

تستخدم معظم سياسات التصنيف المؤسسية أربعة مستويات: عام، داخلي، سرّي ومقيّد. والجدول التالي يترجمها إلى قرار عملي أمام نموذج لغوي:

أهم تمييز هو بين السرّي والمقيّد، لأن معظم المؤسسات تخلط بينهما. السرّي معلومات ضررُ تسريبها تجاري، ولذلك يكفي عقد جيد. أما المقيّد فضرر تسريبه تنظيمي أو شخصي، وهنا لا يكفي العقد لأن الكشف لا يمكن التراجع عنه لاحقًا.

التقنيتان اللتان تحلّان معظم الحالات

إخفاء الهوية يزيل المعرّفات الشخصية أو يطمسها بصورة غير قابلة للعكس. يُستخدم حين لا حاجة لربط الإجابة بشخص بعينه، مثل تحليل اتجاهات في بلاغات خدمة العملاء.

الاسم المستعار يستبدل المعرّفات برموز قابلة للعكس. يتحوّل اسم العميل إلى CUST_4471، وعند عودة الإجابة يعيد النظام التحويل. هذه هي التقنية التي تتيح العمل ببيانات عملاء حقيقية دون إرسال الأسماء إلى الخارج.

ما الذي يجب أن يظهر في العقد مع مزوّد الذكاء الاصطناعي

الفارق بين “يجوز إدخال السرّي” و”لا يجوز” يُحسم في العقد تقريبًا دائمًا، لا في التقنية. فإذا لصق موظف معلومات سرّية في أداة عامة، فقد تُحفظ في سجل، أو تبقى مخزّنة زمنًا، أو تُستخدم لتحسين الخدمة، ما لم يكن المزوّد ملتزمًا تعاقديًا بغير ذلك. ثلاثة بنود يجب التأكد من وجودها:

كيف يُطبَّق هذا عمليًا، دون مشروع من ستة أشهر

1. جرد حيّ. نرسم خريطة لأنواع المعلومات الحسّاسة حسب القسم, معرّفات شخصية، معلومات طبية، ملكية فكرية وبيانات مالية, ونحدّد لكل نوع مالكًا ونظام مصدر وسياسة احتفاظ. هذا ليس تمرينًا نظريًا، بل القائمة التي يستند إليها كل قرار لاحق.
2. بديل مصادَق عليه وسهل. قبل حظر أي شيء نوفّر أداة مؤسسية تعمل فعلًا. فإن كان البديل بطيئًا أو مرهقًا، سيعود الموظفون إلى الحساب الشخصي وتبقى السياسة حبرًا على ورق.
3. إنفاذ في طبقة البيانات. نرشّح المعرّفات الشخصية ونحذفها تلقائيًا في الطريق إلى الموجّه، ونطبّق الفحص نفسه على المخرجات. الإنفاذ المستند إلى تدريب الموظفين وحده لا يصمد بعد الربع الأول.
4. قاعدة واحدة يتذكّرها الجميع. “إن كنت لن ترسل هذا في بريد إلى عميل آخر، فلا تلصقه في المحادثة.” ليست دقيقة قانونيًا، لكنها تُفهم وتُطبَّق، وهذا ما يهم.

الصلة بقاعدة المعرفة: حين ننتقل من اللصق اليدوي إلى نظام يجيب من وثائق المؤسسة، يتحوّل التصنيف إلى مرشّح تقني بدل قاعدة سلوك. وقد فصّلنا ذلك في دليل بناء قاعدة معرفة مؤسسية للاسترجاع المعزّز، وخصوصًا في فصل إنفاذ الصلاحيات عند مرحلة الاسترجاع.

وإن كنتم تزنون حجم الاستثمار في البنية مقابل التوفير في الأداة، فالحساب الأصح يمرّ عبر نموذج الوحدة: تكلفة حادثة واحدة تغطي عادةً سنوات من بيئة مصادَق عليها.