خلال سنوات قليلة، انتقل الذكاء الاصطناعي من تجارب علم البيانات إلى أدوات أعمال يومية. فالموظفون يستخدمون المساعدات الذكية، والمطوّرون يُطلقون ميزات قائمة على الذكاء الاصطناعي، والمورّدون يدمجونه في البرمجيات التي تشتريها بالفعل. وقد عجزت الحوكمة عن مواكبة ذلك، ولاحظ أصحاب المصلحة الأمر.
تريد مجالس الإدارة معرفة أين يُستخدم الذكاء الاصطناعي وما الذي قد يسوء. ويضيف عملاء المؤسسات أسئلة عن الذكاء الاصطناعي إلى استبياناتهم الأمنية. والتنظيم في طريقه: فقانون الذكاء الاصطناعي الأوروبي (EU AI Act)، الذي دخل حيّز التنفيذ في أغسطس 2024، يفرض التزامات تدريجية على مزوّدي أنظمة الذكاء الاصطناعي والجهات المستخدِمة لها، ويمتد نطاقه إلى ما وراء حدود الاتحاد الأوروبي.
يقدّم إطاران أساسًا عمليًا: ISO/IEC 42001، المعيار الدولي لأنظمة إدارة الذكاء الاصطناعي، وإطار NIST لإدارة مخاطر الذكاء الاصطناعي (AI RMF).
إطاران متكاملان
يحدّد معيار ISO/IEC 42001، الصادر في ديسمبر 2023، متطلبات نظام إدارة الذكاء الاصطناعي. ويتبع الهيكل عالي المستوى نفسه الذي يعتمده معيار ISO/IEC 27001 (السياق، والقيادة، والتخطيط، والدعم، والتشغيل، وتقييم الأداء، والتحسين)، ويمكن الحصول على شهادة بموجبه.
أما إطار NIST AI RMF، الصادر في يناير 2023، فهو إطار طوعي منظَّم حول أربع وظائف: الحوكمة (Govern)، والتحديد (Map)، والقياس (Measure)، والإدارة (Manage). وهو مفيد بشكل خاص في تنظيم آلية تحديد مخاطر كل نظام ذكاء اصطناعي وتقييمها. ويتناول ملف تعريف مكمّل خاص بالذكاء الاصطناعي التوليدي (NIST AI 600-1) المخاطر التي تنفرد بها النماذج التوليدية.
من الناحية العملية، يوفّر ISO/IEC 42001 نظام الإدارة، بينما يوفّر NIST AI RMF دليلًا تفصيليًا لأنشطة إدارة المخاطر ضمنه.
خمس خطوات نحو برنامج فعّال
1. أنشئ سجلًا لأنظمة الذكاء الاصطناعي
لا يمكنك حوكمة ما لا تراه. أعدّ قائمة بأنظمة الذكاء الاصطناعي التي تبنيها، وميزات الذكاء الاصطناعي في البرمجيات التي تشتريها، وأدوات الذكاء الاصطناعي التي يستخدمها الموظفون. وسجّل لكل منها المالك والغرض والبيانات المعنية ومن يتأثر بمخرجاتها.
2. صنّف حسب المخاطر
لا تحتاج كل حالة استخدام إلى القدر نفسه من التدقيق. حدّد مستويات للمخاطر بناءً على الأثر في الأفراد، وحساسية البيانات، ودرجة الاستقلالية، والتصنيف التنظيمي، بما في ذلك ما إذا كان النظام قد يُصنَّف عالي المخاطر بموجب قانون الذكاء الاصطناعي الأوروبي.
3. حدّد الأدوار والسياسات
وزّع المسؤوليات: من يعتمد حالات الاستخدام الجديدة للذكاء الاصطناعي، ومن يتولّى مخاطر النماذج، ومن يراقب الأنظمة في بيئة الإنتاج. وانشر سياسة للاستخدام المقبول لأدوات الذكاء الاصطناعي، ومعايير لتطوير أنظمته، بما في ذلك المتطلبات الأمنية.
4. قيّم المخاطر وعالجها
بالنسبة إلى الأنظمة الأعلى خطورة، أجرِ تقييمات منظّمة تغطي الأمن والخصوصية والإنصاف والشفافية والموثوقية. ويستحق الأمن اهتمامًا خاصًا: فتهديدات مثل حقن الأوامر وتسميم البيانات وسرقة النماذج تتطلب اختبارات تقنية، لا مجرد استبيانات.
5. راقب وحسّن
ينحرف أداء أنظمة الذكاء الاصطناعي بمرور الوقت، وتُحدَّث النماذج، وتظهر حالات استخدام جديدة. لذا حدّد المقاييس، وراجع الحوادث، وأعد تقييم الأنظمة بعد التغييرات الجوهرية، وارفع التقارير إلى القيادة بانتظام.
ابدأ صغيرًا، لكن ابدأ
لا يحتاج برنامج حوكمة الذكاء الاصطناعي الفعّال إلى أن يكون بيروقراطيًا. فكثير من المؤسسات تبدأ بسجل للأنظمة، وسياسة للاستخدام المقبول، وتقييم مبسّط للمخاطر لحالات الاستخدام الجديدة، ثم تتدرّج نحو التوافق مع ISO/IEC 42001 أو الحصول على شهادته.
إذا كنت تشغّل بالفعل نظامًا لإدارة أمن المعلومات وفق ISO/IEC 27001، فأنت تنطلق من موقع متقدّم: إذ يمكن توسيع جزء كبير من الهيكل بدلًا من إعادة بنائه. وتساعدك خدمة حوكمة الذكاء الاصطناعي لدينا على بلوغ ذلك بطريقة عملية.