1. وضع السياسة قبل الحادثة الأولى
غالباً ما يبدأ اعتماد AI كخيار لزيادة الإنتاجية. فيستخدم موظف مساعداً عاماً لتلخيص عقد. ويمكّن فريق مبيعات أداة كتابة مدمجة. وتنشر شركة ضمن المحفظة روبوتاً لخدمة العملاء. ويختبر محلل في مكتب العائلة مذكرة استثمار. ويضيف مورد ميزة AI أثناء تحديث برمجي. ويمكن لكل إجراء أن يُنشئ عواقب تتعلق بالبيانات والقرارات والملكية الفكرية والأمن السيبراني والمساءلة.
تضيف المجموعات المملوكة للعائلة تعقيداً هيكلياً. ويمكن أن يعلو اسم العائلة نفسه فوق شركات تشغيلية وعقارات وأدوات استثمارية وأعمال خيرية وشؤون شخصية. وتتشارك بعض الكيانات الأشخاص والأنظمة والمستشارين. ولدى كيانات أخرى مستثمرون من الأقلية أو أنشطة خاضعة للتنظيم أو مجالس إدارة مستقلة. وقد لا يكون لسياسة صادرة عن شركة واحدة أثر قانوني في شركة أخرى. ومع ذلك، يمكن أن تنتقل الحادثة عبر الضمانات والخدمات المشتركة والسمعة وترتيبات الخلافة والملكية المشتركة.
يجب أن تحدد سياسة مجلس الإدارة كيف يجوز اقتناء AI وبناؤه وتكوينه وربطه واستخدامه. وينبغي أن تحدد صلاحيات القرار قبل أن تصبح حالة الاستخدام تشغيلية. كما ينبغي أن تميّز بين الحوكمة والضمان التقني. يمكن للسياسة أن توزع الصلاحيات والحد الأدنى من الضوابط؛ ويجب على الفرق المؤهلة رغم ذلك اختبار البيانات والأنظمة والأمن والأثر في السياق.
تُنظّم NIST إدارة مخاطر AI ضمن الحوكمة والرسم والقياس والإدارة. وتُشدّد مبادئ منظمة التعاون الاقتصادي والتنمية (OECD) على حقوق الإنسان والشفافية والمتانة والأمن والمساءلة. وتضيف أطر سنغافورة إرشادات عملية بشأن المشاركة البشرية والأنظمة الوكيلة. وتدعم هذه المصادر فكرة تشغيلية مشتركة: ينبغي أن تعرف المؤسسة ما يفعله نظام AI، ومن يملك النتيجة، وما الأدلة التي تدعم استخدامه، ومتى يجب أن يتدخل شخص.
يتبع نطاق السياسة الكيانات القانونية، والخدمات المشتركة، والبيانات، والقرارات، واسم العائلة.
2. تحديد النطاق والأدوار والتسلسل الهرمي للسياسات
يجب أن يبدأ نطاق السياسة بخريطة الكيانات. وينبغي أن تحدد الشركة الأم والشركات التابعة والمشاريع المشتركة والأعمال الخاضعة للتنظيم ومستشاري الاستثمار وكيانات مكتب العائلة والصناديق الاستئمانية والمؤسسات وشركات الخدمات المشتركة. ولكل كيان، ينبغي للمجلس أن يسجل الملكية وجهاز الحوكمة والموظفين والعملاء والأنشطة الخاضعة للتنظيم ومواقع البيانات والاعتماديات التقنية.
تكتسب الأدوار أهمية لأن النموذج نفسه يمكن أن يوجد داخل علاقات قانونية مختلفة. فقد يطوّر كيان نظام AI أو يوفره أو ينشره أو يوزعه أو يستورده أو يستخدم مخرجاته. ويمكن أن يتحمل كل من مورّد الخدمات السحابية ومكامل الأنظمة وفريق التقنية في المجموعة والشركة التشغيلية التزامات مختلفة. وينبغي أن تحدد الخريطة علاقات المتحكم والمعالج فيما يتعلق بالبيانات الشخصية وأن توضح المسؤولية التعاقدية عن التدريب والتكوين والمراقبة والحوادث.
ينبغي أن تحدد سياسة المجموعة مبادئ دنيا ومحفزات للتصعيد. وينبغي لمجالس الكيانات أن تعتمد جداول محلية تغطي القانون المعمول به وقواعد القطاع ومجالس العمال وممارسات التوظيف وواجبات العملاء وإقامة البيانات وتوقعات الجهات التنظيمية. وينبغي أن تُطبق قاعدة أشد صرامة حيث يتعذر على نظام مشترك الفصل بشكل موثوق بين الكيانات أو المستخدمين.
ينبغي أن يربط التسلسل الهرمي سياسة AI بأمن المعلومات والخصوصية والسجلات والاستخدام المقبول ومخاطر النماذج والمشتريات والتوظيف والملكية الفكرية والسلوك السوقي والجرائم المالية والصحة والسلامة وإدارة الأزمات والتفويض. وينبغي حل التعارضات من قبل المالك القانوني المسؤول، مع مشورة مناسبة للمسألة.
الجدول 1. نطاق سياسة AI لمجلس الإدارة والأدوار المسؤولة
| طبقة السياسة | سؤال مجلس الإدارة | الدور المسؤول | الحد الأدنى من الأدلة |
|---|---|---|---|
| مبادئ المجموعة | أي القيم والمحظورات وحدود التصعيد تنطبق عبر المجموعة العائلية؟ | مجلس إدارة الشركة الأم | السياسة المعتمدة وخريطة انطباق الكيانات والاستثناءات |
| اعتماد الكيان | ما المتطلبات التي تنطبق على هذا الكيان القانوني والاختصاص القضائي؟ | مجلس إدارة الكيان | الجدول المحلي والمراجعة القانونية ومحضر الاعتماد |
| ملكية حالة الاستخدام | من يملك نتيجة الأعمال والعملية المتأثرة؟ | مالك الأعمال | الغرض والمستخدمون والأثر والضوابط ومعايير القبول |
| التكنولوجيا | من يملك البنية المعمارية والوصول والتغيير والمرونة؟ | مالك التقنية | تصميم النظام ونموذج الوصول والسجلات والاختبار والاسترداد |
| بيانات | من يصرح بمصادر البيانات والغرض والاحتفاظ والنقل؟ | مالك البيانات | خريطة البيانات والأساس القانوني والجودة والحقوق وضوابط الحذف |
| المخاطر والامتثال | من يعترض على التصنيف ومدى كفاية الضوابط؟ | وظيفة ضوابط مستقلة | مراجعة موثقة، وشروط، وقرار بشأن المخاطر المتبقية |
| الضمان | من يختبر ما إذا كانت الضوابط تعمل كما هو موصوف؟ | التدقيق الداخلي أو الضمان المؤهل | خطة محددة النطاق، وأدلة، ونتائج، وتتبع للمعالجة |
تختلف المسميات الوظيفية حسب المجموعة؛ ويحتاج كل واجب إلى مالك مسؤول واحد ودعم محدد بالاسم.
3. أنشئ سجلًا لأنظمة AI وحالات الاستخدام
لا يمكن للمجموعة أن تحكم أنظمة لم تحددها. وينبغي أن يغطي الجرد النماذج المطورة داخليًا، وتطبيقات الموردين، ووظائف AI المدمجة، والأدوات العامة، وأتمتة العمليات الروبوتية التي تتضمن مكونات AI، والنماذج التحليلية، والرؤية الحاسوبية، ومحركات التوصية، والمحتوى الاصطناعي، وأنظمة القرار، وسير العمل المستقل أو المدعوم بالوكلاء. ويجب أن يشمل أيضًا التجارب غير الرسمية التي تتضمن بيانات المجموعة أو قراراتها.
ينبغي أن يجمع الاكتشاف بين الإقرارات والأدلة التقنية. يمكن لسجلات المشتريات والحسابات الدائنة أن تحدد الاشتراكات. ويمكن لسجلات الهوية والشبكة أن تحدد التطبيقات. ويمكن لضوابط المتصفح ونقاط النهاية أن تكشف الخدمات غير المُدارة حيثما كان ذلك قانونيًا. ويمكن لجرد البرمجيات أن يكشف القدرات المدمجة. ويمكن للاستبيانات والمقابلات وورش العمل أن تكشف حالات الاستخدام التي تفوتها فحوصات التقنية. والغرض هو محيط قابل للتدقيق، مع تصميم مراقبة الموظفين وفقًا للقانون والسياسة المعمول بهما.
ينبغي أن يكون سجل النظام وسجل حالة الاستخدام منفصلين. وقد يدعم نموذج واحد عدة استخدامات ذات مخاطر مختلفة. ويحمل مساعد الكتابة المستخدم للتسويق العام عواقب مختلفة عند استخدامه للمشورة القانونية أو تقييم الموظفين. ويصف سجل النظام النموذج والمزود والإصدار والاستضافة والوصول والضوابط التقنية. ويصف سجل حالة الاستخدام الغرض والأشخاص المتأثرين وتأثير القرار والبيانات والمالك والنشر والمراقبة.
يحتاج كل سجل إلى حالة دورة حياة: الاكتشاف، أو بيئة الاختبار المعزولة، أو التقييم، أو التجربة المعتمدة، أو الإنتاج، أو التعليق، أو الإيقاف. وينبغي أن تدخل الأنظمة غير المصرح بها مسار معالجة. وينبغي أن يرى مجلس الإدارة المجهولات الجوهرية والمراجعات المتأخرة، في حين تمتلك الإدارة السجل التشغيلي.
يمكن لنظام واحد دعم عدة حالات استخدام؛ وتتلقى كل حالة استخدام تصنيفها ومالكها الخاص.
الجدول 2. الحد الأدنى لحقول سجل AI
| المجال | سجل النظام | سجل حالة الاستخدام |
|---|---|---|
| الهوية | المزود، والنموذج، والإصدار، ومالك النظام، والاستضافة | الغرض، والكيان، والعملية، ومالك الأعمال، والمستخدمون |
| بيانات | بيانات التدريب أو البيانات المرجعية، والموجّهات، والمخرجات، والاحتفاظ، والنقل | فئات البيانات، والأشخاص المتأثرون، والحساسية، والغرض، والأساس القانوني |
| القرار | قدرات النموذج والقيود المعروفة | القرار المتأثر به، والنتيجة، والسلطة البشرية، ومسار الاستئناف |
| الوصول | الهويات، والصلاحيات، والواجهات، والأدوات المتصلة | المستخدمون المسموح لهم، والمواقع، والفصل، وشروط الموافقة |
| الضمان | اختبارات المزود، والاختبارات الداخلية، والمراجعة الأمنية، والحوادث | اختبارات القبول، ومراجعة الأثر، وعتبات المراقبة، وتاريخ المراجعة |
| دورة الحياة | الاقتناء، والإصدار، وعملية التغيير، والإيقاف | الاستكشاف، بيئة الاختبار، التجربة التجريبية، التشغيل الفعلي، التعليق أو الإيقاف النهائي |
ينبغي أن يحتفظ السجل بتواريخ الأدلة ومصادرها والثغرات غير المحلولة.
4. صنّف حالة الاستخدام قبل اعتماد النظام
ينبغي أن يتبع التصنيف الاستخدام وعواقبه. يمكن لسياسة مجلس الإدارة استخدام أربع فئات: محظورة، ومقيّدة، ومضبوطة، واعتيادية. والتسميات أدوات حوكمة داخلية؛ ويجب تقييم الفئات القانونية بشكل منفصل. ويمكن أن ينتقل النظام بين الفئات عندما تتغير البيانات أو درجة الاستقلالية أو المستخدمون أو الأشخاص المتأثرون أو الإجراءات المرتبطة.
ينبغي أن تشمل الاستخدامات المحظورة الأنشطة التي لا ترغب المجموعة في حوكمتها أو لا تستطيع حوكمتها، إضافة إلى أي استخدام يحظره القانون المعمول به. وقد تشمل الأمثلة التلاعب الخفي، والتمييز غير القانوني، والأدلة الملفقة، وانتحال الهوية غير المعتمد، والتحايل على الضوابط، وإدخال معلومات محمية أو سرية في خدمة عامة غير مصرح بها. وينبغي أن تتجنب السياسة الصياغة العامة الواسعة التي لا يستطيع الموظفون تطبيقها.
يمكن أن تشمل الاستخدامات المقيّدة القرارات الجوهرية التي تؤثر على التوظيف أو الائتمان أو التأمين أو الصحة أو السلامة أو الحقوق القانونية أو العملاء أو الاستثمارات أو الوصول إلى الخدمات الأساسية. وهي تتطلب مراجعة قانونية معززة، وتقييماً للأثر، وحوكمة للبيانات، واختباراً، وسلطة بشرية، وتوثيقاً، ومراقبة. وينبغي أن تدخل الإجراءات المستقلة التي تتضمن المال أو الشيفرة أو الاتصالات الخارجية أو أنظمة التشغيل الفعلي في مسار مقيّد أيضاً.
تشمل الاستخدامات المضبوطة وظائف دعم أقل تأثيراً باستخدام بيانات وأدوات معتمدة ومراجعة بشرية. وقد تغطي الاستخدامات الاعتيادية مهاماً منخفضة العواقب مثل تنسيق النصوص العامة ضمن أنظمة معتمدة. وينبغي أن يراعي التصنيف درجة الخطورة والنطاق وقابلية العكس وهشاشة الأشخاص المتأثرين وحساسية البيانات والأتمتة والعتامة والاعتماد الخارجي والقدرة على اكتشاف الأخطاء.
يتبع التصعيد الأثر ودرجة الاستقلالية والحساسية وقابلية العكس؛ ويظل التصنيف القانوني منفصلاً.
الجدول 3. سياسة مجلس الإدارة للاستخدامات المسموحة والمشروطة والمحظورة
| حالة السياسة | استخدام توضيحي | الإجراء المطلوب |
|---|---|---|
| مسموح ضمن أداة معتمدة | تنسيق المواد العامة، والترجمة مع مراجعة بشرية، ولوجستيات الاجتماعات | استخدام حساب معتمد، والتحقق من المخرجات، والاحتفاظ بالسجل المطلوب |
| خاضع للرقابة | تجميع نتائج البحث، والصياغة الداخلية، ودعم البرمجة، ومساعدة خدمة العملاء | بيانات معتمدة، ومالك محدد بالاسم، والتحقق من المصدر، والتحكم في الوصول والمراقبة |
| مقيّد | قرارات التوظيف، أو الائتمان، أو التسعير، أو القرارات القانونية، أو الاستثمارية، أو الصحية، أو المتعلقة بالسلامة، أو قرارات العملاء الجوهرية | تقييم الأثر، والمراجعة القانونية والرقابية، والاختبار، والسلطة البشرية، والاستئناف، وعتبة مجلس الإدارة |
| الإجراء المستقل المقيّد | إرسال الاتصالات، أو تغيير الأنظمة، أو تنفيذ الأكواد، أو تحريك الأموال، أو تقديم الطلبات | أذونات محددة النطاق، وتحكم مزدوج، وبيئة اختبار معزولة، وسجلات، وحدود للمعاملات، ومفتاح إيقاف طارئ، والاستجابة للحوادث |
| محظور بموجب السياسة | أدلة ملفقة، أو انتحال هوية غير معتمد، أو تلاعب خفي، أو تجاوز الضوابط، أو إفصاح غير آمن عن البيانات | الحظر، والإبلاغ، والحفاظ على الأدلة، وتقييم التزامات الحادث |
| حظر تنظيمي | أي نشاط محظور على الجهة أو الولاية القضائية أو الدور | لا تنشر؛ وثّق التحديد القانوني وراقب التغيير |
تتطلب الأمثلة مراجعة قانونية وقطاعية خاصة بالكيان قبل الاعتماد.
5. حدد صلاحيات القرار والسلطة البشرية الفعالة
ينبغي تصميم المراجعة البشرية حول القرار. لا يمكن للشخص تقديم إشراف فعال عندما يفتقر إلى الوقت أو المعلومات أو السلطة أو الكفاءة أو البديل. وينبغي أن تحدد السياسة من يمكنه الموافقة على نتيجة متأثرة بـAI أو رفضها أو تجاوزها أو إيقافها مؤقتًا أو الطعن فيها. وينبغي أن تنص أيضًا على القرارات التي تظل بشرية حصرًا.
يحدد مجلس الإدارة شهية المخاطر والحدود الجوهرية. وتوافق الإدارة على حالات الاستخدام ضمن الصلاحية المفوضة. ويتحمل مالك النشاط مسؤولية النتيجة، بما في ذلك الأخطاء الناشئة عن الاعتماد المفرط. وتتحمل التقنية مسؤولية تشغيل النظام. ويحكم ملاك البيانات المصادر والحقوق. وتراجع فرق القانون والخصوصية والمخاطر والامتثال والأمن والموارد البشرية مجالاتها. ويقيّم التدقيق الداخلي أو الضمان المؤهل تصميم الضوابط وتشغيلها دون تحمّل مسؤولية الإدارة.
ينبغي أن يتلاءم تصميم المراجعة مع العواقب وقابلية العكس. قد تتطلب مسودة منخفضة الأثر أن يتحقق مستخدم كفؤ من الدقة والنبرة. وقد يتطلب قرار جوهري متعلق بالتوظيف أو الائتمان أدلة مستقلة، وتقديم الأسباب، وتقييم التحيز، والاحتفاظ بالسجلات، ومسار إعادة نظر يمكن الوصول إليه. وقد يتطلب وكيل قادر على تنفيذ إجراءات حدودًا معتمدة مسبقًا، وتفويضًا مزدوجًا، وقدرة على التعليق الفوري.
ينبغي أن تتناول السياسة التحيز نحو الأتمتة. يحتاج المستخدمون إلى تدريب لفهم أن المخرجات السلسة قد تكون خاطئة أو غير مكتملة أو غير مدعومة. ينبغي أن تُظهر واجهات المراجعة المصادر وحدود الثقة والاستثناءات والتغييرات. ينبغي للإدارة أن تختبر ما إذا كان المراجعون يتحدون المخرجات فعلاً بدلًا من مجرد تأكيدها.
6. حوكمة البيانات والسرية والملكية الفكرية
AI تبدأ حوكمة البيانات قبل إدخال الموجّه. وينبغي للمؤسسة تصنيف المعلومات، وتحديد المالك القانوني، وتأكيد الغرض والصلاحية، وفهم ما يخزّنه المزوّد أو يستخدمه أو ينقله أو يكشفه. وقد تتطلب معلومات العملاء والموظفين والمعاملات والصحة والمالية والقانونية والأسرية والأمنية ومعلومات الاستثمار غير المنشورة ضوابط معززة.
ينبغي أن تميّز السياسة بين بيئات المؤسسة المعتمدة والحسابات العامة أو الاستهلاكية. وينبغي أن تعالج العقود والإعدادات ما إذا كانت الموجّهات والمخرجات تُستخدم لتدريب النماذج، والاحتفاظ، والحذف، والمعالجين الفرعيين، والمواقع، والوصول، والتشفير، وسجلات التدقيق، وإشعار الحوادث، والخروج. وينبغي أن تعزز الضوابط التقنية القاعدة من خلال الهوية، ومنع فقدان البيانات، وإدارة نقاط النهاية، وقيود الوصول حيثما كان ذلك قانونيًا ومتناسبًا.
تتوقف التزامات البيانات الشخصية على الاختصاص القضائي والدور. ويحدد مكتب مفوض المعلومات في المملكة المتحدة المساءلة والأساس القانوني والإنصاف والشفافية والأمن وتقليل البيانات وحقوق الأفراد وتقييم أثر حماية البيانات باعتبارها اعتبارات ذات صلة. ويتناول رأي مجلس حماية البيانات الأوروبي الصادر في ديسمبر 2024 إخفاء الهوية والمصلحة المشروعة وعواقب بيانات التدريب المعالجة بشكل غير قانوني. ويتطلب كل استخدام تقييمًا خاصًا بالحالة.
ينبغي أن تغطي مراجعة الملكية الفكرية حقوق المدخلات وحقوق المخرجات والتراخيص والتزامات المصادر المفتوحة والمعرفة الفنية السرية ومحتوى الأطراف الثالثة وأصول العلامة التجارية وشروط التدريب والتعويضات. وينبغي التحقق من مصدر المحتوى المُنشأ ومن تصريحه قبل الاستخدام الخارجي. ويتطلب الامتياز القانوني والسرية المهنية تعاملًا صريحًا معتمدًا من المستشار القانوني.
7. التحكم في نماذج الأطراف الثالثة وAI المضمّن
ينبغي للمشتريات تقييم المزوّد والاستخدام المقترح. ولا يثبت البائع المعروف أن تكوينًا أو تكاملًا أو حالة استخدام معينة مناسبة. وينبغي أن تغطي العناية الواجبة الهوية المؤسسية ووصف الخدمة واعتماديات النموذج والتدريب والتقييم والأمن وشروط البيانات والمعالجين الفرعيين والملكية الفكرية والتوافر والمراقبة والحوادث وحقوق التدقيق والمسؤولية والإنهاء.
تخلق تغييرات النماذج والميزات مخاطر خاصة. ويمكن للمزوّدين تغيير القدرات والضمانات وممارسات البيانات أو الواجهات. وينبغي أن يحدد العقد الإشعار والتغيير الجوهري والتحكم في الإصدارات والاختبار والتراجع وحقوق الإنهاء. وينبغي لمالك النظام مراقبة ملاحظات الإصدار وإعادة اختبار مسارات العمل الجوهرية قبل قبول التغييرات.
ثمة حاجة إلى استكشاف AI المدمج. قد تفعّل برمجيات إدارة علاقات العملاء والإنتاجية والمالية والموارد البشرية والأمن، والبرمجيات الصناعية، وظائف AI بموجب العقود القائمة. وينبغي للمالك تقييم الميزة قبل تفعيلها والتأكد مما إذا كانت تدفقات البيانات أو الأدوار التعاقدية قد تتغير.
كذلك، لتمركز المخاطر أهمية. قد تعتمد عدة شركات تابعة للمجموعة على النموذج الأساسي نفسه أو منصة السحابة أو مزود التكامل نفسه. ويمكن لعطل مشترك أو تغيير في السياسات أو انقطاع خدمة أن يؤثر في كيانات متعددة. وينبغي للسجل أن يُظهر التبعيات المشتركة والترتيبات البديلة.
الجدول 4. مصفوفة العناية الواجبة والتعاقد بشأن AI لدى الأطراف الثالثة
| المجال | سؤال العناية الواجبة | أدلة تعاقدية أو رقابية |
|---|---|---|
| النموذج والخدمة | ما النماذج والإصدارات والمكوّنات والمزودون الفرعيون الذين يقدمون الخدمة؟ | وصف الخدمة وخريطة التبعيات وإشعار التغيير |
| بيانات | ما الذي يدخل إلى الخدمة، وأين تتم معالجته، وكم مدة الاحتفاظ به، وهل يُستخدم للتدريب؟ | شروط البيانات، والإعدادات، والحذف، والنقل، وأدلة التدقيق |
| الاختبار | كيف يتم اختبار الدقة والمتانة والتحيز والأمن وسوء الاستخدام في السياق المقصود؟ | تقارير التقييم، والقيود، واختبارات العملاء، وعتبات القبول |
| التأمينات | كيف تُحمى الهويات والواجهات والأسرار والسجلات والحوادث؟ | هندسة الأمن، والشهادات، وعملية التعامل مع الثغرات، وشروط الإشعار |
| الملكية الفكرية | ما الحقوق التي تحكم المدخلات والمخرجات والمواد التدريبية والمطالبات؟ | التراخيص والضمانات والتعويضات وإجراءات التعامل مع الانتهاكات |
| المرونة | ماذا يحدث عند انقطاع الخدمة أو سحب النموذج أو حدوث تغيير جوهري؟ | مستويات الخدمة والاستمرارية والتصدير والتراجع وخطة الخروج |
| المساءلة | من المسؤول عن الأخطاء والشكاوى والدعم التنظيمي والمعالجة؟ | جهات الاتصال المحددة والتعاون والسجلات وحقوق التدقيق وتوزيع المسؤولية |
ينبغي أن يكون مستوى العمق متناسبًا مع حالة الاستخدام والبيانات ودرجة الاعتماد.
8. تأمين دورة حياة AI والأدوات المتصلة بها
ينبغي أن يغطي الأمن تسميم البيانات، وحقن المطالبات، والتعامل غير الآمن مع المخرجات، واستخراج النموذج، وانكشاف بيانات الاعتماد، والصلاحيات المفرطة، واختراق التبعيات، والحرمان من الخدمة، وسوء الاستخدام. وينبغي أن يعكس نموذج التهديد ما إذا كان النظام داخليًا، أو موجهًا للعملاء، أو متصلًا بالأدوات، أو مضبوطًا بدقة على بيانات المجموعة، أو معرضًا لمحتوى غير موثوق.
يجب أن يستخدم التطوير والإعداد بيئات منفصلة، ومكونات معتمدة، وإدارة أسرار، ومراجعة شيفرة، واختبارًا، وضوابط للتغيير. وينبغي لأنظمة الاسترجاع أن تحكم مجموعات المصادر والصلاحيات. ويجب التحقق من المخرجات التي تُمرَّر إلى الشيفرة أو قواعد البيانات أو البريد الإلكتروني أو الأنظمة المالية أو الصناعية قبل تنفيذها. وينبغي أن تدعم السجلات الكشف والتحقيق مع احترام الخصوصية والسرية.
ينبغي أن تتلاءم اختبارات الفريق الأحمر والتقييم مع حالة الاستخدام. تحتاج مجموعات الاختبار إلى إجابات متوقعة، وحالات حافة، ومدخلات خصومية، ووجهات نظر المستخدمين المتأثرين. يمكن أن تشمل التدابير الدقة، والادعاءات غير المدعومة، والمحتوى الضار، والرفض، والتحيز، والأمن، وزمن الاستجابة، والمرونة، وإمكانية التجاوز. وينبغي للمالك أن يحدد حدود القبول ويسجل القيود قبل النشر.
ينبغي لمراقبة الإنتاج أن تكشف الانحراف، والوصول غير الطبيعي، والمخرجات غير الآمنة، وانتهاكات السياسات، والشكاوى، والحوادث، وتغييرات المزود. للاختبار الناجح قبل النشر تاريخ ونطاق. وهو لا يوفر ضمانًا دائمًا.
9. تطبيق حدود أكثر صرامة على AI التوليدي والوكيلي
يمكن لـAI التوليدي أن ينتج نصوصًا وصورًا وصوتًا وفيديو وشيفرة تبدو معقولة من دون إثبات صحة المحتوى أو الحقوق. ويحدد ملف AI التوليدي الصادر عن المعهد الوطني للمعايير والتقنية (NIST) مخاطر قد تكون جديدة أو متصاعدة، تشمل الاختلاق، والمحتوى الخطير، والخصوصية، والتحيز، وسلامة المعلومات، والملكية الفكرية، والأمن السيبراني، وتكامل سلسلة القيمة. وينبغي أن تشترط السياسة التحقق من المصادر، ووسم المحتوى حيثما ينطبق، وضوابط إثبات المنشأ، والمساءلة البشرية.
يضيف AI الوكيلي عنصر الفعل. يمكن للوكيل التخطيط للخطوات، واستخدام الذاكرة، واستدعاء الأدوات، والتواصل، وتغيير الأنظمة. ويؤكد إطار حوكمة AI النموذجي للـAI الوكيلي في سنغافورة، المنشور في يناير 2026، على تقييد الاستقلالية، وإسناد المساءلة البشرية، والتحكم في الوصول، والاختبار، والشفافية، والمراقبة. ويمكن لهذه المبادئ أن تُرشد الحوكمة الداخلية بينما يحدد القانون المحلي والسياق المتطلبات.
ينبغي أن يحصل الوكيل على أقل قدر من الصلاحيات اللازمة. وينبغي إدراج الأدوات والبيانات والوجهات ومبالغ المعاملات والنوافذ الزمنية وأنواع الإجراءات في قوائم مسموح بها. وينبغي أن تتطلب الإجراءات عالية الأثر تأكيداً أو موافقة مزدوجة. وينبغي أن تدعم الضوابط حدود المعدل والميزانيات والفصل بين البيئات والسجلات غير القابلة للتغيير وكشف الحالات الشاذة وآلية إيقاف مُختبَرة.
ينبغي لمالك النشاط التجاري توثيق ما يجوز للوكيل أن يقرره، وما يجوز له أن يوصي به، وما يجوز له أن ينفذه. وينبغي أن تحظر السياسة على الوكيل توسيع صلاحياته بنفسه أو تجاوز بوابات التحكم البشرية. وينبغي اختبار سير العمل المتصل في مواجهة تعليمات خبيثة ومصادر بيانات مخترقة.
لا تتوسع الاستقلالية إلا ضمن حدود معتمدة، مع وجود أدلة وآلية إيقاف مُختبَرة.
10. حوكمة الأشخاص والتوظيف والقدرات
يحتاج الموظفون إلى قواعد واضحة وأدوات معتمدة قابلة للاستخدام. وقد تدفع السياسة التي تقتصر على حظر السلوك إلى نقل النشاط إلى قنوات غير خاضعة للمراقبة. وينبغي أن تشرح التدريبات الأنظمة المسموح بها وفئات البيانات والتحقق والسجلات والملكية الفكرية والأمن والتصعيد والعواقب. وينبغي أن تتناول الوحدات القائمة على الأدوار المطورين والمشتريات والموارد البشرية وفرق الاستثمار وعمليات العملاء والمديرين التنفيذيين وأعضاء مجلس الإدارة.
تتطلب استخدامات التوظيف عناية مضاعفة. فقد تؤثر عمليات التوظيف والمراقبة والأداء والجدولة والترقية والإنهاء على الحقوق وسبل العيش. وينبغي أن تراعي المراجعة قواعد التوظيف والمساواة والخصوصية والتشاور والقرارات الآلية المعمول بها. وينبغي اختبار جودة البيانات والمتغيرات البديلة والنتائج المتباينة والتفسيرات وإمكانية الوصول وإعادة النظر الجادة.
ينبغي للمجموعة أيضاً التخطيط للتغييرات في القوى العاملة. يمكن لـ AI إعادة تصميم المهام والضوابط ومتطلبات المهارات. وينبغي للإدارة تقييم فصل المهام وتصميم الوظائف والإشراف والكفاءة والإرهاق الناتج عن التغيير. وينبغي ألا تنتقل المعرفة الحرجة إلى أداة غير شفافة دون ترتيبات للاحتفاظ بها واستمراريتها.
أفراد العائلة والمديرون مستخدمون أيضاً. قد تحتوي المساعدون الشخصيون وأدوات المراسلة والأجهزة على معلومات حساسة تخص العائلة والمعاملات والحوكمة. وينبغي أن تغطي عمليات التأهيل والإقرارات السنوية بوابات مجلس الإدارة والحسابات المعتمدة والسفر واستنساخ الصوت والصورة وانتحال الهوية والاحتيال في المدفوعات العاجلة.
11. حماية سلامة المعلومات واسم العائلة
يمكن للمحتوى الاصطناعي أن يسبب ضرراً تشغيلياً وضرراً على السمعة. فقد تطلب رسالة تنفيذية مزيفة أموالاً أو بيانات. ويمكن للصوت المُلفق أن يؤثر على مفاوضة. ويمكن أن تُنسب إجابة عامة غير دقيقة إلى شركة عائلية. وتحتاج المجموعة إلى المصادقة وضوابط للنشر الخارجي ومسار تصعيد لانتحال الهوية والمعلومات المضللة.
ينبغي أن تستخدم الاتصالات عالية المخاطر قنوات موثوقة وتأكيداً ثانوياً. وينبغي ألا تعتمد تغييرات الدفع أو الحساب على الصوت أو الفيديو أو البريد الإلكتروني وحدها أبداً. وينبغي أن يتلقى المحتوى العام الذي يُنشئه أو يجري عليه تعديل جوهري من AI مراجعة واقعية وقانونية ومراجعة للعلامة التجارية تتناسب مع أثره. وينبغي التحقق من متطلبات إثبات المصدر والوسم حسب الاختصاص القضائي والقناة.
ينبغي أن تحدد خطة الأزمات المتحدث باسم العائلة والمتحدث باسم الكيان والمسؤول القانوني والمسؤول التقني وجهات الاتصال في إنفاذ القانون أو المنصات. وينبغي أن تركز المراقبة على التهديدات ذات المصداقية وأن تحترم الخصوصية. وينبغي الحفاظ على الأدلة قبل إزالة المحتوى حيثما كان ذلك قانونياً.
12. رسم خرائط اللوائح والمعايير حسب الكيان والدور
ينبغي أن تكون الخريطة التنظيمية محدثة وخاصة بكل كيان. ينطبق قانون AI للاتحاد الأوروبي وفق جدول زمني مرحلي ويوزع الالتزامات حسب فئة النظام ودور الفاعل. وتذكر المفوضية الأوروبية أن معظم الأحكام تنطبق اعتباراً من 2 أغسطس 2026، بينما بدأ سريان بعض الأحكام في وقت سابق، ولبعض التزامات الأنظمة عالية المخاطر توقيت لاحق. ولا تزال الإرشادات والمعايير وترتيبات الإنفاذ قيد التطوير. ويتطلب التأكد القانوني من قابلية التطبيق والتواريخ السارية.
تتميز الولايات المتحدة ببيئة قطاعية ومتعددة المستويات. إطار NIST AI RMF طوعي ويوفر هيكل حوكمة بدلاً من تحديد قانوني. وقد تنطبق متطلبات اتحادية وولائية وقطاعية وتعاقدية وحماية المستهلك والتوظيف والخصوصية والملكية الفكرية والأوراق المالية. وينبغي للمجموعة أن تحتفظ بخريطة للاختصاصات القضائية وحالات الاستخدام بدلاً من الاعتماد على تصنيف وطني واحد.
تعتمد المملكة المتحدة نهجاً تنظيمياً قائماً على المبادئ عبر الجهات التنظيمية القائمة، إلى جانب التزامات حماية البيانات والقطاع. ويذكر مكتب مفوض المعلومات (ICO) أن إرشاداته بشأن AI وحماية البيانات قيد المراجعة بعد قانون البيانات (الاستخدام والوصول) 2025. لذلك ينبغي التحقق من الإصدار وقابلية التطبيق عند اتخاذ القرار.
توفر سنغافورة أطراً نموذجية عملية لأنواع AI التقليدية والتوليدية والوكيلية. وهذه مراجع حوكمة مفيدة؛ ولا تزال التزامات الكيان تعتمد على القانون المعمول به والقطاع والدور. وتوفر مبادئ منظمة التعاون الاقتصادي والتنمية أساساً معتمداً على نطاق واسع للتشغيل البيني عبر الاختصاصات القضائية.
ينبغي أن تسجل السياسة المصدر القانوني وتاريخ السريان والكيان المتأثر والدور والمالك المسؤول والأدلة. وينبغي أن يؤدي التغيير التنظيمي إلى إعادة تقييم التصنيف والتوثيق والاختبار والعقود وواجبات الحوادث.
13. تصميم استجابة الحوادث استناداً إلى الأدلة والقرارات
قد يتضمن حادث AI السرية أو البيانات الشخصية أو الأمن السيبراني أو إجراءً غير آمن أو التمييز أو خسارة مالية أو الملكية الفكرية أو معلومات مضللة أو خرقاً تنظيمياً أو انقطاع الخدمة. وينبغي لخطة الحوادث أن تربط إجراءات الأزمات والأمن السيبراني والخصوصية والقانونية والمخاطر والاتصالات القائمة بدلاً من إنشاء قناة منفصلة.
تتمثل الإجراءات الأولى في حماية الأشخاص واحتواء النظام والحفاظ على الأدلة ووقف أي إجراء ضار آخر. وينبغي للفريق تحديد الكيانات والأنظمة والإصدارات والبيانات والمستخدمين والقرارات والأدوات المتصلة المتأثرة. وينبغي الحفاظ على السجلات والأوامر التوجيهية والمخرجات والإعدادات وسجلات النموذج والمورّد ضمن الحدود القانونية.
ينبغي لقائد الحادث تنسيق القرارات التقنية والتجارية. وتقيّم الفرق القانونية والخصوصية الإشعار والامتياز القانوني. ويقيّم مالك النشاط القرارات المتأثرة ومعالجة العملاء. ويحقق فريق الأمن في الوصول والاختراق. وتتحكم فرق الاتصالات في التصريحات الداخلية والعائلية والخارجية. وتتابع الإدارة المالية الخسائر والتأمين. وينبغي للمورّد دعم الأدلة والاحتواء والمعالجة بموجب العقد.
ينبغي أن تُحدّث الدروس المستفادة السجل والضوابط والتدريب وشروط المورّد. وينبغي أن تتطلب إعادة التشغيل أدلة وصلاحيات محددة.
يحمي هذا التسلسل الأشخاص والأدلة مع تنسيق الواجبات الخاصة بكل كيان.
14. توضيح الإطار من خلال مجموعة عالمية افتراضية
لننظر في مجموعة افتراضية مملوكة لعائلة لديها شركة قابضة في المملكة المتحدة، وأعمال استهلاكية وصناعية في الاتحاد الأوروبي والولايات المتحدة، وشركة تابعة للتقنية في سنغافورة، ومكتب استثمار منفصل. ويعمل لدى المجموعة 4,800 موظف، ويبلغ إيرادها السنوي المجمع USD 1.2 billion. وهذه الأرقام افتراضات إدارية أُنشئت فقط لبيان المنهجية.
تحدد مرحلة الاستكشاف 64 نظامًا ممكّنًا بـAI و117 حالة استخدام. تسعة وعشرون نظامًا هي أدوات مؤسسية معتمدة، و18 ميزة مدمجة من المورّد، و11 اشتراكًا للموظفين، وستة أنظمة مطوّرة داخليًا. تحدد المراجعة الأولية لحالات الاستخدام 12 استخدامًا مقيدًا، و69 استخدامًا خاضعًا للرقابة، و30 استخدامًا روتينيًا، وستة استخدامات معلّقة ريثما يتم التحقيق.
تشمل المجموعة المقيدة فرز المرشحين للتوظيف، وتنبيهات السلامة في المصانع، والتسعير الديناميكي للعملاء، وتوصيات الائتمان، وبحوث الاستثمار، وفرز شكاوى العملاء، ووكيلين مرتبطين بالشيفرة والاتصالات الخارجية. ولا يُعتمد أي منها لمجرد أن مورّدًا يسوّقه على أنه متوافق. ويحصل كل منها على خريطة قانونية محلية، وتقييم للأثر، ومراجعة للبيانات، واختبار قبول، وتصميم لصلاحيات القرار البشري، وخطة للرصد.
يعتمد مجلس الإدارة سياسة للمجموعة وأربعة ملاحق للكيانات. ويحظر وضع المعلومات السرية في أدوات عامة غير معتمدة، والأدلة الملفقة، وانتحال الشخصية غير المعتمد، والتحريك الذاتي للأموال. ويشترط موافقة مزدوجة على الاتصالات الخارجية الجوهرية وتغييرات شيفرة الإنتاج التي يقوم بها الوكلاء. وتم احتواء ست استخدامات معلّقة؛ فأُوقفت اثنتان نهائيًا، ونُقلت ثلاث إلى بيئات معتمدة، وواحدة تنتقل إلى تجربة مضبوطة بعد المعالجة.
الجدول 5. خط الأساس الافتراضي لمجموعة عائلية AI والقرارات الأولى
| المجال | افتراض الإدارة | الإجراء الأول لمجلس الإدارة أو الإدارة |
|---|---|---|
| نطاق حضور المجموعة | شركة قابضة في المملكة المتحدة؛ عمليات في الاتحاد الأوروبي والولايات المتحدة وسنغافورة؛ مكتب استثمار مستقل | اعتماد مبادئ المجموعة وأربعة ملاحق للكيانات |
| التوسع | إيرادات USD 1.2bn السنوية؛ 4,800 موظف | تحديد عتبات الأهمية النسبية والتقارير |
| الأنظمة | 64 نظامًا ممكّنًا بـAI | تعيين مالكي الأنظمة والإصدارات وسجلات التبعية |
| حالات الاستخدام | 117 محددة | صنّف كل حالة استخدام وأزل السجلات المكررة أو القديمة |
| الاستخدامات المقيدة | 12 | اشترط بوابات للمراجعة القانونية وتقييم الأثر والاختبار والسلطة البشرية |
| الاستخدامات الموقوفة | 6 | احتِوِ الاستخدام، واحفظ الأدلة، وقرّر ما إذا كان يجب سحبه أو ترحيله أو معالجته |
| الأنظمة الوكيلية | 2 مرتبطة بالشيفرة أو الاتصالات | قيّد الأدوات، واشترط موافقة مزدوجة، وسجّل الإجراءات، واختبر ضوابط الإيقاف |
جميع القيم افتراضات إدارية لأغراض عرض المنهجية؛ وليست بيانات مجموعة مرصودة.
لدى مكتب العائلة مسألة منفصلة. استخدم المحللون مساعدات استهلاكية لإجراء البحث العام وإعداد مسودات المذكرات. ويشترط المجلس بيئة مؤسسية معتمدة، والاحتفاظ بالمصادر، وقيودًا على البيانات السرية، ومساءلة قرارات الاستثمار، وفصلًا واضحًا بين مخرجات الأداة وأدلة الاستثمار المعتمدة. وتظل لجنة الاستثمار مسؤولة عن كل قرار.
تُظهر لوحة المعلومات الخاصة بالـ90 يومًا ملكية كاملة لـ60 من أصل 64 نظامًا، وجهات اتصال للحوادث جرى اختبارها لجميع الكيانات الجوهرية، وإغلاق الاستخدامات الستة الموقوفة، وأدلة موردين متأخرة لأربعة أنظمة خاضعة للرقابة. وتبقى الاستثناءات مرئية حتى تتم معالجتها. ويوضح المثال كيف تتحول السياسة إلى محفظة قرارات بدلًا من مجرد بيان مبادئ.
15. تنفيذ سلسلة مراحل التنفيذ على مدى 100 يوم
خلال الأيام من 1 إلى 20، يعيّن مجلس الإدارة راعيًا تنفيذيًا ومالكًا للسياسة، ويحدد نطاق المجموعة، ويصدر إشعارًا مؤقتًا بالاستخدام المقبول، ويحفظ الأدلة ذات الصلة، ويحدد الأنظمة الجوهرية. وتُنشئ الإدارة سجلات الكيانات والأنظمة وحالات الاستخدام، وتسمّي جهات اتصال الحوادث.
خلال الأيام من 21 إلى 40، تصنّف المجموعة حالات الاستخدام، وتحدد الأنشطة المحظورة والمقيدة، وترسم خريطة لأدوار البيانات والأدوار القانونية، وتحتوي الاستثناءات العاجلة. وتراجع المشتريات الموردين الجوهريين والميزات المدمجة. وتؤسس التقنية ضوابط الوصول المعتمدة وضوابط الكشف الأولية.
خلال الأيام من 41 إلى 60، يكمل المالكون تقييمات الأثر والخصوصية والأمن والملكية الفكرية والسلطة البشرية للاستخدامات المقيدة. وتبني الفرق التقنية اختبارات القبول والأذونات والسجلات والمراقبة وضوابط التعليق. وتراجع مجالس إدارة الكيانات الجداول المحلية.
خلال الأيام 61 إلى 80، تجرّب المجموعة التدريب وتمارين الحوادث وأدلة الضوابط. وهي تختبر حدود الوكلاء وبوابات الموافقة. وتغلق الإدارة الاستثناءات أو تصعّدها، وتحدّث العقود وتحدد مؤشرات مجلس الإدارة. وتتحدى وظائف الضوابط المستقلة الموافقات عالية الأثر.
خلال الأيام 81 إلى 100، يعتمد مجلس الإدارة السياسة وجداول الكيانات، ويوافق على المخاطر المتبقية الجوهرية، ويتلقى أول لوحة معلومات. وتضع المراجعة الداخلية خطة تأكيد قائمة على المخاطر. ويصبح السجل سجلاً إدارياً متكرراً مع إعادة تقييم مدفوعة بالأحداث.
16. تثبيت حوكمة متكررة ومراجعة مدفوعة بالأحداث
ينبغي أن يتوافق إيقاع التشغيل مع التغيير. يراقب مالكو الأنظمة الإنتاج. ويراجع مالكو الأعمال الأداء والشكاوى والتجاوزات والاستثناءات شهرياً. وتراجع وظائف الضوابط الاستخدامات المقيدة ربع سنوياً على الأقل. وتتلقى مجالس الإدارة التعرضات الجوهرية والحوادث والمعالجات المتأخرة وفق جدول متفق عليه.
ينبغي أن تحفز الأحداث إعادة تقييم فورية. وتشمل استخداماً جديداً، أو نموذجاً أو مزوداً جديداً؛ أو تغييراً جوهرياً في الإصدار؛ أو فئة بيانات جديدة؛ أو توسعاً إلى كيان أو اختصاص قضائي آخر؛ أو ربطاً بأداة؛ أو زيادة في الاستقلالية؛ أو شكوى جوهرية؛ أو فشل ضابط؛ أو حادثاً؛ أو استحواذاً؛ أو تخارجاً؛ أو تغييراً تنظيمياً.
تتطلب عمليات الاستحواذ اكتشافاً مبكراً. وينبغي أن تحدد العناية الواجبة أنظمة AI الجوهرية، وحقوق البيانات، والعقود، والحوادث، والمطالبات، وثغرات الامتثال. وينبغي أن يحافظ الاندماج على الأدلة ويمنع الاتصال غير المنضبط بأنظمة المجموعة. وتحتاج عمليات التخارج إلى فصل البيانات ونقل الترخيص وإزالة الوصول.
تكتسب خلافة القيادة أهمية أيضاً. قد يرعى أحد أفراد الجيل التالي الابتكار أو ينضم إلى مجلس الإدارة. وينبغي أن تستخدم الحوكمة حقوق القرار ومعايير الأدلة نفسها. وينبغي أن تظل السياسة أصلاً مؤسسياً يصمد أمام تغيرات القيادة والموردين والتكنولوجيا.
تأتي المراجعات المدفوعة بالأحداث إلى جانب الرقابة المتكررة؛ ويمكن أن يكون الإيقاع أكثر صرامة حسب الكيان أو الاستخدام.
17. امنح مجلس الإدارة بطاقة أداء ذات حلقة مغلقة
ينبغي أن يتتبع مجلس الإدارة كل استخدام جوهري AI إلى كيان ونظام ومالك وقرار ومجموعة بيانات وفئة مخاطر وجهة صلاحية وضابط ودليل حالي. وينبغي أن تُظهر لوحة المعلومات الأنظمة المجهولة والاستخدامات المقيدة والحوادث والمراجعات المتأخرة والمعالجات.
الجدول 6. بطاقة أداء جاهزة لمجلس الإدارة لتطبيق حوكمة AI
| المجال | السؤال الحاكم | أدلة القبول |
|---|---|---|
| نطاق التجميع | هل تشمل الكيانات القانونية والأنظمة المشتركة والموردين والاستخدامات الجوهرية؟ | سجلات مُطابَقة للكيانات والأنظمة وحالات الاستخدام والتبعيات |
| التصنيف | هل يُصنف كل استخدام وفق الأثر والاستقلالية والبيانات وقابلية التراجع؟ | المبرر المعتمد والخريطة القانونية وقرار التصعيد |
| صلاحيات القرار | هل يستطيع الأشخاص المسؤولون الموافقة والرفض والتجاوز والإيقاف المؤقت والاستئناف؟ | مصفوفة الصلاحيات وتصميم المستخدم والتدريب والتدخل المختبَر |
| البيانات والملكية الفكرية | هل تُضبط الغاية والحقوق والسرية والاحتفاظ والنقل؟ | خريطة البيانات ومراجعة الأثر والعقد والإعدادات والتصريح |
| الأمن والوكلاء | هل الأذونات محدودة والإجراءات المرتبطة قابلة للمراقبة والإيقاف؟ | نموذج التهديد والقوائم المسموح بها والسجلات والاختبارات والحدود وآلية الإيقاف |
| الموردون | هل تخضع مخاطر النموذج والبيانات والتغيير والحوادث والمرونة والخروج للحوكمة؟ | العناية الواجبة والعقد والمراقبة وخطة التركّز |
| الحوادث | هل تستطيع المجموعة احتواء الحوادث وحفظها وتقييمها والإخطار بها ومعالجتها؟ | خطة مُختبَرة، وجهات اتصال، وإجراء للتعامل مع الأدلة، وبوابة إعادة تشغيل |
| الرقابة | هل يؤدي الإبلاغ إلى الإغلاق وإعادة التقييم؟ | لوحة المعلومات، والاستثناءات، ومواعيد المعالجة، ونتائج التأكيد |
يتطلب القبول وجود أدلة حديثة ومسؤول محدد بالاسم لكل استثناء جوهري.
ينبغي أن تتجنب بطاقة الأداء نسبة الإنجاز الزائفة. فقد تمتلك المجموعة أنظمة مسجلة كثيرة وتظل تفتقر إلى السيطرة على الأنظمة القليلة التي تؤثر في الأشخاص أو الأموال أو السلامة أو السمعة. وينبغي أن يركز مجلس الإدارة على الاستثناءات الجوهرية وعمر الأدلة.
تصبح حوكمة AI متينة عندما ترتبط بالاستثمار والمشتريات والتوظيف والأمن السيبراني والبيانات والمعاملات والإدارة التشغيلية. وتوفر السياسة مجموعة القواعد. ويوفر السجل النطاق الفعلي. ويوفر الاختبار الأدلة. وتوفر حقوق القرار المساءلة. وتحمي الاستجابة للحوادث الأشخاص والقيمة عندما تفشل الافتراضات.
المراجع
- منظمة التعاون الاقتصادي والتنمية (OECD)، مبادئ AI، محدَّثة في مايو 2024، https://oecd.ai/en/ai-principles
- الولايات المتحدة، المعهد الوطني للمعايير والتقنية، إطار إدارة مخاطر الذكاء الاصطناعي 1.0، 26 يناير 2023، https://www.nist.gov/itl/ai-risk-management-framework
- الولايات المتحدة، المعهد الوطني للمعايير والتقنية، إطار إدارة مخاطر الذكاء الاصطناعي: الملف التعريفي للذكاء الاصطناعي التوليدي، NIST AI 600-1، 26 يوليو 2024، https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf
- المفوضية الأوروبية، التنقل في قانون AI، بما في ذلك معلومات التطبيق التدريجي، https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act
- المفوضية الأوروبية، المبادئ التوجيهية بشأن التزامات مزوّدي AI للأغراض العامة، https://digital-strategy.ec.europa.eu/en/faqs/guidelines-obligations-general-purpose-ai-providers
- المجلس الأوروبي لحماية البيانات، الرأي 28/2024 بشأن جوانب معينة لحماية البيانات تتعلق بمعالجة البيانات الشخصية في سياق نماذج AI، 18 ديسمبر 2024، https://www.edpb.europa.eu/news/edpb-opinion-on-ai-models-gdpr-principles-support-responsible-ai_en
- مكتب مفوض المعلومات في المملكة المتحدة، إرشادات بشأن AI وحماية البيانات: آثار المساءلة والحوكمة، قيد المراجعة في أعقاب قانون البيانات (الاستخدام والوصول) 2025، https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/artificial-intelligence/guidance-on-ai-and-data-protection/what-are-the-accountability-and-governance-implications-of-ai/
- وزارة العلوم والابتكار والتكنولوجيا في المملكة المتحدة، تنفيذ مبادئ AI التنظيمية في المملكة المتحدة: إرشادات أولية للجهات التنظيمية، فبراير 2024، https://assets.publishing.service.gov.uk/media/65c0b6bd63a23d0013c821a0/implementing_the_uk_ai_regulatory_principles_guidance_for_regulators.pdf
- هيئة تنمية الإعلام والاتصالات ولجنة حماية البيانات الشخصية في سنغافورة، الإطار النموذجي لحوكمة الذكاء الاصطناعي، الطبعة الثانية، https://www.imda.gov.sg/-/media/imda/files/infocomm-media-landscape/sg-digital/tech-pillars/artificial-intelligence/second-edition-of-the-model-ai-governance-framework.pdf
- هيئة تنمية الإعلام والاتصالات في سنغافورة، الإطار النموذجي لحوكمة AI للذكاء الاصطناعي التوليدي AI، مايو 2024، https://www.imda.gov.sg/resources/press-releases-factsheets-and-speeches/press-releases/2024/singapore-launches-model-ai-governance-framework-for-generative-ai
- هيئة تنمية الإعلام والاتصالات في سنغافورة، الإطار النموذجي لحوكمة AI للذكاء الاصطناعي الوكيلي AI، الإصدار 1.0، 22 يناير 2026، https://www.imda.gov.sg/-/media/imda/files/about/emerging-tech-and-research/artificial-intelligence/mgf-for-agentic-ai.pdf
- المعهد الوطني للمعايير والتكنولوجيا في الولايات المتحدة، دليل إطار إدارة مخاطر AI والموارد، https://www.nist.gov/itl/ai-risk-management-framework/ai-risk-management-framework-resources
عن المؤلف
تشيناكيشاف أديا باحث مستقل وشريك إداري في Matchpoint Partners. تتناول أعماله الاستراتيجية وتكوين رأس المال والتقييم والمعاملات والتنفيذ التشغيلي عبر الأسواق الخاصة والعامة.
