حوكمة AI ومخاطر النماذج في التمويل المنظّم

مقدمة

انتقل الذكاء الاصطناعي من التجريب المعزول إلى البحث الاستثماري، وخدمة العملاء، والامتثال، والعمليات، وتحليل المخاطر، وتسليم الحلول التقنية. وفي التمويل المنظّم، يتمثل السؤال الإداري المحوري في ما إذا كان يمكن حوكمة كل استخدام بما يتناسب مع عواقبه. وتتطلب الإجابة جرداً، وتصنيفاً مبرراً، وحقوق قرار خاضعة للمساءلة، وتحدياً مستقلاً، وتقييماً موثوقاً، وتشغيلاً قابلاً للتتبع، وخروجاً موثوقاً. ولا يمكن لبيان سياسة وحده أن يوفر تلك الأدلة.

تغيّر الأساس التنظيمي تغيّرًا جوهريًا في عام 2026. أصدرت الوكالات المصرفية الفيدرالية الأمريكية إرشادات منقحة لإدارة مخاطر النماذج في 17 أبريل 2026. وتحل هذه الإرشادات محل SR 11-7، وتشدّد على نهج قائم على المخاطر ومُصمّم حسب الاقتضاء، ويُتوقع أن تكون الأكثر صلة بالمؤسسات المصرفية الخاضعة لرقابة الاحتياطي الفيدرالي التي يتجاوز إجمالي أصولها USD 30 billion [1]. وذكر مكتب مراقب العملة (OCC) أيضًا أن AI التوليدي وAI الوكيلي خارج نطاق تلك الإرشادات المنقحة لأنهما جديدان وسريعا التطور [2]. ولهذا الحد النطاقي أهمية. فهو يعني أنه لا يمكن لمؤسسة أن تفترض أن إدارة مخاطر النماذج التقليدية وحدها تجيب عن كل سؤال يتعلق بـAI التوليدي أو الوكيلي.

في المملكة المتحدة، تنطبق نسخة أبريل 2026 من بيان الرقابة SS1/23 الصادر عن هيئة التنظيم الاحترازي (PRA) على مبادئ إدارة مخاطر النماذج عبر النماذج المستخدمة لإرشاد قرارات الأعمال، بما في ذلك نماذج الموردين والذكاء الاصطناعي حيثما تنطبق المبادئ [4]. ودعت بنك إنجلترا وFCA وHM Treasury بصورة منفصلة في مايو 2026 إلى فهم مجالس الإدارة للمخاطر السيبرانية ومخاطر المرونة التشغيلية المرتبطة بـAI الحدودي وإلى تخفيفها بشكل فعّال [9]. وفي يونيو 2026، اقترح مجلس الاستقرار المالي 12 ممارسة سليمة تشمل الحوكمة على مستوى المؤسسة، وضوابط دورة الحياة، والأمن السيبراني، وتكنولوجيا المعلومات والاتصالات، ومخاطر الأطراف الثالثة [10]. وظلّت وثيقة مجلس الاستقرار المالي هذه وثيقة تشاور عند تاريخ إقفال الأدلة في 1 أغسطس 2026؛ وكان من المقرر صدور تقريره النهائي في أكتوبر 2026 [10].

أصبح موقف UAE أيضًا أكثر تحديدًا. أصدر البنك المركزي في UAE في فبراير 2026 إرشادات لحماية المستهلك بشأن الاستخدام المسؤول لـAI والتعلم الآلي من قِبل المؤسسات المالية المرخصة [16]. ونشرت DFSA في يونيو 2026 توقعات تنظيمية بشأن إدارة مخاطر AI في DIFC [18]. وتأتي هذه المواد إلى جانب إرشادات التمكين التكنولوجي لعام 2021 الصادرة عن الجهات التنظيمية في UAE، وإطار البيانات الشخصية في UAE، وقواعد DIFC بشأن البيانات الشخصية التي تعالجها الأنظمة المستقلة وشبه المستقلة [17,22,23].

تحوّل هذه الورقة تلك المصادر المتداخلة إلى إطار عمل تشغيلي لمسؤولي الاستثمار في مكاتب العائلات، ورؤساء الاستثمارات البديلة، والمخصصين المؤسسيين الدوليين. وقد صُمم الإطار لمؤسسات الاستثمار التي قد تكون خاضعة للتنظيم مباشرة، أو قد تخصص أموالًا لشركات خاضعة للتنظيم، أو قد تشتري خدمات ممكّنة بـAI، أو قد تحتاج إلى حوكمة بمستوى مؤسسي بسبب التعرض للمسؤوليات الائتمانية أو التعاقدية أو السمعية. ويميّز بين القانون، والقواعد الملزمة، والإرشادات الرقابية، ومواد التشاور، والمعايير، والممارسات الطوعية. ويجب أن يؤكد قابلية التطبيق مسؤولون مؤهلون في الشؤون القانونية والامتثال بالنسبة للكيان والنشاط والاختصاص القضائي.

المساهمة عملية. فهي تحدد جردًا مشتركًا يغطي النماذج، وأنظمة AI، والمساعدين، والوكلاء، والقدرات المضمنة للموردين؛ ومنهجية جوهرية تفصل بين أثر القرار والجدة التقنية؛ ودورة حياة ذات بوابات أدلة؛ ومتطلبات تقييم للأنظمة الحتمية والتنبؤية والتوليدية والوكيلية؛ وضوابط الأطراف الثالثة والتركّز؛ ومعلومات لمجلس الإدارة تدعم التحدي الفعلي. وتتضمن الورقة حالتين تشغيليتين عمليتين. وكل مدخل رقمي في هاتين الحالتين غير متحقق منه صراحةً وتوضيحي. وتبقى الإيرادات المنسوبة إلى Matchpoint أو إيرادات العملاء، وخفض التكاليف النقدية، وخفض الخسائر USD 0 إلى أن توجد أدلة مشاهدة معتمدة.

تطرح الورقة خمس قضايا.

النطاق والتعريفات وحدود الأدلة

النطاق

الموضوع هو الحوكمة ومخاطر النماذج المتعلقة بـ AI المستخدم في التمويل الخاضع للتنظيم والنشاط الاستثماري الخاضع للحوكمة المؤسسية. تشمل الاستخدامات المشمولة البحث، والفحص، وتحليلات المحافظ، ودعم التقييم، والتنبؤ، وضوابط الجرائم المالية، واتصالات العملاء، ودعم الملاءمة، والعمليات، والبرمجة، وتحليل المستندات، ووكلاء سير العمل. تتناول الورقة الأنظمة المطورة داخليًا، وأنظمة الأطراف الثالثة المهيأة، وميزات AI المدمجة، ومخرجات النماذج الموردة خارجيًا.

لا تحدد الورقة الوضع القانوني أو النطاق التنظيمي أو الامتثال الائتماني أو الملاءمة أو الامتثال لقوانين البيانات أو المعالجة المحاسبية لمؤسسة بعينها. ولا تصادق على نموذج أو مورّد أو نظام AI. وعلى كل مؤسسة أن تحدد المتطلبات المنطبقة من خلال مسؤوليها المصرح لهم في القانون والامتثال والمخاطر وأمن المعلومات والخصوصية والأعمال.

تعريفات عملية

تختلف التعريفات باختلاف القواعد والمعايير. وينبغي للمؤسسة أن تحتفظ بالتعريف القانوني المنطبق في سجل التزاماتها، وأن تحافظ على نطاق تشغيلي أوسع لأغراض الحوكمة.

النطاق التشغيلي شامل عمدًا. قد لا تستوفي صيغة جدول بيانات، أو درجة مورّد، أو مساعد استرجاع، أو وكيل سير عمل، كل تعريف قانوني للنموذج. وقد يخلق مع ذلك تبعية ذات عواقب. يوجّه التسجيل البند إلى مالك الحوكمة الصحيح؛ ولا يحدد مسبقًا التصنيف التنظيمي.

فئات الأدلة

للأدلة حجية متفاوتة. وخلط هذه الفئات يخلق يقينًا زائفًا.

تاريخ إقفال الأدلة وقيود الوضع الراهن

تمت مراجعة المصادر حتى 1 أغسطس 2026. تغيّر الجدول الزمني لتنفيذ الاتحاد الأوروبي في يوليو 2026، بما في ذلك تمديد المواعيد الخاصة بالتزامات AI عالية المخاطر [25]. كان من المقرر أن تسري التزامات الشفافية بموجب المادة 50 اعتبارًا من 2 أغسطس 2026، أي بعد يوم واحد من تاريخ إقفال الأدلة [26]. وظلت الممارسات السليمة الصادرة عن مجلس الاستقرار المالي (FSB) قيد المشاورة [10]. وذكر المعهد الوطني للمعايير والتقنية (NIST) أن إطار RMF 1.0 الخاص بـAI كان قيد المراجعة [29]. ولذلك يجب أن يسجل سجل الالتزامات تاريخ المصدر والحالة الراهنة وتاريخ المراجعة التالية والمالك القانوني المسؤول.

منهجية البحث

تعطي الورقة الأولوية للتشريعات الأولية والجهات التنظيمية وواضعي المعايير وهيئات المعايير المعترف بها. وتستخدم التثليث بين مخاطر النماذج وحوكمة AI والمرونة التشغيلية والأمن السيبراني وحماية البيانات ومخاطر الأطراف الثالثة. ولا تتعامل مع نسبة استبيان ما على أنها معدل اعتماد عالمي. ولا تتعامل مع معيار طوعي على أنه قانون. ولا تفسر لغة المشاورة على أنها سياسة نهائية.

وخريطة القرار

مسؤولو الاستثمار في مكاتب العائلة ورؤساء الاستثمارات البديلة

ينبغي للمؤسسات تجنّب نسخ الحجم التنظيمي لبنك. ويمكن للتناسب أن يحافظ على أهداف الرقابة ذاتها مع عدد أقل من اللجان. وقد يكون وجود مسؤول تنفيذي مسمّى، وجهة تحدي مستقلة، وحزمة أدلة كاملة أكثر فعالية من منتديات متعددة بمسؤولية غير واضحة.

جهات التخصيص المؤسسية الدولية

نتيجة حوكمة مشتركة

يحتاج كلا الجمهورين إلى عقد قرار موجز.

البيئة التنظيمية والرقابية

إرشادات مخاطر النماذج في القطاع المصرفي بالولايات المتحدة

تصف التوجيهات المشتركة بين الوكالات الصادرة في أبريل 2026 مخاطر النماذج بأنها احتمال عواقب سلبية ناتجة عن قرارات تستند إلى مخرجات نماذج غير صحيحة أو يُساء استخدامها. وتُبرز التطوير والاستخدام الفعّالين، والتحقق، والحوكمة والضوابط [1]. وتتوقع مواءمتها مع ملف مخاطر النماذج للمؤسسة المصرفية وحجمها وتعقيدها. ويُوصف انطباق الاحتياطي الفيدرالي بأنه الأكثر صلةً عندما يتجاوز إجمالي الأصول USD 30 billion [1]. وذكر مكتب مراقب العملة أن التوجيهات ليست معيارًا قابلًا للإنفاذ، وأن نماذج AI التوليدية والوكيلة خارج نطاقها [2].

وهذا يخلق مهمة حوكمة من جزأين. ينبغي ربط النماذج التقليدية بالتوجيهات المنقحة حيثما ينطبق. وتحتاج الأنظمة التوليدية والوكيلة إلى منهج مجاور لمخاطر AI يحتفظ بالضوابط المفيدة لمخاطر النماذج مع إضافة ضوابط للمحتوى والتفاعل واستخدام الأدوات والأمن وحقوق البيانات والاستقلال الذاتي. وينبغي للمؤسسات أن تسجل النظام أو السياسة التي تتولى كل هدف من أهداف الضوابط.

المملكة المتحدة

يحدد PRA SS1/23 خمسة مبادئ: تحديد النماذج وتصنيفها؛ والحوكمة؛ والتطوير والتنفيذ والاستخدام؛ والتحقق المستقل؛ ووسائل تخفيف مخاطر النماذج [4]. وينطبق ذلك على نماذج الموردين فضلاً عن النماذج المطورة داخلياً، ويتناول AI في تقنيات النمذجة حيثما تنطبق المبادئ العامة [4]. كما تؤكد مواد البنك وFCA على الحوكمة والمساءلة ومخاطر البيانات والنماذج والأطراف الثالثة [5,6].

يضيف البيان المشترك البريطاني الصادر في مايو 2026 شاغلاً متميزاً يتعلق بالمرونة السيبرانية في AI الحدودي. ويدعو إلى فهم مجلس الإدارة والإدارة العليا، والاستثمار وتخصيص الموارد، وإدارة الوصول، وأمن الشبكات، وحماية البيانات، والقدرات الوقائية والكشفية، واحتواء التهديدات والاستجابة لها [9]. ووصف تقرير الاستقرار المالي الصادر في يوليو 2026 أربع قنوات: صنع القرار المالي الأساسي، والأسواق المالية، والمخاطر التشغيلية لمقدمي الخدمات، والتهديد السيبراني الخارجي المتغير [8].

مضمون الحوكمة هو أن مخاطر AI لا يمكن أن تقتصر على التحقق من النماذج. بل تتطلب تنسيقاً بين ملكية الأعمال، ومخاطر النماذج، والمخاطر التشغيلية، وأمن المعلومات، والخصوصية، والامتثال، والمشتريات، والمرونة.

UAE ومركز دبي المالي العالمي

تركز إرشادات مصرف الإمارات العربية المتحدة المركزي الصادرة في فبراير 2026 على حماية المستهلك وسلوك السوق لدى المؤسسات المالية المرخصة التي تستخدم AI وتعلّم الآلة. وتتناول الشفافية والتحيز والأخلاقيات والمساءلة وقابلية التفسير وخصوصية البيانات [16]. وتتناول الإرشادات المشتركة الصادرة عن UAE بشأن التقنيات الممكّنة AI وتحليلات البيانات الضخمة والحوسبة السحابية وواجهات برمجة التطبيقات والقياسات الحيوية وتقنية دفتر الأستاذ الموزع [17].

يسجل خطاب SEO الصادر عن سلطة دبي للخدمات المالية في يونيو 2026 التوقعات الرقابية لإدارة مخاطر AI في مركز دبي المالي العالمي [18]. وشمل مسحها لعام 2025 عدد 661 شركة مرخصة بمشاركة بلغت 88 في المائة. وأفادت السلطة بأن 52 في المائة استخدموا AI، و60 في المائة لديهم شكل من أشكال هيكل حوكمة AI، و21 في المائة يفتقرون إلى مساءلة أو رقابة واضحة حتى حيث كان الاستخدام بالغ الأهمية [19]. وتصف هذه الأرقام مجتمع ذلك المسح وتاريخه، وليست تقديرات للاعتماد على المستوى العالمي.

تتناول اللائحة 10 لحماية البيانات في مركز دبي المالي العالمي البيانات الشخصية التي تتم معالجتها عبر أنظمة مستقلة وشبه مستقلة [22]. ويرسي UAE المرسوم بقانون اتحادي رقم 45 لسنة 2021 الإطار الاتحادي للبيانات الشخصية [23]. وينبغي لسجل التزامات المؤسسة أن يحدد النظام الحاكم للبيانات، وأدوار المتحكم والمعالج، والأساس القانوني، وقيود البيانات الحساسة، ومتطلبات النقل، وحقوق الأفراد، والاحتفاظ، والتزامات الحوادث.

الاتحاد الأوروبي

يرسي اللائحة (الاتحاد الأوروبي) 2024/1689 إطاراً لـAI قائماً على المخاطر [24]. وقد غيّر قانون AI الشامل لشهر يوليو 2026 عناصر التنفيذ ومدّد بدء سريان قواعد AI عالية المخاطر إلى 2 ديسمبر 2027، مع تحديد 2 أغسطس 2028 موعداً لقواعد AI المدمجة في المنتجات المادية الخاضعة للتنظيم [25]. وكان من المقرر أن تسري التزامات الشفافية بشأن تفاعلات محددة مع AI والمحتوى المولّد أو المعدّل اعتباراً من 2 أغسطس 2026 [26].

تفرض DORA على الكيانات المالية المشمولة تحديد أصول تكنولوجيا المعلومات والاتصالات وتبعياتها وترابطاتها الحرجة وتوثيقها؛ وإدارة مخاطر تكنولوجيا المعلومات والاتصالات؛ وحوكمة الترتيبات مع الأطراف الثالثة؛ واختبار المرونة؛ والحفاظ على القدرات التعاقدية وقدرات الخروج [27]. ويظل GDPR يحكم معالجة البيانات الشخصية وقضايا القرارات الآلية حيثما ينطبق [28]. لذلك ينبغي أن يرتبط تصنيف AI بسجلات تكنولوجيا المعلومات والاتصالات والتعهيد والخصوصية والسلوك والمرونة القائمة.

التنسيق والمعايير الدولية

تقترح مشاورة مجلس الاستقرار المالي (FSB) لشهر يونيو 2026 اثنتي عشرة ممارسة سليمة. تتناول الممارسات الأربع الأولى الحوكمة على مستوى المؤسسة، وتتناول الست التالية إدارة مخاطر دورة الحياة، وتتناول الممارستان الأخيرتان المخاطر السيبرانية وتقنية المعلومات والاتصالات ومخاطر الأطراف الثالثة [10]. وتوضح الوثيقة أن هذه الممارسات لا تهدف إلى إنشاء معيار دولي أو تحديد ما إذا كان ينبغي للمؤسسات اعتماد AI [10].

تربط مواد لجنة بازل الرقمنة بالحوكمة ومخاطر النماذج والاعتماد على الأطراف الثالثة والمخاطر التشغيلية والمرونة [12-14]. ولاحظت أبحاث معهد الاستقرار المالي (FSI) التابع لبنك التسويات الدولية أن معظم السلطات المالية تتعامل مع AI عبر أطر قائمة محايدة تكنولوجياً، مع تحديدها فجوات تتعلق بالحوكمة والمهارات ومخاطر النماذج والبيانات والأطراف الثالثة ونماذج الأعمال الجديدة [15].

ينظّم إطار إدارة مخاطر AI الصادر عن المعهد الوطني للمعايير والتكنولوجيا (NIST) النتائج ضمن مجالات الحوكمة والتخطيط والقياس والإدارة [29]. ويحدد ملف AI التوليدي الخاص به المخاطر والإجراءات المقترحة الخاصة بـAI التوليدي أو التي يفاقمها [30]. ويحدد المعيار ISO/IEC 42001 معياراً لنظام إدارة AI [33]. ويقدم المعيار ISO/IEC 23894 إرشادات لإدارة مخاطر AI [34]. وتمثل هذه مراجع مفيدة لتصميم الضوابط. ولا يثبت استخدامها الامتثال القانوني.

مصفوفة قابلية التطبيق

الجرد والتصنيف

نطاق واحد، تصنيفات متعددة

ينبغي للمؤسسة أن تحتفظ بسجل واحد قابل للاكتشاف لـAI والنماذج، مع تصنيفات مرتبطة به. إن عمليات الجرد المنفصلة وغير المترابطة للنماذج وSaaS والحوسبة لدى المستخدم النهائي والخصوصية والموردين والعمليات التشغيلية تُنشئ فجوات. وينبغي أن يرتبط السجل الرئيسي بسجلات متخصصة بدلاً من تكرار كل حقل.

مسارات الاكتشاف

يتطلب اكتمال الجرد مسارات اكتشاف متعددة. الإقرار الذاتي وحده ضعيف لأن الميزات المدمجة والاستخدام الخفي قد يكونان غير مرئيين للفرق المركزية.

نموذج الأهمية النسبية

ينبغي تقييم الأهمية النسبية قبل اختيار الضوابط. تعتمد الدرجة المقترحة على ثمانية أبعاد، يُقيَّم كل منها من صفر إلى أربعة. تدعم الدرجة الحكم ولا تحل محله.

النطاقات الأولية المقترحة هي 0-7 للمستوى 1، و8-15 للمستوى 2، و16-23 للمستوى 3، و24-32 للمستوى 4. هذه النطاقات معلمات تصميم إدارية وليست حدودًا تنظيمية. ينبغي للتجاوز الإلزامي أن يرفع تصنيف الاستخدامات التي تشمل حقوقًا قانونية، أو اتصالات جوهرية مع العملاء، أو نقل القيمة ذاتيًا، أو التقارير التنظيمية، أو السلامة، أو قرارات الائتمان أو الملاءمة، أو تبعيات الخدمات الحرجة.

تصنيف الصلاحية

كثيرًا ما تكون الصلاحية أكثر تأثيرًا مباشرًا في المخاطر من نوع النموذج.

مخرَج التصنيف.

ينبغي أن يبيّن سجل التصنيف الوقائع والاستنتاجات وعدم اليقين بصورة منفصلة.

الحوكمة وحقوق اتخاذ القرار

الملكية الخاضعة للمساءلة

يحتاج كل استخدام مسجّل إلى مالك أعمال يتحمّل مسؤولية النتيجة والمخاطر المتبقية. ولا تُغني ملكية التقنية عن المساءلة التجارية. ويقدّم مالكو مخاطر النماذج والامتثال والخصوصية والأمن اعتراضًا مستقلًا أو متخصصًا ضمن تفويضاتهم.

تصميم منتدى متناسب

يجوز للمؤسسات استخدام لجنة استثمار أو مخاطر أو تشغيل قائمة بجدول أعمال AI دائم. ويجوز للمؤسسات استخدام لجنة مخاطر AI مركزية مع موافقات على مستوى الأعمال. والنتيجة المطلوبة هي سلطة واضحة وتحدٍ موثق.

بنية السياسات

ينبغي للمؤسسة أن تتجنب سياسة AI مستقلة تتعارض مع الالتزامات القائمة. وينبغي لسياسة AI موجزة أن تحدد نطاق التطبيق، والمبادئ، والأدوار، والاستخدامات المحظورة، والموافقات، والمراقبة، والحوادث، والاستثناءات. كما ينبغي أن ترتبط المعايير الداعمة بمخاطر النماذج، والبيانات، والخصوصية، والأمن السيبراني، والاستعانة بمصادر خارجية، والمرونة التشغيلية، والسلوك، والسجلات، والتغيير، والتدقيق.

شهية المخاطر

ينبغي لشهية المخاطر أن تحدد الأنشطة المحظورة، والحدود الكمية أو الفئوية، وجهات الموافقة، وآليات التصعيد. ومن الأمثلة على ذلك:

الكفاءة والقدرة على التحدي

يجب أن يتلاءم التدريب مع الدور. يحتاج المستخدمون العامون إلى الوعي بالبيانات والمصادر والهلوسة والتصيد الاحتيالي وحقن المطالبات والتصعيد. ويحتاج المالكون إلى مسؤوليات التصنيف والأدلة والحوادث. ويحتاج المدققون إلى الكفاءة التقنية والمجال. وتحتاج مجالس الإدارة إلى فهم كافٍ لتحدي تركّز المخاطر والاستقلالية والقيود وتخصيص الموارد [9,10]. إتمام التدريب دليل ضعيف بمفرده؛ واختبار السيناريوهات والسلوك الملاحَظ يوفّران أدلة أقوى.

دورة الحياة وبوابات الأدلة

دورة الحياة

تتضمن دورة الحياة المقترحة عشر مراحل: الفكرة، والتسجيل، والتصنيف، والتصميم، والتطوير أو الشراء، والتقييم، والموافقة، والنشر الخاضع للرقابة، والمراقبة، والتقاعد. وتعود التكرارات إلى البوابة السابقة المناسبة عند تغيّر النموذج أو المطالبة أو البيانات أو الأداة أو الغرض أو الفئة السكانية أو المزوّد.

أدلة التصميم

يجب أن تُظهر حزمة التصميم النظام بالكامل، بما في ذلك مهمة المستخدم والبيانات والنموذج والاسترجاع وعناصر التحكم الحتمية والأدوات والواجهات والمراجعة البشرية والإجراء اللاحق. بطاقة النموذج التي تخلو من سياق سير العمل غير مكتملة لاستخدام جوهري AI.

حزمة الموافقة

يجب أن تجيب حزمة الموافقة على سؤال واحد: هل تدعم الأدلة المتاحة الاستخدام المحدود المقترح؟ وينبغي أن تحدد الثغرات بدلاً من تحويل غياب الأدلة إلى استنتاج إيجابي.

ضبط التغيير

يمكن أن تتغير خدمات AI من خلال إصدارات النماذج، والأوامر التوجيهية، وتعليمات النظام، ومحتوى الاسترجاع، والأدوات، والسياسات، ومرشحات السلامة، والموردين، والبيانات، وفئات المستخدمين، والاستضافة. وينبغي لمعيار التغيير أن يصنّف كل تغيير ويحدد اختبار الانحدار المطلوب.

التقاعد

ينبغي أن يؤدي التقاعد إلى إزالة الوصول والاعتماد مع الحفاظ على السجلات المطلوبة. وبالنسبة للأنظمة الحرجة، ينبغي للمؤسسة اختبار تصدير البيانات وتشغيل البديل والاستعادة قبل الموافقة على الإنتاج. وحقوق إنهاء التعاقد مع المورّد دون خطة انتقال تشغيلية تُعد دليلاً ضعيفًا.

التحقق والتقييم

هدف التحقق

يوفر التحقق تحدياً فعالاً لسلامة المفاهيم، والتنفيذ، والأداء، والاستخدام، والقيود. ويعتمد عمق ذلك على الأهمية النسبية والتعقيد والتعرض [1,4]. وينبغي أن يكون المدقق مستقلاً بما يكفي لتحدي المالك، وكفؤاً في المجال والبيانات والنموذج وسير العمل ذوي الصلة.

التقييم حسب نوع النظام

مجموعة تقييم تمثيلية

ينبغي أن يعكس مجتمع التقييم الحالات العادية والصعبة والمعاكسة والمحظورة. وينبغي أن يشمل مجموعات فرعية وفترات جوهرية، وأنماط فشل معروفة، وشروطًا حدّية، وأمثلة خارج التوزيع. وينبغي لحوكمة مجموعة الاختبار أن تمنع التلوث والتغييرات غير المتتبعة.

المقاييس

لا تكفي نسبة دقة واحدة لمعظم استخدامات AI الجوهرية.

يجب ربط العتبات بالعواقب. فلا ينبغي أن يتشارك مساعد الصياغة وتعليمات العميل الآلية الحد نفسه من التحمل. وبالنسبة لأنواع الأحداث ذات التحمل الصفري، ينبغي أن يكون هدف التقييم هو غيابها في المجموعة المختبرة، إلى جانب ضوابط وقائية وكاشفة قوية؛ ولا ينبغي وصف ذلك كدليل على استحالة وقوع الحدث.

تقييم AI التوليدي

يحدد ملف NIST التوليدي لـAI مخاطر تشمل التلفيق، وخصوصية البيانات، والتحيز الضار، والتهيئة بين الإنسان وAI، وسلامة المعلومات، وأمن المعلومات، والملكية الفكرية، والاعتماد على سلسلة القيمة [30]. وينبغي أن يغطي التقييم النظام كما هو مهيّأ، بما في ذلك المطالبات، والاسترجاع، والأدوات، وضوابط السلامة، وسير العمل. ولا يمكن لدرجات المعايير المرجعية من المزوّد أن تثبت ملاءمة الاستخدام لاستثمار محلي أو لاستخدام في التمويل الخاضع للتنظيم.

التقييم الوكيلي

تضيف الأنظمة الوكيلية مخاطر التسلسل والحالة والأدوات والصلاحيات. قد تكون الخطوة مقبولة بحد ذاتها في حين يُفضي التسلسل إلى نتيجة غير مصرّح بها. وينبغي أن يسجل التقييم كل إجراء، ومدخل الأداة، ومخرَج الأداة، وقرار الإذن، والتدخل البشري، والحالة النهائية.

سجل التحدي المستقل

ينبغي أن يحدد تقرير التحقق النطاق والأساليب والأدلة والقيود والنتائج ودرجة الخطورة والشروط والاستنتاج. يمكن أن يدعم الاستنتاج المتحفظ تجربة محدودة النطاق. ينبغي أن يظل الدليل المفقود قيدًا أو مسألة. ينبغي أن يحدد قبول الإدارة المالك المسؤول والجهة المخوّلة.

البيانات والخصوصية والأمن والأطراف الثالثة

حوكمة البيانات

AI ترث الضوابط من دورة حياة البيانات. يجب أن يثبت كل استخدام جوهري المنشأ والملكية والإذن والغرض والجودة وتتبع البيانات والتقليل والاحتفاظ والنقل والحذف والاستجابة للحوادث.

التطوير والتشغيل الآمن

توفر إرشادات NIST CSF 2.0 وإرشادات NCSC بشأن AI الآمن مراجع للحوكمة وأمن دورة الحياة [31,32]. ويوفر عمل OWASP LLM بشأن مخاطر التطبيقات كتالوجاً للتهديدات التقنية [36]. وينبغي للمؤسسة اختيار الضوابط من إطار الأمن المعمول به لديها وتسجيل تنفيذها.

الطرف الثالث AI

تظل المؤسسات المالية مسؤولة عن المخاطر الناشئة عن الخدمات التي تحصل عليها أو تعتمد عليها. إن DORA ومواد بازل وأعمال FSB وإرشادات FINMA ومواد الجهات التنظيمية UAE تعزز جميعها أهمية الاعتماد على الأطراف الثالثة والحوكمة والمرونة [10,12,15-17,27,37].

التركّز والأطراف الرابعة

يمكن للنماذج الأساسية والبنية التحتية السحابية وخدمات البيانات والأدوات المتخصصة أن تُنشئ تبعيات مشتركة بين تطبيقات تبدو مختلفة. وينبغي للجرد أن يحدد مقدمي الخدمة النهائيين والمعالجين الفرعيين الجوهريين. وينبغي لتحليل السيناريوهات أن يفحص الفشل المتزامن، وتدهور الخدمة، وتغيير الشروط من جانب واحد، وانقطاع المنطقة، وسحب النموذج، وفقدان الوصول إلى التدقيق.

جدول ضوابط العقد

ينبغي أن يحدد العقد نطاق الخدمة، واستخدام البيانات المعتمد، والسرية، والأمن، والإشعار بالحوادث، واستمرارية الأعمال، والتدقيق، ووصول الجهات التنظيمية حيثما ينطبق، والتعاقد من الباطن، وتغييرات النموذج، والأداء، والملكية الفكرية، والاحتفاظ بالسجلات، والحذف، ومساعدة الخروج، وتخصيص المسؤولية. ويجب أن تُراجع صياغة العقد من قبل مستشار مؤهل. والحق الذي لا يخضع للاختبار التشغيلي يظل دليلاً غير مكتمل.

الإشراف البشري والسلوك والمساءلة

إشراف بشري فعّال

تكون المراجعة البشرية ذات معنى عندما يمتلك المراجع الكفاءة والوقت والصلاحية والمعلومات وقدرة فعالة على الاعتراض أو إيقاف النتيجة. أما النقر الإلزامي دون دليل داعم فهو ضابط ضعيف.

التحيز للأتمتة وعبء العمل

يمكن أن تفشل الرقابة عندما ينقاد المستخدمون إلى المخرجات المصقولة، أو يراجعون عددًا كبيرًا جدًا من العناصر، أو يفتقرون إلى الوصول إلى الأدلة المصدرية. وينبغي أن تقيس المراقبة أنماط التصحيح والتجاوز ووقت المراجعة والاستثناءات والاختلافات. وقد يشير معدل التجاوز المنخفض جدًا إلى جودة عالية؛ كما قد يشير إلى ضعف القدرة على الاعتراض. ويتطلب التحقيق أدلة قائمة على العينات.

العدالة والأطراف المتأثرة

حين تؤثر AI في الوصول أو التسعير أو الملاءمة أو التوظيف أو الائتمان أو التأمين أو أي معاملة أخرى ذات أثر جوهري، ينبغي للمؤسسة تحديد الفئات ذات الصلة قانوناً وتشغيلياً، وتقييم النتائج التفاضلية، وتوثيق الأهداف المشروعة، وتقديم تفسير مناسب، والحفاظ على مسارات الاعتراض أو التصعيد. ويحدد القانون المعمول به الالتزامات المحددة. وتوفر مبادئ منظمة التعاون والتنمية الاقتصادية، ومخرجات المعهد الوطني للمعايير والتقنية، وإرشادات مصرف الإمارات العربية المتحدة المركزي، وتوقعات هيئة الرقابة على الأسواق المالية السويسرية (FINMA) مراجع حوكمة داعمة [16,29,35,37].

السجلات والتفسيرات

ينبغي أن يحفظ السجل المدخلات، وإصدار المصدر ذي الصلة، وتكوين النظام، والمخرجات، وإجراء المراجع، والقرار النهائي والسبب، بالمستوى المطلوب لإعادة البناء. وينبغي أن يكون التفسير مناسباً للجمهور وللقرار. ولا تستوفي قابلية التفسير التقنية تلقائياً متطلبات التفسير الخاصة بالعميل أو المتطلبات القانونية.

الاستخدامات المحظورة والمقيدة

ينبغي لكل مؤسسة أن تحدد الاستخدامات المحظورة استناداً إلى القانون والتفويض وشهية المخاطر. ولا يجوز تشغيل الاستخدامات المقيدة إلا وفق شروط معلنة. وتشمل الأمثلة المطروحة على نظر الإدارة إدخال بيانات سرية غير معتمدة، وتقديم مشورة قانونية أو استثمارية دون إشراف، والتحويل الذاتي للقيمة بما يتجاوز الحدود، ونسب المصدر بشكل مُفبرك، والتفاعل الخفي مع العملاء، واستخدام البيانات الشخصية خارج الغرض المعتمد. وهذه أمثلة سياسات مقترحة؛ ويجب على المالكين القانونيين تحديد المحظورات الفعلية.

المراقبة والحوادث والتأكيد

تصميم المراقبة

ينبغي أن تربط المراقبة سلوك النظام بشهية المخاطر وشروط الموافقة.

تصنيف الحوادث

قد يكون حادث AI متعلقًا بنموذج أو بيانات أو أمن أو خصوصية أو سلوك أو تشغيل أو قانون أو طرف ثالث. وينبغي أن تتجنب عملية إدارة الحوادث تحويل كل شيء إلى فريق AI متخصص. وينبغي أن يراعي تقييم الخطورة العواقب الفعلية والمحتملة، والتعرض، والاحتواء، والإخطار التنظيمي، والأطراف المتأثرة، والتكرار.

تأكيد الضوابط

ينبغي أن يؤكد اختبار الخط الأول أن الضوابط تعمل. وينبغي أن تتحدى مراقبة الخط الثاني التصنيف والموافقة والملاحظات والمخاطر الإجمالية. وينبغي أن يقيّم التدقيق الداخلي تصميم الإطار وفعالية التشغيل باستخدام خطة قائمة على المخاطر. قد يدعم التأكيد الخارجي أدلة الموردين أو الأدلة التقنية، لكن يجب على المؤسسة تقييم النطاق والفترة والاستثناءات والملاءمة.

المخاطر الإجمالية

ينبغي أن تحدد تقارير المحفظة التركز حسب المزود والنموذج والسحابة ومصدر البيانات وعملية الأعمال والجغرافيا ومستوى الصلاحية. ويمكن أن يصبح المساعدون من الفئة المنخفضة، كل على حدة، ذوي أهمية جوهرية عندما يتشاركون مزوداً، أو يعالجون حجماً كبيراً، أو يدرجون خطأً شائعاً في قرارات متعددة.

حالة تشغيلية توضيحية

تعريف الحالة

افتراض توضيحي: يُفترض أن فريق استثمار في مكتب عائلة يستخدم مساعداً معززاً بالاسترجاع لتلخيص مستندات صناديق الأسواق الخاصة، ومقارنة الشروط الجوهرية، وصياغة أسئلة لجنة الاستثمار. ولا يملك النظام صلاحية الموافقة على الاستثمارات أو التواصل مع المديرين أو إرسال التعليمات. جميع القيم العددية والافتراضات التشغيلية في هذا القسم أمثلة توضيحية غير متحقق منها.

التصنيف

تقييم الأهمية المقترح من الفئة 3 لأن الاستخدام يتعامل مع بيانات سرية ويمكن أن يؤثر في تحليل الاستثمار، بينما يظل الناتج مسودة وقابلاً للتراجع. ويُطبّق تجاوز إلزامي إذا دخل الناتج سجلات لجنة الاستثمار دون مراجعة، أو أنتج استنتاجات قانونية، أو أطلق اتصالات خارجية.

تصميم التقييم

افتراض توضيحي: تتمثل العتبات المقترحة التوضيحية في دعم بنسبة 100 في المائة للشروط الجوهرية المحددة في المجموعة المختبرة، وعدم وجود أي إخفاقات في الوصول العابر للصفقات، وعدم تنفيذ أي إجراءات ذاتية، ودقة اقتباس لا تقل عن 98 في المائة، وتصعيد موثق لكل تعارض في المصادر غير محسوم. هذه القيم هي افتراضات إدارية مقترحة وتتطلب الموافقة.

تصميم الضوابط

الحدود الاقتصادية

افتراض توضيحي: قد يؤدي الاستخدام إلى تحرير طاقة المحللين. الوقت المحرر ليس وفورات نقدية ما لم تُلاحظ نتيجة مالية معتمدة. تظل الإيرادات المنسوبة إلى Matchpoint أو إيرادات العملاء، وخفض التكلفة النقدية، وخفض الخسائر USD 0.. يمكن لسجل القيمة أن يسجل النتائج المقبولة ووقت المراجعة وإعادة العمل والتكلفة التشغيلية الكاملة دون تحويل الساعات النظرية إلى منفعة محققة.

حالة تشغيلية توضيحية

تعريف الحالة

افتراض توضيحي: يُفترض أن جهة تخصيص مؤسسية تستخدم نظاماً تنبؤياً وتوليدياً لمراقبة المديرين الخارجيين، ورصد حالات الشذوذ في التقارير، وصياغة أسئلة متابعة للعناية الواجبة. يمكن للنموذج ترتيب أولويات المراجعة؛ لكنه لا يستطيع تغيير أي تخصيص أو إصدار إشعار مخالفة أو التواصل خارجياً. جميع المدخلات والحدود الرقمية في هذا القسم أمثلة توضيحية غير مُتحقَّق منها.

حدود النموذج وسير العمل

يكتشف المكوّن التنبؤي الحالات الشاذة مقابل السمات والمعايير المرجعية المعتمدة. ويشرح المكوّن التوليدي الإشارة باستخدام سجلات خاضعة للرقابة ويصوغ أسئلة أولية. وتفرض طبقة قواعد حتمية حدود التعرض والتصعيدات المطلوبة. ويقرر مسؤول مخاطر الاستثمار ما إذا كان ينبغي التصعيد. ويتيح هذا الفصل استخدام طرق تقييم مختلفة ويقلل من السلطة الممنوحة للمخرجات الاحتمالية.

التقييم

افتراض توضيحي: يستخدم برنامج تجريبي توضيحي 18 شهرًا من السجلات التاريخية، و60 حدثًا تم البت فيها، وفترة اختبار موازية مدتها ثلاثة أشهر. هذه القيم افتراضات إدارية. وستحتاج المؤسسة إلى تقييم ما إذا كانت العينة تدعم الادعاءات المقصودة والفئات الفرعية الجوهرية.

القرار والتصعيد

تجميع بيانات المحفظة والأطراف الثالثة

ينبغي لجهة تخصيص الأصول أن تجمع المزوّدين المشتركين عبر أدوات مراقبة المديرين والبحث وإعداد التقارير وخدمة العملاء. وقد يدعم اعتماد واحد على نموذج أساسي أو على سحابة واحدة عدة موردين اسميين. وينبغي أن تُظهر حزمة مجلس الإدارة هذا التركيز بعد النظر من خلال الطبقات، ومسار الاستعادة المختبَر.

الحدود الاقتصادية

افتراض توضيحي: لا تُنسب أي منفعة مالية إلى الحالة التوضيحية. ويمكن لتقييم لاحق أن يقيس إنتاجية المراجعة، والإشارات المقبولة، وحالات الإغفال الجوهري، والتصعيد غير المبرر، والوقت اللازم للحل، وتكلفة التشغيل. وتتطلب مزاعم الإيرادات والتكاليف النقدية والخسائر أدلة مشاهدة معتمدة وسيناريو مضادًا يمكن الدفاع عنه.

حزمة مجلس الإدارة، وخارطة الطريق، والتنفيذ

معلومات مجلس الإدارة

ينبغي لتقارير مجلس الإدارة أن تدعم التوجيه والمساءلة. وينبغي أن تفصل الانكشاف عن النشاط وأن تعرض الاستثناءات بوضوح.

خارطة طريق لاثني عشر شهرًا

أول 30 يوماً

ينبغي أن يرسّخ الشهر الأول الصلاحية والوضوح. حدّد المسؤول التنفيذي الخاضع للمساءلة، وأصدر قيوداً مؤقتة على البيانات والصلاحيات، وأنشئ مسار استقبال موحداً، وطابق التطبيقات والاشتراكات المعروفة، واربط أحداث AI بإدارة الحوادث القائمة. أعطِ الأولوية للاستخدامات التي قد تؤثر على العملاء أو رأس المال أو التقارير أو الحقوق أو البيانات السرية أو حركة القيمة.

الأيام 31-90

ابنِ سجل الالتزامات من المصادر القانونية والرقابية المعمول بها. استكمل تصنيف الاستخدامات الجوهرية. أنشئ قوالب للتقييم والموافقة والمراقبة والتغيير والتقاعد. راجع الموردين الحرجين والميزات المدمجة في AI. أنشئ عملية استثناءات بتاريخ انتهاء وضوابط تعويضية.

الأشهر من الرابع إلى الثاني عشر

قيّم الاستخدامات الجوهرية ووافق عليها أو علّقها. اختبر عزل الوصول والتعافي من الأعطال وخروج المورد. طابق تركّز مقدمي الخدمة. طبّق مؤشرات مجلس الإدارة والضمان المستقل. حدّث الإطار عند الانتهاء من مشاورات مجلس الاستقرار المالي (FSB)، أو قيام NIST بتحديث إطار إدارة المخاطر AI RMF، أو تغيّر قواعد الاختصاص القضائي.

نموذج نضج الضوابط

القيود، أجندة البحث، والخاتمة

تُجمّع هذه الورقة مواد من ولايات قضائية متعددة؛ وهي لا تثبت قابلية التطبيق على كيان بعينه. يمكن أن تتداخل المتطلبات وتتغيّر. كانت الممارسات السليمة لمجلس الاستقرار المالي (FSB) استشارية عند تاريخ قطع الأدلة. تغيّر الجدول الزمني للاتحاد الأوروبي قبيل النشر بوقت قصير. تستبعد إرشادات مخاطر النماذج المنقّحة في الولايات المتحدة صراحةً نماذج AI التوليدية والوكيلية من النطاق. لا تُنشئ المعايير والأُطر الطوعية امتثالًا قانونيًا.

يتطلب إطار التشغيل اختبارًا تجريبيًا. ينبغي أن تقارن الأبحاث المستقبلية اتساق التصنيف عبر المؤسسات؛ وأن تقيس موثوقية التحقق في سير العمل التوليدي والوكيلي؛ وأن تقيّم ما إذا كانت ضوابط الاستشهاد والمراجعة البشرية تقلل الأخطاء الجوهرية؛ وأن تقيّم تركّز الطرف الرابع؛ وأن تختبر خطط الخروج في حال انسحاب المزوّد أو تغيّر النموذج أو التعطّل السيبراني. وينبغي للمؤسسات نشر أو مشاركة تصنيفات الحوادث وأساليب التقييم حيثما تسمح السرية.

الخلاصة المركزية هي أن اعتماد AI الخاضع للرقابة يمثل مسألة أدلة. ويكشف الجرد الشامل مواطن التعرض. وتحدد الأهمية والصلاحية درجة الرقابة المتناسبة. ويرسي التقييم ملاءمة محدودة النطاق. وتُسند الحوكمة القرار. وتحافظ المراقبة على تحديث الموافقة. وتحتوي قدرة التعامل مع الحوادث والخروج على الفشل. وبالنسبة لمكاتب العائلات والمخصصين المؤسسيين، يدعم هذا الهيكل الابتكار مع الحفاظ على صلاحية الاستثمار والسرية وقابلية التتبع والمرونة.

تظل الإيرادات المنسوبة إلى Matchpoint أو إيرادات العملاء، وخفض التكاليف النقدية، وخفض الخسائر USD 0 إلى أن تدعم الأدلة المرصودة المعتمدة إسناد ذلك.