نموذج التشغيل AI: الملكية والبيانات والضوابط وتتبع المنافع

1. حوكمة نظام مؤسسي بدلاً من مجموعة أدوات AI

ينبغي أن يتعلق أول سؤال AI لمجلس الإدارة بالنتيجة التشغيلية التي تعتزم الشركة تغييرها. فالترخيص أو النموذج أو المساعد أو التجربة التجريبية هو مدخل. وتنشأ القيمة عندما تغيّر الشركة قراراً أو عملية أو منتجاً أو عرضاً للعميل، وتستطيع الحفاظ على هذا التغيير ضمن حدود المخاطر المعتمدة. ويربط نموذج التشغيل القدرة التقنية بإجراءات أعمال قابلة للمساءلة.

يهُم هذا التمييز لأن المحفظة قد تبدو نشطة بينما تبقى ضعيفة اقتصاديًا. قد تحصي الفرق العروض التوضيحية أو المستخدمين أو الأوامر التوجيهية أو المستندات المولّدة. وتقول هذه المقاييس القليل عن الإيرادات أو التكلفة أو النقد أو الخدمة أو الجودة أو المخاطر. فقد تحقق حالة الاستخدام أداءً جيدًا في اختبار مُحكَم وتفشل في بيئة الإنتاج لأن الوصول إلى البيانات أو تكامل سير العمل أو اعتماد الموظفين أو موثوقية الموردين أو قبول العملاء غير كافٍ.

تدعو مبادئ AI الصادرة عن منظمة التعاون الاقتصادي والتنمية إلى المساءلة وإمكانية التتبع والإدارة المنهجية للمخاطر عبر دورة حياة AI [1]. وينظّم المعهد الوطني للمعايير والتقنية (NIST) إدارة مخاطر AI حول الحوكمة والتحديد والقياس والإدارة [3][4]. ويؤطّر المعيار ISO/IEC 42001 إدارة AI بوصفها نظامًا من السياسات والأهداف والعمليات المحسّنة باستمرار [7]. وتدعم هذه المصادر استنتاجًا مؤسسيًا عمليًا: أن حوكمة AI تنتمي إلى داخل نموذج التشغيل لا إلى جانبه كملحق للامتثال.

تتضمن سلسلة التشغيل الكاملة خمسة عناصر مترابطة. تحدد الاستراتيجية القرار أو سير العمل الجدير بالتغيير. ويحدد ميثاق حالة الاستخدام النطاق والمالك والنتيجة المقصودة. وتؤسس ضوابط البيانات والنماذج ما إذا كانت القدرة يمكن أن تعمل بمسؤولية. وتحدد بوابات دورة الحياة ما إذا كان يمكنها التقدم. ويُظهر سجل المنافع ما إذا كان التغيير قد وصل إلى قائمة الأرباح والخسائر أو التدفق النقدي أو الميزانية العمومية أو نتيجة الخدمة أو مركز المخاطر. ويتلقى مجلس الإدارة رؤية متكاملة واحدة عبر العناصر الخمسة جميعها.

لكل طبقة مالك محدد بالاسم، ومجموعة أدلة، وحق قرار، وتكرار مراجعة.

2. أنشئ جرد المؤسسة قبل تحديد أولويات المحفظة

لا تستطيع الإدارة أن تحكم ما لم تحدده. وينبغي أن يغطي الجرد النماذج المطوّرة داخليًا، والنماذج المستضافة خارجيًا، وAI المدمج في برمجيات المؤسسة، ومساعدي الموظفين، ومكونات القرار الآلي، والنماذج التحليلية، والوكلاء، والمنتجات الممكّنة بالنماذج، والتجارب الجوهرية. وينبغي أن يسجل أيضًا الاستخدام الظلي المكتشف عبر الاستبيانات وسجلات الوصول وبيانات المشتريات وضوابط الشبكة ومراجعة الأعمال.

ينبغي أن تكون وحدة الاحتساب هي حالة الاستخدام لا اسم المورد. فالنموذج العام الأغراض الواحد يمكن أن يدعم خدمة العملاء والبرمجة والتسويق ومراجعة العقود، مع اختلاف البيانات والمستخدمين والقرارات والنتائج. وعلى العكس، يمكن أن تعتمد حالة استخدام واحدة على عدة نماذج وخدمات استرجاع ومصادر بيانات وتطبيقات سير عمل. وينبغي أن يمثل الجرد العلاقتين كلتيهما.

يحتاج كل سجل إلى مالك أعمال، ومالك تقني، وفئة مخاطر، ومستخدمين مستهدفين، وأصحاب مصلحة متأثرين، ودور في القرار، وفئات بيانات، واعتمادات على النماذج والموردين، والاختصاص القضائي، وحالة دورة الحياة، وتاريخ الموافقة، ومتطلبات المراقبة، ومالك المنافع، ومسار الإخراج من الخدمة. وينبغي أن يحدد السجل ما إذا كان النظام يوصي أو يصوغ مسودات أو يتنبأ أو يرتب أو يقرر أو يتصرف أو يتحكم في نظام آخر. وغالبًا ما تكون الاستقلالية وقابلية العكس أهم من مدى تطور النموذج.

يدعم الجرد أيضًا اقتصاديات المحفظة. فبالإمكان تحديد التراخيص المكررة والتجارب التجريبية المتداخلة وخطوط البيانات غير المتوافقة. وقد تخدم قدرة مشتركة عدة حالات استخدام، بينما قد يكون لنموذج متخصص عالي التكلفة مالك واحد ضيق النطاق. ويمكن للإدارة حينها توزيع التكلفة المشتركة والتفاوض مع الموردين وتحديد المنصات التي تستحق التوسع.

الجدول 1. الحد الأدنى لجرد AI المؤسسي

يجمع هذا الجرد الأدلة التشغيلية والتقنية والمتعلقة بالمخاطر والمالية في سجل واحد خاضع للرقابة.

3. تصميم نموذج التشغيل حول ست مسؤوليات

يحتاج برنامج AI إلى أكثر من لجنة توجيهية. ينبغي إظهار ست مسؤوليات. يوافق مجلس الإدارة على الشهية للمخاطر والاستثمارات الجوهرية والرقابة. يتولى الراعي التنفيذي مسؤولية أطروحة المحفظة. يتولى مالك النشاط مسؤولية تبني سير العمل والنتيجة التشغيلية. يتولى المالك التقني مسؤولية البنية والتنفيذ وأداء الخدمة. تراجع وظائف الرقابة المستقلة أدلة المخاطر والخصوصية والأمن والامتثال القانوني. تتحكم المالية في خط أساس المنافع وتتحقق من القيمة المحققة.

يمكن دمج الأدوار في مؤسسة أصغر، لكن ينبغي أن تظل المساءلة متمايزة. يمكن للشخص الذي يقترح حالة استخدام أن يجهّز الأدلة. ولا يزال النشر الجوهري يستفيد من المراجعة النقدية التي يجريها شخص لم يبنِ النموذج ولم يملك المنفعة المتوقعة. ويمكن أن تكون الاستقلالية متناسبة مع المخاطر والتكلفة وحجم المؤسسة.

ينبغي ربط حقوق القرار بأحداث دورة الحياة. يجوز لمالك المنتج الموافقة على تغيير إعدادات منخفض الأثر. ويجوز للجنة المخاطر الموافقة على نشر عالي الأثر. وقد يحتفظ مجلس الإدارة بقرارات تتعلق برأس مال جوهري، أو آثار على القوى العاملة، أو أهلية العملاء، أو السلامة، أو النتائج الخاضعة للتنظيم، أو التعرض للسمعة. وينبغي أن تكون صلاحية التعليق الطارئ صريحة ومتاحة فورًا.

ينبغي للجان أن تقرر لا أن تتلقى عروضًا تقديمية. وينبغي لكل بند في جدول الأعمال أن يحدد القرار المطلوب، والخيارات، والأدلة، والمالك، والقيود التي لم تُحل، والمراجعة التالية. يحافظ مكتب المحفظة على المعايير والسجلات. وينبغي ألا يمتص المساءلة من المسؤول التنفيذي الذي تستخدم وظيفته النظام.

الجدول 2. حقوق القرار عبر نموذج التشغيل AI

يعني R المسؤول عن التنفيذ، وA المسؤول عن المساءلة، وC المستشار، وI المُطَّلَع؛ وينبغي أن يعكس التوزيع الدقيق حجم المؤسسة والمتطلبات السارية.

4. تحويل الاستراتيجية إلى ميثاق حالة استخدام خاضع للرقابة

الميثاق هو أصغر عقد نافع بين الاستراتيجية والتنفيذ والرقابة والمالية. وهو يحدد مشكلة الأعمال، وسير العمل الحالي، والمستخدمين المقصودين، والأطراف المتأثرة، ودور القرار، والتدخل المقترح، والنتيجة المتوقعة، والقيود، والتبعيات، والمالك، وحدود التكلفة، وخطة الأدلة، وشروط الخروج. وينبغي أن يكون قصيرًا بما يكفي للحوكمة، ودقيقًا بما يكفي للاختبار.

يستحق سير العمل الحالي اهتمامًا مساويًا للنموذج المقترح. وتحتاج الإدارة إلى زمن الدورة الأساسي، ومعدل الأخطاء، ومعدل التحويل، والتكلفة، وعبء الرقابة، ونتيجة العميل قبل الأتمتة. فالعمليات الضعيفة قد تتحول إلى عمليات ضعيفة أسرع. لذلك ينبغي لحالة الاستخدام أن تحدد الخطوة التي تتغير، والقرارات التي تبقى بشرية، والعملية اللاحقة التي تستوعب المخرجات.

ينبغي أن يوضح الميثاق الغرض المقصود من النموذج والاستخدامات المحظورة. فلا ينبغي لنظام مصمم لتلخيص المستندات أن ينحرف إلى قرارات أهلية العملاء دون تقييم جديد. ولا ينبغي لمساعد المبيعات أن يستوعب مواد صفقات سرية لمجرد أن واجهته تجعل ذلك ملائمًا. وتدعم الحدود الواضحة تصميم الوصول والمراقبة وتدريب الموظفين.

ينبغي أن تغطي معايير النجاح أربعة أبعاد: الأداء التقني، والتبني التشغيلي، وفعالية الضوابط، والنتيجة المالية أو نتيجة الخدمة. ولا تتقدم حالة الاستخدام إلا عندما تتوافر الأدلة عبر الأبعاد ذات الصلة بفئتها. ويمنع ذلك أن تُمرّر درجات النموذج المبهرة حالة تشغيلية ضعيفة عبر بوابة المرحلة.

ينبغي أن يحدد الميثاق أيضاً فرضية القرار. فهي تبيّن مَن سيتخذ قراراً مختلفاً، وما الأدلة التي يسهم بها النظام، ومدى سرعة وجوب اتخاذ القرار، وكيف ستعرف الإدارة أن التغيير قد حسّن النتيجة. وهذا يدفع الراعي المالي إلى تحديد الإجراء البشري أو الآلي الرابط بين مخرجات النموذج والقيمة. وأي توقع يتوقف عند جودة المخرجات يظل ناقصاً.

تكتسب معايير الخروج أهمية مماثلة. ويمكن للإدارة إيقاف حالة استخدام عندما تزول المشكلة، أو يتعذر على التدخل بلوغ حدّه المطلوب، أو تتغير اقتصاديات المورّد، أو يتجاوز عبء الضوابط القيمة، أو يؤدي تحسين أبسط للعملية أداءً أفضل. وينبغي أن يحدد الميثاق كيفية إغلاق الوصول والبيانات والسجلات والعقود والتبعيات اللاحقة. ويعزز مسار الخروج المخطط انضباط رأس المال منذ بداية الاستثمار.

5. صنّف حالات الاستخدام حسب العاقبة والاستقلالية والتعرض وقابلية العكس

ينبغي أن يحدد التصنيف الطبقي للمخاطر كثافة الحوكمة. ويمكن للتصنيف أن يراعي عاقبة الخطأ، ودرجة الأتمتة، وأصحاب المصلحة المتأثرين، وحجم التعرض، وحساسية البيانات، والسياق القانوني، وحداثة النموذج، وقابلية التفسير، والاعتماد الخارجي، وقابلية العكس. وثمة فرق جوهري بين مساعد صياغة يستخدمه موظفون مدرّبون ونظام مستقل يغيّر وصول العملاء أو ينقل الأموال.

ينبغي أن ترتبط الفئة بحالة الاستخدام في سياقها. فقد يكون النموذج نفسه منخفض الأثر في العصف الذهني الداخلي، ومرتفع الأثر عندما تؤثر مخرجاته في التوظيف أو الائتمان أو التسعير أو السلامة أو الصحة. ويتوافق هذا المنظور القائم على حالة الاستخدام مع النُهج القائمة على المخاطر الواردة في قانون AI للاتحاد الأوروبي [9][10]، وإطار إدارة مخاطر AI الصادر عن NIST [3]، ومراجعة ASIC لحوكمة المرخّص لهم [27]، وإطار مخاطر النماذج لدى OSFI [29].

يمكن أن يتضمن هيكل عملي أربع فئات داخلية. وتغطي الفئة الأولى المساعدة المحدودة ذات العواقب المنخفضة والمراجعة البشرية الواضحة. وتغطي الفئة الثانية التوصيات أو المحتوى التشغيلي الذي قد يؤثر في العملاء أو النتائج المالية. وتغطي الفئة الثالثة القرارات الجوهرية، أو البيانات الحساسة، أو الاستقلالية العالية، أو سير العمل الخاضع للتنظيم. وتغطي الفئة الرابعة الأنشطة المحظورة أو الخارجة عن حدود شهية المخاطر. وينبغي ألا تُعرض الفئات الداخلية أبداً كتصنيفات قانونية من دون تحليل خاص بالولاية القضائية.

التصنيف الطبقي ديناميكي. فقد يؤدي نمو الحجم، أو بيانات جديدة، أو تحديث من المورّد، أو استقلالية أوسع، أو مجموعات مستخدمين جديدة، أو حادث جوهري إلى تغيير التصنيف. ولذلك ينبغي أن يسجل سجل الجرد الأساس والجهة المعتمدة وتاريخ المراجعة التالي.

المصفوفة أداة إدارية؛ وتتطلب التصنيفات القانونية تحليلاً منفصلاً.

الجدول 3. محفزات المستويات التوضيحية والحد الأدنى من الضوابط

ينبغي للإدارة أن تكيّف المُحفّز ومجموعة الضوابط بما يتوافق مع القانون المعمول به والقطاع وشهية المخاطر.

6. اعتبر حقوق البيانات وتتبع مصدرها متطلبات تشغيلية مسبقة.

AI يعتمد الأداء والمساءلة على بيانات تستطيع المؤسسة تحديدها واستخدامها وحمايتها وإعادة إنتاجها. وينبغي أن يسجل ملف ضبط البيانات المصدر والمالك والغرض المسموح به والأساس القانوني أو التعاقدي والتصنيف والنطاق الجغرافي والاحتفاظ واختبارات الجودة والتحويلات وتسلسل الأصل والاستخدامات اللاحقة. وينبغي أيضاً أن يحدد البيانات الشخصية والسرية والمحمية بامتياز والمحمية بحقوق النشر والمرخصة والحساسة.

قد تكون حقوق البيانات بنفس أهمية جودة البيانات. فقد تكون مجموعة بيانات مفيدة تقنياً غير متاحة لتدريب النموذج أو الاسترجاع أو المعالجة من قبل الموردين. ويمكن لاتفاقيات العملاء وشروط التوظيف وحقوق قواعد البيانات والملكية الفكرية وقواعد الخصوصية والالتزامات القطاعية أن تقيد الاستخدام. وينبغي أن ترتبط الموافقة القانونية بغرض محدد وتدفق بيانات محدد بدلاً من أن ترتبط بالتسمية الواسعة AI.

ينبغي أن يتتبع تسلسل الأصل البيانات من المصدر عبر الإعداد والاسترجاع وسياق التوجيه وتفاعل النموذج وتخزين المخرجات والقرار اللاحق. ويدعم ذلك إعادة الإنتاج وتحليل الحوادث والحذف ومراجعة الوصول ونسبة المنافع. وتربط منظمة التعاون الاقتصادي والتنمية مساءلة AI بالقدرة على التتبع عبر مجموعات البيانات والعمليات والقرارات [1][2]. وبالمثل، تشدد إرشادات E-23 النهائية الصادرة عن OSFI على الملاءمة والمصدر وحوكمة بيانات المؤسسة للنماذج [29].

ينبغي مقارنة بيانات الإنتاج ببيانات التطوير والاختبار. فقد يؤدي تغير المجتمع الإحصائي والحقول المفقودة والفئات الجديدة والموسمية والحلول التشغيلية الالتفافية إلى إضعاف النموذج دون تغيير شيفرته. ويحتاج تصميم المراقبة إلى حدود لجودة البيانات ومالك قادر على تصحيح عملية المصدر.

7. التحكم في سلسلة التبعية الكاملة للنموذج والموردين

يمتد النظام المعني عادةً إلى ما هو أبعد من نموذج واحد. ويمكن أن يشمل نموذجاً أساسياً وتضمينات وقاعدة بيانات استرجاع وطبقة تنسيق ومرشح أمان وقواعد أعمال وتطبيقاً وخدمة سحابية ومراجعة بشرية ونظاماً لاحقاً. وينبغي أن يسجل نموذج التشغيل السلسلة ويحدد الطرف الذي يتحكم في كل مكوّن.

ينبغي أن تشمل العناية الواجبة بالموردين الاستخدام المقصود وهندسة الخدمة ومعالجة البيانات والمعالجين الفرعيين وإصدارات النموذج والأمن وأدلة الاختبار وشروط الملكية الفكرية والسرية والاحتفاظ وإشعار الحوادث ومستويات الخدمة وحقوق التدقيق وإشعار التغيير واستمرارية الأعمال والإنهاء وإعادة البيانات. ولا يغني اسم مزود بارز عن العناية الواجبة بحالة الاستخدام.

يمكن أن يغيّر الضبط السلوك جوهرياً. وتندرج التوجيهات النظامية ومصادر الاسترجاع ودرجة الحرارة والأدوات والأذونات والذاكرة وحدود الإجراءات وقواعد البدائل الاحتياطية ضمن إدارة التغيير المضبوطة. وقد يحدّث المورد النموذج الأساسي بينما يبقى اسم التطبيق دون تغيير. وتحتاج الشركة إلى محفز محدد لإعادة الاختبار وإعادة الموافقة.

ينبغي أن يكون التركّز مرئياً على مستوى المحفظة. فقد تعتمد عدة مسارات عمل حرجة على مزود نموذج واحد أو منصة سحابية أو خدمة بيانات واحدة. وينبغي لمجلس الإدارة أن يفهم مخاطر الانقطاع والتسعير والتعاقد والاعتماد الاستراتيجي، ثم يقرر البدائل أو الخيارات الاحتياطية أو الإجراءات اليدوية التي تكون متناسبة.

الجدول 4. الأدلة على امتداد سلسلة التبعية AI

ينبغي أن تكون مجموعة الأدلة متناسبة مع فئة حالة الاستخدام وقدرة الشركة على التحكم في كل مكوّن.

8. اتخاذ قرارات البناء والشراء والتهيئة وفق الاقتصاديات التشغيلية الإجمالية

ينبغي أن يشمل قرار البناء أو الشراء التمايز الاستراتيجي، وميزة البيانات، وتعقيد التكامل، ومتطلبات التحكم، والوقت حتى تحقيق القيمة، والمواهب، والبنية التحتية، والاعتماد على الموردين، وتكلفة دورة الحياة الكاملة. فقد يتحول أرخص تجربة أولية إلى تبعية تشغيلية مكلفة عندما تُدرَج عمليات التكامل والضمان والمراقبة والتغيير.

لا يؤدي شراء نموذج إلى نقل المساءلة عن حالة الاستخدام. فما تزال الشركة مالكة للغرض والمستخدمين والبيانات وسير العمل والقرارات والمراقبة ونتيجة العميل. ويوفر البناء داخليًا تحكمًا أكبر في بعض المكونات، لكنه ينشئ التزامات تتعلق بالهندسة والأمن والتوثيق والصيانة واستمرارية المواهب.

غالبًا ما تكون التهيئة المسار المؤسسي السائد. إذ تدمج الشركة نماذج خارجية مع بيانات ومطالبات وقواعد وسير عمل خاصة بها. ويمكن أن يخلق ذلك قيمة متمايزة دون تدريب نموذج أساسي. كما ينشئ نظامًا يعتمد أداؤه على مكونات كثيرة قابلة للتغيير. وينبغي أن يحكم النموذج التشغيلي المنظومة المهيأة ككل.

ينبغي أن تميّز حالة الاستثمار بين قدرة المنصة القابلة لإعادة الاستخدام والإنفاق الخاص بحالة استخدام محددة. فقد تدعم الهوية والتسجيل والتقييم والوصول الآمن إلى البيانات والتنسيق حالات متعددة. ويمكن للإدارة المالية توزيع التكاليف المشتركة بشفافية، بينما تتجنب الإدارة تحميل كل حالة استخدام مبكرة كامل تكلفة المنصة.

9. استخدم بوابات دورة الحياة التي تتطلب الأدلة بدلًا من الحماس

يمكن أن تتضمن دورة الحياة ست بوابات: الاكتشاف، والتصميم، والتحقق، والنشر، والتوسع، والإيقاف. وينبغي أن تكون لكل بوابة معايير دخول، وأدلة مطلوبة، وسلطة قرار، وموافقات مشروطة، ومسار استثناء محدد زمنيًا. وتُغلق البوابة عندما تدعم الأدلة التعرض التالي، لا عندما يُكمل فريق المشروع عرضًا تقديميًا.

يؤكد الاكتشاف المشكلة والمالك وخط الأساس. ويحدد التصميم سير العمل والبيانات والنظام وبنية التحكم. ويختبر التحقق الأداء التقني والعملية البشرية والأمن والحقوق ذات الصلة. ويقدم النشر تعرضًا إنتاجيًا مضبوطًا. ويتطلب التوسع أدلة على أن الاعتماد والضوابط والفوائد تظل سليمة عند حجم أكبر. ويُزيل الإيقاف الوصول والتبعيات والبيانات المحتفظ بها بطريقة مضبوطة.

توفر خطة عمل NIST إجراءات عبر الحوكمة والرسم والقياس والإدارة [4]. ويضيف ملف NIST التوليدي AI اهتمامًا بمخاطر مثل التلفيق وسلامة المعلومات والخصوصية والأمن والملكية الفكرية [5]. وينبغي أن تحوّل بوابة دورة الحياة هذه الاعتبارات إلى أدلة خاصة بحالة الاستخدام.

يمكن أن تكون الموافقة المشروطة قيّمة عندما تكون القيود معروفة ومضبوطة. وينبغي أن يحدد السجل النطاق، وإجراء التخفيف، والمالك، وتاريخ الانتهاء، والأدلة المطلوبة للتجديد. وتسمح الاستثناءات المفتوحة بأن تصبح نقاط ضعف التجربة الأولية جزءًا دائمًا من تصميم الإنتاج.

ينبغي ألا يزداد التعرض إلا بعد توفر الأدلة ذات الصلة والسلطة المختصة.

10. تحقق من النظام في السياق الذي سيعمل فيه

ينبغي أن يختبر التحقق النظام وسير العمل وسلوك المستخدم مقابل الاستخدام المقصود. ويمكن أن يشمل التقييم التقني الدقة والموثوقية والمتانة والتحيز وقابلية التفسير والخصوصية والأمن وزمن الاستجابة والتكلفة. وينبغي أن يفحص التقييم التشغيلي التصعيد والمراجعة البشرية والإجراءات اللاحقة والحالات الطرفية وحجم الاستثناءات والتعافي.

يجب أن تعكس مجموعة الاختبار مجتمع الإنتاج وأنماط الفشل الجوهرية. فقد تخفي الأداءات المتوسطة نتائج ضعيفة للأحداث النادرة أو مجموعات العملاء المحددة أو الحالات عالية القيمة. وينبغي ربط العتبات بالتبعات. فالخطأ البسيط في الصياغة وتعليمات دفع غير صحيحة يتطلبان مستوى تحمل مختلفًا.

ينبغي أن يكون التحدي المستقل متناسبًا. وينبغي للمراجع أن يفهم حالة الاستخدام والبيانات والنموذج وسير العمل والمتطلبات السارية، ثم يقيّم ما إذا كانت الأدلة تدعم النشر. وبالنسبة لحالات الاستخدام الأعلى تأثيرًا، ينبغي أن يكون المراجع قادرًا على إعادة إنتاج الاختبارات الرئيسية والتشكيك في اختيار المقياس ومجتمع التقييم والعتبة وإجراء التخفيف.

تحتاج الأنظمة التوليدية إلى تقييم نوعي وتقييم خصومي إلى جانب درجات المعايير المرجعية. ويمكن أن تغطي الاختبارات الادعاءات غير المدعومة، وحقن الأوامر، وتسرب البيانات السرية، والمحتوى الضار، وإساءة استخدام الأدوات، والردود غير المتسقة، وسلوك الرفض. ويوفر ملف NIST التوليدي AI وإرشادات التطوير الآمن من CISA والشركاء الدوليين نقاط مرجعية ذات صلة [5][17][18].

ينبغي أن تخضع الحقيقة الأساسية للحوكمة. فقد تتضمن التصنيفات والإجابات المتوقعة اختلافًا بين الخبراء أو سياسات قديمة أو تحيزًا تاريخيًا. وينبغي أن يحدد سجل التحقق من أنشأ حالات الاختبار، وتاريخ المصدر، وطريقة المراجعة، وعدم اليقين، وتغطية المجتمع. وحيث لا تتوفر إجابة دقيقة، يمكن للإدارة تقييم ما إذا كان النظام يستشهد بأدلة موثوقة، ويعبّر عن عدم اليقين، ويصعّد الأمر على النحو المناسب.

يجب أن يعكس التقييم أيضًا التكرار والتكلفة. فقد يتطلب مساعد عالي الحجم مراقبة آلية إضافة إلى مراجعة خبراء على عينات. وقد يستدعي قرار جوهري نادر مراجعة كاملة للحالة. وينبغي أن يخصص نموذج التشغيل ميزانية للتقييم المستمر بدلًا من التعامل مع اختبار ما قبل الإنتاج كتكلفة مشروع لمرة واحدة. وتفقد أدلة التحقق صلتها عندما يتغير النموذج أو البيانات أو سير العمل أو المجتمع المتأثر.

11. تعريف الإشراف البشري كتصميم للقرار

ينبغي أن يحدد الإشراف البشري مَن يراجع ماذا، وبأي معلومات، وتحت أي قيد زمني، وبأي صلاحية. وقد تفشل تعليمات عامة بإبقاء الإنسان في حلقة القرار عندما يفتقر المراجع إلى الخبرة، أو يواجه مخرجات كثيرة جدًا، أو أدلة ضعيفة، أو حوافز لقبول توصية الآلة.

يمكن للتصميم أن يميّز بين الموافقة والتحقق ومعالجة الاستثناءات والاستئناف. وقد يوافق المراجع على كل نتيجة عالية التأثير، ويراجع عينات من المخرجات منخفضة التأثير، ويحقق في تجاوزات العتبات، ويوفر مسارًا للتصعيد للأطراف المتأثرة. ويحتاج المراجع إلى الوصول إلى الأدلة المصدرية والقيود المعروفة، لا إلى إجابة نموذج مصقولة فقط.

ينبغي التعامل مع التحيز نحو الأتمتة كخطر تشغيلي. ويمكن للتدريب وتصميم الواجهة وأخذ عينات الجودة أن تختبر ما إذا كان الموظفون يتحدّون المخرجات. وينبغي تسجيل التجاوزات مع ذكر السبب حتى تتمكن الإدارة من التمييز بين الحكم السليم والممارسة غير المتسقة. وقد تكشف أنماط التجاوز المتكررة عن مشكلة في النموذج أو البيانات أو سير العمل.

ينبغي أن تتوافق الصلاحية مع التبعات. فقد يصحح المستخدم مسودة. وقد يعلّق قائد وظيفي سير عمل. وقد يطلب مالك المخاطر ضابطًا رقابيًا. وقد يسحب مجلس الإدارة أو اللجنة المختصة حالة استخدام جوهرية. وينبغي أن يظل الإجراء ممكنًا أثناء انقطاع الخدمة أو وقوع حادث.

12. النشر عبر إنتاج خاضع للرقابة وإدارة التغيير

ينبغي أن يستخدم النشر في الإنتاج بيئات معتمدة، وضوابط وصول، وإدارة إصدارات، وتسجيلًا، وفصلًا للواجبات، وإمكانية تراجع، وتخطيطًا للطاقة الاستيعابية، ومراقبة للخدمة، وسجلات إصدار. وينبغي أن يؤكد قرار النشر جاهزية مالكي التشغيل وفرق الدعم والمستخدمين إلى جانب جاهزية التقنية.

ينبغي أن تحدد حزمة الإصدار إصدارات النموذج والمكونات، والتكوين، ومصادر البيانات، والاختبارات، والقيود، والموافقات، وعتبات المراقبة، وجهات اتصال الحوادث، والخطة البديلة. وهذا ينشئ خط أساس قابلًا لإعادة الإنتاج. وينبغي أن يستدعي التغيير الجوهري المجموعة المناسبة من إعادة الاختبار والموافقة.

يمكن لتصنيف التغيير أن يميّز بين التغييرات الروتينية والجوهرية والطارئة. فقد تتبع تصحيحات صياغة الأوامر مسارًا قياسيًا. وقد يتطلب إذن أداة جديد، أو عائلة نموذج جديدة، أو مصدر بيانات جديد، أو إجراء مستقل جديد، أو مجموعة عملاء متأثرة جديدة إعادة تقييم للمخاطر. وينبغي مراجعة التغييرات الطارئة بعد وقوع الحدث.

ينبغي أن يحمي النشر أيضًا سير العمل غير AI. وتكتسب الخطة البديلة اليدوية واستمرارية الخدمة والوصول إلى السجلات أهمية عندما يكون المزوّد غير متاح أو يتم تعليق نموذج. وينبغي اختبار المرونة قبل أن يصبح النظام حرجًا.

13. راقب الأداء والانحراف والحوادث وفعالية الضوابط

يجب أن تتبع المراقبة فرضية حالة الاستخدام. ويمكن أن تشمل التدابير التقنية الدقة ونوع الخطأ والمعايرة والانحراف وزمن الاستجابة والتوافر وتكلفة الرموز أو الحوسبة والأحداث الأمنية. ويمكن أن تشمل التدابير التشغيلية التبني ووقت الإنجاز وإعادة العمل والتجاوزات والشكاوى والاستثناءات والعيوب اللاحقة. وينبغي أن تتعقب تدابير المنافع النتيجة المالية أو الخدمية الخاضعة للضبط.

يجب أن تقترن العتبات بإجراءات. وقد يتطلب الحد الأصفر التحقيق وتقييد النطاق. وقد يتطلب الحد الأحمر التعليق أو التراجع أو الرجوع اليدوي. وينبغي توثيق المالك وزمن الاستجابة ومسار التصعيد. لوحة المعلومات التي تخلو من منطق الإجراءات هي رصد وليست ضبطاً.

ينبغي لإدارة الحوادث أن تصنف الضرر، وتحد من التعرض، وتحافظ على الأدلة، وتُخطر الأطراف الداخلية والخارجية حيثما لزم، وتصحح النظام وتؤكد التعافي. وينبغي أن تشمل حوادث الموردين والحوادث الوشيكة. وينبغي أن تُحدّث الدروس المستفادة الاختبارات والعتبات والتدريب ومعايير المحفظة.

يجب أن تظل المراقبة مراعية للإصدارات. فلا ينبغي مزج الأداء قبل تغيير النموذج أو البيانات بالأداء بعده. وينبغي أن يدعم السجل تحليل المجموعات وأن يوضح أي مجموعة وإصدار وسير عمل أنتج نتيجة.

القيم عبارة عن افتراضات إدارية افتراضية تُستخدم لتوضيح رؤية متوازنة للمراقبة.

14. اجعل الأمن والمرونة جزءاً من تصميم المنتج

تُنشئ أنظمة AI مخاطر مألوفة تتعلق بالبرمجيات والبيانات إلى جانب مسارات هجوم خاصة بالنماذج. وقد تشمل التهديدات حقن المطالبات، وتسميم البيانات، والوصول غير الآمن إلى الأدوات، وسرقة النموذج، وكشف البيانات الحساسة، والمدخلات العدائية، والمخرجات غير الآمنة، واختراق التبعيات. لذلك ينبغي أن يبدأ الأمن من الهندسة المعمارية والاستخدام المقصود.

ينبغي أن يحدد نموذج التهديد الأصول والجهات الفاعلة وحدود الثقة والواجهات وإساءة الاستخدام المحتملة. ويمكن أن تشمل الضوابط بيئات معتمدة، والحد الأدنى من الامتيازات، ومعالجة المدخلات والمخرجات، وإدارة الأسرار، وقيود الشبكة، وأذونات الاسترجاع، وقوائم الأدوات المسموح بها، وضوابط المحتوى، والتسجيل، وكشف الحالات الشاذة، واختبار الفريق الأحمر، والاستجابة للحوادث. وتعتمد المجموعة الصحيحة على العواقب ودرجة التعرض.

تستحق الأنظمة الوكيلية اهتماماً خاصاً لأنها تستطيع استدعاء الأدوات وتغيير الحالة الخارجية. وينبغي أن تكون الأذونات وحدود المعاملات وخطوات التأكيد وفصل المهام والإجراءات القابلة للعكس واضحة. وقدرة النموذج على توليد خطة صحيحة لا تمنحه صلاحية تنفيذها.

تؤكد إرشادات الأمن بالتصميم الصادرة عن CISA وNCSC البريطاني والشركاء الدوليين على الأمن عبر التصميم والتطوير والنشر والتشغيل [17][18]. وينبغي أن يترجم نموذج التشغيل ذلك إلى أدلة بوابات ومالك أمن خاضع للمساءلة.

15. ادمج الخصوصية والملكية الفكرية والسجلات في سير العمل

ينبغي أن يتبع تحليل الخصوصية تدفق البيانات الفعلي والأشخاص المتأثرين. وينبغي للإدارة أن تفهم أي بيانات شخصية تدخل في المطالبات وأنظمة الاسترجاع والسجلات والمخرجات؛ وإلى أين تنتقل؛ ومن يمكنه الوصول إليها؛ وكم مدة بقائها؛ وكيف يمكن ممارسة الحقوق. وقد يتطلب تغيير الغرض واستخدام القرارات الآلية تحليلاً إضافياً.

ينبغي أن تغطي ضوابط الملكية الفكرية المدخلات وبيانات التدريب أو الضبط الدقيق والمخرجات المولّدة وشروط المورّدين والمكونات مفتوحة المصدر وأعمال الموظفين ومواد العملاء. وينبغي للشركة أن تحدد متى يمكن نشر المحتوى المولّد أو إدماجه في المنتجات أو الاعتماد عليه في تقديم المشورة أو مشاركته خارجياً.

ينبغي لسياسة السجلات أن تحفظ القرارات والأدلة مع مراعاة حدود الاحتفاظ. وقد تتطلب الموافقات الجوهرية والاختبارات وإصدارات النماذج والأوامر التوجيهية أو الإعدادات والاستثناءات والحوادث والتحقق من المنافع احتفاظاً خاضعاً للضوابط. وقد يكون لبيانات المحادثات الروتينية جدول زمني مختلف.

يوضح قانون AI الأوروبي، وإرشادات الشفافية ذات الصلة، وإرشادات حماية البيانات في المملكة المتحدة، وUAE، والأطر الأخلاقية السعودية، ومواد الحوكمة السنغافورية، الأهمية المتزايدة للتتبع والشفافية والاستخدام الخاضع للمساءلة [9][11][15][20][21][22][25][26]. ويتوقف انطباقها وأثرها القانوني على النظام والدور والاختصاص القضائي المحدد.

16. ابنِ ملف المنافع انطلاقاً من خط أساس خاضع للضوابط وسيناريو مضاد

يبدأ تتبع المنافع قبل التنفيذ. وينبغي للميثاق أن يسجل العملية الحالية والحجم والعمالة والتكلفة وزمن الدورة والجودة ومعدل التحويل والخدمة ونتيجة المخاطر. وينبغي أيضاً أن يحدد السيناريو المضاد: ما تتوقعه الإدارة دون التدخل. وقد تنسب المقارنة البسيطة قبل وبعد نمو السوق أو التسعير أو التوظيف أو تغيرات العملية خطأً إلى AI.

يجب أن يكون لكل منفعة معادلة ومصدر بيانات وتكرار ومالك وطريقة تحقق. ولا يتحول الوقت الموفّر إلى قيمة مالية إلا عندما تغيّر الشركة الطاقة الاستيعابية أو التكلفة أو الإنتاجية أو الخدمة. وقد يكون التخفيض المتوقع في وقت المعالجة مفيداً تشغيلياً. ولا ينبغي تقديمه باعتباره EBITDA حتى يثبت الجسر إلى التوظيف أو المخرجات أو الإنفاق المتجنب.

تحتاج منافع الإيرادات إلى انضباط مماثل. ويمكن لعملية بيع مدعومة بـAI أن تؤثر على جودة العملاء المحتملين أو التحويل أو السعر أو الاحتفاظ أو قدرة مندوبي البيع. وينبغي للشركة تحديد الآلية، ومقارنة الأفواج حيثما أمكن، وضبط التغيرات الأخرى، وتجنب احتساب الإيراد نفسه في عدة مبادرات.

ينبغي أن يشمل عرض التكلفة الكاملة التراخيص والطاقة الحاسوبية والتنفيذ والتكامل وإعداد البيانات والضمان والأمن والتدريب والدعم وإدارة التغيير والمراقبة المستمرة. وينبغي توزيع تكلفة المنصة المشتركة باتساق. وتندرج تكلفة الخروج وحساسية أسعار المورّدين ضمن ملف المنافع.

يمكن أن يعتمد الإسناد على عدة تصاميم. ويمكن للنشر العشوائي أن يوفر دليلاً قوياً حيث يكون أخلاقياً وعملياً من الناحية التشغيلية. وقد يكون التنفيذ التدريجي أو الأفواج المتطابقة أو السلاسل الزمنية المتقطعة أو التفكيك على مستوى العملية أكثر ملاءمة في مواضع أخرى. وينبغي تحديد الطريقة المختارة قبل مراجعة النتائج، مع تسجيل القيود والتغيرات المتزامنة. وينبغي للإدارة أن تقاوم اختيار الطريقة التي تنتج الرقم الأكثر إيجابية بعد الحدث.

يمكن أن تكون المنافع نتائج مالية أو خدمية أو متعلقة بالمخاطر أو القدرات. ولا ينبغي إجبارها على تقدير نقدي عندما لا تدعمه الأدلة. وقد يكون التخفيض الخاضع للضوابط في تباين الاستجابة أو تحسين التتبع مهماً لمجلس الإدارة حتى عندما لا تستطيع الإدارة المالية التحقق من تأثير فوري على الأرباح والخسائر. ويمكن للسجل إظهار النتيجة التشغيلية وأهميتها للقرار مع الحفاظ على الحدود حول القيمة المالية.

تقدم إرشادات المنافع في القطاع العام مبدأً عاماً مفيداً: ينبغي تحديد المنافع وتعريفها وتتبعها وتحقيقها واستدامتها عبر دورة الحياة، مع مالكين خاضعين للمساءلة وضمان [31][32]. ويحسّن الانضباط نفسه تخصيص رأس المال في الشركات الخاصة.

الجدول 5. سجل منافع AI الخاضع للضوابط

ينبغي أن تبقى القيم المتوقعة والمرصودة والمصادق عليها من الإدارة المالية منفصلة.

17. تحويل الأدلة التشغيلية إلى قائمة الأرباح والخسائر وإلى جسر للنقد وجسر للقيمة

ينبغي للإدارة المالية أن تحتفظ بجسر من المنفعة التشغيلية الإجمالية إلى النتيجة الاقتصادية المصادق عليها. ابدأ بالتغير المرصود في المخرجات أو الأداء. واستبعد تأثيرات الحجم والمزيج والسعر والسوق وغيرها من التأثيرات المتزامنة. واخصم تكلفة التشغيل، وإطفاء التنفيذ حيثما كان ذلك مناسباً، والتكلفة الإضافية للرقابة، والإزاحة. وحدد ما إذا كانت النتيجة تصل إلى الإيرادات، أو الهامش الإجمالي، أو مصروفات التشغيل، أو رأس المال العامل، أو النفقات الرأسمالية، أو المخاطر.

ينبغي أن تبقى المعالجة المحاسبية منفصلة عن قياس المنفعة الإدارية. يتضمن المعيار المحاسبي الدولي 38 معايير الاعتراف بالأصول غير الملموسة، وقد واصل مجلس معايير المحاسبة الدولية دراسة المسائل المتعلقة ببيانات وحلول AI [33]. وينبغي للإدارة الحصول على مشورة محاسبية بدلاً من افتراض أن استثماراً أو منفعة موصوفة داخلياً تحدد المعالجة في القوائم المالية.

ينبغي أن يستخدم جسر المنافع منظورات الفترة والتراكمي والمعدل التشغيلي السنوي. يمكن أن تنشئ حالة الاستخدام عبئاً لمرة واحدة للتنفيذ، وتكلفة متكررة، ومنفعة متكررة لاحقة. وقد يختلف توقيت النقد عن المصروف المحاسبي. ويحتاج مجلس الإدارة إلى الأبعاد الثلاثة جميعها لتخصيص رأس المال.

ينبغي أن تكون الثقة في التوقعات صريحة. ويُعد النطاق ذو المحركات المحددة أكثر فائدة لاتخاذ القرار من رقم دقيق واحد مبني على افتراضات تبني ضعيفة. ويمكن أن تُظهر تحليلات الحساسية تبني المستخدمين، وحجم المهام، وسعر المزود، ومعدل الأخطاء، والوقت اللازم للتوسع.

القيم هي افتراضات إدارية افتراضية ولا تمثل نتيجة عميل أو توقعاً.

18. اعتبر التبني وإعادة تصميم سير العمل جزءاً من الاستثمار

تعتمد منفعة AI على تغيّر العمل. وينبغي تعريف التبني بأنه الاستخدام الصحيح في سير العمل المقصود، لا نشاط تسجيل الدخول أو الترخيص. وينبغي أن تعرف الشركة من يستخدم النظام، ولأي مهام، وبأي مراجعة، وما إذا كانت المخرجات تغيّر القرار اللاحق.

يمكن أن تؤدي إعادة تصميم سير العمل إلى إزالة عمليات التسليم بين الفرق، وتغيير حدود الأدوار، وإنشاء خطوات رقابة جديدة. ويمكنها أيضاً كشف العمل الخفي الذي كان الموظفون يستوعبونه سابقاً. وينبغي أن يحدد رسم خرائط العمليات أين ينتقل الوقت، وأي قوائم الانتظار تختفي، وأي الاستثناءات تنمو، وأي المهارات تصبح أكثر قيمة.

ينبغي أن يكون التدريب خاصاً بالدور وحالة الاستخدام. يحتاج المستخدمون إلى الغرض والحدود وقواعد البيانات وتوقعات المراجعة والتصعيد والأمثلة والقيود المعروفة. ويحتاج المديرون إلى تفسير أدلة المراقبة والمنفعة. وتحتاج الفرق الفنية وفرق الرقابة إلى مسؤوليات دورة الحياة. ويحتاج أعضاء مجلس الإدارة إلى اقتصاديات المحفظة والتعرض الجوهري.

ينبغي أن تعالج خطة القوى العاملة القدرة بدلاً من افتراض إزالة التكاليف الفورية. ويمكن للوقت المتحرر أن يدعم نمو الحجم أو الخدمة أو الجودة أو تجنب زيادة عدد الموظفين. ويعتمد الأثر الاقتصادي المتحقق على إجراءات الإدارة. وقد ينطبق أيضاً التشاور مع الموظفين ومتطلبات التوظيف المحلية.

19. تخصيص رأس المال من خلال بوابات المحفظة

ينبغي أن تتنافس المحفظة على رأس المال الشحيح والبيانات والهندسة وقدرة الضوابط واهتمام الإدارة. ويمكن لإطار تقييم مشترك أن يقارن الصلة الاستراتيجية، والقيمة القابلة للاستهداف، وجودة الأدلة، والزمن حتى الأثر، وإعادة الاستخدام، والمخاطر، والتبعية، وعبء التنفيذ. وتُعلم الدرجات الحكم ولا ينبغي أن تتولى أتمتة قرار الاستثمار.

يمكن تجزئة التمويل على مراحل. فتحصل مرحلة الاستكشاف على ميزانية صغيرة للأدلة. وتتلقى مرحلة التحقق الموارد بعد أن يصبح خط الأساس والهندسة موثوقين. ويأتي تمويل الإنتاج بعد نجاح الاختبارات وجاهزية الضوابط. ويأتي تمويل التوسع بعد الاعتماد وأدلة المنافع المبكرة. ويقلل ذلك من تصاعد التكاليف الغارقة.

ينبغي أن تحدد مراجعة المحفظة قرارات الإيقاف. فقد تكون حالة الاستخدام ناجحة تقنياً وغير جاذبة اقتصادياً. وقد تبقى أخرى ذات قيمة لكنها تتطلب مورّداً أو سير عمل مختلفاً. وينبغي إعادة توجيه رأس المال عندما تتغير الأدلة.

تحتاج المنصات المشتركة إلى حوكمة منفصلة. ويمكن للهوية والوصول إلى البيانات والتقييم والمراقبة وبوابات النماذج أن تخفض التكلفة الحدية على مستوى المحفظة. ويمكن قياس قيمتها من خلال حالات الاستخدام المُمكّنة، وتفادي الازدواجية، وجودة الضوابط، إلى جانب تكلفة الخدمة ومخاطر التركّز.

ينبغي أن تراعي مراجعة رأس المال قيمة التعلّم. فقد تستحق تجربة محدودة النطاق التمويل لأنها تحسم غموضاً جوهرياً بشأن البيانات أو الاعتماد أو استجابة العملاء أو الجدوى التقنية. وينبغي أن يحدد سجل القرار الغموض، والأدلة المطلوبة، والحد الأقصى للانكشاف، والتاريخ الذي ستتوسع فيه الإدارة أو تعيد التصميم أو تتوقف. ويعامل ذلك التجريبَ كخيار مشترى له تاريخ انتهاء محدد بدلاً من تجربة أولية غير محددة المدة.

ينبغي أن تراعي المحفظة أيضاً الاختناقات. فقد تتنافس عشر حالات استخدام ممولة على مالك بيانات واحد أو مراجع أمني واحد أو فريق سير عمل واحد، مما يؤخرها جميعاً. وينبغي لتخطيط القدرة أن يرتب تسلسل العمل حول القدرة النادرة التي تحدد الإنتاجية. ويمكن لمجلس الإدارة حينها أن يقرر ما إذا كان سيضيف قدرة أو يضيّق المحفظة أو يغيّر الهندسة.

20. تطبيق طبقات الاختصاص القضائي والقطاع دون تفتيت النواة

يمكن للمؤسسة أن تحتفظ بنموذج تشغيلي أساسي واحد وأن تضيف طبقات تكميلية للكيان القانوني والجغرافيا والقطاع وحالة الاستخدام. وتحتوي النواة على الجرد والملكية والتصنيف الطبقي ودورة الحياة والأدلة والمراقبة والمنافع. وتضيف الطبقة التكميلية الحقوق المطبقة والموافقات والسجلات والإفصاحات والاختبارات أو توقعات الجهات الرقابية.

يستخدم قانون AI في الاتحاد الأوروبي إطاراً قائماً على المخاطر مع التزامات تتفاوت حسب النظام والجهة الفاعلة؛ وقد استمر تطوير توقيت الإنفاذ والتطبيق [9][10][11][12]. وتستخدم السلطات البريطانية مبادئ شاملة للقطاعات إلى جانب الجهات التنظيمية القائمة، بينما تطبق هيئة التنظيم الاحترازي (PRA) توقعات مخاطر النماذج على شركات محددة [14][16]. وتشمل المصادر الأمريكية أطر NIST الطوعية، وقواعد قطاعية، وإنفاذاً ضد الادعاءات غير المدعومة [3][5][19].

تنشر UAE والمملكة العربية السعودية إرشادات للأخلاقيات والحوكمة تؤكد المساءلة والشفافية والخصوصية والسلامة والاعتماد المسؤول [20][21][22][23]. ويعالج عمل RBI FREE-AI في الهند AI المسؤول في التمويل [24]. وتدعم أطر الحوكمة السنغافورية وبرنامج AI Verify الاختبار العملي والنشر المسؤول [25][26]. وحددت ASIC فجوات بين اعتماد AI والحوكمة لدى المرخص لهم الخاضعين للمراجعة [27]. وأنهت OSFI الكندية وضع إرشادات واسعة لمخاطر النماذج على مدار دورة الحياة تراعي AI وتاريخ نفاذ في 2027 [29][30].

تختلف هذه المصادر في الوضع القانوني والنطاق والتوقيت. وينبغي أن يسجل النموذج التشغيلي مدى الانطباق والمشورة لكل حالة استخدام. ولا ينبغي أن يحل بيان سياسة عالمي محل تحليل قانوني محلي.

يتطلب الهيكل العابر للحدود رؤية تشغيلية لموقع البيانات، والوصول عن بُعد، والمعالجة لدى المورّد، وفرق الدعم، والإبلاغ عن الحوادث، ووصول الجهات الرقابية. وقد يحدد العقد منطقة خدمة واحدة بينما تعمل القياسات عن بُعد أو الدعم البشري أو المعالجون الفرعيون في مكان آخر. وينبغي أن يعكس سجل تدفق البيانات المعالجةَ الفعلية وأن يُحدّث عند تغير الخدمة.

يمكن للطبقات التكميلية القطاعية أن تضيف ضوابط دون إنشاء نظام مؤسسي منفصل. وقد تتطلب حالة الاستخدام المالية أدلة على مخاطر النماذج والسلوك ونتائج العملاء. وقد تتطلب حالة استخدام في الرعاية الصحية أو التوظيف أو السلامة أو البنية التحتية الحرجة تحليلاً مهنياً وحقوقياً ومرونياً مختلفاً. ويحافظ هيكل الجرد والبوابات المشترك على رؤية المحفظة بينما تحافظ الطبقة التكميلية على المساءلة الخاصة بالمجال.

21. اختبار إطار العمل من خلال حالة تشغيل خدمي افتراضية

لننظر إلى شركة محفظة افتراضية تعالج 240,000 طلب خدمة عملاء سنويًا. تقترح الإدارة مساعدًا يسترجع المعرفة المعتمدة، ويصوغ ردًا، ويوصي برمز توجيه. يظل الموظفون مسؤولين عن المراجعة والإرسال. وتتوقع الشركة تقليل زمن المعالجة وخفض إعادة العمل.

تحدد مرحلة الاستكشاف سير العمل الحالي: زمن المعالجة الوسيط، ومراجعة الجودة، والاتصالات المتكررة، ومعدل الشكاوى، وقائمة الانتظار، ومزيج القوى العاملة، والحجم الموسمي. ويحدد الميثاق عمليات العملاء بوصفها مالك الأعمال، والتكنولوجيا بوصفها مالك النظام، وفريق المعرفة بوصفه مالك البيانات، والمالية بوصفها مدقق المنافع. وتُرسَم خريطة البيانات الشخصية والسرية قبل التصميم.

تُصنَّف حالة الاستخدام ضمن الفئة المتوسطة لأن المخرجات تصل إلى العملاء ويمكن أن تؤثر في الخدمة أو الحقوق، في حين يحتفظ الموظفون المدربون بصلاحية الموافقة. وتستخدم عملية التحقق حالات تمثيلية، وفئات صعبة، وأوامر عدائية، واختبارًا منفصلًا لصلاحيات الاسترجاع. وتضع الشركة عتبات للدعم الواقعي، ودقة التوجيه، والتعامل مع البيانات السرية، وجودة المراجعة، ونتائج الشكاوى.

يُظهر المشروع التجريبي الأولي انخفاضًا افتراضيًا بنسبة 24 في المائة في زمن المعالجة للطلبات المؤهلة. ولا يكون مؤهلًا سوى 58 في المائة من الطلبات، ويبلغ التبني 70 في المائة من الحجم المؤهل. ولذلك تتجنب الإدارة تطبيق نسبة 24 في المائة على قاعدة التكاليف بأكملها. وتضع الإدارة المالية نموذجًا للسعة المحققة استنادًا إلى الحجم المؤهل الفعلي، والتبني، وإعادة العمل، والتكلفة التشغيلية الإضافية.

تتوقف الموافقة على التوسع على تحديث المعرفة الخاضع للرقابة، وتدريب المستخدمين، واستقرار العتبات، وخطة قوى عاملة للسعة المحررة. ويتلقى مجلس الإدارة المنافع المتوقعة والمرصودة والمعتمدة بعد التحقق بصورة منفصلة. ولا تُنسب أي قيمة إلى النموذج لمجرد تطبيقه.

22. قدّم لمجلس الإدارة حزمة قرارات بدلًا من تقرير أنشطة AI

ينبغي أن تُظهر حزمة مجلس الإدارة التعرض في المحفظة، والقرارات، والأدلة. ويمكن أن تتضمن لوحة معلومات من صفحة واحدة حالات الاستخدام حسب الفئة ودورة الحياة، ورأس المال الملتزم، والقيمة المتوقعة والقيمة المعتمدة بعد التحقق، والتبني، والتبعيات الجوهرية، واستثناءات الرقابة، والحوادث، والمراجعات المتأخرة، والقرارات المطلوبة. وتكون التفاصيل خلف لوحة المعلومات.

ينبغي أن تُظهر كل حالة استخدام جوهرية المالك، والنتيجة المستهدفة، والمرحلة، وفئة المخاطر، وأحدث الأدلة، والقيد غير المحلول، والبوابة التالية، وحالة المنافع. وينبغي فصل المنافع إلى قيم متوقعة، ومرصودة، ومعتمدة من الإدارة المالية. وينبغي أن تشمل التكاليف منظورات التكلفة الملتزم بها، والمتكبدة، والمعدل التشغيلي.

يتسم السرد بالأهمية عندما تتغير المؤشرات. وينبغي أن تشرح الإدارة سبب تحرك التبني، أو أداء النموذج، أو عتبات الرقابة، أو القيمة؛ وما القرار الذي تبع ذلك؛ ومن يملك الإجراء. وينبغي أن تحافظ الحزمة على اتساق الإصدار والفترة.

ينبغي أن يرى مجلس الإدارة أيضًا التركّز: سير العمل الحرج حسب المزود، والسحابة، ومصدر البيانات، والشخص الرئيسي. وهذا يربط رقابة AI بالمرونة التشغيلية، ومخاطر الأمن السيبراني، والمشتريات، والتعاقب الوظيفي.

ينبغي أن يظهر التأكيد في صورة خريطة تغطية. وقد يختبر التدقيق الداخلي، والمخاطر، والامتثال، والأمن، والخصوصية، والمالية، والمتخصصون الخارجيون كلٌّ منهم جزءًا من النظام. وينبغي أن يرى مجلس الإدارة التأكيدات الجوهرية التي جرى مراجعتها، والفترة والنطاق، والنتائج غير المحلولة، واستجابة الإدارة. ولا تُنشئ المراجعات المتعددة تأكيدًا كاملًا عندما تفحص الضابط الضيق نفسه وتترك الملكية أو التبني أو إسناد المنافع دون مساس.

ينبغي أن تنضج معلومات مجلس الإدارة مع المحفظة. ويمكن أن تركز الحزم المبكرة على اكتمال الجرد، وشهية المخاطر، وتصميم البوابات. وينبغي أن تركز المحفظة الآخذة في التوسع على أداء التشغيل، والحوادث، والتركّز، والقيمة المعتمدة بعد التحقق. وينبغي أن تُظهر المحفظة الناضجة أيضًا الإخراج من الخدمة، وكفاءة الرقابة، وما إذا كانت القدرة المشتركة تخفض التكلفة الحدية. وينبغي أن يتغير هيكل المعلومات عندما تتغير قرارات مجلس الإدارة.

الجدول 6. بطاقة أداء نموذج التشغيل لـAI لدى مجلس الإدارة

ينبغي أن يؤدي كل بند إلى قرار أو تصعيد أو إجراء تشغيلي مؤكد.

23. تنفيذ نموذج التشغيل خلال مئة يوم

تؤسس الأيام الثلاثون الأولى الرؤية والصلاحية. عيّن الراعي التنفيذي، واعتمد شهية مؤقتة للمخاطر، وحدّد حالات الاستخدام الجوهرية والأدوات، وحدّد الجرد، وكلّف المالكين، وأوقف أي نشاط خارج حدود واضحة. وتختار الإدارة المالية عددًا صغيرًا من خطوط الأساس ذات الأولوية للمنافع.

تبني الأيام من الحادي والثلاثين إلى الستين العمود الفقري للرقابة. حدّد فئات المخاطر، وبوابات دورة الحياة، والحد الأدنى من الأدلة، وتصنيف التغييرات، ومسار الحوادث، ومتطلبات الموردين، وسجل المنافع. واختر حالتين أو ثلاث حالات استخدام ذات أولوية تكون ذات صلة تجاريًا ومحددة بما يكفي لاختبار النظام.

تشغّل الأيام من الحادي والستين إلى التسعين أول دورة خاضعة للرقابة. أكمل التصميم، وربط البيانات، والتحقق، والمراجعة الأمنية، وتدريب المستخدمين، والجاهزية للإنتاج للحالات المختارة. وسجّل الموافقات المشروطة والاستثناءات. وأنشئ آلية للمراقبة وجسرًا للمنافع تملكه الإدارة المالية.

تغلق الأيام من الحادي والتسعين إلى المئة أول دورة لمجلس الإدارة. اعرض الجرد، والتعرض، والأدلة، ونتائج التشغيل المبكرة، ودرجة الثقة بالمنافع، والقرارات، وتخصيص رأس المال للربع التالي. ولا يصبح نموذج التشغيل روتينيًا إلا عندما تستخدم الحوكمة والتنفيذ والإدارة المالية السجلات نفسها.

التوقيت إيضاحي، وينبغي تمديده حيثما تقتضي ذلك تبعات النظام أو التنظيم أو الجاهزية المؤسسية.

المراجع

1. منظمة التعاون الاقتصادي والتنمية، مبادئ AI الصادرة عن المنظمة، محدّثة 2024، https://www.oecd.org/en/topics/ai-principles.html
2. منظمة التعاون الاقتصادي والتنمية، AI، حوكمة البيانات والخصوصية: أوجه التآزر ومجالات التعاون الدولي، 2024، https://www.oecd.org/content/dam/oecd/en/publications/reports/2024/06/ai-data-governance-and-privacy_2ac13a42/2476b1a4-en.pdf
3. المعهد الوطني للمعايير والتكنولوجيا، إطار إدارة مخاطر الذكاء الاصطناعي 1.0، 2023، https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-1.pdf
4. المعهد الوطني للمعايير والتقنية، دليل إطار إدارة المخاطر AI، محدّث 2026، https://www.nist.gov/itl/ai-risk-management-framework/nist-ai-rmf-playbook
5. المعهد الوطني للمعايير والتقنية، إطار إدارة مخاطر الذكاء الاصطناعي: ملف الذكاء الاصطناعي التوليدي، 2024، https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf
6. المعهد الوطني للمعايير والتقنية، مركز موارد AI الموثوق والمسؤول، 2026، https://airc.nist.gov/
7. المنظمة الدولية للمعايير، ISO/IEC 42001:2023 نظام إدارة الذكاء الاصطناعي، 2023، https://www.iso.org/standard/42001.html
8. المنظمة الدولية للمعايير، ISO/IEC 23894:2023 إدارة مخاطر الذكاء الاصطناعي، 2023، https://www.iso.org/standard/77304.html
9. المفوضية الأوروبية، قانون AI: الإطار التنظيمي للذكاء الاصطناعي، محدّث 2026، https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
10. المفوضية الأوروبية، إطار إنفاذ قانون AI، 2026، https://digital-strategy.ec.europa.eu/en/policies/enforcement-ai-act
11. المفوضية الأوروبية، المبادئ التوجيهية بشأن التزامات الشفافية لمقدمي ومشغّلي أنظمة AI المعنية، 2026، https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-transparency-obligations
12. المفوضية الأوروبية، المبادئ التوجيهية بشأن التزامات مقدمي AI للأغراض العامة، 2025، https://digital-strategy.ec.europa.eu/en/faqs/guidelines-obligations-general-purpose-ai-providers
13. EUR-Lex، لائحة الاتحاد الأوروبي 2016/679، اللائحة العامة لحماية البيانات، 2016، https://eur-lex.europa.eu/eli/reg/2016/679/oj
14. حكومة المملكة المتحدة، تنفيذ مبادئ AI التنظيمية في المملكة المتحدة: إرشادات للجهات التنظيمية، 2024، https://assets.publishing.service.gov.uk/media/65c0b6bd63a23d0013c821a0/implementing_the_uk_ai_regulatory_principles_guidance_for_regulators.pdf
15. مكتب مفوض المعلومات، إرشادات بشأن AI وحماية البيانات، محدّث 2023، https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/artificial-intelligence/guidance-on-ai-and-data-protection/
16. بنك إنجلترا، هيئة التنظيم الاحترازي، مبادئ إدارة مخاطر النماذج SS1/23 للبنوك، محدّث 2026، https://www.bankofengland.co.uk/prudential-regulation/publication/2023/may/model-risk-management-principles-for-banks-ss
17. وكالة الأمن السيبراني وأمن البنية التحتية والمركز الوطني للأمن السيبراني في المملكة المتحدة، المبادئ التوجيهية للتطوير الآمن لأنظمة AI، 2023، https://www.cisa.gov/news-events/alerts/2023/11/26/cisa-and-uk-ncsc-unveil-joint-guidelines-secure-ai-system-development
18. وكالة الأمن السيبراني وأمن البنية التحتية، اختيار التقنيات الآمنة والقابلة للتحقق، 2024، https://www.cisa.gov/resources-tools/resources/choosing-secure-and-verifiable-technologies
19. لجنة التجارة الفيدرالية، الذكاء الاصطناعي: الإنفاذ والإرشادات التجارية، محدّث 2026، https://www.ftc.gov/industry/technology/artificial-intelligence
20. UAE مكتب وزير الدولة للذكاء الاصطناعي والاقتصاد الرقمي وتطبيقات العمل عن بُعد، موقف UAE بشأن سياسة AI، 2024، https://ai.gov.ae/wp-content/uploads/2024/10/UAE-Guiding-on-ai-policy-EN-V3.pdf
21. UAE مكتب الذكاء الاصطناعي، المبادئ الأخلاقية والإرشادات الخاصة بـAI، 2022، https://ai.gov.ae/wp-content/uploads/2023/05/MOCAI-AI-Ethics-EN.pdf
22. الهيئة السعودية للبيانات والذكاء الاصطناعي، المبادئ الأخلاقية لـAI، https://sdaia.gov.sa/en/SDAIA/about/Documents/ai-principles.pdf
23. الهيئة السعودية للبيانات والذكاء الاصطناعي، اللوائح والسياسات، محدّث 2026، https://sdaia.gov.sa/en/SDAIA/about/Pages/RegulationsAndPolicies.aspx
24. بنك الاحتياطي الهندي، تقرير لجنة FREE-AI: إطار للتمكين المسؤول والأخلاقي للذكاء الاصطناعي، 2025، https://www.rbi.org.in/Scripts/PublicationReportDetails.aspx?UrlPage=&ID=1299
25. لجنة حماية البيانات الشخصية في سنغافورة، إطار الحوكمة النموذجي للذكاء الاصطناعي، 2020، https://www.pdpc.gov.sg/help-and-resources/2020/01/model-ai-governance-framework
26. هيئة تنمية المعلومات والاتصالات والإعلام في سنغافورة، الإطار النموذجي لحوكمة AI من أجل AI التوليدي، 2024، https://www.imda.gov.sg/resources/press-releases-factsheets-and-speeches/press-releases/2024/model-ai-governance-framework-for-generative-ai
27. هيئة الأوراق المالية والاستثمارات الأسترالية، التقرير REP 798 احترس من الفجوة: ترتيبات الحوكمة في مواجهة الابتكار في AI، 2024، https://asic.gov.au/regulatory-resources/find-a-document/reports/rep-798-beware-the-gap-governance-arrangements-in-the-face-of-ai-innovation/
28. هيئة التنظيم الاحترازي الأسترالية، CPS 230 إدارة المخاطر التشغيلية، محدّث 2026، https://www.apra.gov.au/standards/cps-230
29. مكتب المشرف العام على المؤسسات المالية في كندا، المبدأ التوجيهي E-23 إدارة مخاطر النماذج، 2025، https://www.osfi-bsif.gc.ca/en/guidance/guidance-library/guideline-e-23-model-risk-management-2027
30. مكتب المشرف العام على المؤسسات المالية في كندا ووكالة حماية المستهلك المالية في كندا، استخدامات AI ومخاطره في المؤسسات المالية الخاضعة للتنظيم الفيدرالي، 2024، https://www.osfi-bsif.gc.ca/en/about-osfi/reports-publications/osfi-fcac-risk-report-ai-uses-risks-federally-regulated-financial-institutions
31. هيئة البنية التحتية والمشاريع في المملكة المتحدة ومكتب مجلس الوزراء، دليل الإدارة الفعالة للمنافع في المشاريع الكبرى، 2017، https://www.gov.uk/government/publications/guide-for-effective-benefits-management-in-major-projects
32. حكومة المملكة المتحدة، إطار عمل الكفاءة الحكومية، 2025، https://www.gov.uk/government/publications/the-government-efficiency-framework/the-government-efficiency-framework--2
33. مؤسسة المعايير الدولية لإعداد التقارير المالية، الأصول غير الملموسة: حالات اختبار محتملة أخرى، بما في ذلك موارد البيانات والبيانات والحلول المرتبطة بالذكاء الاصطناعي، 2026، https://www.ifrs.org/content/dam/ifrs/meetings/2026/january/iasb/ap17d-other-potential-test-cases-data-ai.pdf

المصادر وقراءات إضافية

1. منظمة التعاون الاقتصادي والتنمية، مبادئ AI الصادرة عن المنظمة، محدّثة 2024، المصدر الرسمي
2. منظمة التعاون الاقتصادي والتنمية، AI، حوكمة البيانات والخصوصية: أوجه التآزر ومجالات التعاون الدولي، 2024، المصدر الرسمي
3. المعهد الوطني للمعايير والتكنولوجيا، إطار إدارة مخاطر الذكاء الاصطناعي 1.0، 2023، المصدر الرسمي
4. المعهد الوطني للمعايير والتقنية، دليل إطار إدارة المخاطر AI، محدّث 2026، المصدر الرسمي
5. المعهد الوطني للمعايير والتقنية، إطار إدارة مخاطر الذكاء الاصطناعي: ملف الذكاء الاصطناعي التوليدي، 2024، المصدر الرسمي
6. المعهد الوطني للمعايير والتقنية، مركز موارد AI الموثوق والمسؤول، 2026، المصدر الرسمي
7. المنظمة الدولية للمعايير، ISO/IEC 42001:2023 نظام إدارة الذكاء الاصطناعي، 2023، المصدر الرسمي
8. المنظمة الدولية للمعايير، ISO/IEC 23894:2023 إدارة مخاطر الذكاء الاصطناعي، 2023، المصدر الرسمي
9. المفوضية الأوروبية، قانون AI: الإطار التنظيمي للذكاء الاصطناعي، محدّث 2026، المصدر الرسمي
10. المفوضية الأوروبية، إطار إنفاذ قانون AI، 2026، المصدر الرسمي
11. المفوضية الأوروبية، المبادئ التوجيهية بشأن التزامات الشفافية لمقدمي ومشغّلي أنظمة AI المعنية، 2026، المصدر الرسمي
12. المفوضية الأوروبية، المبادئ التوجيهية بشأن التزامات مقدمي AI للأغراض العامة، 2025، المصدر الرسمي
13. EUR-Lex، لائحة الاتحاد الأوروبي 2016/679، اللائحة العامة لحماية البيانات، 2016، المصدر الرسمي
14. حكومة المملكة المتحدة، تنفيذ مبادئ AI التنظيمية في المملكة المتحدة: إرشادات للجهات التنظيمية، 2024، المصدر الرسمي
15. مكتب مفوض المعلومات، إرشادات بشأن AI وحماية البيانات، محدّث 2023، المصدر الرسمي
16. بنك إنجلترا، هيئة التنظيم الاحترازي، مبادئ إدارة مخاطر النماذج SS1/23 للبنوك، محدّث 2026، المصدر الرسمي
17. وكالة الأمن السيبراني وأمن البنية التحتية والمركز الوطني للأمن السيبراني في المملكة المتحدة، المبادئ التوجيهية للتطوير الآمن لأنظمة AI، 2023، المصدر الرسمي
18. وكالة الأمن السيبراني وأمن البنية التحتية، اختيار التقنيات الآمنة والقابلة للتحقق، 2024، المصدر الرسمي
19. لجنة التجارة الفيدرالية، الذكاء الاصطناعي: الإنفاذ والإرشادات التجارية، محدّث 2026، المصدر الرسمي
20. UAE مكتب وزير الدولة للذكاء الاصطناعي والاقتصاد الرقمي وتطبيقات العمل عن بُعد، موقف UAE بشأن سياسة AI، 2024، المصدر الرسمي
21. UAE مكتب الذكاء الاصطناعي، المبادئ الأخلاقية والإرشادات الخاصة بـAI، 2022، المصدر الرسمي
22. الهيئة السعودية للبيانات والذكاء الاصطناعي، المبادئ الأخلاقية لـAI، المصدر الرسمي
23. الهيئة السعودية للبيانات والذكاء الاصطناعي، اللوائح والسياسات، محدّث 2026، المصدر الرسمي
24. بنك الاحتياطي الهندي، تقرير لجنة FREE-AI: إطار للتمكين المسؤول والأخلاقي للذكاء الاصطناعي، 2025، المصدر الرسمي
25. لجنة حماية البيانات الشخصية في سنغافورة، إطار الحوكمة النموذجي للذكاء الاصطناعي، 2020، المصدر الرسمي
26. هيئة تنمية المعلومات والاتصالات والإعلام في سنغافورة، الإطار النموذجي لحوكمة AI من أجل AI التوليدي، 2024، المصدر الرسمي
27. هيئة الأوراق المالية والاستثمارات الأسترالية، التقرير REP 798 احترس من الفجوة: ترتيبات الحوكمة في مواجهة الابتكار في AI، 2024، المصدر الرسمي
28. هيئة التنظيم الاحترازي الأسترالية، CPS 230 إدارة المخاطر التشغيلية، محدّث 2026، المصدر الرسمي
29. مكتب المشرف العام على المؤسسات المالية في كندا، المبدأ التوجيهي E-23 إدارة مخاطر النماذج، 2025، المصدر الرسمي
30. مكتب المشرف العام على المؤسسات المالية في كندا ووكالة حماية المستهلك المالية في كندا، استخدامات AI ومخاطره في المؤسسات المالية الخاضعة للتنظيم الفيدرالي، 2024، المصدر الرسمي
31. هيئة البنية التحتية والمشاريع في المملكة المتحدة ومكتب مجلس الوزراء، دليل الإدارة الفعالة للمنافع في المشاريع الكبرى، 2017، المصدر الرسمي
32. حكومة المملكة المتحدة، إطار عمل الكفاءة الحكومية، 2025، المصدر الرسمي
33. مؤسسة المعايير الدولية لإعداد التقارير المالية، الأصول غير الملموسة: حالات اختبار محتملة أخرى، بما في ذلك موارد البيانات والبيانات والحلول المرتبطة بالذكاء الاصطناعي، 2026، المصدر الرسمي