سياسة AI للثروات الخاصة: مخاطر النماذج، الخصوصية والمساءلة البشرية

1. مقدمة

يمكن أن يدخل الذكاء الاصطناعي إلى مؤسسة للثروات الخاصة عبر برنامج رسمي، أو منصة مصرفية، أو نظام لإدارة المحافظ، أو مدير خارجي، أو تحديث برمجي، أو متصفح أحد الموظفين. ولذلك يمكن لمكتب عائلة أن يستخدم AI قبل أن توافق هيئته الحاكمة على استراتيجية AI.

يمتد التعرض إلى ما هو أبعد من نماذج الاستثمار. يمكن لمساعد اجتماعات معالجة مناقشات عائلية. ويمكن لأداة مستندات قراءة سجلات الصناديق الاستئمانية والمؤسسات وجوازات السفر والسجلات الصحية أو سجلات التعاقب. ويمكن لمساعد بحثي توليد ادعاءات غير مدعومة لمذكرة استثمارية. ويمكن لنظام حسابات رصد الفواتير الشاذة. ويمكن لمنصة سيبرانية ترتيب أولويات التهديدات. ويمكن لأداة علاقات إنشاء ملفات تعريفية عن أفراد العائلة أو الأطراف المقابلة. ويمكن لوكيل اتخاذ إجراءات عبر أنظمة البريد الإلكتروني والملفات وسير العمل.

يجب أن تحكم السياسة هذه الاستخدامات بوصفها أنظمة. ويشمل النظام الغرض التجاري والأشخاص والنموذج والموجّهات ومصادر البيانات وطبقة الاسترجاع والتكاملات والمخرجات والقرار اللاحق والمورّد والبنية التحتية والمراقبة. ويمكن أن يغيّر تغيير أحد المكونات المخاطر دون تغيير اسم النموذج.

لدى UAE عدة أنظمة لحماية البيانات والخدمات المالية. يرسي المرسوم بقانون اتحادي رقم 45 لسنة 2021 متطلبات البيانات الشخصية ضمن نطاقه، بما في ذلك الشفافية بشأن القرارات المستندة إلى المعالجة الآلية، وتقييم الأثر للمعالجة عالية المخاطر المحددة، والحقوق المتعلقة بالقرارات الآلية.[1] ولدى DIFC قانون حماية البيانات الخاص به واللائحة 10 لمعالجة البيانات الشخصية عبر الأنظمة المستقلة وشبه المستقلة.[2][3] ولدى ADGM لوائح حماية البيانات لعام 2021 وإرشادات رسمية تغطي المعالجة المشروعة والحقوق والخصوصية من التصميم وتقييمات الأثر والأمن والانتهاكات وعمليات النقل الدولية.[4]

تضيف توقعات الخدمات المالية طبقة أخرى. أصدرت الجهات التنظيمية في UAE إرشادات مشتركة للتكنولوجيا الممكّنة تغطي تحليلات البيانات الضخمة وAI، ضمن تقنيات أخرى.[5] أدرجت DFSA توقعات تنظيمية بشأن إدارة مخاطر AI في DIFC في يونيو 2026، بعد دراسات استقصائية حول AI في عامي 2024 و2025.[6] وينبغي استقاء الالتزامات والتوقعات الرقابية الدقيقة السارية على المؤسسة من القواعد والاتصالات السارية.

تحوّل السياسة الفعّالة هذه الاعتبارات المتداخلة إلى نظام قرار. وهي تحدد للمؤسسة الاستخدامات المسموح بها، والتي تتطلب تقييمًا، والتي تحتاج إلى تحقق مستقل، ومن يمكنه الموافقة عليها، وما الأدلة التي يجب أن تكون موجودة، ومتى يجب تعليق النظام.

إطار المؤلف. يغطي المحيط النظام الكامل وسياق القرار، لا اسم النموذج وحده.

2. عرّف وحدة السياسة كحالة استخدام

لا يكفي جرد النماذج عندما يدعم نموذج واحد عدة أنشطة. ينبغي أن تكون وحدة السياسة حالة استخدام لها مالك وغرض وبيانات ومخرجات وقرار لاحق محددة.

يمكن لنموذج لغوي عام الغرض أن يدعم البحث في المصادر العامة، ومراجعة المستندات السرية، وتوصيات المحافظ. وقد ينطوي التلخيص من المصادر العامة على مخاطر خصوصية منخفضة ومخاطر دقة جوهرية. وقد تنطوي مراجعة مستندات التعاقب على مخاطر عالية للسرية والنقل والوصول. وقد يؤدي التوصية ببيع الأصول إلى عواقب جوهرية على الاستثمار والملاءمة والصلاحية وحفظ السجلات. ويتطلب كل استخدام إدخالًا منفصلًا.

يسجّل السجل ما إذا كان الاستخدام استكشافيًا أو تجريبيًا أو إنتاجيًا أو معلّقًا أو مسحوبًا. ويحدد الاسم القانوني للكيان المستخدم للنظام، والأشخاص المتأثرين، وفئات البيانات، والمواقع، والمزوّد، والمعالجين الفرعيين. ويحدد ما إذا كانت المخرجات تقدّم معلومات أو توصي أو تقرر أو تنفّذ.

ينبغي للمؤسسة أن ترصد الاستخدام الخفي من خلال إقرارات دورية، وضوابط تقنية، ومراجعة المشتريات، ومراقبة المصروفات، وجرد المتصفحات والبرمجيات، وعملية موافقة يسهل الوصول إليها. ويحتاج الموظفون إلى مسار آمن للإفصاح عن التجارب القائمة. ويمكن لفترة عفو أن تساعد في تأسيس خط الأساس، رهناً بالمشورة القانونية والأمنية.

ينبغي أن تكون الاستخدامات المحظورة صريحة. ويمكن أن تشمل الأمثلة رفع بيانات اعتماد أو سجلات عائلية بالغة الحساسية إلى أدوات عامة غير معتمدة، أو السماح لوكيل غير معتمد ببدء مدفوعات، أو تقديم حقائق مولّدة كأدلة متحقق منها، أو انتحال شخصية شخص، أو تجاوز ضوابط المشورة الخاضعة للتنظيم، أو استخدام بيانات بيومترية وسلوكية دون أساس قانوني وأخلاقي معتمد.

الجدول 1. الحد الأدنى لسجل حالات استخدام AI للثروة الخاصة

يجب أن يربط السجل بالموافقات السارية والتقييمات والعقود وأدلة التحقق والحوادث وسجلات التقاعد.

3. رسم خريطة الأنظمة القانونية والتنظيمية المعمول بها

تبدأ الخريطة القانونية بالكيان والنشاط. يمكن أن يشمل مكتب العائلة شركة في البر الرئيسي، أو كياناً في مركز دبي المالي العالمي (DIFC) أو سوق أبوظبي العالمي (ADGM)، أو مؤسسة، أو شركة قابضة، أو شركة استثمار خاضعة للتنظيم، ومقدمي خدمات خارجيين. يمكن لسير عمل واحد أن يعالج بيانات عدة جهات تحكم ويعبر الحدود عبر مزود خدمات سحابية.

يعرّف قانون حماية البيانات الشخصية الاتحادي البيانات الشخصية على نطاق واسع، ويضع مبادئ المعالجة، والتزامات الأمن، والالتزامات المفروضة على المتحكم والمعالج، وحقوق أصحاب البيانات، وتقييم الأثر، والأحكام العابرة للحدود ضمن نطاقه.[1] تتضمن المادة 13 معلومات تتعلق بالقرارات المتخذة من خلال المعالجة الآلية، بما في ذلك التنميط. وتتناول المادة 18 الاعتراضات على القرارات الناشئة عن المعالجة الآلية، رهناً بالاستثناءات والضمانات المنصوص عليها. كما يفرض القانون إجراء تقييم لأثر حماية البيانات على المعالجة المحددة، بما في ذلك التقييم المنهجي والشامل باستخدام المعالجة الآلية حيث يمكن أن تترتب نتائج قانونية أو أثر جسيم.

ينطبق قانون حماية البيانات رقم 5 لسنة 2020 في مركز دبي المالي العالمي (DIFC) ضمن نطاقه القضائي المعلن. ويوفر مفوض DIFC إرشادات وأدوات تقييم للمعالجة المشروعة، والمعالجة عالية المخاطر، ومسؤولي حماية البيانات، وتقييمات الأثر، والمتحكمين والمعالجين، وعمليات النقل، والحقوق الفردية، والانتهاكات.[2] تتناول اللائحة 10، التي سُنّت في 2023، معالجة البيانات الشخصية من خلال الأنظمة المستقلة وشبه المستقلة. أعلن DIFC في يونيو 2026 عن مشاورة بشأن تعديلات مقترحة تتعلق بالسلامة، والاعتماد، ومسؤول الأنظمة المستقلة. والمشاورة اقتراح ولا ينبغي اعتبارها قانوناً سارياً.[7]

تنطبق لائحة حماية البيانات لعام 2021 في سوق أبوظبي العالمي (ADGM) على كيانات ADGM التي تعالج البيانات الشخصية. وينشر مكتب حماية البيانات في ADGM إرشادات رسمية في ثمانية أجزاء، تشمل تقييمات الأثر، والأمن، والانتهاكات، وعمليات النقل الدولي.[4] ويجب التحقق من آلية النقل والعقد وموقع البيانات المطبق عندما يستخدم مزود الخدمة بنية تحتية خارج الاختصاص القضائي ذي الصلة.

يعتمد تنظيم الخدمات المالية على النشاط والسلوك. إن إعداد الأبحاث، أو تقديم المشورة بشأن الاستثمارات، أو إدارة الأصول، أو ترتيب المعاملات، أو إيصال المواد الترويجية، أو مراقبة الملاءمة، أو تنفيذ الصفقات يمكن أن يستدعي تصاريح والتزامات سلوكية. وينبغي لسياسة AI أن تحيل الحالات غير المؤكدة إلى مشورة تنظيمية محدثة قبل النشر.

الجدول 2. خريطة قرارات الاختصاص القضائي والخصوصية

توفر هذه الخريطة توجيهًا بحثيًا. وينبغي أن تحدد المشورة القانونية المحدّثة النطاق والالتزامات وآليات النقل بالنسبة إلى الكيانات والأشخاص والبيانات والمعالجة المعنية.

4. تصنيف المخاطر من خلال الأثر والاعتماد على الضوابط

ينبغي أن يتبع مستوى المخاطر مآل الفشل. فالخطأ المنخفض التكلفة في مسودة داخلية يختلف عن خطأ يغيّر محفظة استثمارية، أو يستبعد شخصًا، أو يفصح عن بيانات عائلية، أو يحرّك أموالًا.

يراعي التصنيف ثمانية أبعاد: جوهرية القرار، والأثر على الفرد، وحساسية البيانات، والاستقلالية، وقابلية العكس، وقابلية التفسير، والتواصل الخارجي، وتركّز الأطراف الثالثة. ويمكن للبُعد الأعلى ذي المصداقية أن يحدد الحد الأدنى للمستوى حيثما كان من شأن المتوسط أن يخفي خطرًا جسيمًا.

يغطي المستوى الأول المساعدة المحدودة النطاق باستخدام بيانات معتمدة حيث يتحقق شخص كفء من المخرجات قبل الاستخدام الداخلي المحدود. ويغطي المستوى الثاني الدعم التشغيلي أو التحليلي ذا العواقب المعتدلة، والبيانات الخاضعة للضوابط، والمراجعة الموثقة. ويغطي المستوى الثالث التوصيات الجوهرية، والبيانات الحساسة، والتواصل مع العملاء أو العائلة، وسير العمل الخاضع للتنظيم، أو الاعتماد التشغيلي الكبير. ويغطي المستوى الرابع القرارات أو الإجراءات التي يمكن أن تؤثر تأثيرًا جوهريًا في الأشخاص أو الأصول أو الحقوق أو السرية أو السلامة المالية، وبالتالي تتطلب موافقة الجهاز الحوكمي، وضمانًا مستقلًا قويًا، وحدود صلاحيات صارمة. وقد تظل بعض استخدامات المستوى الرابع محظورة.

لا يحوّل قبول المخاطر استخدامًا غير قانوني أو غير مصرّح به إلى استخدام معتمد. فالأساس القانوني والإذن والصلاحية شروط دخول. ويحدد المستوى عمق الضمان بعد استيفاء شروط الدخول تلك.

إطار المؤلف. يمكن أن تحدد أعلى عاقبة جوهرية الحد الأدنى للمستوى حتى عندما تحصل الأبعاد الأخرى على درجات أقل.

5. التحكم في البيانات الخاصة قبل وصولها إلى النموذج

يمكن أن تكشف بيانات الثروات الخاصة عن الهوية والعلاقات الأسرية والصحة والسلوك والموقع والوضع المالي والملكية والتعاقب والنزاعات والترتيبات الأمنية والنوايا الاستثمارية. ويمكن أن تحتوي وثيقة واحدة على بيانات تخص عدة أشخاص وكيانات.

يؤكد مالك البيانات أولاً الغرض والصلاحية. ويحدد تحليل الخصوصية أدوار المتحكم والمعالج، والأساس القانوني، والإشعار، والفئات الخاصة أو الحساسة، وحقوق أصحاب البيانات، ومتطلبات تقييم الأثر، والاحتفاظ وعمليات النقل. ويمكن أن تفرض السرية التعاقدية وقيود المؤسسة أو الصندوق الاستئماني حدودًا إضافية.

يحدث تقليل البيانات قبل بناء الموجّهات أو إدخال البيانات إلى النموذج. ويتلقى النظام أقل قدر من المعلومات اللازم للغرض المعتمد. ويمكن إزالة الأسماء والمعرّفات حيث لا تحتاج المهمة إليها. ويمكن لنظام استرجاع أن يوفر مقاطع ضيقة تراعي الصلاحيات بدلاً من غرفة بيانات كاملة.

تتطلب شروط المزوّد قراءة متأنية. وينبغي للمؤسسة أن تحدد ما إذا كان يتم الاحتفاظ بالموجّهات أو المخرجات، أو استخدامها للتدريب، أو مراجعتها من قبل أشخاص، أو نقلها، أو تسجيلها، أو تقديمها إلى معالجين من الباطن. وقد تختلف إعدادات المؤسسات عن إعدادات المستهلكين. ويحتاج الوعد التعاقدي إلى إعداد تقني واختبار.

تتبع صلاحيات الوصول أذونات المصدر. ولا ينبغي لواجهة بحث AI أن تتيح لمستخدم استرجاع سجلات يرفضها المستودع الأساسي. وينبغي للمؤسسة اختبار وراثة الصلاحيات والتخزين المؤقت والتضمينات والسجلات وعمليات التصدير وصلاحيات المسؤول.

يجب أن يغطي الحذف والاحتفاظ السجلات المشتقة. ويمكن أن تبقى الموجّهات والمخرجات والتضمينات وبيانات الضبط الدقيق ومجموعات التقييم والتتبعات والنسخ الاحتياطية بعد حذف الوثيقة المصدر. ويخصص جدول الاحتفاظ كل عنصر إلى مالك ومسار حذف متحقق منه.

إطار عمل المؤلف. ينبغي أن يحتفظ كل نقل بالغرض والصلاحية والوصول والأدلة بما يتوافق مع النظام المعمول به.

6. تعامل مع النموذج بوصفه أحد مكونات نظام الرقابة

تنشأ مخاطر النموذج عندما ينتج نظام مخرجات غير دقيقة أو غير مستقرة أو متحيزة أو غير آمنة أو يساء فهمها وتُستخدم في قرار جوهري. ويمكن أن تأتي المخاطر من النموذج أو البيانات أو الموجّه أو الاسترجاع أو التكامل أو التفسير البشري أو البيئة المتغيرة.

تؤكد إرشادات مخاطر النماذج الأمريكية المشتركة بين الوكالات الصادرة في أبريل 2026 على نهج قائم على المخاطر، والتطوير والاستخدام، والتحقق والمراقبة، والحوكمة، ومنتجات الأطراف الثالثة. وهي تستبعد صراحةً الأنظمة التوليدية والوكيلية AI من نطاقها، مع ملاحظة أن حوكمة المخاطر الأوسع ينبغي أن توجّه الأدوات الخارجة عن الوثيقة.[8] ويمكن لمبادئها أن تُرشد تصميم الضوابط، لكن الإرشادات لا تُلزم مكتب عائلة خاصًا ولا ينبغي تقديمها على أنها قانون UAE.

يبدأ التحقق من الاستخدام المقصود. وتسجل بطاقة النظام ما يُتوقع أن يفعله النظام، وما لا يستطيع فعله، والقرارات التي قد يؤثر فيها. وينبغي أن تمثل بيانات الاختبار الظروف المتوقعة والظروف المعاكسة، بما في ذلك اللغات وتنسيقات الوثائق وأنظمة السوق والأدلة غير المكتملة ذات الصلة بالاستخدام المعتمد.

الدقة وحدها لا تكفي. فقد يستشهد نظام بحثي بمصدر موثوق بينما يسيء قراءة تاريخه أو نطاقه. وقد يُنتج مستخرج وثائق درجة إجمالية عالية بينما يفوّت بندًا واحدًا لتغيّر السيطرة. وقد يحسب مساعد المحفظة بشكل صحيح بينما يستخدم مراكز غير محدثة. لذلك يتبع الاختبار مسار الضرر الفعلي.

ينبغي أن يكون التحدي المستقل متناسبًا ومستقلًا فعليًا عن المالك الساعي إلى النشر. ويراجع الطرف المتحدي الملاءمة المفاهيمية والبيانات والتصميم والأداء والقيود والأمان والضوابط. ويمكن لمكتب عائلة صغير الاستعانة بمراجع خارجي مؤهل، بشرط أن يتوفر للمراجع وصول إلى أدلة كافية وألا يكون لديه تعارض جوهري.

تتضمن المراقبة انحراف المدخلات، وجودة المخرجات، ومعدلات التجاوز، والاستثناءات، والحوادث، وتغييرات المزوّد، وإصدارات النماذج، وزمن الاستجابة، والتكلفة، وسلوك المستخدم. ويمكن أن تؤدي تجاوزات الحدود إلى تقييد الاستخدام، أو إضافة مراجعة، أو التراجع، أو التعليق.

الجدول 3. AI معيار الرقابة حسب طبقة المخاطر

ترث المستويات الأعلى الضوابط الواقعة تحتها. ويمكن أن تتطلب المتطلبات القانونية والتنظيمية والسيبرانية والاستثمارية المحددة ضوابط أقوى.

7. إضافة ضوابط AI التوليدي لإثبات المصدر والتلفيق

يمكن لـAI التوليدي إنتاج مخرجات سلسة دون ارتباط موثوق بالأدلة. وينبغي أن تفترض السياسة أن المعقولية والثقة صفتان مختلفتان.

يحدد ملف NIST التوليدي AI المخاطر الجديدة أو التي تزيدها الأنظمة التوليدية، ويقدم إجراءات مقترحة منظمة حول وظائف إطار إدارة مخاطر AI (RMF) المتمثلة في الحوكمة والرسم والقياس والإدارة.[9] ويصف NIST الإطار بأنه طوعي. ويمكن للمؤسسة استخدامه كمرجع للضوابط مع ربط كل إجراء بمخاطر المؤسسة وواجباتها القانونية.

بالنسبة للبحث، ينبغي أن يرتبط كل ادعاء واقعي جوهري بمصدر محتفظ به في ملف القرار. ويتحقق المراجع من حجية المصدر وتاريخه واختصاصه وسياقه وما إذا كان المصدر يدعم الادعاء فعليًا. ويُستبعد أي إحالة مولّدة لا يمكن فتحها والتحقق منها.

بالنسبة إلى مراجعة المستندات، ينبغي أن تحافظ المخرجات على موقع الصفحة أو البند. ويقارن المراجع الأحكام الجوهرية بالنص الأصلي. وتكتسب تغطية الاستخراج أهمية إلى جانب الدقة. وينبغي أن يبيّن النظام متى يكون المستند غير مقروء أو غير مكتمل أو خارج الصيغة المدعومة.

بالنسبة إلى الصياغة، يفصل سير العمل بين الوقائع المصدرية والافتراضات المعتمدة والصياغة المقترحة. ولا يمكن للنص المولّد أن ينشئ اعتماداً أو صلاحية أو موافقة أو استنتاجاً مهنياً. وتتطلب الاستنتاجات القانونية والضريبية والاستثمارية والتنظيمية الشخص المؤهل المسؤول.

بالنسبة إلى الشيفرة والتحليلات، تتطلب المخرجات المولّدة مراجعة واختبارات وبيانات خاضعة للرقابة وإدارة للتغيير. ولا تُثبت النتيجة الصحيحة على مثال واحد الموثوقية عبر النطاق المعتمد.

تكتسب اختبارات حقن التوجيهات وتسريب البيانات أهمية عندما يسترجع النظام محتوى خارجياً أو مرفوعاً. ويجب ألا تتجاوز التعليمات المضمّنة في المستندات أو المواقع أو الرسائل سياسة النظام أو تفصح عن معلومات محمية. وينبغي أن تكون أذونات الأدوات دنيا ومجزأة وقابلة للإلغاء.

8. اجعل مساءلة العنصر البشري قابلة للتطبيق عملياً

قد تخفي عبارة العنصر البشري في حلقة القرار ضعفاً في الحوكمة. فقد ينقر شخص على اعتماد دون فهم النموذج أو الأدلة أو النتيجة.

يحتاج المراجع المسؤول إلى خمسة شروط. أن تكون للشخص صلاحية القرار. وأن يفهم الشخص المجال وقيود النظام. وأن يتلقى أدلة مصدرية ووقتاً كافيين. وأن يتمكن من طلب التصحيح أو اختيار بديل أو إيقاف سير العمل. وأن يُسجّل القرار ومبرراته.

يشكّل التحيز نحو الأتمتة خطراً حوكمياً عندما يميل الأشخاص إلى قبول مخرجات واثقة. وينبغي أن يكشف تصميم المراجعة عن عدم اليقين والقيود وعمر المصدر والأدلة المتعارضة. وينبغي أن تتجنب الواجهة الصياغات أو الإشارات البصرية التي تبالغ في إيهام الدقة.

تتطلب القرارات الجوهرية توزيعاً واضحاً للمسؤولية. يتولى مالك النشاط مسؤولية الغرض والمنفعة. ويتولى مالك البيانات مسؤولية الاستخدام القانوني والخاضع للرقابة للبيانات. ويتولى المالك التقني مسؤولية الإعداد والموثوقية. ويقدم المدقق تحدياً فعّالاً. وتقيّم وظائف الخصوصية والقانون والأمن السيبراني والامتثال مجالاتها. ويتولى صاحب القرار المصرّح له مسؤولية القرار. ويظل المورّد مسؤولاً عن واجباته التعاقدية، فيما تحتفظ المؤسسة بمسؤوليتها عن استخدامها الخاص.

ينبغي أن يذكر محضر اللجنة النظام المستخدم والمخرجات الجوهرية والأدلة التي جرى مراجعتها والتقدير البشري والآراء المخالفة والشروط والصلاحية. وينبغي أن يتيح السجل لمراجع لاحق إعادة بناء سبب كون القرار معقولاً في حينه.

إطار المؤلف. لا تكون المراجعة البشرية فعّالة إلا عند توافر الصلاحية والكفاءة والأدلة والوقت وصلاحية التجاوز.

الجدول 4. اختبار المساءلة البشرية ذات المعنى

يكون الضابط الرقابي غير مكتمل عندما يفتقر المراجع المعيّن إلى أي شرط مطلوب للقرار المحدد.

9. إدارة الموردين والنماذج والتركّز معًا

تعتمد مؤسسات كثيرة لإدارة الثروات الخاصة على نماذج خارجية وخدمات سحابية. لذا تصبح المشتريات جزءًا من حوكمة AI.

تغطي مراجعة المورّد الهوية المؤسسية، والكيان المتعاقد، ووصف الخدمة، ومزوّدي النماذج، وموقع البيانات، والمعالجين الفرعيين، والاحتفاظ، والاستخدام لأغراض التدريب، والأمن، والاستجابة للحوادث، وتقارير الضمان، والوصول، وشروط الملكية الفكرية، والمسؤولية، ومستويات الخدمة، وإشعار التغيير، وحقوق التدقيق، والإنهاء.

ينبغي أن تختبر العناية الواجبة التقنية التكوين المنشور. لا تثبت الأوصاف التسويقية أن مستأجر المؤسسة ونموذجها ومنطقتها وتكاملاتها تستوفي الضوابط المطلوبة. تحتفظ المؤسسة بأدلة التكوين وتعيد الاختبارات بعد التغييرات الجوهرية.

قد يحدث التركّز عبر عدة تطبيقات تعتمد على نموذج أو سحابة أو خدمة هوية أو منصة بيانات واحدة. وينبغي أن يكشف الجرد الإجمالي الاعتماديات المشتركة. ويمكن أن يؤثر انقطاع أحد المزوّدين أو سحب نموذج أو تغيير السعر أو تغيير الشروط في عدة عمليات حاسمة في آن واحد.

يبدأ تصميم الخروج قبل التعاقد. تحدد المؤسسة الأوامر النصية ومجموعات التقييم والتضمينات والسجلات وعناصر الضبط الدقيق والوثائق التي يمكنها تصديرها. وتختبر ما إذا كان يمكن أن يستمر سير العمل الحساس عبر مسار يدوي أو بديل. وينبغي أن يغطي تأكيد الحذف جميع المكوّنات ذات الصلة والمعالجين الفرعيين.

الجدول 5. جدول العناية الواجبة والتعاقد للطرف الثالث AI

ينبغي أن يكون النطاق متناسبًا مع الاستخدام، وأن تُكمله مشورة قانونية وسيبرانية وخصوصية وتنظيمية حديثة.

10. تأمين الأدوات والوكلاء والتكاملات

يمكن لمساعد AI بلا وصول إلى الأنظمة أن يولّد محتوى ضعيفًا. أما الوكيل الذي لديه وصول إلى البريد الإلكتروني أو المستندات أو المحفظة أو المدفوعات فيمكنه إحداث خسارة تشغيلية بسرعة. لذلك ينبغي أن يتبع تصميم الأذونات الحد الأقصى للإجراء المتاح للنظام.

يستخدم الوصول إلى الأدوات مبدأ أقل صلاحية. وتُفصل أذونات القراءة والكتابة. وتتطلب الإجراءات عالية المخاطر مصادقة معززة وموافقة بشرية خارج واجهة النموذج نفسه. ويبقى إنشاء المدفوعات والإفراج عنها منفصلين. وتتبع تهيئة أوامر الاستثمار وتنفيذها مصفوفة الصلاحيات الخاصة بالمؤسسة.

تبقى الأسرار وبيانات الاعتماد والرموز الشخصية خارج التعليمات والمحتوى القابل للاسترجاع. وينبغي للنظام أن يستخدم هويات مُدارة وحسابات خدمة محددة النطاق. وتسجّل السجلات استدعاءات الأدوات والوسائط والاستجابات والموافقات والأخطاء من دون إنشاء نسخة غير خاضعة للرقابة من البيانات الحساسة.

يمكن أن يصل حقن التعليمات عبر صفحات ويب خارجية ورسائل بريد إلكتروني ومستندات مرفوعة. ويتعامل النظام مع المحتوى المسترجع بوصفه بيانات لا تعليمات موثوقة. وهو يعزل الأدوات ويقيّد صيغ المخرجات ويطبّق قوائم السماح ويتحقق من الإجراءات بشكل مستقل.

يحدد إطار عمل إدارة المخاطر NIST AI RMF التشغيل الآمن والمرن كخاصية من خصائص الموثوقية، ويعالج ملفه التعريفي التوليدي AI المخاطر عبر دورة الحياة.[9] كما ينظّم ملف NIST الأولي لعام 2025 الخاص بالأمن السيبراني AI العمل حول تأمين مكونات AI، واستخدام AI في الدفاع، ومعالجة الهجمات الممكّنة بواسطة AI؛ وقد ظل مسودة وقت الإشارة إليه وينبغي التعامل معه على هذا الأساس.[10]

تربط تخطيط الحوادث السيبرانية مالك AI وفريق الأمن ومسؤول الخصوصية والمستشار القانوني ومالك القرار والمورّد والجهة الحاكمة. وتغطي الخطة اختراق النموذج وتعريض البيانات للكشف والإجراء غير المصرح به والاسترجاع المسموم والاستيلاء على الحساب والاحتيال الممكّن بالتزييف العميق وفقدان الخدمة.

11. الحفاظ على المساءلة التنظيمية والمهنية

AI لا ينشئ إذنًا جديدًا لنشاط خاضع للتنظيم. وينبغي للمؤسسة أن تحلل ما يقوم به النظام والأشخاص فعليًا.

يمكن لأداة بحث استثماري أن تدعم مختصًا مصرحًا له. ويمكن للتوصية الشخصية أن تؤثر على الملاءمة والإفصاح وتضارب المصالح وحفظ السجلات. ويمكن لأداة تصنّف العملاء المحتملين أو تصوغ مواد ترويجية أو تدير المحافظ أو تنفذ الأوامر أن تتقاطع مع قواعد مختلفة. تظل الشركة المسؤولة والأفراد المصرح لهم مسؤولين عن سلوكهم الخاضع للتنظيم.

تصف إرشادات التكنولوجيا الممكّنة المشتركة بين UAE مبادئ وممارسات جيدة عبر القطاعات للمؤسسات المالية التي تتبنى تقنيات تشمل تحليلات البيانات الضخمة وAI.[5] ولاحظ معهد الاستقرار المالي التابع لبنك التسويات الدولية في عام 2024 أن AI يمكن أن يفاقم المخاطر القائمة، وسلّط الضوء على الحوكمة والخبرة ومخاطر النماذج وحوكمة البيانات ومقدمي الخدمات من الأطراف الثالثة بوصفها مجالات تتطلب الاهتمام.[11] وتدعم هذه المواد نهجًا منضبطًا للرقابة، بينما تأتي المتطلبات الملزمة من القانون والجهة التنظيمية والتصاريح المعمول بها.

التقدير المهني يحتاج أيضًا إلى الحماية. وينبغي للمستشارين القانونيين والضريبيين ومستشاري التقييم والاستثمار والأمن السيبراني أن يحددوا أين يمكن أن يساعد AI وأين يجب على شخص مؤهل إجراء التحليل. وينبغي للمخرجات أن تفصح عن الاستخدام الجوهري للنظام عندما يقتضي القانون أو المعايير المهنية أو العقد أو السياسة ذلك.

تحيل سياسة AI إلى سياسة الاستثمار وسياسة تضارب المصالح وبرنامج حماية البيانات وإطار الأمن السيبراني وسياسة الاستعانة بمصادر خارجية وسياسة السجلات وسياسة التقييم واستمرارية الأعمال. وتُحال حالات التعارض بين السياسات إلى منتدى حوكمة محدد بالاسم.

12. إدارة التغيير عبر دورة الحياة الكاملة

يسري الاعتماد على إصدار وتكوين محددين. وقد يتطلب تحديث نموذج المورّد أو مصدر استرجاع جديد أو تغيير في التعليمات أو إذن أداة أو اختصاص قضائي أو مجموعة مستخدمين أو استخدام في القرار إعادة تقييم.

تبدأ دورة الحياة بالحاجة والبدائل. ويحدد المالك المشكلة وينظر في طريقة غير AI. وتحدد مرحلة رسم الخرائط أصحاب المصلحة والبيانات والأضرار والتبعيات والشروط القانونية. وتختبر مرحلة القياس الأداء والضوابط. وتقرر مرحلة الإدارة ما إذا كان ينبغي النشر أو التقييد أو التحسين أو الإيقاف. وتعمل الحوكمة طوال ذلك. ويتوافق هذا التسلسل مع بنية إطار عمل إدارة المخاطر NIST AI RMF مع بقائه مكيفًا مع الثروة الخاصة.[9]

تحدد إدارة التغيير درجة الجوهرية. وقد يتطلب تحديث واجهة تجميلي فحصًا أساسيًا. وقد يتطلب نموذج جديد أو مصدر بيانات أو إجراء مستقل التحقق والاعتماد الكاملين. وتتلقى تغييرات المورّد الطارئة حدودًا مؤقتة ومراجعة بأثر رجعي خلال فترة محددة.

تزيل عملية إخراج النظام من الخدمة الوصول والتكاملات وبيانات الاعتماد والعمليات المجدولة. وتصدّر السجلات المطلوبة وتكمل الحذف التعاقدي. وتحافظ المؤسسة على أدلة القرار التي يقتضيها القانون والسياسة من دون الاحتفاظ ببيانات شخصية غير ضرورية.

إطار عمل المؤلف المُكيَّف مع بنية الحوكمة والرسم والقياس والإدارة في إطار إدارة المخاطر NIST AI.

13. الاستجابة للحوادث من خلال أثر القرار

لا تقتصر الحادثة على انقطاع تقني. فقد تشمل إفشاءً غير مصرّح به، أو أدلة ملفّقة، أو مخرجات تمييزية، أو توصية غير صحيحة، أو إجراءً غير مصرّح به، أو خرقًا من مزوّد، أو تغييرًا في النموذج، أو تعذّر تفسير قرار جوهري، أو تجاوزًا متكررًا للسياسة.

تحمي الاستجابة الأولى الأشخاص والأصول. ويمكن للمؤسسة تعطيل حالة استخدام، وإبطال الرموز المميزة، وعزل البيانات، وإيقاف الإجراءات، والحفاظ على الأدلة، وتفعيل الإجراءات اليدوية. وتتلقى حوادث المدفوعات والتداول والاتصالات الخارجية تصعيدًا عاجلًا عبر هياكل الصلاحيات القائمة.

يحدد مسؤول الحادثة الكيانات والأشخاص والبيانات والولايات القضائية والأنظمة والقرارات المتأثرة. وتتطلب واجبات الإخطار المتعلقة بالخصوصية والجهات التنظيمية تحليلًا محدّثًا. وقد ينطبق أيضًا الإخطار التعاقدي على العملاء أو العائلات أو شركات التأمين أو البنوك أو المزوّدين.

تتتبع معالجة القرارات جميع المخرجات الجوهرية خلال الفترة المتأثرة. وتحدد المؤسسة أوراق الاستثمار والاتصالات والتقييمات والموافقات أو الإجراءات التي اعتمدت على النظام، وما إذا كانت تحتاج إلى إعادة مراجعة أو تصحيح.

يغطي تحليل السبب الجذري النموذج، والموجّه، والبيانات، والتكامل، والوصول، والعملية، والمراجعة البشرية، والمورّد، والحوكمة. ويوضح سجل الإغلاق الاحتواء، والقرارات المتأثرة، والإخطارات، والتصحيحات، وتغييرات الضوابط، والمخاطر المتبقية، وصلاحية إعادة التفعيل.

ينبغي أن تستخدم التمارين سيناريوهات موثوقة لإدارة الثروات الخاصة: تعليمات دفع بتقنية التزييف العميق، وتسريب من غرفة بيانات سرية، واستشهاد قانوني ملفّق في ورقة استثمارية، وتغيير في نموذج من مزوّد يغيّر درجات المخاطر، ووكيل يرسل رسالة خارجية غير مصرّح بها.

14. إظهار السياسة بمكتب عائلة افتراضي

لننظر في مكتب عائلة واحد افتراضي UAE يضم 28 موظفًا وأربعة كيانات قانونية وأصولًا مقدّرة إداريًا بقيمة AED 4.6 billion. ويستخدم خدمة توليدية مؤسسية واحدة من AI، ومنصة محافظ ممكّنة بـAI، وأداة لمراجعة المستندات، ونظامًا لرصد الحالات الشاذة في الحسابات الدائنة.

كل قيمة وظرف في هذا المثال هما افتراض إداري أُنشئ فقط لإظهار السياسة. وهو لا يصف عميلًا أو محفظة أو توصية تقنية أو استنتاجًا تنظيميًا.

تحدد الجرد الأولي 34 حالة استخدام. خمس عشرة منها استخدامات إنتاجية محدودة النطاق. وعشر تدعم العمليات أو البحث. وسبع تمس بيانات حساسة أو توصيات جوهرية. واثنتان يمكنهما بدء إجراءات سير العمل. ويطبّق المكتب منهج تصنيف المخاطر على كل استخدام بدلًا من الموافقة على المنتجات الأربعة ككل.

تلخيص أخبار الأسواق العامة يقع في المستوى الأول عندما يستخدم مصادر عامة ويتحقق محلل مدرب من جميع الادعاءات الجوهرية. وصياغة مذكرة للجنة الاستثمار تقع في المستوى الثالث لأن المخرجات يمكن أن تؤثر في قرار رأسمالي جوهري. ومراجعة وثائق التأسيس والتعاقب تقع في المستوى الثالث بسبب حساسية بيانات العائلة والسرية والأثر القانوني. وإعداد تعليمات الدفع يقع في المستوى الرابع؛ ويظل الإفراج الآلي محظورًا بموجب السياسة المفترضة.

يكتشف المكتب أن نموذج اللغة المؤسسي مُهيأ بحيث لا يستخدم محتوى العملاء للتدريب بموجب عقده، لكن الوصول عبر المتصفح يتيح للمستخدمين الوصول إلى خدمة استهلاكية غير معتمدة. وتسد الضوابط التقنية والتدريب هذه الفجوة. وتخزّن أداة المستندات فهارس مشتقة في منطقة مختلفة عن الملفات الأصلية، مما يستدعي مراجعة النقل والعقد.

يجري التحقق من سير عمل مذكرة الاستثمار باستخدام 60 حالة تاريخية واصطناعية. وهذا العدد افتراض إداري للتوضيح. وتغطي الاختبارات الدعم الواقعي، وصحة الاستشهادات، والمعلومات المتقادمة، والأدلة المتعارضة، والحساب، وتسرب البيانات السرية، وحقن التعليمات. وتشترط اللجنة روابط المصادر لكل ادعاء واقعي جوهري، وتسجل الحالات التي استُخدمت فيها الصياغة المولّدة.

يُنشئ المكتب لوحة متابعة تشغيلية شهرية ومراجعة مخاطر ربع سنوية. ويُعلّق أحد استخدامات الفئة الثالثة بعد أن يؤدي تحديث أحد المزودين إلى خفض موثوقية الاستشهادات إلى ما دون حدها المعتمد. وتستمر عملية البحث اليدوية بينما يختبر المالك إعدادًا مصححًا.

كل قيمة معروضة هي افتراض إداري توضيحي يُستخدم فقط لعرض تصميم لوحة المعلومات.

15. إنشاء نظام مراقبة جاهز لمجلس الإدارة

تحتاج الهيئة الحاكمة إلى رؤية موجزة عن التعرض وسلامة الضوابط. ولا تحتاج إلى قائمة مقاييس تقنية لا صلة لها بالقرار.

تبدأ لوحة المعلومات باكتمال الجرد. وتعرض الاستخدامات الإنتاجية والتجريبية حسب الفئة والكيان القانوني ومجال القرار والمزود الشائع. وتحدد الاكتشافات غير المسجلة والمراجعات المتأخرة.

تُعرض مقاييس الأداء حسب الاستخدام المعتمد. فتبلغ أنظمة البحث عن ادعاءات غير مدعومة واستشهادات غير صحيحة ومعدلات تصحيح. وتبلغ أنظمة الاستخراج عن حالات إغفال الحقول الحرجة والمستندات غير القابلة للقراءة. وتبلغ أدوات المحفظة عن حداثة المدخلات والمطابقة والتجاوزات وتحليل النتائج. وتبلغ الوكلاء عن الإجراءات المقترحة والمعتمدة والمرفوضة والفاشلة والمعكوسة.

تشمل مقاييس المخاطر استخدام البيانات الحساسة، وعمليات النقل، واستثناءات الوصول، ونتائج التحقق غير المعالجة، وتركز الموردين، وتغييرات المزودين، والحوادث، وانتهاكات السياسة. ولا ينبغي أن يحجب متوسط أخضر مشكلة واحدة شديدة مفتوحة.

تميز لوحة المعلومات بين تقديرات الإدارة والأحداث المتحقق منها. وتتطلب المنافع مثل الساعات الموفرة أو التكلفة المتجنبة أو تحسين القرار قياسًا محددًا ومصدرًا. ولا ينبغي أبدًا عرض تقدير مولّد على أنه أداء محقق.

تعتمد الهيئة الحاكمة شهية المخاطر، والاستخدامات المحظورة، وعمليات النشر من الفئة الرابعة، والاستثناءات الجوهرية، والسياسة. وتتولى الإدارة التنفيذ. وتراجع وظيفة الضمان المستقلة التصميم والتشغيل. ويمكن أن يكون جدول المراجعة أكثر تكرارًا أثناء الاعتماد السريع أو التغيير الجوهري.

16. نفّذ السياسة خلال 100 يوم

من اليوم الأول إلى اليوم العشرين، يتم تأسيس الحوكمة والجرد. ويتفق الراعي المالي ومالك السياسة وأدوار الخصوصية والقانون والأمن السيبراني والامتثال والاستثمار والعمليات والتكنولوجيا على التعريفات ومعيار مؤقت للاستخدام الآمن. ويفصح الموظفون عن الأدوات والاستخدامات الحالية.

الأيام من 21 إلى 40: تُحدد الكيانات والبيانات والاختصاصات القضائية ومقدمو الخدمات والأنشطة الخاضعة للتنظيم وعواقب القرارات. وتصنّف المؤسسة حالات الاستخدام وتوقف أو تقيّد الاستخدامات التي تفتقر إلى الصلاحية أو تمثل انكشافاً غير مقبول.

الأيام من 41 إلى 60: بناء الضوابط. تستكمل الفرقة تقييمات الأثر ذات الأولوية، ومراجعات الموردين، وتغييرات الوصول، وخطط التحقق، وتعيينات المساءلة البشرية، ومسارات الحوادث، ومعايير السجلات.

الأيام من 61 إلى 80: التحقق من حالات الاستخدام الإنتاجية الأعلى خطورة وتشغيل تجربة عبر عملية الموافقة الكاملة. وتُختبر المراقبة وضبط التغيير وآلية التراجع والتعليق.

الأيام من 81 إلى 100: تنفيذ تمرين لحادث، ومطابقة السجل، وإغلاق الملاحظات الحرجة، وعرض السياسة وشهية المخاطر ولوحة المعلومات والإجراءات غير المحلولة على الجهة الحاكمة.

الجدول 6. تنفيذ سياسة AI للثروات الخاصة على مدى مئة يوم

الجدول الزمني توضيحي. وقد يتطلب التحليل القانوني والتفاوض مع الموردين والمعالجة والتحقق المستقل فترات أطول.

17. القيود والاستنتاج

AI تتغير الأنظمة والأطر التنظيمية بسرعة. ينبغي التحقق من القانون واللوائح والتوجيهات وشروط الموردين وإصدارات النماذج والتكوين التقني السارية قبل النشر وعند كل تغيير جوهري.

يعتمد نظام حماية البيانات الشخصية المعمول به UAE على الكيانات والاختصاص القضائي والمعالجة. ويمكن أن تنطبق اختصاصات قضائية أخرى من خلال الأشخاص والموردين والبيانات والأنشطة. وينبغي للمشورة القانونية السارية أن تحدد النطاق والأساس القانوني والحقوق وتقييم الأثر وعمليات النقل والإشعار والتعرض لإجراءات الإنفاذ.

أداء النموذج والنظام خاص بالاستخدام. ولا يمكن لمعيار مرجعي أو تقرير تأكيد من المورد أو تجربة أولية ناجحة أن يثبت الملاءمة لكل مهمة من مهام إدارة الثروات الخاصة. ويتطلب التحقق بيانات ممثلة وحالات سلبية وقيودًا وتحليلًا مستمرًا للنتائج.

يمكن أن تفشل المراجعة البشرية بسبب ضعف الصلاحية أو الكفاءة أو الأدلة أو الوقت أو التحدي. وينبغي للمؤسسة اختبار تشغيل الرقابة بدلًا من الاعتماد على لغة السياسة.

يتضمن المكتب الافتراضي افتراضات إدارية لغرض عرض المنهجية فقط. وهو لا يصف عائلة أو عميلاً أو توزيع أصول أو منفعة محققة أو مزوّداً موصى به.

سياسة AI المتينة تربط الغرض بالإجراء. لكل استخدام غرض تجاري ومالك. ولكل تدفق بيانات سلطة وضابط. ولكل نظام جوهري مستوى مخاطر وسجل تحقق وحدود معتمدة. ويمكن لكل مراجع بشري أن يعترض ويوقف. ولكل اعتماد على مزوّد دليل ومسار خروج. ولكل حادث تتبّع للأشخاص والبيانات والقرارات المتأثرة. ولكل تقرير حوكمي رابط يربط مؤشراً بإجراء.

يتيح هذا الإطار لمؤسسة إدارة الثروات الخاصة استخدام AI مع الحفاظ على السرية والانضباط الاستثماري والحكم البشري الخاضع للمساءلة. وتصبح السياسة نظام ضبط حيّاً عبر حوكمة العائلة والنشاط الاستثماري والعمليات.

المراجع

1. [1] الإمارات العربية المتحدة، المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية، الساري اعتباراً من 2 يناير 2022؛ تم الاطلاع على النص الرسمي في 12 أغسطس 2026. https://uaelegislation.gov.ae/en/legislations/1972
2. [2] مركز دبي المالي العالمي، قانون حماية البيانات قانون مركز دبي المالي العالمي رقم 5 لسنة 2020 وإرشادات المفوض، تم الاطلاع عليه في 12 أغسطس 2026. https://www.difc.com/business/registrars-and-commissioners/commissioner-of-data-protection/guidance
3. [3] مركز دبي المالي العالمي، اللائحة 10: معالجة البيانات الشخصية عبر الأنظمة المستقلة وشبه المستقلة، تم الاطلاع عليها في 12 أغسطس 2026. https://www.difc.com/business/registrars-and-commissioners/commissioner-of-data-protection/regulation-10
4. [4] سوق أبوظبي العالمي، مكتب حماية البيانات، إرشادات بشأن لوائح حماية البيانات 2021، تم الاطلاع عليها في 12 أغسطس 2026. https://www.adgm.com/operating-in-adgm/office-of-data-protection/guidance
5. [5] البنك المركزي في UAE، وهيئة الأوراق المالية والسلع، وسلطة دبي للخدمات المالية، وهيئة تنظيم الخدمات المالية، المبادئ التوجيهية للمؤسسات المالية التي تعتمد التقنيات الممكّنة، 15 نوفمبر 2021. https://www.dfsa.ae/news/uae-regulatory-authorities-jointly-issue-guidelines-financial-institutions-adopting-enabling-technologies
6. [6] سلطة دبي للخدمات المالية، التوقعات الرقابية بشأن إدارة مخاطر الذكاء الاصطناعي في مركز دبي المالي العالمي، قائمة خطابات SEO المؤرخة في 4 يونيو 2026، تم الاطلاع عليها في 12 أغسطس 2026. https://www.dfsa.ae/your-resources/publications-reports/seo-letters-1
7. [7] مركز دبي المالي العالمي، مشاورة بشأن لوائح حماية البيانات المعدلة لمركز دبي المالي العالمي، 18 يونيو 2026. https://www.difc.com/whats-on/news/difc-consultation-amended-data-protection-regulations
8. [8] مجلس محافظي نظام الاحتياطي الفيدرالي، ومكتب المراقب المالي للعملة، والمؤسسة الفيدرالية لتأمين الودائع، الإرشادات المنقحة بشأن إدارة مخاطر النماذج، 17 أبريل 2026. https://www.federalreserve.gov/supervisionreg/srletters/SR2602.htm
9. [9] المعهد الوطني للمعايير والتكنولوجيا، إطار إدارة مخاطر AI 1.0 وملف تعريف الذكاء الاصطناعي التوليدي NIST AI 600-1، 2023 و2024. https://www.nist.gov/itl/ai-risk-management-framework و https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf
10. [10] المعهد الوطني للمعايير والتكنولوجيا، ملف تعريف إطار الأمن السيبراني للذكاء الاصطناعي، مسودة أولية تمهيدية NIST IR 8596، 16 ديسمبر 2025. https://csrc.nist.gov/pubs/ir/8596/iprd
11. [11] معهد الاستقرار المالي التابع لبنك التسويات الدولية، تنظيم AI في القطاع المالي: التطورات الأخيرة والتحديات الرئيسية، رؤى FSI العدد 63، 12 ديسمبر 2024. https://www.bis.org/fsi/publ/insights63.htm
12. [12] منظمة التعاون الاقتصادي والتنمية، مبادئ OECD بشأن AI، المعتمدة في 2019 والمحدثة في 2024، تم الاطلاع عليها في 12 أغسطس 2026. https://www.oecd.org/en/topics/ai-principles.html

عن المؤلف

تشيناكيشاف أديا باحث مستقل والشريك الإداري لدى Matchpoint Partners. يتركز بحثه على استراتيجية الاستثمار، وتكوين رأس المال، وتنفيذ المعاملات، والحوكمة، وتصميم نموذج التشغيل عبر أسواق الخليج والأسواق الدولية.