الامتثال لأنظمة الذكاء الاصطناعي: اللوائح والمخاطر والضوابط الخاصة بالذكاء الاصطناعي المستقل

في سبتمبر 2026، أبلغت OpenAI علنًا أكثر من 100 مؤسسة عن نشاط غير مصرح به شمل وكلاء الذكاء الاصطناعي التابعين لها. وقد وثّق باحثون مستقلون، بالإضافة إلى OpenAI نفسها، هذا النشاط الذي تضمن عمليات فحص مواقع الويب، وتوجيه الطلبات، والوصول إلى بيانات غير عامة من قِبل دائرة حكومية أسترالية. وأقرت OpenAI بأن وكلاءها استخدموا الإنترنت بطرق غير مصرح بها، وعزت ذلك إلى ثغرات في القيود. باختصار، إذا كانت الشركة التي طورت النماذج تواجه صعوبة في تبرير ما فعله وكلاؤها، فإن معظم المؤسسات التي تستخدم هذه النماذج ستواجه نفس المشكلة. ويُعدّ سدّ هذه الثغرة الهدف الأساسي من امتثال وكلاء الذكاء الاصطناعي.

في الأسبوع نفسه، أفادت التقارير أن لجنة التجارة الفيدرالية الأمريكية فتحت تحقيقًا مع شركتي OpenAI وAnthropic، بالإضافة إلى شركات أخرى متخصصة في الذكاء الاصطناعي، بسبب المخاطر التي لا تزال تشكلها هذه الشركات على المستهلكين. كما وردت أنباء عن اتخاذ إجراءات تنظيمية مماثلة في الاتحاد الأوروبي وأستراليا وآسيا.

كل هذا يُؤدي إلى تزايد الاعتقاد بأن المؤسسات لا تمتلك الأسس اللازمة لتحقيق أقصى استفادة من هذه الأنظمة الذكية بأمان. وقد وجد تقرير IBM لعام 2026 حول تكلفة اختراق البيانات أن 92% من المؤسسات التي وقعت ضحية لاختراق متعلق بالذكاء الاصطناعي لم تكن لديها ضوابط وصول مناسبة للذكاء الاصطناعي، بينما لم تكن لدى 68% منها أي ضوابط وصول. AI governance لم يتم وضع أي سياسة على الإطلاق، وأفاد 19% فقط بوجود تعاون وثيق بين فرق الحوكمة والأمن لديهم.

سيشرح الدليل التالي ما هو بالضبط امتثال وكيل الذكاء الاصطناعي، وماذا يعني ذلك لفرق الخصوصية والأمن، ومخاطر الامتثال التي يشكلها هؤلاء الوكلاء، وأفضل الضوابط التي يمكن الاستفادة منها لزيادة فرص إبقاء هؤلاء الوكلاء ضمن أغراضهم القانونية المعلنة.

ما هو امتثال وكيل الذكاء الاصطناعي؟

يشير امتثال وكلاء الذكاء الاصطناعي إلى مجموعة الضوابط والعمليات والأدلة التي تستخدمها المؤسسة لضمان استمرار وكلاء الذكاء الاصطناعي في اتباع اللوائح والسياسات والإرشادات الداخلية ذات الصلة وفقًا للتعليمات. ويشمل ذلك جميع البيانات التي يمكن لهذه الوكلاء الوصول إليها، والإجراءات التي يمكنهم اتخاذها، والجهة المسؤولة عن الإشراف عليهم، وكيفية توثيق عملية اتخاذ القرار ومنطقها.

بما أنه لا توجد حاليًا أي لوائح تنظيمية رئيسية، مثل اللائحة العامة لحماية البيانات (GDPR) أو قانون الذكاء الاصطناعي أو قانون حماية خصوصية المستهلك (CPRA) أو قانون الخصوصية، تُعامل هذه الوكلاء كجهات قانونية، فإن الالتزامات تقع دائمًا على عاتق المؤسسات التي تستخدم هذه الوكلاء. لنأخذ على سبيل المثال مبدأ المساءلة في اللائحة العامة لحماية البيانات (GDPR) بموجب المادة 5(2)، حيث يجب على المتحكم بالبيانات إثبات الامتثال، وليس مجرد الادعاء به. وبالتالي، فإن "وكيل الذكاء الاصطناعي المُمتثل" هو الذي يمكن شرح وصوله إلى البيانات وإجراءاته وقراراته للجهة التنظيمية كجزء من عملية تدقيق أو تحقيق.

يشمل نطاق هذه المتطلبات فرق العمل المختلفة، حيث تتولى فرق الخصوصية مسؤولية الأساس القانوني، وتحديد الغرض، وجوانب حماية البيانات، بينما تشرف فرق الأمن على ضوابط الوصول، وتسجيل البيانات، وخطط الاستجابة للحوادث. وتضيف القواعد الخاصة بالذكاء الاصطناعي، بموجب الالتزامات التنظيمية ذات الصلة، متطلبات متنوعة لتصنيف المخاطر، والشفافية، والإشراف البشري.

الامتثال لوكلاء الذكاء الاصطناعي مقابل الامتثال التقليدي للذكاء الاصطناعي

معظم أطر الامتثال للذكاء الاصطناعي بُنيت حديثًا نسبيًا، ومع ذلك، فإن وتيرة تطور الذكاء الاصطناعي تجعلها تبدو قديمة بالفعل، إذ صُممت لنماذج تُنتج مخرجات ويتولى الإنسان تنفيذها. أما وكلاء الذكاء الاصطناعي، فيلغون هذه الخطوة الأخيرة، حيث يقرؤون البيانات، ويتخذون القرارات، ثم ينفذونها. كل هذا قبل أن يتمكن أي شخص من مراجعتها. ومن ثم، انتقلت وحدة الامتثال من النموذج نفسه إلى الفعل.

مع ذلك، لا يجعل هذا البرامج الحالية بالية تمامًا، إذ لا تزال تقييمات مخاطر النماذج، واختبارات التحيز، وتقييمات أثر حماية البيانات مكونات أساسية لبرنامج الامتثال. تمثل وكلاء الذكاء الاصطناعي الطبقة التي لم تُصمم هذه البرامج لرؤيتها: أي ما يفعله النظام بعد اتخاذ القرار.

لماذا يُعدّ الامتثال لمعايير وكلاء الذكاء الاصطناعي أمراً بالغ الأهمية الآن؟

انتقلت أنظمة الذكاء الاصطناعي من المشاريع التجريبية إلى كيانات صنع القرار في فترة وجيزة للغاية. ومع ذلك، فإن لهذه القرارات وزناً قانونياً، حتى وإن لم يكن بالإمكان تحميل هذه الأنظمة المسؤولية القانونية في الوقت الراهن.

تتوقع غارتنر أن ما لا يقل عن 15% من القرارات اليومية ستُتخذ بشكل مستقل بواسطة أنظمة الذكاء الاصطناعي بحلول عام 2028، مقارنةً بنسبة تقارب الصفر في عام 2024. ومع ذلك، تتوقع الشركة أيضًا إلغاء 40% من مشاريع أنظمة الذكاء الاصطناعي هذه بحلول نهاية عام 2027، وذلك لأسباب من بينها ضعف إدارة المخاطر. لذا، يُعدّ التزام أنظمة الذكاء الاصطناعي بالمعايير شرطًا أساسيًا لتوسيع نطاق استخدامها، وليس مجرد تنظيمها.

يتفاقم هذا الوضع الحساس بسبب سرعة وتيرة التحديثات التنظيمية. فقد دخلت لائحة الاتحاد الأوروبي الشاملة للذكاء الاصطناعي حيز التنفيذ في يوليو 2026، على أن تدخل التزامات أنظمة الذكاء الاصطناعي المستقلة عالية المخاطر حيز التنفيذ في ديسمبر 2027. وتتسم متطلبات هذه الأنظمة بالصرامة والشمولية، كمتطلبات الشفافية، وجرد البيانات، وخرائط البيانات، وسجلات الأنشطة القابلة للتدقيق. ومن المرجح أن تحذو دول أخرى حذوها، مما سيرفع مستوى توقعات الامتثال عالميًا.

مخاطر الامتثال الخاصة بوكلاء الذكاء الاصطناعي

نادراً ما تظهر المخاطر التالية في معظم سجلات مخاطر الذكاء الاصطناعي. ويعود ذلك إلى أن هذه المخاطر تنشأ نتيجة لما تفعله الأنظمة بين القرارات، وليس نتيجة النماذج نفسها.

انحراف الهدف: تجاوز العملاء لأسسهم القانونية

تُصمَّم البرامج الآلية خصيصًا لتحقيق أهداف محددة. مع ذلك، لا تراعي هذه الأهداف دائمًا الغرض الذي جُمعت البيانات من أجله. لذا، فإن البرنامج الآلي المُكلَّف بتحسين معدلات التجديد سيستدعي كل معلومة داعمة يراها ضرورية لاتخاذ قرار، مثل سجلات الدعم، وسجل الدفعات، وملاحظات الحساب، ضمن سير عمل واحد. قد لا يكون النموذج قد جمع أيًا من هذه المعلومات لدعم حالة الاستخدام المحددة تلك. لذلك، يجب أن يكون كل استخدام جديد إما متوافقًا مع الغرض الأصلي أو قائمًا على أساس قانوني مستقل.

الأذونات الموروثة: وصول الوكلاء إلى كل ما يمكن للمستخدمين الوصول إليه

تعتمد معظم البرامج الآلية على بيانات اعتماد المستخدمين أو رموز OAuth. ونتيجةً لذلك، ترث معظم صلاحيات الوصول إلى حساباتهم. وبينما قد لا يتمكن المستخدم من رؤية جميع الملفات التي لديه صلاحية الوصول إليها، فإن البرامج الآلية قادرة على ذلك، بل ومن المرجح أن تفعل. وقد كشف تقرير IBM لعام 2026 حول الاختراقات الأمنية أن 40% فقط من المؤسسات التي تعرضت لاختراق أمني قد طبقت نوعًا من ضوابط الوصول على صلاحيات نماذج الذكاء الاصطناعي.

سلاسل التفويض: وكلاء يحلون المساءلة

يعمل سير عمل الذكاء الاصطناعي النموذجي على النحو التالي: يستدعي أحد الأنظمة أداةً، والتي بدورها تستدعي واجهة برمجة تطبيقات (API)، والتي بدورها تُسلّم المهمة إلى نظام آخر، مما يؤدي في النهاية إلى سلسلة معالجة لم تُصمّم بشكل صريح من قِبل أي جهة. كل خطوة جديدة في هذه السلسلة تعني معالجًا جديدًا، في نطاق اختصاص قضائي جديد، مما يعني الخضوع لأنظمة جديدة، واحتمالية حدوث عمليات نقل بيانات غير موثقة عبر الحدود.

مخازن البيانات غير الخاضعة للإدارة: سياق التذكر لدى الوكيل

مع أن البرامج التي تمتلك ذاكرة طويلة الأمد تحتفظ بالسياق بين الجلسات، إلا أن هذا السياق غالبًا ما يكون ناتجًا عن البيانات الشخصية ونتيجتها المباشرة. ومع ذلك، ولأن ذاكرة البرنامج نادرًا ما تكون جزءًا من مخزون البيانات، فلا يوجد جدول زمني للاحتفاظ بها، مما يعني أنها قد تكون بعيدة المنال في حال طلب المستخدم حذف البيانات. وهذا يمثل مخزنًا جديدًا للبيانات الشخصية لا تتعامل معه معظم برامج الخصوصية بشكل صحيح، ناهيك عن إدارته.

دين الأدلة: قرارات الوكيل غير قابلة لإعادة البناء

تُصمَّم معظم سجلات الوكلاء لتسجيل استدعاءات واجهة برمجة التطبيقات (API)، وليس مسار اتخاذ القرار الذي اتبعه الوكيل لإجراء ذلك الاستدعاء. لذا، عندما تستفسر جهة تنظيمية أو مدقق حسابات أو مستخدم خارجي عن سبب اتخاذ الوكيل قرارًا معينًا، نادرًا ما تستطيع الفرق البشرية المسؤولة نيابةً عنها تقديم إجابة قاطعة. قد تُشكِّل هذه الفجوة مشكلةً حاسمةً في سياق الاستجابة للاختراقات، إذ تُلزم معظم اللوائح بإخطار كلٍّ من جهات الإنفاذ والمستخدمين المتضررين على الفور بشأن البيانات التي تم اختراقها بالتحديد وسبب ذلك.

كيفية بناء برنامج فعال للامتثال لوكلاء الذكاء الاصطناعي

يُرسّخ برنامج الامتثال الفعال لوكلاء الذكاء الاصطناعي دور هؤلاء الوكلاء كجهات مسؤولة داخل المؤسسة. ورغم أن اللوائح قد لا تُصنّفهم كذلك، إلا أنه بإمكان المؤسسات وضع سياساتها الخاصة لتحديد مسؤوليتهم. وتُساعد الممارسات التالية في هذا الصدد.

الوكلاء كهويات، وليس كبرامج.

قد يبدو هذا المصطلح غير دقيق، ولكن ينبغي تحديد هوية كل وكيل، بما في ذلك مالكه البشري، وغرضه المحدد، والأنظمة التي يتصل بها، ومستوى استقلاليته. يجب التعامل مع أي وظائف اكتشاف على أنها مستمرة، حيث غالبًا ما تُبنى الوكلاء داخل منصات البرمجيات كخدمة (SaaS)، وأدوات البرمجة منخفضة الكود، وسير عمل المطورين دون مراجعة شاملة قبل الشراء. باختصار، يصبح التحكم في الوكيل الذي يتعذر العثور عليه أصعب بكثير.

العملاء الملتزمون بهدف موثق

يجب أن يكون لكل وكيل هدف محدد فيما يتعلق بالسياسات التي يمكنه تطبيقها، وليس مجرد مهمة عامة أخرى ضمن مشروع. يجب أن يكون هذا الهدف هو المعيار الأساسي لكل طلب بيانات يُقدمه الوكيل، مع توثيق جميع هذه الطلبات في السجل الرسمي. هذا يُعزز قدرة المؤسسة على رصد أي انحراف محتمل.

انتشار بيانات الخرائط، وليس مجرد الوصول إلى البيانات

بينما تُظهر قوائم الوصول الصلاحيات الممنوحة للوكيل، يُظهر الانتشار ما يمكنه الوصول إليه فعليًا من خلال مجموعة من الأدوات وواجهات برمجة التطبيقات والوكلاء المفوضين وصلاحيات المستخدم الموروثة. يجب تصنيف جميع البيانات الحساسة والخاضعة للتنظيم على هذا النحو، مع مطابقة الغرض الموثق مع الصلاحيات التي يجب أن يحتفظ بها الوكيل وما يمكن حذفه.

توسيع نطاق الإشراف ليشمل الاستقلالية، وليس مجرد مستوى المخاطرة

تُحدد جميع تصنيفات المخاطر تقريبًا حجم الضرر المحتمل الذي قد تُسببه حالة استخدام معينة. ومع ذلك، تُتيح الاستقلالية فهمًا أعمق لمدى قدرة النظام على إحداث هذا الضرر المحتمل. لذا، ينبغي ربط جميع إجراءات الرقابة، بما في ذلك الموافقات البشرية، بمستوى الاستقلالية بشكل مباشر، بدلًا من ربطها فقط بمستوى المخاطر.

تطبيق السياسة أثناء التشغيل

تتصرف الأنظمة في غضون ثوانٍ، وتتم عملية اتخاذ القرار بسرعة أكبر. لذا، فإن المراجعات ربع السنوية غير مجدية تمامًا في رصد هذه المشكلات مبكرًا. وعليه، من المهم وضع ضوابط صارمة على مسار التنفيذ، بحيث يمكن التحقق من جميع الطلبات التي تتطلب الوصول إلى بيانات حساسة أو تنطوي على إجراءات لا رجعة فيها، وذلك وفقًا للسياسات الداخلية والمتطلبات التنظيمية قبل تنفيذها. وفي حال وجود تعارضات، يمكن منعها في الوقت المناسب قبل أن تُلحق أي ضرر يُذكر.

كيف Securiti يساعد

لن يكون أي وكيل ذكاء اصطناعي متوافقًا إلا بقدر ما يمكنه الوصول إلى البيانات. Securiti تقدم شركة DataAI Command Platform، التابعة الآن لشركة Veeam، منصةً تتيح لفريقي الخصوصية والأمان لوحة تحكم مركزية واحدة لإدارة البيانات. تتميز هذه المنصة بـ DSPM يُمكّن هذا النظام المؤسسات من اكتشاف البيانات الحساسة في بيئات الحوسبة السحابية الهجينة المتعددة، وبيئات البرمجيات كخدمة (SaaS)، والبيئات المحلية، مع توفير رؤية شاملة لمن يمكنه الوصول إليها وكيفية استخدامها. بالإضافة إلى ذلك، يُمكنه اكتشاف جميع نماذج ووكلاء الذكاء الاصطناعي وتصنيفها، مما يمنح الفرق وضوحًا تامًا بشأن أنظمة الذكاء الاصطناعي التي تتعامل مع البيانات الحساسة أو الخاضعة للرقابة.

تعمل وظائف أخرى مثل عناصر التحكم الأمنية المضمنة على تنظيف البيانات ومنع الوصول غير المصرح به بواسطة نماذج الذكاء الاصطناعي، بينما يفرض ذكاء الوصول مبدأ أقل الامتيازات عبر البيانات الحساسة. Data mapping تُنتج الأتمتة سجلات للمعالجة، و breach management يقوم النظام بأتمتة الإشعارات للأفراد المتضررين والجهات التنظيمية عند وقوع حادث ما.

اطلب عرضًا تجريبيًا اليوم وشاهد بنفسك كيف تساعد منصة DataAI Command المؤسسات في الحفاظ على امتثال وكلاء الذكاء الاصطناعي لديها للالتزامات اللازمة على نطاق واسع.

الأسئلة الشائعة حول الامتثال لأنظمة الذكاء الاصطناعي

فيما يلي بعض الأسئلة الأكثر شيوعًا فيما يتعلق بالامتثال لأنظمة الذكاء الاصطناعي: