الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي من سدايا: دليل عملي للجهات في المملكة

في يوليو ٢٠٢٦ أطلقت الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي، ووصفته وكالة الأنباء السعودية بأنه مرجع إرشادي يمنح الجهات الحكومية والخاصة منهجية وطنية موحّدة لتحديد مخاطر الذكاء الاصطناعي وتقييمها ومعالجتها ومراقبتها. ولأي جهة وضعت مساعداً ذكياً أمام عملائها أو موظفيها، أو توشك أن تفعل، فهذه أكثر وثيقة عملية أصدرتها سدايا في الذكاء الاصطناعي حتى الآن، لأنها تنتقل من المبادئ إلى الإجراءات.

يعرض هذا المقال ما نُشر فعلاً، وموقعه بين أدوات سدايا السابقة، وكيف يتحوّل إلى ضوابط عاملة في تركيب حقيقي. وهو قراءة عملية لمن يتولّى تشغيل هذه الأنظمة، وليس استشارة قانونية.

ماذا نشرت سدايا ومتى

تحتاج التواريخ إلى انتباه، لأن ثلاثة منها تتردّد في التغطية. فالتعليق القانوني لمكتب «غولينغ دبليو إل جي» ووثائق مورّد واحد على الأقل من مورّدي برمجيات الحوكمة يؤرّخان وثيقة الإطار نفسها بـأبريل ٢٠٢٦. أما الإطلاق العلني الذي بثّته وكالة الأنباء السعودية ونقلته الصحف المحلية فكان في ١٤ يوليو ٢٠٢٦. وفي ٣٠ يوليو ٢٠٢٦ عقدت سدايا لقاءً تعريفياً في واحة الذكاء الاصطناعي بالرياض حضره أكثر من ١٥٠ مختصاً في المخاطر والحوكمة والامتثال والتقنية من ٤٥ جهة حكومية وخاصة.

بحثنا عن إصدار آخر للإطار من سدايا في سبتمبر ٢٠٢٦ فلم نجد؛ فالإعلان واللقاء التعريفي كلاهما في يوليو. وما يلي يصف الإطار كما ورد في تلك التقارير وفي التعليق القانوني على الوثيقة، مقروءاً حتى نهاية سبتمبر ٢٠٢٦.

أنفع جملة في التغطية هي تعليل سدايا نفسها لوجود منهجية مستقلة: مخاطر الذكاء الاصطناعي تختلف عن مخاطر البرمجيات التقليدية، فقد تظهر بصورة غير متوقعة أثناء التشغيل، وتتغيّر مع الوقت، ويصعب تفسيرها أو إعادة إنتاج نتائجها. هذه هي حجّة الإطار كلها. فسجلّ مخاطر يُكتب مرة واحدة يوم الإطلاق لا يصف نظاماً قد ينحرف سلوكه بعده.

ما الذي يتضمّنه الإطار

يقوم الإطار على سبعة مبادئ عدّدها تقرير وكالة الأنباء السعودية: النزاهة والإنصاف، والخصوصية والأمن، والإنسانية، والموثوقية والسلامة، والشفافية وقابلية التفسير، والمساءلة والمسؤولية، والمنافع الاجتماعية والبيئية. وهي المبادئ السبعة ذاتها في مبادئ أخلاقيات الذكاء الاصطناعي لدى سدايا، وذلك مقصود: فإطار المخاطر هو الطبقة التشغيلية تحتها.

ويصف ملخّص «غولينغ» المرجعية التي يستند إليها الإطار بأنها مبادئ عامة نابعة من القيم الإسلامية — العدل والشفافية وحفظ الحقوق والكرامة الإنسانية وعدم الإضرار بالغير — إلى جانب ثلاث ركائز تنظيمية: أنظمة الذكاء الاصطناعي، وأنظمة البيانات، والأنظمة القطاعية. وبعبارة بسيطة: أي خطر تحدّدونه يُقاس على الأخلاقيات وعلى نظام البيانات وعلى ما تنتظره جهتكم المنظِّمة.

ويخاطب الإطار ثلاث فئات: المطوّرين المطلوب منهم إدماج إدارة المخاطر في التصميم والتدريب والاختبار، والمشغّلين الذين يديرون الأنظمة ويراقبونها يومياً، وصانعي السياسات الذين يقدّرون كفاية الأنظمة القائمة. ونطاقه المعلن الجهات الحكومية والخاصة على اختلاف قطاعاتها ونضجها الرقمي، مع تركيز على الأنظمة عالية الأثر: النماذج التنبؤية، ومعالجة اللغة الطبيعية، وتحليل الصور والفيديو، والأتمتة الذكية، والنماذج العامة الغرض كالنماذج اللغوية الكبيرة.

ويصنّف المخاطر في سبع فئات يوردها «غولينغ» هكذا: التحيّز والتمييز والضرر، والخصوصية والأمن، والمعلومات المضلِّلة، والاستخدام الضار، والتفاعل بين الإنسان والآلة، والآثار الاجتماعية والاقتصادية والبيئية، والسلامة وحدود القدرة. ويتضمّن مثالاً تطبيقياً لجهة حكومية تستخدم نموذجاً في إعداد تقارير داخلية، يمرّ بمراحل التحديد والتقييم والمعالجة والمراقبة.

والمساعد الذكي الذي يجيب العملاء بلغة طبيعية يقع في صميم هذا النطاق. فإن كنتم تشغّلون واحداً فأنتم «المشغّل» الذي كُتب له الإطار، حتى لو بنى النموذجَ غيرُكم.

موقعه بين أدوات سدايا السابقة

لم يأتِ الإطار من فراغ. فهو أحدث خطوة في تسلسل انتقل خلال ثلاث سنوات من إعلان المبادئ إلى مناهج يمكن للجهة تنفيذها فعلاً.

إذا قُرئ التسلسل بترتيبه اتّضح النمط. فمبادئ الأخلاقيات قالت كيف يبدو الصواب، وإرشادات الذكاء الاصطناعي التوليدي قالت ممّ يُحذَر في فئة واحدة من الأدوات، وإطار التبنّي قال كيف تُنظَّم الجهة للذكاء الاصطناعي. أما إطار المخاطر فيقول كيف تُكتشف الأخطاء المحتملة في نظام بعينه، وكيف تُقاس وتُعالج وتبقى تحت النظر — وهو السؤال الذي يبقى في يد المشغّل.

إرشاد لا إلزام، وما هو ملزم فعلاً

تصف وكالة الأنباء السعودية الإطار بأنه مرجع إرشادي، ويصفه «غولينغ» بأنه أداة للحوكمة وإدارة المخاطر لا مواصفة تقنية. ولم نجد في التغطية ما يربطه بعقوبات. لكن هذا لا يعني أنه يمكن تجاهله.

أما نظام حماية البيانات الشخصية فيحمل التزامات فعلية، وهي تنطبق على أي مساعد ذكي يلامس بيانات شخصية. فلائحته التنفيذية تشترط تقييم أثر لحماية البيانات حين تشمل المعالجة، ضمن أمور أخرى، بيانات حساسة أو تقنيات جديدة أو قرارات مؤتمتة أو مراقبة مستمرة لأصحاب البيانات — وقد يستوفي المساعد الذكي أكثر من شرط منها معاً. ويجب إبلاغ سدايا خلال ٧٢ ساعة بأي تسرّب قد يضرّ بأصحاب البيانات، وتقيّد لائحة النقل إرسال البيانات الشخصية خارج المملكة وتشترط تقييماً للمخاطر في حالات عدة. فصّلنا ذلك في دليلنا عن نظام حماية البيانات وروبوتات المحادثة وفي مقالنا عن إقامة البيانات.

والنتيجة العملية أن الاثنين يتكاملان. فتقييم الأثر يسأل ما الذي قد يصيب البيانات الشخصية، وإطار المخاطر يسأل السؤال نفسه عن النظام كله — بما في ذلك المعلومات المضلِّلة وإساءة الاستخدام والعلاقة بين الإنسان والآلة، وهي أمور لا يغطيها نظام البيانات. ويمكن لسجلّ مخاطر واحد محكم أن يغذّي الاثنين، والدفاع عن سجلّ مبني على المنهجية الوطنية أيسر من الدفاع عن سجلّ مُبتكَر داخلياً، لأنه يستعمل المفردات التي نشرتها سدايا نفسها.

الدورة مرحلةً مرحلة

تصف التقارير الصحفية أربع مراحل مترابطة، ويصف «غولينغ» وملخّصات المورّدين خمساً. والفرق في التجميع لا في المضمون: فالصيغة الصحفية تضمّ التحديد والتقييم والمعالجة في مرحلة واحدة. ونعتمد هنا الصيغة الخماسية لأنها أوضح في الربط بالضوابط.

السياق والنطاق. وصف النظام وتدفّقات بياناته ودورة حياته، وتحديد مواضع التدقيق البشري. وهنا يضعف أكثر التركيبات، لأن أحداً لم يكتب أين تذهب رسالة العميل فعلاً.

تحديد المخاطر. المرور على الفئات السبع في ضوء نظامكم. وفي المساعد الذكي تأتي أكثر البنود عادةً من المعلومات المضلِّلة، والخصوصية والأمن، والتفاعل بين الإنسان والآلة.

تقييم المخاطر. قياس كل خطر بالاحتمال والأثر على المصفوفة الوطنية الموضّحة في القسم التالي.

معالجة المخاطر. اختيار واحدة من أربع استجابات: التجنّب (تغيير التصميم أو تقييد الاستخدام أو الإيقاف)، أو التخفيف (ضوابط تقنية أو تنظيمية أو تشغيلية)، أو النقل (العقود أو التأمين أو اتفاقيات المورّدين)، أو القبول (إبقاء الخطر المتبقّي ضمن حدود متّفق عليها ومراجعته). ويشير «غولينغ» إلى تفصيلين يستحقّان الحفظ: لكل ضابط مالك وجدول زمني ومقاييس نجاح، ونقل الخطر إلى مورّد لا يُسقط واجبات الحوكمة عن الجهة نفسها.

المتابعة والمراجعة. مراجعات مجدولة، وتحديث السجلّ عند أي تغيير، والإبلاغ عن الحوادث وتدوين الدروس المستفادة. وفي نظام تقول سدايا نفسها إنه قد ينحرف، هذه هي المرحلة التي تُبقي المراحل الأربع الأولى صادقة.

قياس الخطر على المصفوفة الوطنية

بحسب الملخّصات القانونية وملخّصات المورّدين، يُقدَّر الاحتمال على أربعة مستويات — نادر (أقل من ١٪ سنوياً)، وغير مرجّح (١–١٠٪)، ومرجّح (١٠–٥٠٪)، وشبه مؤكد (٥٠٪ فأكثر) — والأثر على أربعة: منخفض ومتوسط ومرتفع وكارثي. ومستوى الخطر هو حاصل ضرب الاحتمال في الأثر، فينتج رقماً من ١ إلى ١٦ موزّعاً على أربع درجات.

ثمة تفصيل يسهل أن يفوت. فضرب رقمين من واحد إلى أربعة لا ينتج إلا تسع قيم — ١ و٢ و٣ و٤ و٦ و٨ و٩ و١٢ و١٦ — ولهذا تبدو الدرجات كأنها تقفز فوق أرقام. ويعني ذلك أيضاً أن «كارثي» لا يُبلَغ إلا حين يكون الاحتمال والأثر كلاهما في أعلى مقياسيهما. وأغلب مخاطر المساعد الحقيقية ستقع في المتوسط أو المرتفع، والعمل المفيد هو الحسم بينهما.

والتفصيل الثاني هو الانضباط. اكتبوا لماذا اخترتم كل احتمال. فـ«غير مرجّح» المدعوم بسجلات شهر ومجموعة اختبار دليل، و«غير مرجّح» لأن المورّد قال ذلك تخمين — ومرحلة المتابعة موجودة تحديداً لكشف التخمينات التي يتبيّن خطؤها.

ربط المراحل بضوابط المساعد الذكي

يضع الإطار المنهج لكنه لا يحدّد الضوابط التي تُركَّب. والجدول التالي ترجمتنا لكل مرحلة إلى ضوابط وأدلّة لجهة تركّب مساعداً ذكياً.

صفّان يستحقّان التشديد. فمخطط تدفّق البيانات في الصف الأول هو أنفع ما ينتج عن التمرين كله، لأن كل مرحلة لاحقة تعتمد عليه. وصفّ المعالجة هو حيث تحسم البنية التقنية الكثير: فالخطر الذي يمكن تجنّبه بالتصميم لا يحتاج إلى تخفيف ولا مراقبة ولا تبرير.

سجلّ مخاطر أوّلي لمساعد ذكي

تطبيق الفئات السبع على مساعد يخدم العملاء أو الموظفين ينتج مسودة أولى متوقَّعة إلى حدّ بعيد. وهي نقطة بداية لا سجلّ مكتمل، وتقديراتكم ستتوقّف على ما يُسمح للمساعد بفعله.

معالجة كثير من هذه المخاطر أرخص في مرحلة التصميم منها بعدها. وعلى هذا الشكل بنينا «إلبي»: إجابات من المواد المعتمدة للجهة وحدها عبر الاسترجاع، وحجب البيانات الشخصية في النواة، والتحويل إلى موظف وحدةً أساسية لا إضافة لاحقة. وأيّاً كان اختياركم، فليسجّل السجلّ أيّ المخاطر يزيلها تصميمكم وأيّها يكتفي بتقليصها.

تدفّق البيانات والسجلات وأسئلة المورّد

تدفّق البيانات. إذا كانت الإجابة عن سؤال تتطلّب استدعاء نموذج مستضاف خارج بيئتكم، فتلك المحطة تخصّ مرحلة السياق، وفئة الخصوصية، وربما تحليلاً لنقل البيانات خارج المملكة بموجب لوائح نظام حماية البيانات. وكثير من الجهات لا تكتشف هذه المحطة إلا حين ترسم المخطط. شرحنا الفرق المعماري في الذكاء الاصطناعي السيادي مقابل السحابي.

السجلات. مرحلة المتابعة تحتاج إلى سجلات، وسجلات المحادثات هي نفسها بيانات شخصية. والحلّ ليس التوقّف عن التسجيل، بل الحسم مسبقاً فيما يُسجَّل وأين ولكم من الوقت ومن يطّلع عليه، وهل تُحجب المعرّفات أولاً. ودوّنوا هذا القرار في السجلّ ضابطاً قائماً بذاته.

الإشراف البشري. يتمحور مبدأ الإنسانية في الإطار حول إبقاء القرار بيد الإنسان، وتسأل مرحلة السياق عن مواضع التدقيق البشري. وفي المساعد الذكي يعني ذلك محفّزات مسمّاة للتحويل — ضعف الثقة، والمواضيع الحساسة، والشكاوى، والطلبات التي لا يُخوَّل المساعد تلبيتها — وشخصاً مسؤولاً عن مراجعة ما جرى بعد ذلك.

كل إجابة تجد مكانها مباشرة في إحدى مراحل الإطار. والمورّد الذي يجيب عنها كتابةً يكون قد كتب لكم جزءاً من سجلّكم.

حدود هذا المقال بصدق

لم نتمكّن من الوصول إلى النص الكامل للإطار من سدايا مباشرة. فتفاصيل الإطلاق والمبادئ والفئات المستهدفة والمثال التطبيقي مأخوذة من تقارير وكالة الأنباء السعودية في يوليو ٢٠٢٦، أما المصفوفة وفئات المخاطر السبع والركائز المرجعية وخيارات المعالجة فمن التعليق القانوني المنشور على الوثيقة، ويذكر ملخّص لأحد المورّدين أن النص العربي هو المعتمد. وتختلف التغطية في عدد مراحل الدورة بين أربع وخمس. وإن كانت الدقّة مهمّة فاقرؤوا الإطار نفسه.

ولم نجد كذلك إصداراً مستقلاً للإطار في أواخر سبتمبر ٢٠٢٦؛ فالأحداث التي أمكن التحقّق منها وقعت في أبريل ويوليو. وجداول الربط تفسيرنا نحن لا تفسير سدايا، وقد تنتظر الجهات المنظِّمة القطاعية أكثر مما يطلبه الإطار الوطني. ونحن نبني مساعداً ذكياً، فلنا مصلحة في الموضوع — ولهذا اكتفينا بجملتين عن المنتج، وبأسئلة ينبغي أن توجّهوها إلينا أيضاً. ولا شيء هنا استشارة قانونية.

المصادر

1. سدايا تطلق الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي ليكون مرجعاً إرشادياً للجهات الحكومية والخاصة — Saudi Press Agency, via Al-Madina, ١٤ يوليو ٢٠٢٦
2. SDAIA Introduces National Framework for Managing AI Risks — Saudi Press Agency, via Riyadh Daily, ١٤ يوليو ٢٠٢٦
3. سدايا تطلق الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي — Al-Watan, ١٤ يوليو ٢٠٢٦
4. سدايا تستعرض الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي بمشاركة 45 جهة حكومية وخاصة — Saudi Press Agency, via Al-Madina, ٣٠ يوليو ٢٠٢٦
5. What Saudi Arabia's AI Risk Management Framework means for organisations — Gowling WLG, ٢٢ يوليو ٢٠٢٦
6. Saudi Arabia issues Implementing Regulations to the Personal Data Protection Law — Clyde & Co, ٨ سبتمبر ٢٠٢٣
7. Saudi Arabia: SDAIA publishes AI Ethics Principles — DataGuidance, ١٤ سبتمبر ٢٠٢٣
8. SDAIA unveils guidelines on generative AI safe use — Argaam / Mubasher, ١٤ يناير ٢٠٢٤
9. SDAIA Launches AI Framework to Promote Ethical, Responsible Use of Advanced Technologies in Saudi Arabia — Riyadh Daily, ١ ديسمبر ٢٠٢٤
10. Published: SDAIA AI Adoption Framework — Digital Policy Alert, ١٢ سبتمبر ٢٠٢٤

أسئلة متكررة

اقرأ أيضاً

الخصوصية والامتثال٢١ سبتمبر ٢٠٢٦١٥ دقيقة قراءة

أخلاقيات الذكاء الاصطناعي في السعودية: ماذا يعني منتدى اليونسكو العالمي في الرياض للمؤسسات

استضافت الرياض في سبتمبر ٢٠٢٦ المنتدى العالمي الرابع لأخلاقيات الذكاء الاصطناعي. هنا ما أُطلق فعلاً، وما يطلبه إطارا اليونسكو وسدايا، وكيف يتحوّل كل مبدأ منها إلى ضابط تصميم ملموس يمكن اختباره في المساعد الذكي.

اقرأ المقالالخصوصية والامتثال٦ أغسطس ٢٠٢٦١٣ دقيقة قراءة

حماية البيانات الشخصية وروبوتات الدردشة: ما يجب أن تصيبه الشركات السعودية

المساعد الذي يحادث العملاء نشاط معالجة لبيانات شخصية سواء وصفه أحد بذلك في خطّة المشروع أو لم يصفه. وأغلب العمل قرارات تصميم تُتّخذ مبكرًا ورخيصًا، قبل أن يُبنى شيء.

اقرأ المقالدليل الشراء٨ أكتوبر ٢٠٢٦١٥ دقيقة قراءة

منطقة Microsoft Azure في السعودية: ماذا يعني افتتاح نوفمبر للذكاء الاصطناعي المحلي وإقامة البيانات

تقول مايكروسوفت إن منطقتها السحابية «شرق السعودية» تُتاح للعملاء في نوفمبر ٢٠٢٦. إليك ما أُعلن فعلاً، وما الذي تغيّره منطقة داخل المملكة في إقامة البيانات، وما الذي لا تحسمه بشأن مكان تشغيل نماذج الذكاء الاصطناعي.

اقرأ المقال