كيفية إجراء تقييم فجوة حوكمة الذكاء الاصطناعي في 5 خطوات

يقارن تقييم فجوات حوكمة الذكاء الاصطناعي بين كيفية قيام مؤسستك ببناء وشراء واستخدام الذكاء الاصطناعي اليوم وبين إطار مرجعي، عادةً ISO/IEC 42001، ومع القوانين التي تنطبق عليك، مثل قانون الذكاء الاصطناعي للاتحاد الأوروبي. والنتيجة هي قائمة مرتبة بالسياسات والأدوار والضوابط والأدلة المفقودة، وخارطة طريق لسد هذه الفجوات.

هذا الدليل مخصص للمؤسسين، وقادة العمليات، وفرق الامتثال والأمن والبيانات في الشركات التي تستخدم الذكاء الاصطناعي في منتجاتها أو عملها اليومي. وهو يغطي ما يجب التقييم بناءً عليه، والخطوات الخمس، والفجوات النموذجية، والمدة التي يستغرقها العمل.

ما هو تقييم فجوات حوكمة الذكاء الاصطناعي؟

إنه مقارنة منظمة بين الممارسة الحالية والهدف. الهدف هو مجموعة من المتطلبات: بنود معيار نظام إدارة الذكاء الاصطناعي، والضوابط التي تقرر تطبيقها، والالتزامات القانونية التي تتوافق مع دورك وحالات استخدام الذكاء الاصطناعي الخاصة بك. لكل متطلب، تقوم بتسجيل ما هو موجود، وما هو الدليل الذي يثبته، وما هو مفقود.

تقييم الفجوات ليس تدقيقاً. لا أحد يمنح درجة نجاح أو رسوب. وظيفته هي توضيح وضعك الحالي وما يجب القيام به أولاً، لذا فهو يعمل بشكل أفضل عندما يصف الأشخاص الحالة الواقعية للأمور بدلاً من الحالة المأمولة.

ما ستحصل عليه في النهاية

• جرد لأنظمة الذكاء الاصطناعي المشمولة، مع تحديد المالكين وملاحظات المخاطر
• قائمة متطلبات مصنفة، مع إرفاق الأدلة لكل منها أو توضيح سبب فقدانها
• قائمة أولويات للفجوات وخارطة طريق مرحلية مع تحديد المسؤولين والتواريخ

لماذا يجب إجراء تقييم الآن؟

ثلاثة أمور تجعل هذا الوقت مناسباً لتقييم الوضع.

• قانون الذكاء الاصطناعي للاتحاد الأوروبي يُطبق على مراحل. دخلت حظر الممارسات المحظورة وواجب دعم محو الأمية في مجال الذكاء الاصطناعي لموظفيك (المادة 4) حيز التنفيذ منذ 2 فبراير 2025، والتزامات نماذج الذكاء الاصطناعي للأغراض العامة منذ 2 أغسطس 2025. وتطبق التزامات الشفافية الواردة في المادة 50، مثل إخبار الأشخاص عند تفاعلهم مع نظام ذكاء اصطناعي، اعتباراً من 2 أغسطس 2026، مع فترة سماح حتى 2 ديسمبر 2026، لوضع علامات قابلة للقراءة آلياً على المحتوى الناتج عن الأنظمة التوليدية الموجودة بالفعل في السوق. وقد نقل القانون الرقمي الشامل بشأن الذكاء الاصطناعي، اللائحة (الاتحاد الأوروبي) 2026/1744، التزامات الاستخدامات عالية المخاطر المدرجة في الملحق الثالث إلى 2 ديسمبر 2027، وبالنسبة للذكاء الاصطناعي في المنتجات الخاضعة للتنظيم (الملحق الأول) إلى 2 أغسطس 2028.
• يطلب العملاء أدلة. غالباً ما تتضمن استبيانات المشتريات والأمن الآن أسئلة حول كيفية إدارة الموردين للذكاء الاصطناعي، والبيانات التي تستخدمها أدوات الذكاء الاصطناعي الخاصة بهم، ومن يقوم بالتحقق من المخرجات.
• المعايير موجودة. تحدد مواصفة ISO/IEC 42001 (2023) متطلبات نظام إدارة الذكاء الاصطناعي. وتوجه مواصفة ISO/IEC 42005 (2025) تقييمات أثر نظام الذكاء الاصطناعي، بينما تضع مواصفة ISO/IEC 42006 (2025) القواعد للهيئات التي تمنح شهادات المطابقة لمواصفة ISO/IEC 42001. وتعد مواصفة EN 18286، التي تم الاستشهاد بها في الجريدة الرسمية للاتحاد الأوروبي في أكتوبر 2026، أول معيار منسق بموجب قانون الذكاء الاصطناعي وتغطي نظام إدارة الجودة الذي يحتاجه مقدمو أنظمة الذكاء الاصطناعي عالية المخاطر.

ما الذي تقوم بتقييمه؟

تجمع معظم الشركات بين ثلاثة مراجع: بنود مواصفة ISO/IEC 42001، وضوابط الملحق (أ) الخاصة بها، والالتزامات القانونية لدورها.

البنود من 4 إلى 10 من مواصفة ISO/IEC 42001

هذه هي متطلبات نظام الإدارة: السياق والنطاق (البند 4)، القيادة وسياسة الذكاء الاصطناعي (5)، التخطيط، بما في ذلك تقييم مخاطر الذكاء الاصطناعي، ومعالجة المخاطر، وتقييم تأثير نظام الذكاء الاصطناعي (6)، الدعم، بما في ذلك الكفاءة والوعي والمعلومات الموثقة (7)، التشغيل (8)، تقييم الأداء، بما في ذلك التدقيق الداخلي ومراجعة الإدارة (9)، والتحسين (10). إذا كنت تهدف إلى الحصول على الشهادة، فإن كل بند من هذه البنود ينطبق عليك.

ضوابط الملحق أ (Annex A) لمعيار ISO/IEC 42001

يسرد الملحق أ 38 ضابطاً مرجعياً ضمن تسعة أهداف. أنت تقرر أي منها ينطبق وتسجل كل قرار، مع أسبابه، في بيان القابلية للتطبيق.

• أ.2 السياسات المتعلقة بالذكاء الاصطناعي (3 ضوابط)
• أ.3 التنظيم الداخلي (2)
• أ.4 موارد أنظمة الذكاء الاصطناعي (5)
• أ.5 تقييم تأثيرات أنظمة الذكاء الاصطناعي (4)
• أ.6 دورة حياة نظام الذكاء الاصطناعي (9)
• أ.7 بيانات أنظمة الذكاء الاصطناعي (5)
• أ.8 معلومات الأطراف المعنية بأنظمة الذكاء الاصطناعي (4)
• أ.9 استخدام أنظمة الذكاء الاصطناعي (3)
• أ.10 علاقات الطرف الثالث والعملاء (3)

الالتزامات القانونية لدورك

بموجب قانون الذكاء الاصطناعي للاتحاد الأوروبي، تعتمد الالتزامات على دورك وعلى مخاطر كل حالة استخدام. يقوم الموفر بتطوير نظام ذكاء اصطناعي أو طرحه في السوق باسمه الخاص؛ بينما يستخدم المشغل نظام ذكاء اصطناعي تحت سلطته الخاصة. معظم الشركات هي مشغلة لأدوات مثل مساعدي الدردشة، وأدوات الكتابة، وميزات الذكاء الاصطناعي في أنظمة إدارة علاقات العملاء (CRM) الخاصة بها، وبعضها أيضاً موفر لميزات الذكاء الاصطناعي في منتجاتها الخاصة. امنح كل نظام في مخزونك دوراً وفئة مخاطر أولية: محظور، عالي المخاطر، خاضع لالتزامات الشفافية، أو منخفض المخاطر.

يعد إطار عمل إدارة مخاطر الذكاء الاصطناعي الخاص بالمعهد الوطني للمعايير والتقنية (NIST)، بوظائفه المتمثلة في الحوكمة، والتعيين، والقياس، والإدارة، أداة مفيدة للمراجعة المتقاطعة، خاصة إذا كنت تبيع أيضاً في الولايات المتحدة.

الخطوة 1: تحديد النطاق وجرد أنظمة الذكاء الاصطناعي الخاصة بك

حدد وحدات الأعمال والمنتجات والمواقع وأنظمة الذكاء الاصطناعي المشمولة في النطاق. النطاق الضيق والمحدد جيداً أسهل في التقييم، ولاحقاً في الاعتماد. ثم قم ببناء المخزون، لأن كل خطوة لاحقة تعتمد عليه.

ما يجب تسجيله لكل نظام ذكاء اصطناعي

• الاسم والغرض ومالك العمل
• دورك: مزود، أو ناشر، أو كلاهما
• المصدر: تم بناؤه داخلياً، أو تم شراؤه، أو ميزة ذكاء اصطناعي داخل أداة أخرى
• البيانات المستخدمة، خاصة البيانات الشخصية أو السرية
• الأشخاص المتأثرون والقرارات التي تساهم المخرجات في اتخاذها
• مقدار المراجعة البشرية التي تتم قبل استخدام المخرجات
• نظرة أولية على فئة مخاطر قانون الذكاء الاصطناعي للاتحاد الأوروبي

ابحث عن الذكاء الاصطناعي الخفي (Shadow AI)

العديد من أنظمة الذكاء الاصطناعي غير مدرجة في أي قائمة: ميزات الذكاء الاصطناعي المفعلة داخل أدوات البرمجيات كخدمة (SaaS)، وإضافات المتصفح، والحسابات الشخصية على مساعدي الدردشة. اسأل كل فريق عما يستخدمه، وتحقق من تقارير النفقات وسجلات تسجيل الدخول الموحد، واقرأ ملاحظات إصدار البائعين لميزات الذكاء الاصطناعي الجديدة.

الخطوة 2: مطابقة الممارسات الحالية مع المتطلبات

راجع المتطلبات واحداً تلو الآخر. بالنسبة لكل منها، اكتب ما هو موجود حالياً وأين توجد الأدلة. تشمل الأدلة النموذجية ما يلي:

• سياسة ذكاء اصطناعي معتمدة من الإدارة العليا (البند 5.2)
• أدوار ومسؤوليات محددة للذكاء الاصطناعي، بما في ذلك من يوافق على حالة استخدام جديدة (5.3 و A.3)
• طريقة تقييم مخاطر الذكاء الاصطناعي ونتائجها (6.1.2)
• قرارات معالجة المخاطر وبيان القابلية للتطبيق (6.1.3)
• تقييمات أثر نظام الذكاء الاصطناعي على الأشخاص والمجموعات المتأثرة (6.1.4 و A.5)
• سجلات التدريب والتوعية، والتي تدعم أيضاً محو الأمية في مجال الذكاء الاصطناعي (7.2 و 7.3)
• سجلات دورة حياة الأنظمة التي تبنيها: المتطلبات، والاختبار، والموافقة على الإصدار، والمراقبة (A.6)
• سجلات جودة البيانات ومصدرها وإعدادها (A.7)
• تعليمات ومعلومات للمستخدمين والأطراف المهتمة الأخرى (A.8)
• العقود والعناية الواجبة لموردي الذكاء الاصطناعي، بما في ذلك كيفية استخدامهم لبياناتك (A.10)
• تقارير التدقيق الداخلي، ومحاضر مراجعة الإدارة، والإجراءات التصحيحية (9.2 و 9.3 و 10.2)

ثم أضف الفحوصات القانونية لدورك. بالنسبة للمنشر، يعني ذلك عادةً تدابير محو الأمية في مجال الذكاء الاصطناعي للموظفين، وإشعارات الشفافية التي تحتاجها حالات الاستخدام الخاصة بك، وبالنسبة لأي حالة استخدام عالية المخاطر، واجبات المنشر بموجب المادة 26، مثل الإشراف البشري من قبل أشخاص مدربين والاحتفاظ بالسجلات التي ينشئها النظام.

الخطوة 3: قيّم النضج بناءً على الأدلة، وليس النوايا

قم بتقييم كل متطلب على مقياس بسيط وأرفق الأدلة بالنتيجة:

• 0، لم يبدأ: لا يوجد شيء.
• 1، مخصص: يحدث أحياناً، اعتماداً على الشخص.
• 2، محدد: موثق ولكنه لا يُطبق باستمرار.
• 3، مُنفذ: يتم تطبيقه، والسجلات تثبت ذلك.
• 4، في تحسن: يتم قياسه ومراجعته وتحسينه.

كن صارماً: الممارسة التي لا تملك سجلات تحصل على درجة 1 كحد أقصى، بغض النظر عما يقوله الناس عنها. هذا يحافظ على نزاهة التقييم ويوضح بالضبط الأدلة التي سيطلبها المدقق.

إذا لم تتمكن من إظهار ذلك، سيفترض المدقق أنه غير موجود.

الخطوة 4: تحديد أولويات الفجوات حسب المخاطر والجهد

ليست كل الفجوات متساوية في الأهمية. امنح كل واحدة تقييمين: المخاطر التي تتركها مفتوحة، للأشخاص المتأثرين بأنظمة الذكاء الاصطناعي الخاصة بك وللعمل، والجهد المطلوب لسدها. ثم ارفع أولوية الفجوات المرتبطة بموعد نهائي أو مطلب تعرفه بالفعل:

• التواريخ القانونية، مثل التزامات الشفافية بموجب المادة 50، والتي تنطبق بالفعل، أو 2 ديسمبر 2027، للاستخدامات عالية المخاطر المدرجة في الملحق الثالث
• متطلبات العملاء واستبيانات الأمان
• تاريخ مستهدف للحصول على الشهادة

سد الفجوات عالية المخاطر ومنخفضة الجهد أولاً، واحترام التبعيات: المالك والسياسة يأتيان قبل الإجراءات، والجرد يأتي قبل تقييمات المخاطر والأثر.

الخطوة 5: بناء خارطة طريق مرحلية

حوّل الفجوات ذات الأولوية إلى خارطة طريق تتضمن مالكاً، وموعداً نهائياً، وتعريفاً للإنجاز لكل عنصر. يبدو التسلسل النموذجي كما يلي.

أول 30 يوماً: الأسس

• تسمية مسؤول تنفيذي خاضع للمساءلة ومجموعة عمل متعددة الوظائف.
• اعتماد سياسة الذكاء الاصطناعي وعملية بسيطة للموافقة على حالات استخدام جديدة للذكاء الاصطناعي.
• إكمال الجرد والتصنيف الأول للمخاطر.
• بدء التدريب على محو الأمية في مجال الذكاء الاصطناعي، وإضافة إشعارات الذكاء الاصطناعي حيث يتفاعل الأشخاص مع روبوتات الدردشة أو المحتوى الذي يتم إنشاؤه بواسطة الذكاء الاصطناعي.

الشهران 2 و3: المخاطر والضوابط

• الاتفاق على طريقة لتقييم المخاطر والأثر، على سبيل المثال بناءً على معايير ISO/IEC 23894 و ISO/IEC 42005، وتطبيقها على الأنظمة الأكثر خطورة أولاً.
• كتابة بيان القابلية للتطبيق.
• تحديث العقود والعناية الواجبة لموردي الذكاء الاصطناعي.
• تحديد متطلبات البيانات والاختبار والمراقبة للأنظمة التي تقوم ببنائها.

من الشهر الرابع إلى السادس وما بعده: التشغيل والإثبات

• تشغيل الضوابط والاحتفاظ بالسجلات.
• إجراء تدقيق داخلي ومراجعة إدارية.
• معالجة حالات عدم المطابقة وتتبع الإجراءات التصحيحية.
• إذا كنت ترغب في الحصول على شهادة، اختر جهة منح شهادات معتمدة. تتبع عملية منح الشهادة تدقيقاً من المرحلة الأولى والمرحلة الثانية، ثم عمليات تدقيق مراقبة سنوية.

راجع خارطة الطريق كل ربع سنة، وكلما ظهرت حالة استخدام جديدة للذكاء الاصطناعي أو مورد جديد أو قانون جديد.

الفجوات النموذجية التي يجب البحث عنها

• جرد غير مكتمل. ميزات الذكاء الاصطناعي داخل الأدوات الحالية والحسابات الشخصية مفقودة.
• سياسة بدون مالكين. المبادئ موجودة، ولكن لا أحد يوافق على حالات الاستخدام الجديدة أو يتحقق من اتباع القواعد.
• تقييمات المخاطر التي تتوقف عند الأمن. الآثار على العملاء والموظفين وغيرهم من الأشخاص لا يتم تقييمها.
• عقود الموردين التي لا تتضمن بنوداً حول الذكاء الاصطناعي. فهي لا توضح ما إذا كانت بياناتك تدرب نماذج البائع، أو كيفية الإعلان عن تغييرات النموذج، أو كيفية الإبلاغ عن الحوادث.
• الرقابة البشرية موجودة على الورق فقط. لا أحد يسجل من قام بمراجعة المخرجات ومتى.
• عدم وجود مراقبة بعد الإطلاق. لا يتم تتبع الدقة والانحراف والشكاوى.

هل يعني الحصول على شهادة ISO/IEC 42001 أنك تمتثل لقانون الذكاء الاصطناعي للاتحاد الأوروبي؟

لا. معيار ISO/IEC 42001 هو معيار دولي طوعي، والحصول على شهادة به لا يمنح بحد ذاته افتراض الامتثال لقانون الذكاء الاصطناعي. يأتي هذا الافتراض من المعايير الأوروبية المنسقة المذكورة في الجريدة الرسمية؛ حيث يغطي المعيار الأول، EN 18286، نظام إدارة الجودة الذي تتطلبه المادة 17 من مزودي أنظمة الذكاء الاصطناعي عالية المخاطر.

لا يزال المعياران متكاملين. يغطي نظام إدارة الذكاء الاصطناعي المبني على ISO/IEC 42001 الكثير من الأسس التي يتوقعها القانون: سياسة واضحة، وأدوار محددة، وتقييمات للمخاطر والأثر، وضوابط الموردين، والتدريب، والسجلات. قم ببنائه مرة واحدة وقم بمطابقته مع كل التزام، بدلاً من تشغيل برامج منفصلة.

كم يستغرق الأمر، ومن يجب أن يشارك؟

يستغرق التقييم الذاتي الأول حوالي 15 دقيقة باستخدام استبيان منظم مثل استبياننا المجاني تقييم فجوة ISO/IEC 42001. يستغرق التقييم الكامل، الذي يتضمن مقابلات ومراجعة للأدلة، بضعة أسابيع عادةً، وذلك اعتماداً على النطاق وعدد أنظمة الذكاء الاصطناعي التي تديرها.

اجعل مسؤولاً تنفيذياً واحداً مسؤولاً عن العملية، وأشرك الأقسام القانونية والامتثال، والأمن، والبيانات والهندسة، ومالك العمل لكل نظام ذكاء اصطناعي، والموارد البشرية للتدريب، والمشتريات للموردين. وقتهم هو التكلفة الرئيسية، لذا قم بإعداد الجرد وطلبات الأدلة قبل إجراء المقابلات.

إذا كان بإمكانك القيام بشيء واحد فقط هذا الشهر، فقم ببناء الجرد. تعتمد كل خطوة أخرى على معرفة أنظمة الذكاء الاصطناعي التي تمتلكها، ومن يملكها، ومن تؤثر عليه. فيما يتعلق بحماية البيانات، راجع دليلنا حول خصوصية البيانات وموافقة ملفات تعريف الارتباط.