الحوكمة والمخاطر
المراقبة المستمرة للضوابط: من التدقيق السنوي إلى الضمان الفوري
يخبرك التدقيق في نقطة زمنية أن الضابط عمل يوم اختباره. أما المراقبة المستمرة للضوابط فتخبرك ما إذا كان يعمل الآن.
أبرز النقاط
- ISO/IEC 42001، الصادر عام 2023، أول معيار قابل للاعتماد لأنظمة إدارة الذكاء الاصطناعي.
- يتبع بنية نظام الإدارة نفسها في ISO 27001، فيكون التكامل طبيعيًا.
- ابدأ بجرد للذكاء الاصطناعي — فلدى جهات كثيرة «ذكاء اصطناعي خفي» غير معروف.
- واءم مع مبادئ أخلاقيات الذكاء الاصطناعي الصادرة عن سدايا والتزامات نظام حماية البيانات الشخصية في المملكة.
ما هو ISO/IEC 42001
يحدد ISO/IEC 42001:2023 متطلبات إنشاء نظام إدارة الذكاء الاصطناعي وتطبيقه والمحافظة عليه وتحسينه المستمر. وينطبق على الجهات التي تطوّر أنظمة الذكاء الاصطناعي أو تقدمها أو تستخدمها، ويمكن اعتماده من جهات معتمدة.
ما الذي يتطلبه
- فهم سياق الجهة ودورها — مطوّر أو مقدّم أو مستخدم للذكاء الاصطناعي.
- التزام القيادة وسياسة للذكاء الاصطناعي.
- تقييم مخاطر الذكاء الاصطناعي وتقييم أثر نظام الذكاء الاصطناعي، مع مراعاة آثاره على الأفراد والمجتمع.
- ضوابط تغطي جودة البيانات والشفافية والإشراف البشري وإدارة دورة الحياة والذكاء الاصطناعي لدى الأطراف الثالثة.
- المراقبة والتدقيق الداخلي ومراجعة الإدارة والتحسين المستمر.
كيف يتكامل مع ISO 27001
يتشارك المعياران بنية أنظمة الإدارة الموحدة، لذا يمكن دمج السياسات ومنهجية المخاطر والتدقيق الداخلي ومراجعة الإدارة. وتوسّع جهات كثيرة نظام إدارة أمن المعلومات القائم لديها بدلًا من بناء نظام منفصل.
الصورة التنظيمية في المملكة
نشرت سدايا مبادئ وإرشادات لأخلاقيات الذكاء الاصطناعي، ويحكم نظام حماية البيانات الشخصية البيانات الشخصية المستخدمة في تدريب الذكاء الاصطناعي أو تشغيله. وتسأل الجهات التنظيمية القطاعية بشكل متزايد كيف تُحوكم قرارات الذكاء الاصطناعي. ويوفر إطار متوافق مع ISO 42001 طريقة منظمة لإثبات الذكاء الاصطناعي المسؤول.
خطوات أولى عملية
- ابنِ جردًا للذكاء الاصطناعي — بما في ذلك ميزات الذكاء الاصطناعي المضمّنة في أدوات SaaS والذكاء الاصطناعي التوليدي الذي يستخدمه الموظفون.
- صنّف حالات الاستخدام حسب المخاطر — فالقرارات الموجهة للعملاء ومعالجة البيانات الحساسة تستحق أكبر قدر من التدقيق.
- انشر سياسة للاستخدام المقبول للذكاء الاصطناعي التوليدي.
- عيّن الملكية لكل نظام ذكاء اصطناعي.
- أجرِ تقييمات الأثر لحالات الاستخدام عالية المخاطر.
- ادمج مخاطر الذكاء الاصطناعي في سجل المخاطر المؤسسي.
الجدول الزمني المعتاد
| المرحلة | المدة |
|---|---|
| الجرد وتقييم الفجوات | 4–6 أسابيع |
| السياسة والأدوار ومنهجية المخاطر | 6–8 أسابيع |
| الضوابط وتقييمات الأثر | 2–4 أشهر |
| التدقيق الداخلي والجاهزية للاعتماد | 1–2 شهر |
الخطوة التالية: تتضمن NAZZTEC AI GRC وحدات للخصوصية وحوكمة الذكاء الاصطناعي، ويمكن لـمستشاري الحوكمة لدينا إجراء تقييم لفجوات حوكمة الذكاء الاصطناعي.
الأسئلة الشائعة
هل ISO 42001 إلزامي؟
لا. إنه طوعي، لكنه أصبح طريقة معترفًا بها لإثبات الحوكمة المسؤولة للذكاء الاصطناعي أمام العملاء والجهات التنظيمية.
هل نحتاج إلى ISO 27001 أولًا؟
لا، لكن الجهات التي لديها نظام لإدارة أمن المعلومات يمكنها تطبيق ISO 42001 أسرع بإعادة استخدام بنيته.
هل ينطبق إذا كنا نستخدم أدوات ذكاء اصطناعي من أطراف ثالثة فقط؟
نعم. فمستخدمو أنظمة الذكاء الاصطناعي ضمن النطاق، وضوابط الموردين جزء من المعيار.
فريق التحرير في NAZZTECكتبه وراجعه ممارسون من NAZZTEC. هذه الإحاطة إرشادات عامة وليست مشورة قانونية.
