ما الذي يطلبه معيار ISO/IEC 42001 من مؤسستكم؟

تواجه مجالس الإدارة واللجان التنفيذية في دول الخليج سؤالاً جديداً: هل تستطيعون إثبات أن استخدامكم للذكاء الاصطناعي يخضع للحوكمة؟ ويُعد ISO/IEC 42001، الصادر في ديسمبر 2023، أول معيار دولي لنظم إدارة الذكاء الاصطناعي، وهو يتحول سريعاً إلى المرجع للإجابة عن هذا السؤال. يشرح هذا المقال بلغة واضحة ما يتطلبه المعيار فعلياً من القيادات في الجهات الحكومية والمصارف والمؤسسات المماثلة.

ما هو المعيار

يحدد ISO/IEC 42001 متطلبات نظام إدارة الذكاء الاصطناعي (AIMS). ويتبع الهيكل نفسه لمعايير نظم الإدارة التي تعرفها معظم المؤسسات، مثل ISO 27001 لأمن المعلومات وISO 9001 للجودة. وهذه الألفة مهمة: فإذا سبق لمؤسستك تشغيل نظام إدارة معتمد، ستجد منهجية ISO 42001 مألوفة، رغم أن موضوعه جديد.

المعيار قابل للاعتماد، إذ يمكن تدقيق المؤسسة وفقه من جهة مستقلة، ولهذا تتعامل معه الجهات التنظيمية ومجالس الإدارة وكبار العملاء بصورة متزايدة بوصفه دليلاً لا مجرد نية.

ما الذي يتطلبه من القيادة

يقع المتطلب الأول والأثقل على القيادة. إذ يتوقع المعيار من الإدارة العليا تحديد سياسة للذكاء الاصطناعي، وتوزيع أدوار ومسؤوليات واضحة بشأنه، وتخصيص الموارد لحوكمته. لا يمكن أن تبقى حوكمة الذكاء الاصطناعي داخل إدارة تقنية المعلومات وحدها، فإذا كانت المؤسسة تستخدم الذكاء الاصطناعي في قرارات الائتمان أو الخدمات المقدمة للمواطنين أو العمليات، يجب أن تكون المساءلة عن سلوكه واضحة على أعلى مستوى.

ما الذي يتطلبه من المؤسسة

ودون مستوى القيادة، يتطلب المعيار عدداً محدوداً من الممارسات تُطبَّق باتساق:

اعرف ذكاءك الاصطناعي. احتفظ برؤية واضحة للمواضع التي يُستخدم فيها الذكاء الاصطناعي في المؤسسة، سواء طُوّر داخلياً أو اشتُري من مورّدين أو كان مدمجاً في منتجات أخرى. وتكتشف معظم المؤسسات خلال هذا التمرين أن لديها ذكاءً اصطناعياً قيد التشغيل أكثر مما كانت تعتقد.

قيّم المخاطر والأثر. قيّم لكل نظام ذكاء اصطناعي مهم المخاطر على المؤسسة والأثر على المتأثرين به: العملاء والمواطنين والموظفين. ويُعد تقييم أثر الذكاء الاصطناعي من السمات التي تميّز ISO 42001 عن المعايير السابقة، وهو ينسجم بصورة طبيعية مع توقعات الجهات التنظيمية في الإمارات والسعودية.

احكم دورة الحياة. حدّد كيف تُعرَّف متطلبات أنظمة الذكاء الاصطناعي وتُطوَّر أو تُشترى وتُختبر وتُشغَّل وتُراقَب وتُوقف. وتنتمي متطلبات الرقابة البشرية وجودة البيانات والشفافية إلى دورة الحياة هذه، لا إلى مراحل لاحقة.

حسّن باستمرار. مثل كل معايير نظم الإدارة، يعمل ISO 42001 وفق دورة التخطيط والتنفيذ والتحقق والتصحيح. فتعود الحوادث ونتائج التدقيق والمتابعة لتغذي السياسة والضوابط. ويتضمن المعيار أيضاً ملحقاً بضوابط مرجعية تختار منها المؤسسات وتبرر اختيارها، على غرار قائمة الضوابط في ISO 27001.

لماذا يهم الآن في الخليج

يجعل السياق الإقليمي المعيار أكثر أهمية هنا من أي مكان آخر تقريباً. فالاستراتيجية الوطنية للذكاء الاصطناعي 2031 في الإمارات ترسم مساراً وطنياً لتبني الذكاء الاصطناعي في الحكومة والقطاعات ذات الأولوية، وأصدرت سدايا في المملكة إرشادات تتوقع استخداماً مسؤولاً ومحوكماً للذكاء الاصطناعي. والمؤسسات التي تتبنى الذكاء الاصطناعي أسرع مما تحوكمه تراكم فجوة بين ما تشغّله وما تستطيع إثباته. ويُعد ISO 42001 الطريق الأكثر مباشرة لسدّ هذه الفجوة بشيء قابل للتدقيق.

كيف يتكامل مع ISO 27001 وISO 20000 وISO 22301

تمتلك معظم المؤسسات الجادة في تطبيق ISO 42001 شهادة واحدة أو أكثر من شهادات نظم الإدارة المعروفة، وهذه ميزة لا تعقيد. فالمعايير الأربعة تشترك في الهيكل الموحّد نفسه، ببنود مشتركة للسياق والقيادة والتخطيط والدعم والتشغيل والتحسين، ولذلك يمكن بناء نظام إدارة الذكاء الاصطناعي امتداداً للنظام المتكامل الذي تشغّله بالفعل بدلاً من بيروقراطية موازية.

ISO 27001، أمن المعلومات. تستهلك أنظمة الذكاء الاصطناعي معلومات حساسة وتنتجها، ولذلك تشكّل الضوابط الأمنية التي تطبقها مؤسستك أساس أي استخدام موثوق للذكاء الاصطناعي. ويتكامل تقييم أثر الذكاء الاصطناعي الذي يتطلبه ISO 42001 مع تقييم المخاطر في 27001، وتجري المؤسسات الناضجة الاثنين تمريناً واحداً بسجل واحد.

ISO 20000، إدارة خدمات تقنية المعلومات. نظام الذكاء الاصطناعي في مرحلة التشغيل خدمة حية. وممارسات إدارة التغيير والحوادث والتوافر في 20000 هي تحديداً ما يحافظ على استقرار النماذج المشغّلة، وتوسيعها لتشمل خدمات الذكاء الاصطناعي أسهل بكثير من ابتكار عمليات تشغيلية جديدة من الصفر.

ISO 22301، استمرارية الأعمال. عندما تعتمد الخدمات الحرجة على الذكاء الاصطناعي، يصبح تعطل النماذج وانقطاع مسارات البيانات وتوقف المورّدين سيناريوهات للاستمرارية. ويمتد تحليل الأثر وتخطيط الاستمرارية في 22301 ليشملها، فيُخطَّط للاعتماد على الذكاء الاصطناعي مسبقاً بدلاً من اكتشافه أثناء الحادث.

والأثر العملي هو برنامج تدقيق متكامل واحد ووثائق مشتركة ومنتدى حوكمة واحد بدلاً من أربعة. وبالنسبة إلى المؤسسات المعتمدة بالفعل، عادةً ما تكون رحلة ISO 42001 أقصر مما تتوقع.

من أين تبدأ

نقطة البداية العملية ليست إعداد الوثائق، بل قراءة صادقة لموقع المؤسسة اليوم: أي ذكاء اصطناعي قيد الاستخدام، ومن يملكه، وما الحوكمة القائمة، وأين الفجوات. وتخبرك هذه القراءة ما إذا كان تبني ISO 42001 جهداً لستة أشهر أم لعامين، وأي الفجوات تستحق الاهتمام أولاً.

تخطط لبرنامج في الذكاء الاصطناعي؟ تقدّم AY&R استشارات الذكاء الاصطناعي في دول الخليج، من تقييم الجاهزية واستراتيجية حالات الاستخدام إلى حوكمة الذكاء الاصطناعي والتنفيذ.