دليل BaFin الإرشادي للذكاء الاصطناعي: ما ينبغي للبنوك وشركات التأمين تطبيقه الآن بشأن مخاطر تقنية المعلومات والاتصالات بموجب DORA
6 أكتوبر 2026
ما الذي نشرته BaFin
في 18 ديسمبر 2025 نشرت BaFin «إرشادات بشأن مخاطر تقنية المعلومات والاتصالات عند استخدام الذكاء الاصطناعي في المؤسسات المالية» — في 38 صفحة، صادرة عن الوحدة CTF 5 في قسم المخاطر السيبرانية والتكنولوجيا في القطاع المالي. وتبعتها النسخة الإنجليزية «Guidance on ICT Risks in the Use of AI at Financial Entities» (تاريخ الإصدار 23 يناير 2026) في 30 يناير 2026. وهذه الإرشادات صراحةً مساعدة غير ملزمة: فهي لا تحدد توقعات رقابية وليست تفسيرًا ملزمًا لـ DORA. وتستهدف بالأساس مؤسسات CRR وشركات التأمين الخاضعة لـ Solvency II التي تطبق إدارة مخاطر تقنية المعلومات والاتصالات وفق المواد 5 إلى 15 من DORA؛ أما الإطار المبسط وفق المادة 16 من DORA فليس موضوعها. وهي مقسمة إلى ستة فصول ودراسة حالة حول تشغيل مساعد ذكاء اصطناعي قائم على LLM.
لماذا يهم ذلك الآن تحديدًا
تسري DORA منذ 17 يناير 2025؛ وأُلغيت منذ ذلك الحين KAIT وVAIT وZAIT، ولم تعد BAIT تسري على مؤسسات DORA أيضًا — وتُلغى بالكامل بانتهاء 31 ديسمبر 2026. وبذلك أصبحت DORA المعيار لتقنية المعلومات في هذه المؤسسات — بما في ذلك الذكاء الاصطناعي. وبالتوازي، أصبحت BaFin منذ 29 يوليو 2026 بموجب KI-MIG سلطة مراقبة السوق لأنظمة الذكاء الاصطناعي المرتبطة مباشرة بالنشاط المالي المنظَّم (المادة 2 الفقرة 3 من KI-MIG)؛ أما التزامات المخاطر العالية وفق الملحق III من لائحة الذكاء الاصطناعي — مثل تقييم الجدارة الائتمانية للأشخاص الطبيعيين — فتسري بعد التأجيل بموجب اللائحة (EU) 2026/1744 اعتبارًا من 2 ديسمبر 2027. ولا تتناول الإرشادات التزامات لائحة الذكاء الاصطناعي، بل تقتصر على مخاطر تقنية المعلومات والاتصالات في ظل DORA: فهي توضح كيف يمكن تطبيق متطلبات DORA القائمة على أنظمة الذكاء الاصطناعي التي تستخدمها المؤسسات المالية، وفق BaFin، اليوم بالفعل على امتداد سلسلة القيمة بأكملها.
الجوهر: نظام الذكاء الاصطناعي هو تقنية معلومات واتصالات — على امتداد دورة الحياة
تتبنى BaFin مفهوم نظام الذكاء الاصطناعي من المادة 3 البند 1 من لائحة الذكاء الاصطناعي، وتصنّف أنظمة الذكاء الاصطناعي كحالة فرعية من أنظمة الشبكات والمعلومات وفق المادة 3 البند 2 من DORA؛ ويُعد النموذج ذاته أصلًا من أصول تقنية المعلومات والاتصالات. ويترتب على ذلك أن أنظمة الذكاء الاصطناعي تنتمي إلى إطار إدارة مخاطر تقنية المعلومات والاتصالات القائم (المادة 6 من DORA)، وإلى جرد الأصول (المادة 8 الفقرة 4 من DORA)، و— متى وفّرتها أطراف ثالثة — إلى إدارة مخاطر الأطراف الثالثة لتقنية المعلومات والاتصالات (المادة 28 من DORA). ولا تُنظر المخاطر على امتداد سلسلة القيمة، بل على امتداد دورة حياة الذكاء الاصطناعي، لأنها تنشأ من الدمج في بيئة تقنية المعلومات والاتصالات. والمبدأ التوجيهي هو التناسب وفق المادة 4 من DORA: فالذكاء الاصطناعي في الوظائف الحرجة أو المهمة يحتاج إلى إجراءات أمن ورقابة أكثر من مساعد خدمة ذاتية تحت إشراف بشري كامل دون مشاركة في القرار. وملاحظة عملية من الفصل III: إذا دمج تطبيق ما نماذج ذكاء اصطناعي خارجية عبر API، فقد يصبح هو نفسه نظام ذكاء اصطناعي.
الحوكمة وإطار إدارة المخاطر والتطوير والاختبار
تقع المسؤولية النهائية عن مخاطر تقنية المعلومات والاتصالات على هيئة الإدارة (المادة 5 الفقرة 2 البند a من DORA)؛ ويحافظ أعضاؤها بنشاط على معارف ومهارات كافية ومحدّثة (المادة 5 الفقرة 4)، ويُدرَّب الموظفون بما يتناسب مع مهامهم (المادة 13 الفقرة 6). وتصف BaFin استراتيجية الذكاء الاصطناعي المعتمدة من هيئة الإدارة بأنها ممارسة شائعة. وتنتمي الثغرات الخاصة بالذكاء الاصطناعي في التدريب وخطوط البيانات والاستدلال إلى تحديد المخاطر (المادة 8 من DORA)، ويجب مراجعة الإطار سنويًا على الأقل (المادة 6 الفقرة 5 من DORA). وفيما يخص التطوير والاختبار، تستند الإرشادات بشكل شبه كامل إلى RTS RMF: إدارة المشاريع، والمواصفات مع الحماية من التلاعب، وإدارة التغيير، والاختبارات قبل الإطلاق في الإنتاج بنطاق يتناسب مع درجة الحرجية (المواد 15 إلى 17 من RTS RMF). وتسري المتطلبات على الحوسبة لدى المستخدم النهائي (IDV) أيضًا على أساس المخاطر (المادة 16 الفقرة 9 من RTS RMF)، ووفق BaFin تخضع الشيفرة المولَّدة بالذكاء الاصطناعي للقواعد نفسها التي تخضع لها الشيفرة البشرية. وتذكر BaFin، بحسب درجة الحرجية، الاختبار العدائي (Adversarial Testing) واختبارات الاختراق العدائية واختبارات الضغط كممارسة مفيدة — وتعدّ التغييرات غير المعلنة في النماذج المستمدة من أطراف ثالثة تحديًا خاصًا للاختبار.
التشغيل والسحابة والأطراف الثالثة
في التشغيل، تشترط DORA سياسة وإجراءات لإدارة أصول تقنية المعلومات والاتصالات (المادة 8 الفقرة 4 من DORA بالاقتران مع المادتين 4 و5 من RTS RMF)؛ وتشمل الإرشادات صراحةً بيانات التدريب وتطبيقات النماذج والمكتبات والأجهزة. ومن الإلزامي وفق المادة 10 من RTS RMF إجراء فحوصات آلية للثغرات وتحديد مهل للتصحيحات؛ وللوظائف الحرجة أو المهمة توصي BaFin بعتبات ومؤشرات للسلوك الخاطئ. ولأن أنظمة الذكاء الاصطناعي تُشغَّل كثيرًا في السحابة، ينقل الفصل IV.2 جوانب من الإشعار الرقابي بشأن الإسناد الخارجي إلى مزودي السحابة الصادر في 1 فبراير 2024 إلى الذكاء الاصطناعي: تقييم المخاطر والعناية الواجبة قبل إبرام العقد (المادة 28 الفقرة 4 من DORA) — بما في ذلك تغييرات النماذج من قبل المزود —، والشفافية بشأن المتعاقدين من الباطن مثل مزارع GPU أو مكتبات التعلم الآلي (المادتان 29 و30 من DORA)، واتفاقيات مستوى الخدمة (SLA) بشأن زمن الاستجابة والقدرة الحاسوبية، واستراتيجية خروج تتضمن نماذج وبيانات تدريب وإعدادات قابلة للتصدير. وفيما يخص الإيقاف النهائي، ترى BaFin أن من المفيد وضع قواعد لإزالة النماذج بشكل لا رجعة فيه وتعطيل الإصدارات القديمة.
الأمن السيبراني وأمن البيانات والإبلاغ عن الحوادث
تنتمي أنظمة الذكاء الاصطناعي إلى سياسات أمن تقنية المعلومات والاتصالات (المادة 9 الفقرة 2 من DORA). ومن الإلزامي، ضمن أمور أخرى، بنية شبكية مجزأة وفق درجة الحرجية (المادة 13 من RTS RMF)، والتشفير وإدارة المفاتيح على أساس تصنيف البيانات (المادتان 6 و7 من RTS RMF). وتذكر BaFin كممارسات مجرّبة إضافية جدران حماية تطبيقات الويب (WAF) وبوابات API، ونهج انعدام الثقة (Zero Trust) للوصول إلى خدمات الذكاء الاصطناعي، ومنع فقدان البيانات (DLP)، وتوقيع النماذج، والحماية من هجمات الحقن والحمل الزائد. ووفق BaFin، فإن الأساس الأهم للمعالجة الآمنة للبيانات هو تصنيفها حسب السرية والسلامة والتوافر. ويجب تسجيل الحوادث في أنظمة الذكاء الاصطناعي كحوادث متعلقة بتقنية المعلومات والاتصالات وتحديد أسبابها (المادة 17 من DORA)؛ ويجب الإبلاغ عن الحوادث الجسيمة (المادة 19 من DORA). وتوصي BaFin إضافة إلى ذلك بوسم الحوادث المتعلقة بالذكاء الاصطناعي وإجراء تحليل مفصل للأسباب الجذرية بعدها، لمعالجة الثغرات المنهجية في نماذج الذكاء الاصطناعي وعملياته. ويبيّن تقييم BaFin لبلاغات DORA مدى أهمية الأطراف الثالثة عمومًا: إذ يعود نحو نصف الحوادث الـ 733 المتعلقة بتقنية المعلومات والاتصالات المبلَّغ عنها في عام 2025 إلى مشكلات لدى أطراف ثالثة — ولا توجد أرقام خاصة بالذكاء الاصطناعي.
دراسة الحالة: مساعد ذكاء اصطناعي واحد وثلاثة أنواع من البنية التحتية
تستعرض دراسة الحالة مساعد ذكاء اصطناعي قائمًا على LLM للنصوص ورسائل البريد الإلكتروني والعروض التقديمية — في ست مراحل من الحصول على البيانات حتى الإيقاف النهائي، وبثلاثة أنواع: محلي (On-Premise) مع تحكم كامل، لكن مع جميع مخاطر التطوير والتشغيل والصيانة؛ وسحابة ضمن المستأجر (Tenant) الخاص مع خطر رئيسي يتمثل في الاعتماد على مشغّل النموذج ما لم يُستخدم نموذج مفتوح المصدر؛ وسحابة خارج المستأجر الخاص، مثل LLM عبر API أو مساعد ذكاء اصطناعي ضمن برمجيات قياسية. وفي النوع الثالث تغادر البيانات المستأجر وتتدفق إلى مزود النموذج — ووفق دراسة الحالة ينبغي مواجهة ذلك تعاقديًا وتقنيًا، مثلًا بقيود على الرفع، أو بـ Governance Shield يفحص المدخلات بحثًا عن محتوى سري، أو بتقليل مشاركة البيانات. مهم: إجراءات دراسة الحالة أمثلة صراحةً وليست توقعات رقابية. توصيتنا: ابدؤوا بجرد وظائف الذكاء الاصطناعي في البرمجيات القياسية مثل Microsoft 365 Copilot، لأنه وفق دراسة الحالة يتم أحيانًا استدعاء مثل هذه المساعدات دون علم المستخدمين — والإرشادات نفسها لا تذكر أي منتجات.
ما نشرناه بهذا الشأن
تجعل صفحتنا المعرفية الجديدة الصفحات الـ 38 قابلة للتطبيق العملي، وتفصل باستمرار بين الالتزام النابع من DORA وRTS، والممارسة وفق الإرشادات، وتوصية VamiSec. ويبيّن فحص النطاق عمق الرقابة المناسب لنظام الذكاء الاصطناعي لديكم. ويقودكم مستكشف دورة الحياة عبر ست مراحل وموضوعين شاملين مع المخاطر والمرتكزات القانونية وأسئلة التدقيق وأدلة الإثبات. ويعرض مختبر الأنواع أنواع البنية التحتية الثلاثة كتدفق بيانات ويوضح عبر إشارات ضوئية كيف نصنّف الأنواع حسب فئة البيانات. ويتيح مستكشف المراجع الوصول إلى جميع المراجع الـ 97 وفق إحصائنا. ويحدد فحص مرونة الذكاء الاصطناعي، عبر ما يصل إلى 31 سؤالًا في سبعة مجالات عمل، مستواكم المستهدف وفق ملفكم، ويبيّن أكبر الفجوات وخارطة طريق لـ 30/90/180 يومًا. وإلى جانب ذلك تتوفر الورقة البيضاء المؤلفة من 50 صفحة «الذكاء الاصطناعي في ظل DORA لمسؤولي أمن المعلومات» مع 30 سؤال تدقيق ومصفوفة أدلة إثبات وخارطة طريق لـ 12 شهرًا.
جميع الروابط
الصفحة المعرفية حول إرشادات BaFin: https://vamisec.com/de/wissen/grc/bafin-orientierungshilfe-ki-ikt-risiken · فحص مرونة الذكاء الاصطناعي: https://vamisec.com/de/wissen/grc/bafin-orientierungshilfe-ki-ikt-risiken#ki-check · اطلبوا الورقة البيضاء «الذكاء الاصطناعي في ظل DORA لمسؤولي أمن المعلومات»: https://vamisec.com/de/wissen/grc/bafin-orientierungshilfe-ki-ikt-risiken#whitepaper · الصفحة المعرفية حول DORA: https://vamisec.com/de/wissen/grc/dora · إعلان BaFin بتاريخ 18 ديسمبر 2025: https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Meldung/2025/meldung_2025_12_18_orientierungshilfe_ikt_risiken.html · الإرشادات (بالألمانية): https://www.bafin.de/SharedDocs/Downloads/DE/Anlage/dl_Anlage_orientierungshilfe_IKT_Risiken_bei_KI.html
هل لديكم أسئلة حول أمن تقنية المعلومات في مؤسستكم؟
استشارة أولية مجانية →