مقال متخصص في mt|medizintechnik 2.2026: كيف تؤمّن المستشفيات استخدام أنظمة الذكاء الاصطناعي عبر إدارة المخاطر
19 أكتوبر 2026
نُشر في mt|medizintechnik, العدد 2.2026
نُشر في mt|medizintechnik، العدد 2.2026
في العدد 2.2026 من المجلة المتخصصة mt|medizintechnik يصف Valeri Milke كيف تؤمّن المستشفيات استخدام أنظمة الذكاء الاصطناعي عبر إدارة المخاطر. ويحمل مقاله المنشور بالألمانية عنوان «Risikomanagement für KI-Systeme im Medizinbetrieb» (إدارة مخاطر أنظمة الذكاء الاصطناعي في المنشآت الطبية)، ويتصدّره عنوان تمهيدي هو «قرارات علاجية بواسطة الخوارزميات». ويقع المقال في الصفحات من 8 إلى 12 من العدد الصادر في أبريل 2026 ضمن محور «الطب الشخصي»، ويتضمن ثلاثة رسوم توضيحية وجدولًا واحدًا؛ وتصدر المجلة عن TÜV Media GmbH في كولونيا. الكاتب: Valeri Milke، الرئيس التنفيذي لشركة VamiSec GmbH، ومدقق رئيسي (Lead Auditor) لـ ISO/IEC 27001 وISO/IEC 42001. ويربط المقال متطلبات لائحة الأجهزة الطبية (MDR) ولائحة الذكاء الاصطناعي (AI Act) وقانون المرونة السيبرانية (CRA) بنهج عملي للعمل اليومي في المستشفى – من نمذجة التهديدات مرورًا بتقييم العواقب المحتملة وصولًا إلى الإجراءات والأدلة الموثَّقة. ويعرض هذا الخبر الأفكار الرئيسية بصياغتنا الخاصة، ويضعها في سياق الوضع القانوني كما هو في أكتوبر 2026.
الأطروحة الأساسية: من يستخدم الذكاء الاصطناعي يتحمّل جزءًا من المسؤولية
وصلت تطبيقات الذكاء الاصطناعي إلى كثير من المستشفيات: فهي تُبرز المواضع اللافتة في صور الأشعة السينية والتصوير المقطعي المحوسب، وتقترح خيارات علاجية، وتدعم تخطيط المواعيد والأسرّة والأدوية. وكلما ازداد تدخّل هذه الأنظمة في القرارات، ازداد اعتماد الرعاية الصحية على موثوقية نتائجها. فالنموذج المدرَّب على بيانات غير متوازنة، أو إصدار جديد من النموذج جرى تثبيته دون أن يلاحظه أحد، أو تراجع تدريجي في الأداء أثناء التشغيل – كل ذلك قد يعرّض المرضى لخطر مباشر، ويقوّض في الوقت نفسه الثقة في الطب المدعوم بالذكاء الاصطناعي. لذلك يضع المقال في الصدارة منظورًا كثيرًا ما يغيب عن النقاش: منظور المشغّلين. فليست الشركات المصنِّعة وحدها، بل المستشفيات والمختبرات والعيادات أيضًا، مطالَبة بإدارة مخاطر الذكاء الاصطناعي بفاعلية – بوصفها مهمة مستمرة على امتداد دورة الحياة بأكملها، تتكامل فيها الجوانب التقنية والتنظيمية والأخلاقية.
متى يُعدّ الذكاء الاصطناعي الطبي نظامًا عالي المخاطر
يصبح الذكاء الاصطناعي الطبي في الغالب نظامًا عالي المخاطر عبر تشريعات الأجهزة الطبية: فإذا كان نظام الذكاء الاصطناعي جهازًا طبيًا بحد ذاته أو مكوّن سلامة في جهاز طبي، وتعيّن أن تقيّم جهةٌ مُخطَرة مطابقتَه، فإنه يُعدّ عالي المخاطر بموجب لائحة الذكاء الاصطناعي أيضًا. والبرمجيات التي تقدّم معلومات تُبنى عليها قرارات التشخيص أو العلاج تُصنَّف وفق MDR عادةً في الفئة IIa على الأقل، ومن ثمّ تحتاج إلى جهة مُخطَرة – وهذا يشمل معظم تطبيقات الذكاء الاصطناعي السريرية. وتتحقق الجهة المُخطَرة من متطلبات لائحة الذكاء الاصطناعي ضمن إجراء MDR القائم، فلا تنشأ شهادة ثانية. وإلى جانب ذلك تصنّف لائحة الذكاء الاصطناعي بعض أغراض الاستخدام في قطاع الصحة مباشرةً بوصفها عالية المخاطر، مثل أنظمة فرز المرضى في أقسام الطوارئ. وتشرح الإرشادات MDCG 2025-6 الصادرة في يونيو 2025 هذا التداخل في 36 سؤالًا؛ أما الموعد المذكور فيها في عام 2027 فقد أرجأه المشرّع منذ ذلك الحين إلى عام 2028.
المسؤولية المشتركة: ما يقدّمه المزوّد وما يقدّمه المشغّل
قانونيًا تنفصل الأدوار، وعمليًا يعتمد كلٌّ منها على الآخر. فالمزوّد (Provider) يدير نظامًا لإدارة المخاطر، ويضمن حوكمة متينة للبيانات، ويثبت المطابقة. أما المشغّل (Deployer) – وهو في المستشفى المنشأة نفسها لا الطبيب المعالج بمفرده – فيستخدم النظام وفق تعليمات الاستخدام، ولا يُسند الإشراف البشري إلا إلى أشخاص مدرَّبين ومخوَّلين، ويتحقق من ملاءمة بيانات الإدخال التي يوفّرها بنفسه ومن تمثيلها للواقع، ويراقب التشغيل، ويُبلغ المزوّد بأي ملاحظات غير اعتيادية. ويحتفظ عادةً بالسجلات المولَّدة آليًا والخاضعة لسيطرته مدة ستة أشهر على الأقل. ولا تشترط لائحة الذكاء الاصطناعي على المشغّلين نظامًا رسميًا لإدارة المخاطر؛ غير أن إدارة مخاطر خاصة بالمشغّل، مثلًا وفق IEC 80001-1، تشكّل الأساس العملي لهذه الالتزامات. وتجدر الإشارة إلى أنّ من يطرح نظامًا باسمه، أو يعدّله تعديلًا جوهريًا، أو يغيّر غرضه إلى غرض عالي المخاطر، يتحمّل بنفسه التزامات المزوّد.
رصد التهديدات: STRIDE وOWASP وانحراف النموذج
لتحديد المخاطر يوصي المقال بنمذجة التهديدات (Threat Modeling) على امتداد تدفقات البيانات والواجهات. ويصنّف مخطط STRIDE، الذي نشأ في Microsoft، التهديدات في ست فئات: انتحال الهوية (Spoofing)، والتلاعب (Tampering)، وإنكار الأفعال (Repudiation)، وكشف المعلومات (Information Disclosure)، وتعطيل الخدمة (Denial of Service)، وتصعيد الصلاحيات (Elevation of Privilege). ومن الأمثلة السريرية: جهاز تصوير منتحَل يُدخل صورًا غريبة، أو ملف نموذج معدَّل يزيح عتبات التشخيص، أو حساب تكامل بصلاحيات مفرطة يفتح الطريق إلى الإعدادات. وبالنسبة إلى التطبيقات القائمة على النماذج اللغوية، تذكر OWASP Top 10 for LLM Applications 2026 هجمات إضافية، مثل حقن الأوامر (Prompt Injection) أو تسميم البيانات والنماذج (Data and Model Poisoning). ويُضاف إلى ذلك انحراف النموذج: أي تراجع تدريجي في الأداء لأن فئات المرضى أو الأجهزة أو الممارسة السريرية تغيّرت مقارنةً بظروف التحقق من الصلاحية.
تقييم العواقب وتنفيذ الإجراءات وتوثيق الأدلة
بعد التحديد يأتي التقييم: ماذا يعني الخلل في سلوك النظام بالنسبة إلى المرضى والموظفين والرعاية الصحية؟ ويقابل المقال لهذا الغرض بين احتمال الوقوع والشدة في مصفوفة؛ وتشمل الشدة العواقب الطبية وعواقب حماية البيانات والعواقب المجتمعية. ويقسّم الإجراءات إلى أربعة مجالات عمل: الوقاية والكشف والتصحيح والتوثيق – مثل بيانات اختبار تمثيلية، ومراقبة مقرونة بالتنبيهات، وتحكّم بشري في النقاط الحرجة، والرجوع إلى الإصدار السابق. وتصلح أطرًا مرجعيةً لذلك ISO 14971 لمخاطر المنتج، وISO/IEC 23894 دليلًا خاصًا بالذكاء الاصطناعي، وISO/IEC 42001 نظامَ إدارة طوعيًا ينظّم الالتزامات القانونية دون أن يحلّ محلها. ولا تشترط لائحة الذكاء الاصطناعي تقييمًا للأثر على الحقوق الأساسية إلا لأغراض استخدام بعينها مثل فرز المرضى في الطوارئ، وعلى الجهات العامة أو مقدّمي الخدمات العامة وحدهم؛ أما في الأجهزة الطبية المعتمدة على الذكاء الاصطناعي فيقوم التقييم على تقييم الأثر على حماية البيانات وإدارة المخاطر السريرية.
لماذا بات الموضوع مُلحًّا الآن – وما الذي يمكنكم فعله
دخلت لائحة الذكاء الاصطناعي حيز النفاذ في 1 أغسطس 2024؛ وتسري المحظورات والالتزام بتعزيز الكفاءة في الذكاء الاصطناعي منذ 2 فبراير 2025، والتزامات الشفافية منذ 2 أغسطس 2026. ويحدد التعديل المعروف باسم Digital Omnibus on AI، النافذ منذ 27 يوليو 2026، مواعيد الأنظمة عالية المخاطر: 2 ديسمبر 2027 لأغراض الاستخدام المدرجة مباشرةً، و2 أغسطس 2028 للأجهزة الطبية المعتمدة على الذكاء الاصطناعي – للمزوّدين والمشغّلين على السواء. ولا تشمل الأنظمة التي طُرحت في السوق أو وُضعت في الخدمة قبل ذلك إلا بعد إدخال تغييرات جوهرية على تصميمها. ويستثني قانون المرونة السيبرانية الأجهزة الطبية، لكنه يسري على منتجات تقنية المعلومات غير الطبية التي تشتريها المستشفيات: إذ تُبلغ الشركات المصنِّعة لهذه المنتجات منذ 11 سبتمبر 2026 عن الثغرات الأمنية المستغَلّة فعليًا، وتسري بقية الالتزامات اعتبارًا من 11 ديسمبر 2027. وثمة خمس خطوات مقترحة: إعداد سجل بجميع تطبيقات الذكاء الاصطناعي مع الدور والتصنيف؛ وتحديد مسؤوليات الإشراف والتدريب بوضوح؛ وتنظيم المراقبة والسجلات ومسارات الإبلاغ تعاقديًا مع المزوّدين؛ وإعداد نموذج تهديدات لكل نظام حرج؛ واشتراط التزامات بالتحديث وقائمة مكوّنات البرمجيات (Software Bill of Materials – SBOM) عند الشراء.
جديد على vamisec.com: الصفحة المعرفية حول الموضوع
جديد على vamisec.com: الصفحة المعرفية «إدارة مخاطر الذكاء الاصطناعي في المنشآت الطبية». تتناول الصفحة أطروحات المقال المنشور في المجلة، وتحدّثها وفق الوضع في أكتوبر 2026، وتتعمّق فيها من منظور المشغّلين – مع تصنيف الذكاء الاصطناعي الطبي، وتوزيع الالتزامات بين المزوّد والمستشفى، ونموذج تهديدات يشمل الهجمات الخاصة بالذكاء الاصطناعي، وتقييم المخاطر، وإجراءات ملموسة، والأدلة اللازمة، إضافة إلى أسئلة شائعة ومصادر جرى التحقق منها. تجدون الصفحة على https://vamisec.com/ar/wissen/secure-software-development/ki-risikomanagement-medizin. وتعرض الصفحة https://vamisec.com/ar/ki-vo-medizinprodukte كيف تتكامل لائحة الذكاء الاصطناعي وMDR من منظور الشركات المصنِّعة – أما معلومات استشارات MDR فتجدونها على https://vamisec.com/ar/mdr.
جميع الروابط
العدد 2.2026 من mt|medizintechnik: https://mt-medizintechnik.de/fokus-auf-personalisierte-medizin/ · الصفحة المعرفية «إدارة مخاطر الذكاء الاصطناعي في المنشآت الطبية»: https://vamisec.com/ar/wissen/secure-software-development/ki-risikomanagement-medizin · فئة تطوير البرمجيات والمنتجات الآمنة، قسم الأجهزة الطبية: https://vamisec.com/ar/wissen/secure-software-development#medizinprodukte · لائحة الذكاء الاصطناعي والأجهزة الطبية: https://vamisec.com/ar/ki-vo-medizinprodukte · لائحة الذكاء الاصطناعي الأوروبية في لمحة: https://vamisec.com/ar/wissen/grc/eu-ai-act · الأمن السيبراني في MDR في لمحة: https://vamisec.com/ar/wissen/grc/mdr-cybersecurity · نمذجة التهديدات: https://vamisec.com/ar/wissen/secure-software-development/threat-modeling · استشارات MDR: https://vamisec.com/ar/mdr
هل لديكم أسئلة حول أمن تقنية المعلومات في مؤسستكم؟
استشارة أولية مجانية →