ISO/IEC 42001 في التطبيق العملي: بناء نظام إدارة الذكاء الاصطناعي

تتبع ISO/IEC 42001:2023 الهيكل عالي المستوى: تنظّم الفصول من 4 إلى 10 سياق المؤسسة والقيادة والتخطيط والدعم والتشغيل وتقييم الأداء والتحسين. ويضيف Annex A ثمانية وثلاثين ضابطًا مرجعيًا ضمن تسع مجموعات موضوعية (A.2 إلى A.10) — من سياسة الذكاء الاصطناعي مرورًا بالموارد وتقييمات الأثر ودورة حياة الذكاء الاصطناعي وصولًا إلى البيانات والشفافية والاستخدام المسؤول والأطراف الثالثة؛ ويقدّم Annex B إرشادات التنفيذ المرتبطة بها. وتستند المصطلحات إلى ISO/IEC 22989:2022.

يقوم AIMS القابل للاعتماد على توثيق متدرّج بوضوح: سياسة AIMS بوصفها الوثيقة التوجيهية مع مبادئ الذكاء الاصطناعي المسؤول، ودليل يتضمن متطلبات المواصفة في الفصول 4–10 مع قوائم مراجعة للتدقيق، وبيان قابلية التطبيق (SoA) بوصفه وثيقة الإثبات المركزية التي تبرّر كل قرار بشأن الضوابط وتربط به أدلة الإثبات. وتُستكمل بوثائق مرافقة على امتداد عشرة مجالات للحوكمة — هيكل الحوكمة، والأدوار والمسؤولية عبر دورة الحياة، وحوكمة البيانات، وحوكمة النماذج، وإدارة المخاطر، والأمن والخصوصية، والإشراف البشري والرقابة الأخلاقية، وحوكمة المورّدين والأطراف الثالثة، والتحسين المستمر والإجراءات التصحيحية والوقائية (CAPA)، ومراجعة الإدارة.

من يشغّل بالفعل ISMS وفق ISO/IEC 27001 لا يحتاج إلى إقامة AIMS بجانبه، بل يمكنه دمجه: سجل أصول مشترك لتقنية المعلومات والبيانات وأنظمة الذكاء الاصطناعي، ومنهجية موحّدة للمخاطر، وعملية للمورّدين تتضمن بنودًا خاصة بالذكاء الاصطناعي، وعمليات تدقيق داخلي مشتركة، ومراجعة إدارة مشتركة. كما يمكن إدارة الحوادث والتدريب ومنظومة السياسات بشكل مشترك لكلا الإطارين. ونقطة البداية هي تحليل الفجوات الذي يبيّن أي مكونات ISMS قابلة لإعادة الاستخدام وأين تلزم إضافات خاصة بالذكاء الاصطناعي.

يرسّخ الفصل 5 من المواصفة مسؤولية الإدارة العليا: فهي تحدد سياسة الذكاء الاصطناعي، وتدمج AIMS في استراتيجية الأعمال، وتسند الأدوار والمسؤوليات والصلاحيات. وفي التطبيق العملي يثبت جدواه نموذج حوكمة يتألف من مجلس حوكمة الذكاء الاصطناعي (AI Governance Board) للتوجيه الاستراتيجي والموافقات، ومسؤول امتثال الذكاء الاصطناعي (AI Compliance Officer) للمتطلبات القانونية والأخلاقية، وقيادة AIMS للتنفيذ التشغيلي. وتتطلب الضوابط A.3.2 وA.3.3 أدوارًا موثقة على امتداد دورة حياة الذكاء الاصطناعي بأكملها — مثلًا عبر مصفوفة RACI وسجل للأدوار — إضافة إلى قنوات منظَّمة للإبلاغ عن المخاوف.

يتكوّن جوهر AIMS من ثلاث عمليات مترابطة: تقييم مخاطر الذكاء الاصطناعي (الفصل 8.2)، ومعالجة مخاطر الذكاء الاصطناعي (الفصل 8.3)، وتقييم أثر أنظمة الذكاء الاصطناعي (الفصلان 6.1.4 و8.4). والسمة المميزة مقارنةً بإدارة المخاطر الأمنية التقليدية: لا تُقيَّم المخاطر على المؤسسة فحسب، بل يُقيَّم صراحةً أيضًا الأثر على الأفراد والمجموعات والمجتمع. وتتطلب الضوابط من A.5.2 إلى A.5.5 عملية موثقة لتقييم الأثر مع تقاريرها — وصولًا إلى تقييم الآثار المجتمعية.

أثبت النهج المرحلي جدواه: أولًا تحليل السياق والوضع الراهن مع جرد الذكاء الاصطناعي وتحليل الفجوات مقارنةً بـ ISMS القائم، ثم بناء نموذج الحوكمة والتوثيق، ثم تنفيذ العمليات على امتداد دورة حياة الذكاء الاصطناعي — من تحليل المخاطر وإدارة بيانات التدريب إلى النشر والمراقبة ومعالجة الحوادث. يلي ذلك التدريب والتوعية لجميع الأدوار في AIMS، والتدقيق الداخلي ومراجعة الإدارة كبروفة عامة، ثم تدقيق الحصول على الشهادة. وبعد ذلك يُحدَّث SoA بانتظام ضمن مراجعة الإدارة.