امتثال الذكاء الاصطناعي و حوكمة الذكاء الاصطناعي

نقطة الانطلاق لكل برنامج حوكمة هي جرد كامل: ما أنظمة الذكاء الاصطناعي ووظائفه المستخدمة – كتطوير داخلي أو كخدمة مشتراة أو كوظيفة في برمجيات قياسية – وأي الإدارات المتخصصة تستخدمها ولأي غرض؟ ثم تُصنَّف كل حالة استخدام وفق فئات المخاطر في لائحة الذكاء الاصطناعي: الممارسات المحظورة (المادة 5، قابلة للتطبيق منذ 02.02.2025)، والأنظمة عالية المخاطر (المادة 6 بالاقتران مع الملحق III)، والأنظمة الخاضعة لالتزامات الشفافية (المادة 50)، والأنظمة ذات المخاطر الدنيا. ومن المهم للتخطيط: أن اللائحة (EU) 2026/1744 («Digital Omnibus»، النافذة منذ 27.07.2026) أرجأت تطبيق التزامات المخاطر العالية إلى 02.12.2027 (الملحق III) و02.08.2028 (الأنظمة المدمجة في المنتجات وفق الملحق I) على التوالي. ويحدد التصنيف عمق الضوابط ونطاق التوثيق ومسارات الموافقة – ويجب تكراره عند حدوث تغييرات جوهرية في حالة الاستخدام.

منذ 02.02.2025 تُلزم المادة 4 مزوّدي أنظمة الذكاء الاصطناعي ومشغّليها باتخاذ إجراءات لتعزيز إلمام موظفيهم والأطراف الثالثة المكلَّفة بالذكاء الاصطناعي – بما يتناسب مع الدور والمعرفة المسبقة وسياق الاستخدام. ولا يُشترط شكل تدريب معيّن أو شهادة أو مسؤول ذكاء اصطناعي معيَّن رسميًا؛ والحاسم هو التوثيق القابل للتتبع للإجراءات. وبموجب اللائحة (EU) 2026/1744 خُفّفت المادة 4 إلى التزام بالتعزيز، وأُوضح أنه لا يلزم ضمان مستوى معرفي معيّن لدى أفراد بعينهم – وبذلك تظل مناهج التدريب القائمة على المخاطر جائزة. وقد أثبتت الممارسة جدوى التدريبات الأساسية لجميع الموظفين، إلى جانب وحدات معمّقة خاصة بالأدوار للتطوير والمشتريات والإدارات المتخصصة ذات حالات الاستخدام الأعلى خطورة والإدارة.

تربط لائحة الذكاء الاصطناعي الالتزامات بالأدوار – لا سيما المزوّدين والمشغّلين – علمًا بأن المؤسسة نفسها قد تتخذ أدوارًا مختلفة بحسب حالة الاستخدام؛ ومن يُجري تعديلًا جوهريًا على نظام خارجي أو يوفّره باسمه قد ينتقل إلى دور المزوّد. وداخليًا يحتاج برنامج الحوكمة إلى اختصاصات واضحة: هيئة أو وظيفة توافق على حالات الاستخدام وتتولى مسؤولية الجرد، ومالكون معيَّنون لكل نظام ذكاء اصطناعي، وإشراك مسؤول أمن المعلومات (CISO) ومسؤول حماية البيانات والإدارة القانونية والإدارات المتخصصة. ويرسّخ ISO/IEC 42001 هذا الهيكل في نظام الإدارة: التزام الإدارة العليا، وسياسة موثّقة للذكاء الاصطناعي، وأدوار محددة مع صلاحيات. ولا يوجد «مسؤول ذكاء اصطناعي» منصوص عليه قانونًا – ومع ذلك يجب إسناد المسؤولية بوضوح وممارستها فعليًا.

لا تكون الضوابط فعّالة إلا إذا غطّت دورة الحياة بأكملها: تقييم الأثر والمخاطر قبل التطوير أو الشراء، وفحوصات جودة البيانات والتحيّز، والاختبار والمصادقة قبل الإطلاق، والإشراف البشري والتسجيل أثناء التشغيل، ومراقبة الانحراف والسلوك الخاطئ، وعمليات منظَّمة للتغيير والإيقاف. وينظّم NIST AI RMF هذه المهام عبر الوظائف الأربع Govern وMap وMeasure وManage؛ ويقدّم ISO/IEC 42005:2025 إضافةً إلى ذلك دليلًا لتقييمات أثر الذكاء الاصطناعي كركيزة في نظام الإدارة. وبالنسبة لخدمات الذكاء الاصطناعي السحابية المشتراة يحدد كتالوج معايير BSI AIC4 معايير قابلة للتدقيق على امتداد دورة الحياة – من الأمن والمتانة مرورًا بالأداء والموثوقية وجودة البيانات وإدارة البيانات وحتى قابلية التفسير والتحيّز. وينبغي أن تؤدي التغييرات الجوهرية في النموذج أو الغرض تلقائيًا إلى إعادة تقييم فئة المخاطر.

تتكامل الركائز بدلًا من أن تتنافس. فلائحة الذكاء الاصطناعي، بوصفها قانونًا، تضع الإطار الملزم؛ ويصف ISO/IEC 42001:2023، بوصفه أول معيار قابل للحصول على الشهادة لأنظمة إدارة الذكاء الاصطناعي (AIMS)، التنفيذ التنظيمي – وفق منطق نظام الإدارة نفسه المعتمد في ISO/IEC 27001؛ وNIST AI RMF (AI RMF 1.0، 2023) إطار طوعي لإدارة مخاطر أنظمة الذكاء الاصطناعي الفردية، يُستكمل بملف الذكاء الاصطناعي التوليدي NIST AI ⁦600-1⁩ (2024)؛ ويتناول BSI AIC4 (2021)، بوصفه امتدادًا لكتالوج C5، قابلية تدقيق خدمات الذكاء الاصطناعي السحابية. ويجمع برنامج الحوكمة عادةً بين جميع المستويات: القانون كالتزام، وISO/IEC 42001 كنظام إدارة، وNIST كمنهجية، وAIC4 كأداة ضمان للمورّدين. وتتوفر دراسات معمّقة في قاعدة المعرفة هذه بعنوان «ISO 42001 في الممارسة» و«التزامات الشفافية في AI Act» و«أطر NIST للذكاء الاصطناعي».

إذا عالج نظام ذكاء اصطناعي بيانات شخصية، تسري DSGVO دون قيود إلى جانب لائحة الذكاء الاصطناعي؛ وفي كثير من حالات استخدام الذكاء الاصطناعي يلزم إجراء تقييم أثر حماية البيانات وفق المادة 35 من DSGVO. ويتعيّن على بعض مشغّلي الأنظمة عالية المخاطر – لا سيما الجهات العامة والمزوّدين الخاصين للخدمات العامة – إجراء تقييم إضافي لأثر الحقوق الأساسية وفق المادة 27 من AI Act؛ ووفق المادة 27 الفقرة 4 يُكمل هذا التقييم تقييمَ أثر حماية البيانات المُجرى بالفعل بدلًا من أن يحل محله. وتقدّم أوراق مؤتمر حماية البيانات (Datenschutzkonferenz) توجيهًا عمليًا: الدليل الإرشادي «الذكاء الاصطناعي وحماية البيانات» (الإصدار 1.0، مايو 2024) بشأن الأسس القانونية وتقييد الغرض وحقوق أصحاب البيانات، والدليل الإرشادي بشأن الإجراءات الفنية والتنظيمية في تطوير أنظمة الذكاء الاصطناعي وتشغيلها (يونيو 2025). ومن المجدي تنظيميًا اعتماد عملية استقبال مشتركة يُقيَّم فيها تصنيف الذكاء الاصطناعي وفحص حماية البيانات لحالة الاستخدام نفسها مرة واحدة بدلًا من مرتين.