إطار حوكمة الذكاء الاصطناعي هو مجموعة صغيرة من القرارات والمسؤولين والسجلات تتيح للشركة أن تقول في أي لحظة: ما أنظمة الذكاء الاصطناعي التي تستخدمها، وما المسموح لكل منها أن يفعله، ومن المسؤول عنه، وكيف ستعرف إن حدث خطأ. بالنسبة إلى الشركة المتوسطة، ليس الإطار إدارة جديدة ولا شراء برنامج. إنه سبعة ضوابط، يُنتج كل منها مُخرَجًا واحدًا، ولكل منها مسؤول باسمه — ويمكن تفعيل معظمها خلال ربع سنة.
الإلحاح تنظيمي وتشغيلي في آن واحد. فالممارسات المحظورة وواجب محو الأمية في الذكاء الاصطناعي في قانون الذكاء الاصطناعي الأوروبي (AI Act) مطبّقة منذ 2 فبراير 2025، وواجبات الشفافية منذ 2 أغسطس 2026، بينما أرجأت حزمة Digital Omnibus التزامات الأنظمة عالية المخاطر الواردة في الملحق الثالث إلى 2 ديسمبر 2027. وفي الأثناء، يستخدم موظفوك بالفعل أدوات ذكاء اصطناعي لم يوافق عليها أحد. الحوكمة هي ما يسدّ الفجوة بين ما تظن الشركة أنها تستخدمه وما تستخدمه فعلًا، قبل أن تسدّها نيابةً عنك جهة رقابية أو مدقق أو حادثة اختراق.
لمن هذا الدليل
أنت تقود العمليات أو التقنية أو المخاطر أو الشؤون القانونية في شركة يتراوح حجمها بين 100 و2000 موظف — مصرف، أو شركة تأمين، أو مزوّد رعاية صحية، أو شركة طاقة أو صناعة، أو شركة برمجيات تبيع لأحد هؤلاء. لديك ذكاء اصطناعي في الإنتاج أو على وشك ذلك، ولا أحد متفرغ لامتثال الذكاء الاصطناعي، ومجلس إدارة بدأ يطرح الأسئلة. أنا أبني أنظمة الذكاء الاصطناعي وأطلقها لعملاء في هذه القطاعات تحديدًا، لذا فما يلي هو الإطار الذي أستخدمه فعلًا، لا نموذج نضج نظري.
ما هو إطار حوكمة الذكاء الاصطناعي فعلًا (وما ليس هو)
ابحث عن ما هي حوكمة الذكاء الاصطناعي وستجد مبادئ: العدالة، والشفافية، والمساءلة، ومحورية الإنسان. كلها صحيحة، ولا يخبر أيٌّ منها مدير العمليات بما عليه فعله صباح الاثنين. المبادئ هي اللماذا. أما الإطار فهو الكيف: الآلية التشغيلية التي تحوّل المبادئ إلى قرارات يجب أن يتخذها أحد، وأدلة يجب أن يحتفظ بها أحد.
اختبار مفيد: إطار الحوكمة الذي يعمل فعلًا يجيب عن ثلاثة أسئلة في أقل من ساعة، بالوثائق لا بالآراء.
- ما الذكاء الاصطناعي الذي نشغّله؟ كل نظام، بما في ذلك ميزات الذكاء الاصطناعي المفعّلة داخل البرمجيات المرخّصة لديك أصلًا، والأدوات التي تبنّاها الموظفون من تلقاء أنفسهم.
- أيّها مهم؟ أي الأنظمة تمسّ قرارات تخص أشخاصًا، أو عمليات خاضعة للتنظيم، أو بيانات سرية — وكيف يصنّف القانون الأوروبي كلًّا منها.
- من المسؤول عنه؟ شخص واحد بالاسم لكل نظام، قادر على شرح ما يفعله، وعلى أي أساس اختُبر، وما الذي يحدث عندما يخطئ.
إن لم تستطع الإجابة اليوم، فليست لديك مشكلة حوكمة بعد — لديك مشكلة رؤية لما تستخدمه من ذكاء اصطناعي، وكل مبادرة حوكمة مكلفة تُبنى قبل حلّها ستُبنى على افتراضات. لهذا يبدأ الإطار أدناه بجرد شامل، لا بميثاق أخلاقي.
لماذا هي مشكلة عام 2026 لا عام 2028
أقنع تأجيلُ موعد الأنظمة عالية المخاطر بعضَ الإدارات العليا بأن الحوكمة يمكن أن تنتظر. لكن بيانات التبنّي تقول إن الانكشاف قائم بالفعل، ومعظمه لا علاقة له بتصنيف المخاطر العالية:
| المؤشر | الرقم | المصدر (التاريخ) |
|---|---|---|
| شركات الاتحاد الأوروبي (10 موظفين فأكثر) التي تستخدم الذكاء الاصطناعي | 20.0% في 2025 مقابل 13.5% في 2024 | يوروستات (ديسمبر 2025) |
| الشركات الكبيرة / المتوسطة / الصغيرة في الاتحاد الأوروبي التي تستخدم الذكاء الاصطناعي | 55.0% / 30.4% / 17.0% | يوروستات (ديسمبر 2025) |
| العاملون في مجال المعرفة الذين يستخدمون الذكاء الاصطناعي في العمل | 75% | مؤشر اتجاهات العمل من Microsoft وLinkedIn (مايو 2024) |
| مستخدمو الذكاء الاصطناعي الذين يجلبون أدواتهم الخاصة إلى العمل | 78% | مؤشر اتجاهات العمل من Microsoft وLinkedIn (مايو 2024) |
| المؤسسات التي أبلغت عن اختراق نماذج أو تطبيقات ذكاء اصطناعي | 13%، و97% منها افتقرت إلى ضوابط وصول مناسبة | تقرير IBM لتكلفة اختراق البيانات (2025) |
| المؤسسات التي لا تملك سياسات لحوكمة الذكاء الاصطناعي | 63% | تقرير IBM لتكلفة اختراق البيانات (2025) |
| التكلفة الإضافية للاختراق عند تورّط الذكاء الاصطناعي الخفي | 670,000 دولار فوق متوسط قدره 4.44 مليون دولار | تقرير IBM لتكلفة اختراق البيانات (2025) |
اقرأ الصفوف بالتتابع. التبنّي ينمو أسرع ما يكون في الشركات الكبيرة بما يكفي لتكون لديها عمليات خاضعة للتنظيم. ومعظم هذا التبنّي يقوده الموظفون، أي أنه غير مسجّل في أي مكان. والمؤسسات التي اختُرقت بالفعل عبر الذكاء الاصطناعي لم تكن تملك، في غالبيتها الساحقة، لا ضوابط وصول ولا سياسة. لا شيء من هذا ينتظر عام 2027. ورقم يوروستات يقول شيئًا مفيدًا من الناحية التنافسية أيضًا: في معظم أوروبا، أربع شركات من كل خمس لا تستخدم الذكاء الاصطناعي بعد، فمن يبني الحوكمة الآن يبنيها في بداية المنحنى، حين تكون كلفتها منخفضة.
قانون الذكاء الاصطناعي الأوروبي بعد Digital Omnibus: ما الذي يستحق ومتى
نُشرت اللائحة (EU) 2026/1744 — المعروفة بحزمة Digital Omnibus للذكاء الاصطناعي — في الجريدة الرسمية للاتحاد الأوروبي في 24 يوليو 2026 ودخلت حيّز النفاذ في 27 يوليو 2026. أرجأت التزامات المخاطر العالية، أساسًا لأن المعايير الموحّدة التي تعتمد عليها لم تكن جاهزة، وأبقت كل شيء تقريبًا على جدوله. وللشركات الخليجية ملاحظة إضافية: الإطار المحلي الأقرب هو مبادئ أخلاقيات الذكاء الاصطناعي التي اعتمدتها الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) في 14 سبتمبر 2023، وهي إرشادات غير ملزمة؛ أما القانون الأوروبي فيطال أي شركة تطرح نظامًا في السوق الأوروبية أو تُستخدم مخرجات نظامها داخل الاتحاد. هذا هو الجدول الساري اليوم:
| التاريخ | ما الذي يُطبَّق | من يتأثر في شركة متوسطة |
|---|---|---|
| 2 فبراير 2025 | الممارسات المحظورة (المادة 5)؛ واجب محو الأمية في الذكاء الاصطناعي (المادة 4) | كل من يستخدم الذكاء الاصطناعي — ساري بالفعل |
| 2 أغسطس 2025 | قواعد نماذج الذكاء الاصطناعي العامة الغرض؛ السلطات الوطنية؛ نظام العقوبات | مزوّدو النماذج أساسًا؛ هنا تبدأ التزامات مورّديك |
| 2 أغسطس 2026 | واجبات الشفافية (المادة 50): الإفصاح عن روبوتات المحادثة، ووسم التزييف العميق والنصوص المولَّدة ذات الشأن العام | أي مساعد موجّه للعملاء أو محتوى اصطناعي |
| 2 ديسمبر 2026 | انتهاء المهلة الانتقالية للعلامات المائية للأنظمة القائمة؛ حظر جديد على توليد الصور الحميمة دون موافقة ومواد الاعتداء الجنسي على الأطفال | مزوّدو الأنظمة التوليدية |
| 2 ديسمبر 2027 | التزامات الأنظمة عالية المخاطر في الملحق الثالث (التصنيف الائتماني، تسعير التأمين، الموارد البشرية، البنية التحتية الحرجة، القياسات الحيوية…) | المصارف، شركات التأمين، كل صاحب عمل يفرز المرشحين بالذكاء الاصطناعي |
| 2 أغسطس 2028 | التزامات الأنظمة عالية المخاطر في الملحق الأول (الذكاء الاصطناعي داخل منتجات منظَّمة كالأجهزة الطبية والآلات) | شركات التقنية الطبية، مصنّعو المعدات |
تعديلان يُساء فهمهما بسهولة. الأول: خُفّف واجب محو الأمية، فصار على المزوّدين والجهات المستخدِمة أن يدعموا تنمية معرفة موظفيهم بالذكاء الاصطناعي بدلًا من ضمان مستوى محدد. لم يُلغَ، وهو مطبّق اليوم. الثاني: لم تمسّ الحزمة عقوبات المادة 99 ولا الممارسات المحظورة. القانون نافذ؛ ما تحرّك هو فصل المخاطر العالية وحده.
التأجيل نافذة، لا إعفاء
أربعة عشر شهرًا هي تقريبًا المدة التي تحتاجها شركة متوسطة لجرد ما لديها من ذكاء اصطناعي، وإعادة التفاوض على ثلاثة أو أربعة عقود مع المورّدين، وإدخال تسجيل القرارات في الأنظمة التي تحتاجه، وإجراء مراجعة داخلية صادقة. من يبدأ أواخر 2027 سيفعل كل ذلك تحت ضغط الموعد، ومع مستشارين يسعّرون خدماتهم وفقًا لذلك. ومن يستغل النافذة سينفق جزءًا يسيرًا من ذلك ويصل ومعه أدلة لا وعود.
مزوّد أم جهة مستخدِمة: السؤال الذي يحدد حجم كل شيء
يُلقي القانون الأوروبي معظم التزاماته الثقيلة — نظام إدارة المخاطر، والتوثيق الفني، وتقييم المطابقة، وعلامة CE، والتسجيل — على عاتق المزوّد: أي من يطوّر نظام ذكاء اصطناعي ويطرحه في السوق أو يشغّله باسمه. معظم الشركات المتوسطة ليست مزوّدة. إنها جهات مستخدِمة (deployers): تستخدم أنظمة بناها غيرها. وبالنسبة إلى نظام عالي المخاطر، فإن التزامات الجهة المستخدِمة بموجب المادة 26 حقيقية لكنها محدودة:
- استخدام النظام وفق تعليمات الاستخدام الصادرة عن المزوّد، مع تدابير تقنية وتنظيمية مناسبة.
- إسناد الإشراف البشري إلى أشخاص يملكون الكفاءة والتدريب والصلاحية والدعم اللازم.
- ضمان أن تكون بيانات الإدخال الخاضعة لسيطرتها ذات صلة وممثِّلة بما يكفي للغرض المقصود.
- مراقبة تشغيل النظام والإبلاغ دون تأخير عن الحوادث الجسيمة إلى المزوّد وسلطة مراقبة السوق.
- الاحتفاظ بالسجلات التي يولّدها النظام لمدة تناسب غرضه، ولا تقل عن ستة أشهر.
- إبلاغ ممثلي العمال والعمال المعنيين قبل تشغيل نظام عالي المخاطر في مكان العمل.
هذه قائمة يمكن تنفيذها دون إدارة امتثال. الفخ هو الانزلاق من جهة مستخدِمة إلى مزوّد دون أن تنتبه. فالمادة 25 تحوّل الجهة المستخدِمة إلى مزوّد لنظام عالي المخاطر — بكل التزامات المزوّد — في ثلاث حالات، وكلها شائعة في الشركات التي تبني فوق نماذج الذكاء الاصطناعي:
- تضع اسمك أو علامتك التجارية على نظام عالي المخاطر بناه غيرك — مثل محرّك تقييم بعلامة بيضاء تعيد بيعه لعملائك.
- تُجري تعديلًا جوهريًا على نظام عالي المخاطر مطروح في السوق، كإعادة تدريبه على بياناتك لاتخاذ قرار مختلف.
- تغيّر الغرض المقصود من نظام بحيث يصبح عالي المخاطر — كالمساعد العام الذي يبدأ فريق الموارد البشرية باستخدامه لترتيب المرشحين.
إطار حوكمة الذكاء الاصطناعي ذو الضوابط السبعة
هذا هو الحد الأدنى من الإطار الذي أطبّقه لدى العملاء من الشركات المتوسطة. يُنتج كل ضابط مُخرَجًا يمكن عرضه على مدقق أو مجلس إدارة أو فريق العناية الواجبة لدى عميل. ويقابل كلٌّ منها شيئًا يتوقعه بالفعل القانون الأوروبي أو اللائحة العامة لحماية البيانات أو الجهة التنظيمية في قطاعك. عمود الجهد يعكس خبرتي مع شركات من 200 إلى 1000 موظف لديها بضع عشرات من حالات استخدام الذكاء الاصطناعي، وليس معيارًا قطاعيًا.
| # | الضابط | المُخرَج | المرجع الرئيسي | المسؤول | الجهد المعتاد |
|---|---|---|---|---|---|
| 1 | جرد الذكاء الاصطناعي | سجل الذكاء الاصطناعي (صف لكل نظام) | أساس المادتين 26 و50 | مسؤول حوكمة الذكاء الاصطناعي | 2–4 أسابيع، ثم شهريًا |
| 2 | تصنيف المخاطر | مستوى لكل صف مع التبرير | المادة 5، المادة 6 والملحق الثالث، المادة 50 | المسؤول + الشؤون القانونية | 1–2 أسبوع |
| 3 | الملكية | مالك أعمال مسمّى لكل نظام؛ مجلس ذكاء اصطناعي صغير | المادة 26(2) الإشراف البشري | الراعي التنفيذي | أسبوع واحد |
| 4 | الاستخدام المقبول وقواعد البيانات | سياسة ذكاء اصطناعي من صفحة واحدة + فئات البيانات لكل أداة | اللائحة العامة لحماية البيانات، المادة 4 | المسؤول + مسؤول حماية البيانات + الأمن | أسبوعان |
| 5 | الإشراف البشري والتسجيل | إجراء الإشراف + مدة الاحتفاظ بالسجلات لكل نظام | المادة 26(2) و26(5) و26(6) | مالك النظام + الهندسة | 2–6 أسابيع لكل نظام عالي المخاطر |
| 6 | العناية الواجبة تجاه المورّدين | استبيان ذكاء اصطناعي للمورّدين + بنود تعاقدية | المادة 26(1)، المادة 25 | المشتريات + الشؤون القانونية | 1–2 أسبوع، ثم مع كل عقد |
| 7 | المراقبة والحوادث ومحو الأمية | دليل الاستجابة للحوادث، مراجعة ربع سنوية، سجل التدريب | المادة 26(5)، المادة 4، المادة 73 | المسؤول + الأمن | مستمر، نحو يومين كل ربع سنة |
الضابط 1 — جرد الذكاء الاصطناعي
كل ما عداه يعتمد عليه، وهو دائمًا أكبر مما تتوقعه الإدارة. في عمليات الجرد التي أجريتها، كانت الأنظمة المعروفة للإدارة عادةً أقل بكثير من نصف السجل النهائي. والباقي ميزات ذكاء اصطناعي مفعّلة افتراضيًا داخل خدمات SaaS المستخدمة أصلًا — تقييم العملاء في نظام إدارة العلاقات، وفرز التذاكر، وتفريغ الاجتماعات، ومساعدات البرمجة — وأدوات اشتركت فيها الفرق ببطاقة الشركة. تجدها في بيانات المشتريات والمصروفات، وسجلات الدخول الموحّد، وتقارير إضافات المتصفح، واستبيان قصير بروح العفو: يفصح الناس عن أكثر بكثير حين تكون الرسالة "أخبرونا بما تستخدمونه كي نجعله آمنًا" لا "من خالف القواعد".
- ما هو ومن يورّده: المنتج، والمورّد، ومزوّد النموذج الأساسي إن كان معروفًا، والإصدار أو المرجع التعاقدي.
- ماذا يفعل لدينا: عملية الأعمال، والقرار الذي يغذّيه أو يتخذه، وهل يراجع إنسان مخرجاته.
- ما البيانات التي تدخله: بيانات شخصية، فئات خاصة، بيانات عملاء سرية، شيفرة مصدرية.
- من يتأثر به: الموظفون، العملاء، المتقدمون للوظائف، المرضى، الجمهور.
- دورك: مزوّد أم جهة مستخدِمة، ولماذا — مكتوبًا، لأن المادة 25 تجعل ذلك هدفًا متحركًا.
الضابط 2 — تصنيف المخاطر
صنّف كل صف مرتين. أولًا وفق فئات القانون الأوروبي — محظور، عالي المخاطر بموجب الملحق الثالث أو الأول، خاضع لواجبات الشفافية في المادة 50، أو منخفض المخاطر. ثم وفق أهميته لأعمالك: ماذا يحدث للعملاء أو المال أو السمعة إذا أخطأ هذا النظام لمدة أسبوع. المستوى الثاني مهم لأن معظم مخاطرك تقع في أنظمة يعدّها القانون منخفضة المخاطر. نموذج توقّع المبيعات ليس عالي المخاطر قانونيًا، لكنه قد يضلّل مجلس الإدارة. يجب أن تتبع الضوابط المستوى الأعلى من الاثنين، لا المستوى القانوني وحده.
الضابط 3 — الملكية
لكل نظام مالك أعمال واحد مسؤول — رئيس الوظيفة التي يؤثر النظام في قراراتها، لا موظف تقنية المعلومات الذي ثبّته. وفوقهم مجلس ذكاء اصطناعي صغير: راعٍ تنفيذي، ومسؤول حوكمة الذكاء الاصطناعي، وممثل عن الشؤون القانونية أو مسؤول حماية البيانات، والأمن، وقائد أعمال يستخدم الذكاء الاصطناعي بكثافة. خمسة أشخاص، ساعة كل شهر، مع صلاحية الموافقة على نظام أو إيقافه أو إنهائه. أما لجان حوكمة الذكاء الاصطناعي الكبيرة فتفشل في الشركات المتوسطة لسبب بسيط: حين يملك خمسة عشر شخصًا قرارًا، لا يملكه أحد.
الضابط 4 — الاستخدام المقبول وقواعد البيانات
اكتب سياسة استخدام الذكاء الاصطناعي في صفحة واحدة يقرؤها الناس فعلًا: ما الأدوات المعتمدة، وأي فئات البيانات يجوز إدخالها في أي أداة، وما الذي لا يُلصق أبدًا في أي مكان (البيانات الشخصية للعملاء، بيانات الدخول، الأرقام المالية غير المعلنة، الشيفرة الخاضعة لاتفاقيات السرية)، وكيف يُطلب اعتماد أداة جديدة مع رد مضمون خلال خمسة أيام عمل. هذا السطر الأخير هو ما يقلّص الذكاء الاصطناعي الخفي. فالحظر دون مسار اعتماد سريع لا يفعل سوى نقل الاستخدام إلى الأجهزة الشخصية، حيث لا ترى منه شيئًا.
الضابط 5 — الإشراف البشري وتسجيل القرارات
عبارة "إنسان في الحلقة" ليست ضابطًا ما لم تستطع إثبات من كان هذا الإنسان، وماذا رأى، وماذا قرّر. لكل نظام في المستوى الأعلى، حدّد نقطة الإشراف، وصلاحية التدخّل، وما يُسجَّل: المدخلات، والمخرجات، والمراجِع، والقرار النهائي، وأي تجاوز. احتفظ بالسجلات ستة أشهر على الأقل، وأطول حيث تفرض قواعد القطاع ذلك. هذا عمل هندسي، وهو الانضباط نفسه الذي أصفه للشيفرة المولَّدة بالذكاء الاصطناعي في دليل الحواجز الوقائية للمؤسسات في الـ Vibe Coding: إن لم يُنتج النظام الدليل تلقائيًا، فلن يكون موجودًا يوم تحتاجه.
الضابط 6 — العناية الواجبة تجاه المورّدين
بصفتك جهة مستخدِمة، تصلك معظم مخاطر الذكاء الاصطناعي عبر العقود. فميزات الذكاء الاصطناعي التي يطلقها مورّدوك تحكمها وثائقهم واتفاقك معهم، ومعظم شروط SaaS القياسية كُتبت قبل أن يطرح أحد هذه الأسئلة. أضف قسمًا للذكاء الاصطناعي إلى استبيان المورّدين وقائمة التجديد:
- هل تُستخدم بياناتنا لتدريب النماذج أو تحسينها، وهل يمكننا استبعاد ذلك تعاقديًا لا عبر خيار في الإعدادات؟
- ما مزوّدو النماذج في الطبقة الأدنى، وفي أي مناطق تُعالج البيانات، وكيف نُبلَّغ عند تغييرهم؟
- للاستخدامات عالية المخاطر: هل ستقدّمون تعليمات الاستخدام وقدرة التسجيل والمعلومات التي نحتاجها للوفاء بالتزامات المادة 26؟
- ما مهلة إبلاغكم عن الأعطال المرتبطة بالذكاء الاصطناعي، وهل تتوافق مع مهلنا التنظيمية؟
- هل يمكن تعطيل ميزات الذكاء الاصطناعي لكل عميل، وهل تصل الميزات الجديدة معطّلة حتى نوافق عليها؟
الضابط 7 — المراقبة والحوادث ومحو الأمية
تتآكل الحوكمة في الشهر التالي لإعدادها ما لم يفرض شيء مراجعتها. ضع ثلاثة أمور على التقويم: تحديث شهري للسجل يغذّيه قسم المشتريات وبيانات الدخول الموحّد؛ ومراجعة ربع سنوية يجريها مجلس الذكاء الاصطناعي لكل نظام في المستوى الأعلى مقابل مقاييس مالكه؛ ودليل استجابة لحوادث الذكاء الاصطناعي يندمج في عملية الاستجابة للحوادث الأمنية القائمة بدلًا من إنشاء عملية موازية. ومحو الأمية هو أرخص الضوابط السبعة: تدريب بحسب الدور من ساعة أو ساعتين لمعظم الموظفين، وأعمق للمالكين والمراجعين، مع تسجيل الحضور. وهو أيضًا الالتزام المطبّق منذ فبراير 2025.
النقاط الساخنة حسب القطاع: أين تلتقي الشركات المتوسطة بالملحق الثالث
قائمة المخاطر العالية أضيق مما يوحي به تسويق المورّدين. في القطاعات التي أعمل فيها، هذه هي الاستخدامات التي تقع فيها فعلًا — وتلك التي لا تقع:
| القطاع | حالة الاستخدام | التصنيف في القانون الأوروبي | اعتبارًا من |
|---|---|---|---|
| المصارف والإقراض | تقييم الجدارة الائتمانية أو التصنيف الائتماني للأفراد | عالي المخاطر، الملحق الثالث 5(ب)؛ تقييم الأثر على الحقوق الأساسية إلزامي (باستثناء كشف الاحتيال) | 2 ديسمبر 2027 |
| التأمين | تقييم المخاطر والتسعير في التأمين على الحياة والتأمين الصحي | عالي المخاطر، الملحق الثالث 5(ج)؛ تقييم الأثر على الحقوق الأساسية إلزامي | 2 ديسمبر 2027 |
| كل صاحب عمل | فرز السير الذاتية، ترتيب المرشحين، قرارات الترقية أو الإنهاء، توزيع المهام، مراقبة الأداء | عالي المخاطر، الملحق الثالث البند 4؛ إبلاغ العمال قبل الاستخدام | 2 ديسمبر 2027 |
| الطاقة والمرافق | مكوّنات السلامة في إدارة وتشغيل إمدادات الكهرباء والغاز والتدفئة والمياه والبنية التحتية الرقمية الحرجة | عالي المخاطر، الملحق الثالث البند 2 | 2 ديسمبر 2027 |
| الرعاية الصحية | الذكاء الاصطناعي في برمجيات الأجهزة الطبية؛ فرز المرضى في الطوارئ | عالي المخاطر عبر الملحق الأول (الأجهزة الطبية) أو الملحق الثالث 5(د) | 2 أغسطس 2028 / 2 ديسمبر 2027 |
| جميع القطاعات | روبوتات المحادثة والمساعدات الموجّهة للعملاء | الشفافية: يجب أن يعرف الناس أنهم يتعاملون مع ذكاء اصطناعي | سارٍ منذ 2 أغسطس 2026 |
| جميع القطاعات | المساعدات الداخلية، التلخيص، مساعدات البرمجة، التوقعات | منخفض المخاطر وفق القانون — يحكمه تصنيفك الداخلي وقواعد حماية البيانات | واجب محو الأمية سارٍ |
يستحق تقييم الأثر على الحقوق الأساسية الوارد في المادة 27 ملاحظة خاصة للمصارف وشركات التأمين، لأنه الالتزام الوحيد في هذا الجدول الذي يقع على الجهة المستخدِمة لا على المورّد. قبل أول استخدام لنظام تصنيف ائتماني أو تسعير للتأمين على الحياة والصحة، يجب أن تقيّم من قد يتأثر وكيف، وما تدابير الإشراف والمعالجة لديك. إن كنت تُجري بالفعل تقييمات أثر حماية البيانات، فوسّع ذلك النموذج بدلًا من ابتكار نموذج جديد. أما الجانب المعماري — مسارات التدقيق، والتحكم في الوصول، وإقامة البيانات — فمشروح بالتفصيل في بناء البرمجيات للصناعات المنظمة بنهج الامتثال أولًا.
كلفة عدم الامتثال
| المخالفة | الحد الأقصى للغرامة (المادة 99) | ملاحظة للشركات الصغيرة والمتوسطة |
|---|---|---|
| ممارسات الذكاء الاصطناعي المحظورة (المادة 5) | 35 مليون يورو أو 7% من حجم المبيعات العالمي السنوي، أيهما أعلى | يُطبَّق الأدنى |
| معظم الالتزامات الأخرى، بما فيها واجبات الجهة المستخدِمة (المادة 26) والشفافية (المادة 50) | 15 مليون يورو أو 3% من حجم المبيعات العالمي السنوي، أيهما أعلى | يُطبَّق الأدنى |
| تقديم معلومات غير صحيحة أو ناقصة أو مضلِّلة إلى السلطات | 7.5 مليون يورو أو 1% من حجم المبيعات العالمي السنوي، أيهما أعلى | يُطبَّق الأدنى |
لن أبني برنامج حوكمة على الخوف من هذه الأرقام؛ فالسلطات الوطنية ستبدأ بالإرشادات والحالات الواضحة. الكلفة التجارية الأقرب تكمن في المشتريات. فكبار العملاء في القطاع المالي والصحي يضيفون بالفعل أسئلة عن الذكاء الاصطناعي إلى العناية الواجبة تجاه المورّدين، والمورّد المتوسط الذي يسلّم سجلًا وسياسة وإجراء إشراف يربح صفقات يخسرها من يكتفي بالقول "نحن نأخذ الذكاء الاصطناعي بجدية".
من يملك حوكمة الذكاء الاصطناعي حين لا توجد إدارة امتثال
أكثر إخفاق أراه ليس غياب السياسة، بل سياسة تملكها الشؤون القانونية، وسجل تملكه تقنية المعلومات، وتدريب تملكه الموارد البشرية، ولا أحد يربط بينها. تحتاج الشركة المتوسطة إلى شخص واحد — عادةً 20 إلى 40% من دور قيادي قائم، لا توظيفًا جديدًا — يملك الإطار من أوله إلى آخره. أفضل المرشحين مدير تقنية أو رئيس بيانات يفهم الأنظمة، أو مدير عمليات يفهم الإجراءات. وأسوأهم موظف مبتدئ يحمل اللقب دون صلاحية إيقاف نظام.
- الراعي التنفيذي (الرئيس التنفيذي أو مدير العمليات أو المدير المالي): يحدد شهية المخاطر ويرأس مجلس الذكاء الاصطناعي أو يحضره.
- مسؤول حوكمة الذكاء الاصطناعي: يملك السجل والتصنيف والتقويم وملف الأدلة.
- مالكو الأنظمة: واحد لكل نظام، مسؤول عن نتائجه والإشراف عليه ومقاييسه.
- الشؤون القانونية / مسؤول حماية البيانات: قرارات التصنيف، وتقييمات الأثر، وبنود المورّدين.
- الأمن: ضوابط الوصول، والاستجابة للحوادث، ومراقبة الأدوات غير المعتمدة.
- الهندسة: التسجيل ونقاط الإشراف والتقييم المدمجة في الأنظمة نفسها.
“إن لم يكن في الشركة من يستطيع إيقاف نظام ذكاء اصطناعي، فليست لديك حوكمة. لديك وثائق فقط.”
— Michele Cimmino · Fractional CTO & Digital Transformation Advisor
الأيام التسعون الأولى
- الأسبوعان 1–2 — التعيين والإعلان. عيّن الراعي التنفيذي ومسؤول حوكمة الذكاء الاصطناعي، وشكّل مجلس الذكاء الاصطناعي من خمسة أشخاص، وأعلن جردًا بروح العفو: أفصحوا عما تستخدمونه، ولن يُعاقَب أحد.
- الأسابيع 2–5 — بناء السجل. بيانات المشتريات والمصروفات والدخول الموحّد والمتصفح، إضافةً إلى الاستبيان. أدرج ميزات الذكاء الاصطناعي داخل خدمات SaaS القائمة. وسجّل دور المزوّد أو الجهة المستخدِمة في كل صف.
- الأسابيع 5–6 — التصنيف والفرز. صنّف كل نظام وفق القانون الأوروبي ووفق أهميته للأعمال. أوقف أو احجب فورًا كل ما هو محظور أو لا يمكن الدفاع عنه؛ يوجد عادةً حالة واحدة على الأقل.
- الأسابيع 6–8 — نشر السياسة ذات الصفحة الواحدة مع الأدوات المعتمدة وفئات البيانات ومسار اعتماد خلال خمسة أيام للأدوات الجديدة. وأطلق التدريب بحسب الدور وسجّل الحضور.
- الأسابيع 8–10 — ضبط جانب المورّدين. أرسل استبيان الذكاء الاصطناعي إلى مورّدي أنظمتك في المستوى الأعلى، وجدول تعديلات العقود عند التجديد التالي.
- الأسابيع 10–12 — تجهيز الأنظمة في المستوى الأعلى. حدّد نقاط الإشراف وتسجيل القرارات لكل منها، بدءًا بكل ما يندرج في الملحق الثالث. اجمع ملف الأدلة وعقد أول مراجعة ربع سنوية.
أخطاء ينبغي تجنّبها
- شراء منصة حوكمة ذكاء اصطناعي قبل أن يكون لديك سجل. الأدوات تؤتمت عملية؛ لا تخترعها. تستطيع معظم الشركات المتوسطة إدارة السنة الأولى بجدول بيانات جيد البنية وأداة الحوكمة والمخاطر أو التذاكر التي تملكها أصلًا.
- كتابة ميثاق أخلاقي أولًا. المبادئ دون جرد تُنتج وثيقة لا يعرف أحد كيف يطبّقها. اكتب المبادئ بعد أن تعرف ما الذي ستحكمه.
- معاملة الحوكمة كمشروع للشؤون القانونية. نصف الضوابط عمل هندسي — التسجيل، والوصول، ونقاط الإشراف — ولا تُنجزه أي سياسة.
- تجاهل الذكاء الاصطناعي داخل البرمجيات التي تدفع ثمنها أصلًا. إنه الجزء الأكبر والأقل ظهورًا في السجل، ويتغيّر مع كل إصدار من المورّد. وهي الديناميكية نفسها وراء ارتفاع كلفة SaaS المؤسسية التي وصفتها في نهاية حقبة SaaS.
- حظر الأدوات دون مسار للاعتماد. لا يوقف الاستخدام. يمنعك فقط من رؤيته.
- قراءة حزمة Omnibus على أنها إذن بالانتظار. الحظر ومحو الأمية والشفافية مطبّقة بالفعل، والعناية الواجبة لدى عملائك لا تتبع جدول القانون الأوروبي.
الخلاصة
حوكمة الذكاء الاصطناعي في شركة متوسطة ليست نسخة مصغّرة مما يفعله مصرف عالمي. إنها مشكلة مختلفة: أنظمة قليلة تبنيها، وأنظمة أكثر بكثير تستأجرها، وموظفون متفرغون قليلون جدًا، والجهة الرقابية نفسها. والحل إطار صغير بما يكفي لتديره بالأشخاص الموجودين لديك — جرد، وتصنيف، ومالكون بالاسم، وسياسة من صفحة واحدة، وتسجيل حيث يلزم، وبنود مع المورّدين، ومراجعة ربع سنوية. منحت حزمة Digital Omnibus الجهات المستخدِمة لأنظمة الملحق الثالث مهلة حتى ديسمبر 2027. استغل النافذة لبناء الأدلة لا لتأجيل النقاش. الشركات القادرة على عرض سجل الذكاء الاصطناعي لديها في اجتماع عناية واجبة ستكتشف أن الحوكمة ليست كلفة فحسب. إنها سبب لأن يقع الاختيار عليها.
إن أردت رأيًا ثانيًا
أساعد الشركات المتوسطة في قطاعات المال والتأمين والرعاية الصحية والطاقة على إعداد هذا بالضبط: الجرد الأول، وقرارات المزوّد أو الجهة المستخدِمة، وتصميم الإشراف والتسجيل للأنظمة التي تحتاجه، والأسئلة التي يجب طرحها على المورّدين قبل التجديد. ومن خلال Lasting Dynamics نبني أنظمة الذكاء الاصطناعي نفسها أيضًا، ولهذا أهتم بحوكمة يستطيع المهندسون تطبيقها فعلًا.