الذكاء الاصطناعي الخفي: كيف تحكم استخدام الذكاء الاصطناعي غير المصرّح به في بيئة العمل

يُشير مصطلح "الذكاء الاصطناعي الخفي" إلى استخدام الموظفين لأدوات الذكاء
الاصطناعي خارج القنوات المعتمدة وأطر الحوكمة الرسمية. وهذه الظاهرة قائمة
بالفعل في معظم المؤسسات اليوم. وتشمل المخاطر المرتبطة بها تسرّب
البيانات، والإخلال بالمتطلبات التنظيمية، والتحيّز في النماذج، وفقدان
القدرة على التدقيق والمراجعة. والحل ليس فرض حظر شامل، بل وضع سياسة
واضحة، وبناء قدرة على الرصد والاكتشاف، وإتاحة مسار حوكمي مشروع للاستخدام
الفعلي.

المشكلة التي لا أحد يتحدث عنها بالقدر الكافي من الجدية

موظفوك يستخدمون الذكاء الاصطناعي بالفعل. يستعينون بـ ChatGPT لصياغة
التقارير. يُدرجون بيانات العملاء في Gemini لتلخيصها. يُشغّلون Copilot
على جداول البيانات الداخلية لبناء النماذج المالية بشكل أسرع. وبعضهم بدأ
هذا الاستخدام منذ شهور.

لم يمرّ أي من ذلك عبر إجراءات المشتريات المعتمدة لديك. ولم تُراجعه
الإدارة القانونية أو إدارة الامتثال. ولم يتحقق أحد من شروط معالجة
البيانات. ولم يسأل أحد عمّا إذا كان المخرج قابلاً للتدقيق أصلاً.

هذا هو ما يُعرف بـ"الذكاء الاصطناعي الخفي". وعلى خلاف "تقنية المعلومات
الخفية" التي عرفتها المؤسسات قبل عقد من الزمن، فإن نتائج الخطأ هنا
أسرع وقوعاً، وأصعب اكتشافاً، وأبعد ما تكون عن إمكانية التصحيح اللاحق.

لماذا يُمثّل الذكاء الاصطناعي الخفي نوعاً مختلفاً من المخاطر

كانت "تقنية المعلومات الخفية" في معظمها مشكلة أدوات برمجية غير معتمدة.
كأن يستخدم أحد الموظفين Dropbox بدلاً من خادم الملفات المعتمد. ومع ذلك
كانت البيانات تبقى بيانات؛ يمكن تتبعها ونقلها وإعادتها تحت السيطرة
المؤسسية.

أما الذكاء الاصطناعي الخفي فيختلف عن ذلك من ثلاثة جوانب جوهرية.

البيانات تُغادر المؤسسة فعلياً

عندما يُدرج أحد الموظفين ملخصاً لعميل أو نموذجاً مالياً في منصة ذكاء
اصطناعي عامة، يُنقَل هذا المحتوى فعلياً إلى خادم تابع لجهة خارجية.
وبحسب شروط الخدمة الخاصة بتلك المنصة، قد يُحتفَظ بالبيانات أو تُستخدم
في تدريب النماذج أو تصبح متاحة لمزوّد الخدمة نفسه. ومعظم الموظفين لا
يقرؤون هذه الشروط، وكذلك معظم المؤسسات.

المخرجات تتحوّل إلى مخاطر غير مرئية

يدخل المحتوى المُولَّد بالذكاء الاصطناعي إلى مسارات العمل دون أي
توسيم يُميّزه. فالتقرير الذي تمت صياغته عبر ChatGPT يبدو مطابقاً تماماً
لتقرير أعدّه أحد المحللين لديك. والتوصية التي صاغها نموذج غير مُراجَع
لا تحمل أي إفصاح عن مصدرها. وعند وقوع خطأ لاحق في سلسلة القرار، يصبح من
الصعب للغاية إرجاعه إلى مدخل ذكاء اصطناعي غير محكوم.

التعرّض التنظيمي حقيقي ومتنامٍ

في القطاعات الخاضعة للتنظيم، يُعدّ استخدام أدوات الذكاء الاصطناعي التي
لم تخضع للتقييم من حيث الامتثال لأنظمة حماية البيانات أو القواعد
القطاعية أو السياسات الداخلية أمراً متجاوزاً لحدود المنطقة الرمادية،
بل هو إخلال تنظيمي ينتظر فقط من يكتشفه. والجهات التنظيمية في دول
مجلس التعاون الخليجي وعلى المستوى العالمي باتت توضح بشكل متزايد أن
حوكمة الذكاء الاصطناعي مسؤولية تقع على مستوى مجلس الإدارة، لا مجرد
ملاحظة هامشية تخص إدارة تقنية المعلومات.

حجم التعرّض أكبر مما تتصوّر

كشف استطلاع أجرته منصة Fishbowl عام 2023 أن أكثر من 43% من المهنيين
الذين يستخدمون أدوات الذكاء الاصطناعي في بيئة العمل لم يُفصحوا عن ذلك
لجهة عملهم. وأعلنت شركة سامسونج عن اختراق بيانات داخلي في أوائل عام
2023 بعد أن قام مهندسوها بإدراج أكواد برمجية خاصة بالشركة في ChatGPT.
وقد أقدمت منذ ذلك الحين عدة شركات قانونية ومالية على تقييد الوصول إلى
أدوات الذكاء الاصطناعي العامة بشكل كامل، ليس معارضة منها للذكاء
الاصطناعي، بل لأنها لم تكن تملك أي إطار حوكمي لإدارته.

"المشكلة ليست في فضول الموظفين تجاه الذكاء الاصطناعي. المشكلة أن
مؤسستك لم تتح لهم قناة محكومة لاستكشافه بأمان، فابتكروا قناتهم
الخاصة."

وفي معظم المؤسسات اليوم، يشمل التعرّض الناتج عن الذكاء الاصطناعي الخفي:

معالجة بيانات العملاء ومعلومات الموردين ووثائق الاستراتيجية الداخلية
على منصات لم تخضع للتقييم

دخول مخرجات الذكاء الاصطناعي إلى مسارات اتخاذ القرار دون إفصاح أو
تحقق

غياب أي حصر للأدوات المستخدمة، أو الجهات التي تستخدمها، أو معدل
استخدامها

غياب أي إجراء للاستجابة للحوادث في حال وقوع حادثة بيانات مرتبطة
بالذكاء الاصطناعي

غياب أي مراجعة تعاقدية أو قانونية لمنصات الذكاء الاصطناعي المستخدمة
فعلياً

ومسار التدقيق الذي تتوقعه الجهات التنظيمية ومجالس الإدارة غير موجود
أصلاً لأي مما سبق. وهذا هو جوهر المخاطر الحقيقية.

الذكاء الاصطناعي الخفي مقابل الذكاء الاصطناعي المحكوم

ما الذي تبدو عليه حوكمة فعّالة للذكاء الاصطناعي الخفي؟

الدافع إلى الحظر الشامل مفهوم، لكنه غير مجدٍ عملياً. فالقيود الصارمة
تدفع الاستخدام إلى مزيد من الخفاء، وترسل إشارة للموظفين بأن القيادة
بعيدة عن واقع طريقة العمل الفعلية. والاستجابة الصحيحة هي بناء مسار
حوكمي معتمد، وإخراج الاستخدام الخفي إلى العلن.

الخطوة الأولى: الإقرار بأن الاستخدام قائم بالفعل

ابدأ بتشخيص خالٍ من اللوم. استطلع آراء الموظفين حول استخدامهم لأدوات
الذكاء الاصطناعي: ما هي الأدوات المستخدمة، ولأي مهام، وبأي بيانات.
الهدف هنا هو الرؤية الواضحة، لا المحاسبة. فمعظم من يستخدم الذكاء
الاصطناعي في العمل لا يفعل ذلك بنية سيئة، بل في محاولة لأداء عمله
بشكل أفضل بالأدوات المتاحة له.

الخطوة الثانية: تحديد حدود حوكمة الذكاء الاصطناعي

ضع سياسة واضحة تغطي الأدوات المسموح بها، وحالات الاستخدام المعتمدة،
وقواعد تصنيف البيانات الخاصة بمدخلات الذكاء الاصطناعي، ومتطلبات
الإفصاح عن المخرجات المدعومة بالذكاء الاصطناعي. ولا حاجة لأن تكون هذه
وثيقة من 40 صفحة؛ فسياسة من صفحتين بتعريفات واضحة وقائمة مختصرة
بالأدوات المعتمدة ستحقق أثراً أكبر من دليل شامل لن يقرأه أحد.

الخطوة الثالثة: بناء قدرة على الاكتشاف والرصد

يمكن لمراقبة الشبكات وأدوات نقاط النهاية والعقود مع المزوّدين أن تكشف
جميعها عن استخدام أدوات الذكاء الاصطناعي. ولست بحاجة لبناء منظومة
مراقبة شاملة، بل تحتاج فقط إلى مستوى كافٍ من الرؤية يُمكّنك من معرفة
متى تتم معالجة بيانات عالية الحساسية عبر قنوات غير مُراجَعة. اعمل مع
إدارتي تقنية المعلومات والشؤون القانونية لتحديد الحد الأدنى العملي
لطبقة الرصد المناسبة لسياق مؤسستك.

الخطوة الرابعة: إنشاء مسار مراجعة سريع للأدوات الجديدة

السبب الذي يدفع الموظفين لتجاوز الإجراءات الرسمية هو أن هذه الإجراءات
تستغرق وقتاً طويلاً. فإذا استغرقت الموافقة على أداة ذكاء اصطناعي جديدة
ثلاثة أشهر، فلن ينتظر أحد. أما مسار المراجعة السريع والمُبسَّط، الذي
يغطي معالجة البيانات والأمان والامتثال والشروط التعاقدية، فيمكنه تقييم
معظم أدوات الذكاء الاصطناعي الاستهلاكية خلال أيام معدودة، لا أشهر.
أنشئ هذا المسار، وسيلتزم به الموظفون.

الخطوة الخامسة: تحديد ملكية واضحة ضمن خط الدفاع الثاني

حوكمة الذكاء الاصطناعي ليست وظيفة تقنية معلومات. بل تقع ضمن خط الدفاع
الثاني، إلى جانب إدارة مخاطر المؤسسات والامتثال وخصوصية البيانات. حدد
ملكية واضحة، سواء لشخص مُعيَّن أو وظيفة مُحدَّدة، تمتلك الصلاحية
لوضع السياسات وإدارة سجل الأدوات المعتمدة ورفع الاستثناءات. فمن دون
ملكية واضحة، تبقى الحوكمة مجرد وثيقة، لا ضابطاً فعلياً.

الحد الأدنى الفعّال لسياسة الذكاء الاصطناعي

إذا لم تكن مؤسستك تملك سياسة للذكاء الاصطناعي حتى اليوم، فإليك نقطة
انطلاق عملية. هذه السياسة ليست شاملة، لكنها أفضل بكثير من غيابها
التام، وهي ترسل الإشارة الصحيحة.

يجب إدراج جميع أدوات الذكاء الاصطناعي المستخدمة لأغراض العمل في سجل
الأدوات المعتمدة قبل استخدامها.

لا يجوز إدخال أي بيانات مصنّفة فوق المستوى الداخلي في أي أداة ذكاء
اصطناعي دون موافقة صريحة مسبقة.

يجب الإفصاح عن أي مخرجات للذكاء الاصطناعي تُستخدم في مستندات تسليم
العملاء أو أوراق مجلس الإدارة أو الإيداعات التنظيمية، ومراجعتها من
قبل شخص مؤهل قبل استخدامها.

على الموظفين الذين يكتشفون مخاطر أو حوادث متعلقة بالذكاء الاصطناعي
الإبلاغ عنها عبر قناة الحوادث المعتمدة في المؤسسة.

تتولى إدارة المخاطر مراجعة هذه السياسة وتحديثها سنوياً، أو عقب وقوع
أي حادثة جوهرية متعلقة بالذكاء الاصطناعي.