الأمن السيبراني وحوكمة الذكاء الاصطناعي: ما يجب على كل مسؤول تنفيذي سعودي معرفته

الذكاء الاصطناعي يُعيد تعريف ما تستطيع المؤسسات تحقيقه. لكنه في الوقت ذاته يُعيد تعريف ما يستطيع المهاجمون تحقيقه أيضاً. هذه المعادلة المزدوجة هي جوهر ما يجب على كل مسؤول تنفيذي سعودي فهمه قبل أن يُوقّع على أي مشروع ذكاء اصطناعي.

المشهد الأمني في المملكة العربية السعودية

المملكة العربية السعودية واحدة من أكثر الدول استهدافاً في منطقة الشرق الأوسط من الناحية السيبرانية. تقارير الهيئة الوطنية للأمن السيبراني (NCA) تُوثّق تصاعداً مستمراً في الهجمات الإلكترونية الموجّهة للقطاعَين العام والخاص.

وما يُزيد التعقيد هو أن البنية التحتية للذكاء الاصطناعي تُوسّع سطح الهجوم بشكل جوهري. كل نقطة تكامل جديدة بين نظام ذكاء اصطناعي وقواعد البيانات والأنظمة التشغيلية هي نقطة ضعف محتملة إذا لم تُعالَج بشكل صحيح من البداية.

لماذا يختلف أمن الذكاء الاصطناعي عن أمن تقنية المعلومات التقليدي؟

المؤسسات المعتادة على أطر عمل أمن تقنية المعلومات التقليدية قد تقع في فخ الاعتقاد بأنها جاهزة للتعامل مع تحديات أمن الذكاء الاصطناعي. هذا الاعتقاد خاطئ لأسباب جوهرية:

التهديدات المُميّزة لأنظمة الذكاء الاصطناعي:

أولاً -- هجمات تسميم البيانات (Data Poisoning): يقوم المهاجم بحقن بيانات مُضلَّلة في مرحلة تدريب النموذج، مما يُحرف سلوكه بطرق قد لا تكون واضحة حتى مرحلة الإنتاج الفعلي. في سياق مؤسسي، هذا يعني نموذجاً يتخذ قرارات تبدو منطقية لكنها مبنية على أسس ملوّثة.

ثانياً -- هجمات الحقن التحريضي (Prompt Injection): المهاجم يُدخل تعليمات خبيثة عبر مدخلات المستخدم للتلاعب بمخرجات النموذج. في تطبيقات خدمة العملاء أو الأتمتة المؤسسية، هذا النوع من الهجمات خطير للغاية.

ثالثاً -- تسرّب النماذج (Model Extraction): المهاجم يستطيع من خلال استعلامات منهجية استنساخ نموذج الذكاء الاصطناعي الذي استثمرت المؤسسة في تطويره، مما يُهدد الملكية الفكرية والميزة التنافسية.

رابعاً -- مخاطر الخصوصية: أنظمة الذكاء الاصطناعي التي تُدرَّب على بيانات حساسة قد تكشف عن معلومات شخصية أو تجارية سرية عبر مخرجاتها دون قصد.

إطار الحوكمة: ما تحتاجه مؤسستك

الحوكمة الجيدة لأنظمة الذكاء الاصطناعي ليست مجرد قائمة بروتوكولات تقنية. إنها منظومة متكاملة تشمل العمليات والمسؤوليات والأدوات:

1. تصنيف المخاطر قبل النشر

لكل نظام ذكاء اصطناعي تخطط مؤسستك لنشره، يجب تقييم مستوى المخاطر المرتبطة به:

• ما البيانات التي يُعالجها؟ هل تشمل بيانات شخصية؟ بيانات مالية؟ معلومات استراتيجية؟
• ما القرارات التي يُؤثّر فيها؟ قرارات روتينية منخفضة الأثر؟ أم قرارات تُؤثّر في عمليات حرجة؟
• من يستطيع الوصول إليه؟ موظفون داخليون فقط؟ عملاء خارجيون؟ شركاء وموردون؟

مستوى المخاطرة يُحدد حجم الضمانات الأمنية المطلوبة.

2. مبدأ الحد الأدنى من الصلاحيات

أنظمة الذكاء الاصطناعي يجب أن تحصل على صلاحيات الوصول اللازمة لأداء مهامها فقط -- لا أكثر. وكيل ذكاء اصطناعي مُصمَّم لمعالجة طلبات خدمة العملاء لا يحتاج وصولاً إلى قواعد البيانات المالية.

3. المراقبة المستمرة والاكتشاف الشاذ

أنظمة الذكاء الاصطناعي في بيئة الإنتاج بحاجة إلى مراقبة مستمرة: مراقبة سلوك النموذج للكشف عن انحرافات عن الأنماط المتوقعة، مراقبة أنماط الاستعلام للكشف عن محاولات الاستغلال، ومراقبة مخرجات النظام لتحديد أي تسرّب لمعلومات حساسة.

4. الامتثال لنظام حماية البيانات الشخصية (PDPL)

نظام حماية البيانات الشخصية السعودي أصبح نافذاً ومُطبّقاً. أي نظام ذكاء اصطناعي يُعالج بيانات شخصية لمواطنين أو مقيمين في المملكة يجب أن يكون متوافقاً مع متطلبات PDPL من حيث:

• موافقة صاحب البيانات على معالجتها
• محدودية استخدام البيانات في الغرض المحدد
• حق صاحب البيانات في الوصول والتصحيح والحذف
• إخطار الجهات التنظيمية في حالة اختراق البيانات

المخالفة لهذه المتطلبات لا تعني فقط الغرامات المالية -- بل تعني أيضاً الأضرار على السمعة.

5. السيادة على البيانات والنماذج

هذه النقطة بالغة الأهمية في السياق السعودي: أين تُخزَّن بياناتك؟ أين تُدرَّب نماذجك؟ من يملك حق الوصول إليها؟

الحلول المعتمدة على بنى سحابية خارجية قد لا تُلبّي متطلبات السيادة على البيانات للقطاعات الحساسة كالحكومة والمال والصحة. النماذج اللغوية الداخلية (Internal LLMs) المُنشأة ومُشغَّلة داخل بنية المؤسسة أو داخل الحدود الجغرافية للمملكة تُقدّم ضماناً أعلى لسيادة البيانات.

إطار هيئة الاتصالات وتقنية المعلومات والجهات التنظيمية

الجهات التنظيمية السعودية أصدرت أطراً للأمن السيبراني تشمل:

• إطار الأمن السيبراني الوطني الصادر عن NCA: مرجع أساسي لبناء برامج الأمن المؤسسي
• اشتراطات أمن السحابة الصادرة عن CITC
• إرشادات الذكاء الاصطناعي الصادرة عن سدايا: تُعالج بشكل خاص متطلبات الشفافية والمساءلة في أنظمة الذكاء الاصطناعي

المؤسسات التي تبني أنظمة ذكاء اصطناعي بدون مراعاة هذه الأطر التنظيمية ستُضطر لاحقاً إلى إعادة هندسة أنظمتها بتكلفة أعلى بكثير.

الموازنة بين الأمن والابتكار

هناك خوف مشروع لدى بعض القادة من أن متطلبات الأمن الصارمة ستُعيق الابتكار وتُبطئ التبني. هذا الخوف مفهوم لكنه غير دقيق.

أنظمة الذكاء الاصطناعي المبنية بأمان وحوكمة جيدة من البداية تتمتع بعمر تشغيلي أطول وثقة أكبر من المستخدمين وتحمّل أقل للمخاطر القانونية. الاستثمار في الأمن مقدماً يُوفّر تكاليف أكبر لاحقاً.

في سيادة تك، نُؤمن بأن الأمن السيبراني وحوكمة الذكاء الاصطناعي ليسا عائقاً أمام الابتكار -- بل هما الأساس الذي يجعل الابتكار مستداماً وجديراً بثقة المؤسسة والجهات التنظيمية والعملاء.

الذكاء الاصطناعي غير الآمن ليس ميزة تنافسية. إنه مسؤولية متراكمة تنتظر وقت الانكشاف.