ISO/IEC 42001

مشروع تجريبي لتطبيق إطار إدارة الذكاء الاصطناعي المسؤول

إن معيار ISO/IEC 42001:2023 هو أول معيار دولي يُحدِّد متطلبات نظام إدارة خاص بالذكاء الاصطناعي. وهو لا يحل محل اللائحة الأوروبية للذكاء الاصطناعي، لكنه يمنحكم العمود الفقري التنظيمي للامتثال لها بطريقة قابلة للإثبات. وإذا كانت مؤسستكم تستخدم الذكاء الاصطناعي بالفعل في إحدى العمليات، أو على وشك القيام بذلك، فهو القطعة الناقصة التي تتيح للإدارة أن تنام مطمئنة.

ما هو

يُرسي معيار ISO/IEC 42001 متطلبات إنشاء نظام لإدارة الذكاء الاصطناعي داخل المؤسسة وصيانته وتحسينه. وهو متوائم هيكلياً مع معيار ISO 27001 (أمن المعلومات) ومعيار ISO 9001 (الجودة)، مما يُيسِّر التكامل إذا كنتم حاصلين بالفعل على شهادة أحد هذين الإطارين.

ويغطي أربع كتل كبرى: الحوكمة التنظيمية للذكاء الاصطناعي (من يُقرِّر، ووفق أي معايير، وتحت أي إشراف)، وإدارة دورة حياة أنظمة الذكاء الاصطناعي (من الفكرة حتى الإيقاف)، والضوابط الملموسة على البيانات والنماذج والنتائج (التحيُّز، وقابلية التتبُّع، وقابلية التفسير، والإشراف البشري)، والتحسين المستمر القائم على الأدلة.

وهو ليس ختماً "أخلاقياً" مجرَّداً، بل إطار تشغيلي ملموس: بوثائق وسجلات وأدوار وأدلة وتدقيق. وعندما يسألكم عميل أو جهة تنظيمية أو مُدقِّق عن كيفية حوكمتكم لأنظمة الذكاء الاصطناعي لديكم، يمكنكم عرض مجموعة توثيقية متماسكة بدلاً من الارتجال.

ويُعِدّ المشروع التجريبي الذي ننجزه مؤسستكم كي تُصدِر لها جهة اعتماد للشهادات الشهادةَ من المحاولة الأولى. ونحن لا نحل محل تلك الجهة، بل نختارها معاً في نهاية المشروع إذا قررتم الحصول على الشهادة.

متى تحتاجون إليه

عملاؤكم من الشركات يبدؤون بطرح الأسئلة. يُرسل عميل من فئة المؤسسات الكبرى استبياناً للموردين يتضمن أسئلة محددة عن حوكمة الذكاء الاصطناعي: كيف يُدرَّب النموذج، وما البيانات التي استُخدمت، وكيف يُكتشَف التحيُّز، ومن يُشرف على النتائج، وماذا يحدث إذا أخفق النموذج. وإذا كان منتجكم يتضمن ذكاءً اصطناعياً، فإن السؤال سيصلكم قبل المتوقع.

أنتم على وشك نشر الذكاء الاصطناعي في عمليات حرجة. أنتم على وشك إدخال النماذج في قرارات تمسّ أشخاصاً (اختيار المرشحين، وتقييم العملاء، وترتيب أولويات الدعم، والإشراف على المحتوى) أو في عمليات ذات أثر مادي عند إخفاقها (الخدمات اللوجستية، والصيانة التنبؤية، وإدارة الاحتيال). ويُبرِّر احتمالُ الخطأ أو التحيُّز الصامت إضفاءَ الطابع الرسمي على الحوكمة قبل وقوع حادث.

ترغبون في استباق الإطار التنظيمي. اللائحة الأوروبية للذكاء الاصطناعي سارية المفعول وفق جدول زمني متدرِّج للامتثال. وتنطبق المحظورات بالفعل. وتُفعَّل الالتزامات الخاصة بالأنظمة عالية المخاطر تدريجياً. وامتلاك نظام إدارة وفق ISO/IEC 42001 مطبَّق يُنجِز لكم الجزء الأكبر من العمل عند وصول التفتيش أو المطالبة.

كيف نعمل

المرحلة 1 · النطاق وتحليل الفجوات (الأسبوع 1-2). نُحدِّد معاً أي أنظمة ذكاء اصطناعي تدخل في نطاق نظام الإدارة (منتجكم الرئيسي، أو عملياتكم الداخلية، أو كلاهما)، ونُجري مقابلات مع المسؤولين التقنيين ومسؤولي الأعمال، ونُراجع التوثيق القائم ونُقارنه بمتطلبات المعيار. ونختم بتقرير عن الفجوات مرتَّب حسب الأولوية.

المرحلة 2 · تصميم النظام التوثيقي (الأسبوع 3-4). نُصمِّم سياسة الذكاء الاصطناعي والإجراءات والسجلات ومصفوفة المسؤوليات بما يتلاءم مع مؤسستكم. ونحن لا ننسخ قوالب عامة: فكل وثيقة تُحرَّر بما يناسب سياقكم وحجمكم وثقافتكم. وإذا كان لديكم نظام إدارة قائم (ISO 27001 أو ISO 9001)، فإننا نُدمج بدلاً من التكرار.

المرحلة 3 · تطبيق الضوابط (الأسبوع 4-6). ننشر الضوابط التقنية والتنظيمية المطلوبة: سجلات القرارات المتعلقة بالنماذج، وتقييم التحيُّز السابق للنشر، والإشراف البشري في الإنتاج، وخطة استمرارية لأعطال النماذج، وإدارة الحوادث الخاصة بالذكاء الاصطناعي، وتدريب الفريق المسؤول ولجنة الذكاء الاصطناعي.

المرحلة 4 · التدقيق التمهيدي والمرافقة (الأسبوع 7-8). نُجري تدقيقاً داخلياً يُحاكي التدقيق الخارجي، ونُحدِّد الملاحظات ونُغلقها قبل وصول المُدقِّق المستقل. ونرافق التدقيق الخارجي لمنح الشهادة إذا قررتم الحصول على الشهادة. وإذا قررتم عدم الحصول على الشهادة والاكتفاء بالإطار المطبَّق، فإننا نُسلِّمكم المجموعة التوثيقية وخطة صيانة.

ماذا نُسلِّم

تقرير تحليل الفجوات مع الفجوات مرتَّبة حسب الأولوية وخطة لإغلاقها.
سياسة إدارة الذكاء الاصطناعي موقَّعة من الإدارة.
الإجراءات التشغيلية لدورة الحياة (التصوُّر، والبيانات، والتدريب، والتحقق، والنشر، والمراقبة، والإيقاف).
مصفوفة الأدوار والمسؤوليات (RACI) الخاصة بالذكاء الاصطناعي.
سجلات تقييم المخاطر لكل نظام ذكاء اصطناعي ضمن النطاق.
ضوابط التحيُّز والإشراف موثَّقة ومطبَّقة.
خطة إدارة الحوادث الخاصة بأعطال النماذج.
خطة تدريب للجنة الذكاء الاصطناعي والفريق التقني.
تقرير التدقيق الداخلي التمهيدي مع الملاحظات مُغلقة.
مرافقة التدقيق الخارجي إذا حصلتم على الشهادة.

لمن هو موجَّه

الشركات التي تنشر الذكاء الاصطناعي بالفعل أو على وشك القيام بذلك، في القطاعات التي تكون فيها الثقة والمساءلة شرطاً للبيع أو للتنظيم.

شركة برمجيات كخدمة (SaaS) تتضمن ذكاءً اصطناعياً في المنتج (نظام توصية، أو مُولِّد محتوى، أو مساعد محادثة، أو نموذج تنبؤي) تبيع لعملاء من المؤسسات الكبرى أو الخاضعة للتنظيم.
مؤسسة في قطاع المال أو الصحة أو التأمين تنشر الذكاء الاصطناعي في عمليات داخلية ذات أثر على العملاء (التقييم، والفرز، والاكتتاب) وتحتاج إلى إثبات حوكمة مسؤولة.
قسم الذكاء الاصطناعي داخل مجموعة صناعية يحتاج إلى إضفاء الطابع الرسمي على إدارته لتوسيع استخدام النماذج دون فقدان السيطرة.

الأسئلة الشائعة

هل الحصول على الشهادة إلزامي أم يمكنني تطبيق الإطار دون الحصول على الشهادة؟

ليس إلزامياً. تُطبِّق مؤسسات كثيرة معيار ISO/IEC 42001 دون الحصول على الشهادة، لمجرد امتلاك الإطار. وتُضيف الشهادة ختماً خارجياً مفيداً عندما تبيعون لعملاء يشترطونه أو عندما ترغبون في التميُّز أمام الجهات التنظيمية.

كم تستغرق مدة المشروع؟

من ستة إلى ثمانية أسابيع في النطاق المحدد المعتاد للسوق المتوسطة. وإذا كان النطاق يشمل منتجات أو شركات تابعة متعددة، يُضبَط الجدول الزمني في اجتماع الانطلاق ويُقسَّم إلى موجات.

ما العلاقة بين معيار ISO/IEC 42001 واللائحة الأوروبية للذكاء الاصطناعي؟

هما متكاملان. فاللائحة تُحدِّد ما يجب الامتثال له؛ والمعيار يُحدِّد كيفية تنظيم الشركة للامتثال له بطريقة متسقة وقابلة للإثبات. وتطبيق معيار ISO/IEC 42001 يُيسِّر الامتثال للائحة ويُقلِّل من تكلفته.

هل أحتاج إلى الحصول على ISO 27001 قبل معالجة ISO/IEC 42001؟

ليس شرطاً. يتشارك المعياران الهيكل ويتكاملان، لكن يمكن تطبيق كلٍّ منهما بشكل مستقل. وإذا كان لديكم ISO 27001، فإننا نستفيد منه. وإن لم يكن، فهو ليس عائقاً.

هل يمكنكم إصدار الشهادة؟

لا. تُصدِر الشهادةَ جهةُ اعتماد للشهادات معتمَدة ومستقلة. ونحن نُعِدّكم لها. وهذا الفصل بنيوي في منظومة ISO وقائم لضمان استقلالية المُدقِّق عمَّن أعدَّكم.

ماذا يحدث إذا اكتشفنا خلال المشروع أن النطاق أكبر مما كان متوقعاً؟

يُضبَط الجدول الزمني والتكلفة، دائماً بموافقة خطية. ولا توجد مفاجآت في النهاية. وإذا تضاعف النطاق، نقول ذلك حالما نراه، لا في الشهر الأخير.

حالات الاستخدام النمطية

الحالة 1 · شركة البرمجيات كخدمة ذات نموذج التوصية في الإنتاج. شركة تجارة إلكترونية بين الشركات (B2B) لديها نظام توصية خاص قائم على نماذج التعلُّم. تتلقى استبيانات من خمسة عملاء من المؤسسات الكبرى يطلبون حوكمة الذكاء الاصطناعي. صمَّمنا نظام إدارة خاصاً بنظام التوصية، وأضفينا الطابع الرسمي على تقييم التحيُّز حسب فئة العميل، وأطلقنا سجل قرارات النموذج وخطة استجابة عند طعن العميل في إحدى النتائج. النتيجة: نالت الموافقة من العملاء الخمسة في مراجعاتهم السنوية.

الحالة 2 · مجموعة التأمين ذات الذكاء الاصطناعي في الاكتتاب. مجموعة تأمين أوروبية تنشر نماذج لدعم اكتتاب وثائق التأمين. ودون إطار محدد، تعمل فِرَق الاكتتاب وعلم البيانات في صوامع منفصلة. طبَّقنا نظام إدارة مع لجنة ذكاء اصطناعي شهرية، وتقييم أثر سابق لنشر كل نموذج، ومراقبة مستمرة بعد الإنتاج. تم الحصول على الشهادة الخارجية في الدورة الأولى. وكتحسين جانبي: توثيق يُقلِّل من زمن التدقيق الداخلي اللاحق.

الحالة 3 · مُكامِل صناعي بمشروع تجريبي للصيانة التنبؤية. شركة صناعية تختبر الصيانة التنبؤية بالذكاء الاصطناعي في أحد مصانعها، بنية توسيعها إلى المصانع الأربعة الأخرى. طبَّقنا الإطار قبل التوسيع، مع تعريف معايير تحقُّق قابلة للتكرار. وعند التوسع إلى المصانع الأخرى، تكون العملية قد أُضفي عليها الطابع الرسمي بالفعل، مما يُقلِّل منحنى التعلُّم ويتجنَّب إعادة ابتكار الحوكمة في كل مصنع.

كيف نبدأ؟

تشخيص أولي مجاني لمدة أسبوع. نُراجع سياقكم، ونُخبركم إن كان معيار ISO/IEC 42001 مناسباً لكم، وبأي نطاق سنعالجه وما الجدول الزمني الذي نُقدِّره. وإن لم يكن مناسباً لكم، نقول لكم ذلك.

راسلونا على [email protected]