حوكمة الذكاء الاصطناعي: سبعة أسئلة يجب أن يطرحها مجلس الإدارة
لم يعد الذكاء الاصطناعي مشروعًا تقنيًا يمكن لمجلس الإدارة أن يترك تفاصيله بالكامل لإدارة تقنية المعلومات. فالأنظمة التي تستخدم الذكاء الاصطناعي بدأت تدخل في قرارات تتعلق بالعملاء، والموظفين، والتسعير، والمخاطر، والتحليل المالي، والأمن السيبراني، وإنتاج المحتوى، وحتى إعداد المعلومات التي تصل إلى الإدارة العليا نفسها.
ومع اتساع الاستخدام، يتغير السؤال الذي ينبغي أن يشغل مجلس الإدارة. لم يعد السؤال: هل نستخدم الذكاء الاصطناعي؟ بل: أين نستخدمه؟ وما القيمة التي ننتظرها منه؟ وما المخاطر التي نقبلها؟ ومن يتحمل المسؤولية عندما يؤثر في قرار مهم؟
وفي المملكة، لم تعد هذه الأسئلة منفصلة عن البيئة التنظيمية والمؤسسية. فقد أصدرت الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» في أبريل 2026 الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي، وهو موجه إلى الجهات الحكومية والخاصة، ويقدم منهجية لتحديد مخاطر الذكاء الاصطناعي وتقييمها ومعالجتها ومراقبتها. كما تتضمن مبادئ أخلاقيات الذكاء الاصطناعي الصادرة عن سدايا مفاهيم مثل العدالة، والخصوصية والأمن، والموثوقية والسلامة، والشفافية وقابلية التفسير، والمساءلة والمسؤولية.
وهذا لا يعني أن على أعضاء المجلس أن يصبحوا متخصصين في الخوارزميات أو نماذج اللغة. المطلوب شيء مختلف: أن يعرف المجلس ما يكفي ليطرح الأسئلة الصحيحة، ويضمن وجود مسؤولية واضحة، وضوابط تتناسب مع أثر كل استخدام.
السؤال الأول: أين نستخدم الذكاء الاصطناعي فعليًا؟
قد تبدو الإجابة واضحة، لكنها في كثير من المؤسسات ليست كذلك. فقد تكون هناك مشاريع ذكاء اصطناعي معتمدة رسميًا، وفي الوقت نفسه يستخدم الموظفون أدوات توليدية خارجية لكتابة التقارير، وتلخيص الاجتماعات، وتحليل ملفات العملاء، أو مساعدة فرق البرمجة، بينما تتضمن أنظمة اشترتها المؤسسة قدرات ذكاء اصطناعي لم تكن موجودة عند التعاقد عليها أصلًا.
لهذا فإن نقطة البداية في الحوكمة ليست صياغة سياسة طويلة، بل امتلاك رؤية واضحة لحالات الاستخدام. ينبغي أن تعرف الإدارة ما الأنظمة المستخدمة، ومن يملكها داخل المؤسسة، وما البيانات التي تصل إليها، وما القرار أو العملية التي تؤثر فيها، وهل النظام مطور داخليًا أم مقدمًا من طرف ثالث.
والأهم أن المجلس لا يحتاج إلى التعامل مع جميع الاستخدامات بالطريقة نفسها. أداة تساعد موظفًا على تنسيق عرض تقديمي لا تحمل مستوى الخطر نفسه الذي يحمله نظام يؤثر في قرار توظيف، أو تقييم ائتماني، أو تعامل مع بيانات شخصية حساسة. الحوكمة الجيدة تبدأ إذن من تصنيف الاستخدامات بحسب أثرها ومخاطرها، لا من فرض المستوى نفسه من الرقابة على كل أداة.
وهذا المنهج يتفق مع التوجه القائم على المخاطر في الإطار الوطني السعودي، وكذلك مع إطار NIST لإدارة مخاطر الذكاء الاصطناعي، الذي يركز على فهم السياق وقياس المخاطر وإدارتها ومتابعتها عبر دورة حياة النظام.
السؤال الثاني: ما القيمة التي نتوقع أن يخلقها الذكاء الاصطناعي؟
أحد أخطر أشكال ضعف الحوكمة لا يظهر عندما تفشل المؤسسة في تبني الذكاء الاصطناعي، بل عندما تتبناه بكثافة من دون أن تعرف بدقة ما القيمة التي تريد تحقيقها.
قد تنتشر المبادرات لأن التقنية أصبحت متاحة، أو لأن المنافسين يستخدمونها، أو لأن الإدارات ترغب في إثبات قدرتها على الابتكار. لكن المجلس يحتاج إلى ربط الاستثمارات في الذكاء الاصطناعي بأهداف واضحة: هل الهدف رفع الإنتاجية؟ تحسين تجربة العميل؟ تخفيض تكلفة عملية معينة؟ رفع جودة القرار؟ تسريع تطوير المنتجات؟ أم اكتشاف مخاطر لا تستطيع الأساليب التقليدية رصدها بالكفاءة نفسها؟
ولا يكفي أن تعرض الإدارة عدد أدوات الذكاء الاصطناعي التي تم تشغيلها أو عدد الموظفين الذين حصلوا على تراخيص استخدامها. هذه مؤشرات على التبني وليست بالضرورة مؤشرات على القيمة. المطلوب أن تستطيع الإدارة توضيح ما الذي تغير في الأداء، وما الذي لم يتغير، وما إذا كانت الفائدة المتحققة تبرر التكلفة والمخاطر الجديدة.
ويصبح هذا أكثر أهمية عندما ينتقل الذكاء الاصطناعي من تحسين عملية داخلية إلى التأثير المباشر في قرارات ذات أثر مرتفع. عندها لا يعود السؤال المالي وحده كافيًا؛ فقد تكون الأداة فعالة اقتصاديًا، لكنها لا تتناسب مع مستوى المخاطرة الذي تقبله المنظمة.
السؤال الثالث: من يتحمل المسؤولية عندما يؤثر الذكاء الاصطناعي في القرار؟
وجود خوارزمية في مسار القرار لا يلغي المسؤولية البشرية.
قد يكون النظام مقدمًا من شركة خارجية، أو تعمل النماذج على بنية سحابية لا تديرها المؤسسة، أو يستخدم الموظف أداة توليدية عامة. لكن المسؤولية عن كيفية استخدام المخرجات داخل المنظمة لا يمكن أن تبقى معلقة بين قسم التقنية والمورد والمستخدم النهائي.
لذلك يجب أن يكون لكل استخدام مهم مالك واضح من جانب الأعمال، وليس مالكًا تقنيًا فقط. هذا الشخص أو الجهة مسؤولة عن الغرض من النظام، وحدود استخدامه، والمعايير التي تحدد متى يجوز الاعتماد على مخرجاته ومتى يجب تدخل الإنسان، إضافة إلى مسار التصعيد عند حدوث خطأ أو نتيجة غير متوقعة.
ومبدأ المساءلة حاضر بوضوح في مبادئ أخلاقيات الذكاء الاصطناعي لدى سدايا، التي تؤكد تحديد المسؤولين عن تصميم الأنظمة وتطويرها وتنفيذها ووجود آليات مناسبة لمنع الضرر وسوء الاستخدام. كما أن ISO/IEC 42001 يتعامل مع حوكمة الذكاء الاصطناعي بوصفها نظام إدارة مؤسسيًا قائمًا على السياسات والمسؤوليات والعمليات والتحسين المستمر، وليس مهمة تقنية منفصلة.
وهنا يجب أن يكون السؤال واضحًا أمام المجلس: إذا اتخذت المنظمة غدًا قرارًا مهمًا بناءً على مخرجات نظام ذكاء اصطناعي وتبين أن القرار خاطئ، من يستطيع أن يشرح كيف وصلنا إليه، ومن كان يملك سلطة إيقافه؟
السؤال الرابع: ما البيانات التي يعتمد عليها النظام، وهل نملك حق استخدامها؟
الذكاء الاصطناعي لا ينفصل عن البيانات. وكلما اتسع استخدامه، ازدادت احتمالات انتقال معلومات المؤسسة إلى أنظمة ونماذج وموردين لم تكن ضمن مسارات البيانات التقليدية. وقد تكون المسألة بسيطة مثل نسخ نص داخلي إلى أداة توليدية عامة، أو أكثر تعقيدًا عندما يعتمد النظام على قواعد بيانات العملاء أو الموظفين أو السجلات التشغيلية لتدريب نموذج أو تحسين مخرجاته.
في المملكة، يصبح هذا السؤال ذا أهمية قانونية مباشرة عندما تدخل البيانات الشخصية في العملية. فنظام حماية البيانات الشخصية ولائحته التنفيذية ينظمان معالجة البيانات الشخصية، ويضعان التزامات على الجهات التي تحدد أغراض المعالجة ووسائلها، بما في ذلك الجوانب المتعلقة بحقوق أصحاب البيانات وحماية البيانات وشروط نقلها أو الإفصاح عنها.
لذلك لا ينبغي أن يسأل المجلس فقط: هل بياناتنا آمنة؟ بل أيضًا: ما البيانات التي تدخل إلى النظام؟ لماذا نستخدمها؟ من يستطيع الوصول إليها؟ أين تتم معالجتها؟ هل يحتفظ بها المورد؟ وهل يمكن أن يستخدمها لتطوير نموذج آخر؟ وما الذي يحدث لهذه البيانات عندما تنتهي العلاقة مع المزود؟
هذه ليست تفاصيل تعاقدية صغيرة. فاختيارات البيانات التي يتعلم منها النظام تؤثر في جودة مخرجاته، وخصوصية الأفراد، واحتمالات التحيز، والملكية الفكرية، والسمعة المؤسسية.
السؤال الخامس: كيف نعرف أن النظام موثوق وعادل بما يكفي لاستخدامه؟
لا يوجد نظام ذكاء اصطناعي خالٍ تمامًا من الخطأ. والمشكلة ليست في الاعتراف بهذه الحقيقة، بل في استخدام النظام وكأن مخرجاته صحيحة دائمًا.
قد ينتج النظام التوليدي معلومات غير دقيقة بثقة عالية، وقد تتغير جودة نموذج آخر مع تغير البيانات أو ظروف السوق، وقد تظهر أنماط تحيز لم تكن واضحة في مرحلة الاختبار. ولهذا لا يمكن أن يكون اختبار النظام حدثًا يحدث مرة واحدة قبل الإطلاق ثم ينتهي.
المطلوب أن تحدد المنظمة المستوى المقبول من الأداء والخطأ لكل استخدام. ففي بعض التطبيقات يمكن تحمل خطأ بسيط لأنه سيخضع لمراجعة بشرية قبل استخدامه. أما عندما يؤثر النظام في حقوق الأفراد، أو القرارات المالية، أو السلامة، أو عمليات جوهرية، فيجب أن تكون الضوابط والاختبارات أعلى بكثير.
وتضع مبادئ سدايا الموثوقية والسلامة، والعدالة، والشفافية وقابلية التفسير ضمن المبادئ الأساسية للاستخدام المسؤول للذكاء الاصطناعي. كما يؤكد ملف NIST الخاص بالذكاء الاصطناعي التوليدي على مخاطر مميزة لهذه الأنظمة وعلى ضرورة إدارتها طوال دورة حياتها، وليس عند مرحلة الإطلاق فقط.
ولا يحتاج عضو المجلس إلى معرفة طريقة اختبار النموذج تقنيًا، لكنه يحتاج إلى إجابة مفهومة عن سؤالين: كيف نعرف أنه يعمل كما نتوقع؟ وكيف سنعرف عندما يتوقف عن ذلك؟
السؤال السادس: هل نفهم مخاطر الموردين والأمن السيبراني؟
قد تستخدم المنظمة الذكاء الاصطناعي من دون أن تطور أي نموذج بنفسها. وهذا لا يقلل مسؤوليتها عن المخاطر؛ بل قد يجعل سلسلة المسؤولية أكثر تعقيدًا.
فالحل الواحد قد يعتمد على مزود تطبيق، ونموذج من شركة أخرى، وبنية سحابية من طرف ثالث، ومكونات إضافية أو بيانات خارجية. وعند حدوث مشكلة، تصبح معرفة من يملك ماذا ومن يتحكم في البيانات ومن يبلغ عن الحادث أمرًا بالغ الأهمية.
لذلك يجب ألا تقتصر عملية شراء حلول الذكاء الاصطناعي على الوظائف والسعر. ينبغي النظر إلى طريقة حماية البيانات، وإدارة الصلاحيات، وسياسات الاحتفاظ بالمعلومات، واستخدام بيانات العميل في تدريب النماذج، وآليات تحديث النظام، والإبلاغ عن الحوادث، والاستعانة بأطراف أخرى، وإمكانية الانتقال إلى مزود بديل إذا تغيرت المخاطر أو الشروط.
وفي البيئة السعودية، ينبغي كذلك مراعاة متطلبات الهيئة الوطنية للأمن السيبراني بحسب نطاق انطباقها على الجهة والنظام. وتشمل الأطر المنشورة حاليًا الضوابط الأساسية للأمن السيبراني ECC 2-2024 وضوابط الأمن السيبراني للحوسبة السحابية CCC 2-2024، إلى جانب ضوابط أخرى بحسب طبيعة الأنظمة والقطاعات.
الفكرة هنا ليست إضافة طبقة بيروقراطية إلى الابتكار، بل منع المؤسسة من اكتشاف اعتمادها على مورد أو نموذج أو مسار بيانات لم تفهم مخاطره إلا بعد حدوث المشكلة.
السؤال السابع: ما الذي يجب أن يصل إلى مجلس الإدارة؟
قد تكون لدى المنظمة سياسة ممتازة للذكاء الاصطناعي، ولجنة داخلية، وسجل للحالات، وإجراءات للاختبار. لكن المجلس يحتاج إلى معرفة ما إذا كانت هذه المنظومة تعمل بالفعل.
ولا يعني ذلك أن يستعرض المجلس عشرات النماذج واحدًا واحدًا أو يتلقى تقارير تقنية يصعب على غير المتخصص فهمها. الأفضل أن تكون المعلومات مبنية على مستوى المخاطر والأثر.
ينبغي أن يعرف المجلس ما هي حالات الاستخدام الأعلى أثرًا، وما المخاطر التي تجاوزت الحدود المعتمدة، وما الحوادث أو الإخفاقات الجوهرية التي حدثت، وهل ظهرت مشكلات في الخصوصية أو الأمن أو العدالة أو جودة المخرجات، وما التغييرات المهمة التي طرأت على الموردين أو النماذج التي تعتمد عليها المؤسسة.
ويحتاج المجلس أيضًا إلى معرفة ما إذا كانت الإدارة قادرة على إيقاف استخدام معين عندما تتغير المخاطر. فالحوكمة التي تستطيع الموافقة على المشاريع لكنها لا تستطيع تعليقها أو تعديلها عند ظهور مشكلة ليست حوكمة مكتملة.
وهذه النظرة المستمرة تنسجم مع الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي الصادر عن سدايا، الذي لا يقف عند تحديد المخاطر، بل يشمل تقييمها ومعالجتها ومراقبتها، كما تتفق مع منطق ISO/IEC 42001 القائم على التحسين المستمر لنظام إدارة الذكاء الاصطناعي.
الحوكمة لا تعني أن يصبح المجلس لجنة تقنية
هناك خطران متعاكسان في تعامل مجالس الإدارة مع الذكاء الاصطناعي. الأول هو الابتعاد الكامل واعتباره شأنًا تقنيًا. والثاني هو الدخول في تفاصيل تشغيلية يفترض أن تديرها الإدارة التنفيذية والمتخصصون.
المجلس لا يحتاج إلى اختيار النموذج أو مراجعة الأكواد أو تحديد بنية النظام. دوره هو التأكد من وجود استراتيجية، ومسؤولية، وحدود للمخاطر، ومعلومات كافية للرقابة.
ولهذا يجب أن يعرف أعضاء المجلس ما يكفي لفهم الفرق بين نظام يقدم توصية ونظام يتخذ إجراءً، وبين تجربة منخفضة المخاطر وتطبيق يؤثر في حقوق الأفراد أو نتائج مالية جوهرية، وبين خطأ يمكن تصحيحه بسهولة وخطأ قد يؤدي إلى أثر قانوني أو تشغيلي أو سمعة يصعب استعادتها.
إن أفضل حوكمة للذكاء الاصطناعي ليست الأكثر تعقيدًا، بل الأكثر قدرة على توجيه مستوى الرقابة إلى حيث يكون الأثر أعلى.
في السعودية: ما هو ملزم وما هو إرشادي؟
من المهم عدم جمع جميع الأطر المتعلقة بالذكاء الاصطناعي تحت وصف «متطلبات نظامية» واحدة.
نظام حماية البيانات الشخصية ولائحته التنفيذية يمثلان التزامًا قانونيًا عندما تنطبق أحكامهما على معالجة البيانات الشخصية. كما أن ضوابط الهيئة الوطنية للأمن السيبراني تكون واجبة التطبيق على الجهات والأنظمة الواقعة ضمن نطاقها وفق الأطر ذات الصلة.
في المقابل، توفر سدايا أدوات وأطرًا وطنية تساعد المؤسسات على بناء الاستخدام المسؤول للذكاء الاصطناعي، من بينها مبادئ أخلاقيات الذكاء الاصطناعي، وإطار تبني الذكاء الاصطناعي، وأحدثها الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي لعام 2026. وهي مراجع مهمة في بناء منظومة الحوكمة، لكن ينبغي دائمًا التحقق من طبيعة كل وثيقة ونطاق تطبيقها وعدم تحويل الإرشادات تلقائيًا إلى التزام قانوني لم تنص عليه.
أما دوليًا، فإن NIST AI RMF إطار طوعي لإدارة المخاطر، في حين يمثل ISO/IEC 42001 معيارًا دوليًا لنظام إدارة الذكاء الاصطناعي يمكن للمؤسسات الاستفادة منه لبناء عمليات الحوكمة والمسؤولية والتحسين المستمر.
هذا التمييز مهم لمجلس الإدارة؛ لأن الحوكمة الجيدة لا تقوم على تضخيم المتطلبات، كما لا تقوم على التقليل منها. بل تبدأ بمعرفة ما الذي يجب على المنظمة الالتزام به، وما الذي تختار تطبيقه لرفع مستوى النضج والثقة وإدارة المخاطر.
حوكمة الذكاء الاصطناعي ليست عائقًا أمام الابتكار
قد تبدو الحوكمة للوهلة الأولى كأنها سلسلة من الموافقات والقيود. لكن عندما تكون مصممة جيدًا، فإنها تفعل العكس؛ فهي تسمح للمنظمة بالتحرك بسرعة أكبر لأنها تحدد مسبقًا ما هو مقبول، ومن يقرر، ومتى يحتاج الاستخدام إلى مراجعة أعمق.
فالمؤسسة التي لا تمتلك إطارًا واضحًا قد تتأرجح بين طرفين: استخدام سريع وغير منضبط، أو خوف من المخاطر يؤدي إلى تعطيل مبادرات يمكن أن تخلق قيمة حقيقية.
أما الحوكمة الناضجة فتسمح بالتجربة في الاستخدامات منخفضة المخاطر، وتزيد مستوى التدقيق كلما ارتفع الأثر، وتضع خطوطًا واضحة للحالات التي يجب أن يبقى فيها القرار البشري حاضرًا.
وهذا هو التوازن الذي يحتاج إليه مجلس الإدارة: ليس كيف يمنع المخاطر كلها، بل كيف يسمح للمنظمة بالابتكار ضمن مستوى مخاطر تفهمه وتستطيع إدارته.
المجلس لا يحتاج إلى جميع الإجابات، لكنه يجب أن يعرف الأسئلة
الذكاء الاصطناعي سيتغير بسرعة أكبر من قدرة معظم السياسات على ملاحقته. ولهذا فإن قوة مجلس الإدارة لن تأتي من محاولة فهم كل نموذج جديد أو أداة تظهر في السوق.
ستأتي من وجود منظومة تستطيع الإجابة بصورة متكررة عن سبعة أسئلة: أين نستخدم الذكاء الاصطناعي؟ وما القيمة التي نريدها؟ ومن المسؤول؟ وما البيانات التي نعتمد عليها؟ وكيف نختبر الموثوقية والعدالة؟ وما مخاطر الموردين والأمن؟ وما المعلومات التي تصل إلى المجلس؟
إذا لم تستطع الإدارة تقديم إجابات واضحة، فالمشكلة ليست أن أعضاء المجلس لا يفهمون التقنية بما يكفي؛ بل أن المنظمة ربما لم تحكم استخدامها بما يكفي.
والسؤال الذي ينبغي أن يبقى أمام المجلس ليس: هل نحن متقدمون في استخدام الذكاء الاصطناعي؟
بل: هل نعرف أين يخلق قيمة، وأين يمكن أن يخلق مخاطرة، ومن يتحمل المسؤولية في الحالتين؟
– تم إعادة صياغة هذا المقال بواسطة الذكاء الاصطناعي.
الرئيس التنفيذي من الداخل أم الخارج؟
