مقدمة
أصبح معيار ISO 42001 وإطار NIST لإدارة مخاطر الذكاء الاصطناعي (NIST AI Risk Management Framework) نقطتي المرجعية اللتين تُبنى حولهما معظم برامج حوكمة الذكاء الاصطناعي في المؤسسات. وهما متكاملان لا متنافسان: إذ يقدّم NIST AI RMF أساسًا مفاهيميًا لتحديد مخاطر الذكاء الاصطناعي وإدارتها، بينما يوفّر ISO 42001 هيكل نظام إدارة رسميًا وقابلًا للاعتماد - أي العملية القابلة للتدقيق، لا مجرد الفلسفة. وتستخدم مؤسسات كثيرة أحدهما للتفكير والآخر للتطبيق العملي. أما ما لا يحدده أيٌّ من الإطارين بعبارات ملموسة، فهو الكيفية التي تثبت بها المؤسسة بالضبط أن ضوابط حوكمة البيانات التي يشترطها كلاهما تعمل فعلًا كما هو موصوف، وبصورة مستمرة لا في لحظة الحصول على الشهادة فقط.
ما الذي يشترطه كل إطار فعلًا
NIST AI RMF: الحوكمة، ورسم الخرائط، والقياس، والإدارة
يُنظَّم إطار NIST حول أربع وظائف تُطبَّق باستمرار طوال دورة حياة نظام الذكاء الاصطناعي: حوكمة الوضع العام للمخاطر، ورسم خرائط السياق والآثار المحتملة، وقياس المخاطر من خلال مقاييس واختبارات مناسبة، وإدارة المخاطر المحددة من خلال التخفيف والمراقبة. وهو غير توجيهي عن قصد في ما يخص التنفيذ - وهذه نقطة قوة من حيث القدرة على التكيّف، وفجوة بالنسبة إلى المؤسسات التي تبحث عن ضابط محدد لسلامة البيانات يمكنها الاستناد إليه.
ISO 42001: نظام إدارة للذكاء الاصطناعي قابل للاعتماد
يتناول ISO 42001 المخاوف الأساسية ذاتها ويصوغها في نظام إدارة قابل للتدقيق، متّبعًا النمط الهيكلي نفسه الذي يتّبعه ISO 27001 لأمن المعلومات: سياسات موثّقة، وأدوار ومسؤوليات محددة، ومنهجية لتقييم المخاطر، ودورة للتحسين المستمر، وكلها عناصر يمكن لجهة منح الشهادات أن تدققها بشكل مستقل. وهنا تتحوّل إرشادات NIST المفاهيمية إلى شيء يمكن لطرف ثالث التحقق منه بندًا بندًا - غير أن هذا التحقق، في معظم التطبيقات الحالية، لا يزال يعتمد بدرجة كبيرة على مراجعة الوثائق بدلًا من التحقق التقني المستقل من البيانات الأساسية.
الفجوة التي يتركها كلا الإطارين مفتوحة
يشترط كلا الإطارين أن تحوكم المؤسسة بيانات التدريب والبيانات التشغيلية لديها - أي أن تقيّم جودتها، وتدير مخاطرها، وتوثّق طريقة التعامل معها. ولا يحدد أيٌّ منهما آلية لإثبات، بشكل مستقل، أن هذه الحوكمة تحدث فعلًا وبصورة مستمرة، بدلًا من أن تكون مجرد تأكيد في وثيقة سياسة تُراجَع مرة واحدة في السنة. فتدقيق الاعتماد وفق ISO 42001، شأنه شأن معظم عمليات تدقيق أنظمة الإدارة، يأخذ عينات من الأدلة في لحظة زمنية محددة؛ ولا يتحقق باستمرار - ولا يستطيع ذلك من الناحية الهيكلية دون نوع مختلف من الضوابط التقنية الأساسية - من أن كل مجموعة بيانات تغذّي كل نموذج تظل مطابقة تمامًا لما تصفه وثائقها، في كل يوم بين عمليتي تدقيق.
سدّ الفجوة دون استبدال أيٍّ من الإطارين
لا يكمن الحل في التخلي عن ISO 42001 أو NIST AI RMF لصالح شيء آخر - فكلاهما يظل نقطة المرجعية الهيكلية الصحيحة لبرنامج حوكمة الذكاء الاصطناعي. بل يكمن في إقرانهما بطبقة تقنية تجعل ضوابط حوكمة البيانات التي يشترطانها قابلة للتحقق بصورة مستمرة بدلًا من توثيقها دوريًا: التثبيت التشفيري لمجموعات البيانات، وسجلات تغييرات تكشف أي تلاعب، ومسار تدقيق يمكن لجهة منح الشهادات أو للجهة التنظيمية التحقق منه بشكل مستقل، بدلًا من مسار يعتمد على إقرار المؤسسة نفسها بين دورات التدقيق.
- NIST AI RMF: مفاهيمي ومستمر وغير توجيهي - قوي في تحديد ما ينبغي التفكير فيه، وصامت بشأن كيفية إثباته
- ISO 42001: رسمي وقابل للاعتماد وقابل للتدقيق - قوي في هيكل الحوكمة، ويعتمد على المراجعة الدورية للوثائق
- الفجوة المشتركة: لا يحدد أيٌّ منهما تحققًا تقنيًا مستمرًا ومستقلًا من البيانات الأساسية
- الحل: إقران أيٍّ من الإطارين بضوابط تشفيرية لمصدر البيانات وسلامتها تجعل ادعاءات الحوكمة قابلة للتحقق منها بشكل مستقل
يخبرك ISO 42001 وNIST AI RMF كيف تبدو الحوكمة الجيدة للذكاء الاصطناعي. أما إثبات أنها تحدث فعلًا، كل يوم، فيتطلب نوعًا مختلفًا من الضوابط. اكتشف كيف توفّر ROOTKey أدلة مستمرة على سلامة البيانات قابلة للتحقق منها بشكل مستقل، إلى جانب إطار حوكمة الذكاء الاصطناعي الذي تعتمده حاليًا.