طوّر برنامج حوكمة الذكاء الاصطناعي لدى شركة تأمين سياسة شاملة لإدارة مخاطر الذكاء الاصطناعي على مدى ثمانية عشر شهرًا: حدّدت فئات الذكاء الاصطناعي عالية المخاطر، واشترطت مراجعة لجنة مخاطر الذكاء الاصطناعي قبل نشر الأنظمة عالية المخاطر، ووضعت متطلبات المراقبة، وحددت معايير التوثيق. وقد اعتمد مجلس الإدارة السياسة، وأُبلغت إلى جميع وحدات الأعمال، ودُمجت في إطار إدارة المخاطر في المؤسسة. وكانت لجنة مخاطر الذكاء الاصطناعي قد راجعت واعتمدت سبعة أنظمة ذكاء اصطناعي منذ تطبيق السياسة. وخلال تدقيق تنظيمي، طلب المدقق قائمة بجميع أنظمة الذكاء الاصطناعي في بيئة الإنتاج. فقدمت لجنة مخاطر الذكاء الاصطناعي في المؤسسة سجلات مراجعاتها: سبعة أنظمة معتمدة. واستخدم المدقق منهجية مختلفة، إذ استعلم في البيئات السحابية للمؤسسة وراجع سجلات استخدام API وأجرى مقابلات مع قادة التقنية في وحدات الأعمال، فحدد أربعة أنظمة ذكاء اصطناعي إضافية قيد الاستخدام الفعلي في بيئة الإنتاج لم تراجعها لجنة مخاطر الذكاء الاصطناعي. وكشف التحقيق عن ثلاثة أنماط إخفاق متمايزة: وحدة أعمال لم تكن تعلم أن السياسة تنطبق على نشرها المحدد للذكاء الاصطناعي؛ ووحدة أعمال وصفت نظامها عالي المخاطر بأنه متوسط المخاطر لتجنب متطلب المراجعة؛ ووحدتا أعمال نشرتا أنظمة ذكاء اصطناعي عبر مسار لمشتريات البرمجيات كخدمة تجاوز مراجعة حوكمة التقنية المعتادة. كانت سياسة الحوكمة شاملة وطُبِّقت فعلًا على الأنظمة السبعة المُراجَعة. أما فجوة الإنفاذ فكانت الأنظمة الأربعة التي وُضعت السياسة لحوكمتها ولم تبلغها.
ما إنفاذ امتثال الذكاء الاصطناعي حقًا؟
إنفاذ امتثال الذكاء الاصطناعي هو القدرة التشغيلية على ضمان أن سياسات حوكمة الذكاء الاصطناعي، من متطلبات المراجعة ومعايير النشر والتزامات المراقبة، تُطبَّق فعليًا على جميع أنظمة الذكاء الاصطناعي الواقعة ضمن نطاق السياسة، لا على الأنظمة المقدَّمة للمراجعة عبر القنوات المتوقعة فحسب. والفجوة بين سياسة حوكمة الذكاء الاصطناعي وإنفاذ امتثال الذكاء الاصطناعي من أكثر إخفاقات حوكمة الذكاء الاصطناعي شيوعًا وأشدها عاقبة: سياسات حقيقية ومصممة جيدًا لكنها لا تنطبق إلا على أنظمة الذكاء الاصطناعي التي يقدّمها أصحابها طوعًا للمراجعة.
فجوة الإنفاذ القائم على الإفصاح الذاتي هي نمط الإخفاق الأساسي. فبرامج حوكمة الذكاء الاصطناعي التي تعتمد على وحدات الأعمال في تحديد عمليات نشر الذكاء الاصطناعي لديها والإفصاح عنها ذاتيًا للمراجعة تُنشئ فجوة إنفاذ في عمليات النشر غير المُفصَح عنها، إما لأن وحدة الأعمال لا تعلم أن السياسة تنطبق، أو لأنها تصف النشر بأنه دون العتبة لتجنب عبء المراجعة، أو لأنها تنشر عبر قنوات تتجاوز مُحفِّز المراجعة. تغطي سياسة الحوكمة جميع عمليات نشر الذكاء الاصطناعي ضمن النطاق. لكن الإنفاذ لا يبلغ سوى ما يُفصَح عنه ذاتيًا.
يمثل تجاوز مسار المشتريات الآلية المحددة لعمليات نشر الذكاء الاصطناعي عبر البرمجيات كخدمة. فقد تتضمن عمليات شراء التقنية في المؤسسة متطلبات رسمية لمراجعة الذكاء الاصطناعي يستدعيها سير عمل حوكمة التقنية الخاص بالمؤسسة. أما مشتريات البرمجيات كخدمة التي تمر عبر قناة مختلفة، كالشراء المباشر من وحدة أعمال ببطاقة ائتمان أو الدمج ضمن تعديل لعقد قائم للبرمجيات كخدمة، فقد تتجاوز مُحفِّز مراجعة الذكاء الاصطناعي كليًا. تنطبق حوكمة الذكاء الاصطناعي في المؤسسة على جميع عمليات نشر الذكاء الاصطناعي. لكن مسار المشتريات قد لا يوجّه سوى بعضها إلى مراجعة الحوكمة.
لماذا يهم هذا
يهم إنفاذ امتثال الذكاء الاصطناعي TPRM لأن المورّدين الذين يدّعون حوكمة شاملة للذكاء الاصطناعي ينبغي تقييمهم على أساس تغطية الإنفاذ، أي نسبة عمليات نشر الذكاء الاصطناعي لديهم التي تُراجَع فعليًا عبر عملية الحوكمة، لا على أساس عملية الحوكمة ذاتها فحسب. فعملية الحوكمة التي تنطبق على 64% من أنظمة الذكاء الاصطناعي (7 من 11) بينما تعمل 36% خارجها ليست حوكمة شاملة مهما كان تصميم العملية جيدًا بالنسبة لنسبة 64%.
- تأكيد عملية الحوكمة دون تقييم التغطية
- فجوة الإنفاذ القائم على الإفصاح الذاتي: لا تبلغ المراجعةَ إلا الأنظمةُ المُفصَح عنها ذاتيًا
- تجاوز مسار المشتريات لعمليات نشر الذكاء الاصطناعي عبر البرمجيات كخدمة
- تجنّب التصنيف: وحدات أعمال تصف الأنظمة عالية المخاطر بأنها متوسطة المخاطر
- فجوات العلم بالسياسة: وحدات أعمال لا تعلم أن السياسة تنطبق عليها
كيف تبدو الممارسة الجيدة
تجمع برامج إنفاذ امتثال الذكاء الاصطناعي الناضجة بين سياسة الحوكمة وآليات الاكتشاف النشط، مثل فحوص الأصول التقنية ومراقبة استخدام API والتكامل مع مشتريات البرمجيات كخدمة والتدقيقات المنتظمة لقائمة أنظمة الذكاء الاصطناعي، التي تحدد عمليات نشر الذكاء الاصطناعي التي لم تمر بعملية المراجعة بصرف النظر عمّا إذا كان قد أُفصح عنها ذاتيًا.
- الاكتشاف النشط للذكاء الاصطناعي: فحوص البيئات السحابية ومراقبة استخدام API لتحديد عمليات النشر غير المُفصَح عنها
- التكامل مع مشتريات البرمجيات كخدمة: تستدعي مشتريات البرمجيات كخدمة مراجعة الذكاء الاصطناعي، لا حوكمة التقنية وحدها
- التدقيق المنتظم لقائمة أنظمة الذكاء الاصطناعي: مقارنة الأنظمة المكتشفة بالأنظمة المُراجَعة
- عملية مراجعة التصنيف: الطعن في تصنيفات المخاطر الواقعة دون عتبة المخاطر العالية
- برنامج التوعية بالسياسة: ضمان علم جميع وحدات الأعمال بمتى تنطبق السياسة
الأدوات
اكتشاف الذكاء الاصطناعي: أدوات الوضع الأمني السحابي ومراقبة استخدام البرمجيات كخدمة لرصد API الذكاء الاصطناعي
يمكن لأدوات الأمن السحابي ورؤية البرمجيات كخدمة تحديد استخدام API الذكاء الاصطناعي، أي الاستدعاءات الموجهة إلى OpenAI أو Anthropic أو غيرهما من مزوّدي الذكاء الاصطناعي، عبر البيئة السحابية للمؤسسة ومنظومة البرمجيات كخدمة لديها، مما يتيح اكتشاف عمليات نشر الذكاء الاصطناعي التي لم يُفصَح عنها ذاتيًا لمراجعة الحوكمة. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان إنفاذ امتثال الذكاء الاصطناعي لدى المورّد يستخدم الاكتشاف النشط إلى جانب الإفصاح الذاتي يوفر سؤالًا محددًا حول تغطية الإنفاذ.
تحديات الحوكمة
يتمثل تحدي الحوكمة في إنفاذ امتثال الذكاء الاصطناعي في فجوة التكامل بين الاكتشاف والحوكمة. فبرامج إدارة الأصول التقنية قد لا تكون مُهيَّأة لتحديد استخدام أنظمة الذكاء الاصطناعي. وبرامج مشتريات البرمجيات كخدمة قد لا تستدعي مراجعة حوكمة الذكاء الاصطناعي. ويتمثل حل الحوكمة في دمج الاكتشاف النشط للذكاء الاصطناعي في كلٍّ من سير عمل إدارة الأصول التقنية ومشتريات البرمجيات كخدمة، بما يضمن تحديد استخدام الذكاء الاصطناعي من خلال الرصد لا من خلال الإفصاح الذاتي وحده.
- طبّق الاكتشاف النشط للذكاء الاصطناعي: فحص البيئات السحابية واستخدام API
- ادمج مراجعة الذكاء الاصطناعي في مشتريات البرمجيات كخدمة: تُستدعى عند مراجعة عقود البرمجيات كخدمة
- أجرِ تدقيقًا ربع سنوي لقائمة أنظمة الذكاء الاصطناعي: الأنظمة المكتشفة مقابل المُراجَعة
- اطعن في تصنيفات المخاطر: راجع التقييمات الذاتية القريبة من العتبة
- قِس تغطية الإنفاذ: نسبة المُراجَع إلى المكتشف بوصفها مقياسًا لفعالية الحوكمة
إذا كنت فريقًا صغيرًا
اطلب نسبة أنظمة الذكاء الاصطناعي المُراجَعة إلى إجمالي أنظمة الذكاء الاصطناعي في بيئة الإنتاج، بما في ذلك الأنظمة المكتشفة عبر الفحص النشط مقابل الأنظمة المُفصَح عنها ذاتيًا للمراجعة. فإذا لم يستطع المورّد الإبلاغ إلا عن الأنظمة المُراجَعة دون برنامج اكتشاف نشط لتحديد إجمالي الأنظمة، فإن نطاق تغطية الإنفاذ لديه مجهول. ونسبة الأنظمة المُراجَعة إلى المكتشفة هي مقياس تغطية الإنفاذ الذي لا يوفره تأكيد عملية الحوكمة.
- اطلب نسبة أنظمة الذكاء الاصطناعي المُراجَعة إلى إجمالي الأنظمة المكتشفة
- اسأل عمّا إذا كان الاكتشاف النشط للذكاء الاصطناعي يُكمِّل الإفصاح الذاتي
- اسأل عمّا إذا كانت مشتريات البرمجيات كخدمة تستدعي مراجعة حوكمة الذكاء الاصطناعي
- قيّم تغطية الإنفاذ إلى جانب عملية الحوكمة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بخلاف أنظمة الذكاء الاصطناعي التي راجعتها لجنة مخاطر الذكاء الاصطناعي لديكم، هل لديكم برنامج اكتشاف نشط يحدد عمليات نشر الذكاء الاصطناعي غير المُفصَح عنها ذاتيًا للمراجعة؟ وما نسبة أنظمة الذكاء الاصطناعي المُراجَعة إلى إجمالي الأنظمة المكتشفة في بيئتكم؟»
ما تتوقعه دليلًا
- قائمة أنظمة الذكاء الاصطناعي مع الأنظمة المُراجَعة مقابل إجمالي الأنظمة المكتشفة
- وصف برنامج الاكتشاف النشط
- دمج مراجعة الذكاء الاصطناعي في مشتريات البرمجيات كخدمة
- نسبة تغطية الإنفاذ
ينبغي سؤال المورّد الذي يؤكد وجود عملية لحوكمة الذكاء الاصطناعي عن تغطية الإنفاذ. فالعملية تؤكد آلية الحوكمة. ونسبة التغطية تؤكد مقدار ما تبلغه الآلية فعليًا من منظومة الذكاء الاصطناعي.
كيف تُثبت ذلك
- سجلات تدقيق قائمة أنظمة الذكاء الاصطناعي
- برنامج الاكتشاف النشط
- نسبة تغطية الإنفاذ
- سجلات التكامل مع مشتريات البرمجيات كخدمة
الخلاصة الرئيسية
سبعة أنظمة مُراجَعة. أربعة في الإنتاج دون مراجعة. السياسة: سارية منذ ثمانية عشر شهرًا، شاملة، ومعتمدة من مجلس الإدارة. تغطية الإنفاذ: 64%. كانت سياسة الحوكمة حقيقية ومصممة جيدًا. لكن ثلاث وحدات أعمال تجاوزتها، بسبب عدم العلم بالسياسة، وتجنّب التصنيف عند عتبة المخاطر، ومسارات مشتريات البرمجيات كخدمة التي تجاوزت مُحفِّز المراجعة. ينطبق الإنفاذ القائم على الإفصاح الذاتي على الأنظمة التي تُقدَّم للمراجعة. أما الاكتشاف النشط فينطبق على جميع الأنظمة. ونسبة الأنظمة المُراجَعة إلى المكتشفة هي مقياس تغطية الإنفاذ الذي لا يوفره تأكيد الحوكمة. سياسة الحوكمة هي الحد الأدنى. وتغطية الإنفاذ هي الحد الأعلى. والفجوة بينهما هي خطر إنفاذ امتثال الذكاء الاصطناعي.