يُعد ISO/IEC 42001:2023 أول معيار دولي لنظام إدارة الذكاء الاصطناعي (AIMS). يحدد متطلبات إنشاء النظام وتطبيقه وصيانته وتحسينه المستمر للمؤسسات التي تطوّر أو تقدّم أو تستخدم منتجات وخدمات قائمة على الذكاء الاصطناعي. يعتمد البنية الموحدة نفسها المستخدمة في ISO 9001 وISO/IEC 27001، لذلك يمكن دمجه مع أنظمة الجودة وأمن المعلومات والخصوصية القائمة بدلاً من بناء نظام منفصل.
لمن يناسب ISO/IEC 42001 في العراق
ينطبق المعيار على أي مؤسسة تطوّر أنظمة ذكاء اصطناعي أو تقدّمها أو تدمجها أو تستخدمها، بغض النظر عن حجمها أو قطاعها. في العراق يشمل ذلك بشكل متزايد المصارف التي تستخدم نماذج التصنيف الائتماني أو كشف الاحتيال، وشركات الاتصالات والتقنية التي تقدّم روبوتات المحادثة والتحليلات، والمستشفيات والمختبرات التي تقيّم أدوات التشخيص، وشركات النفط والغاز التي تعتمد الصيانة التنبؤية، والبرامج الحكومية أو الممولة من المانحين التي تستخدم أدوات دعم القرار الآلي. بدأ العملاء والشركاء الدوليون والمناقصات يطلبون أدلة منظمة على حوكمة مسؤولة للذكاء الاصطناعي.
- مطورو ومقدمو النماذج والمنصات والمنتجات المدعومة بالذكاء الاصطناعي
- مؤسسات تستخدم خدمات ذكاء اصطناعي من أطراف خارجية مثل المساعدات التوليدية ومعالجة المستندات وأدوات التقييم
- موردو التقنية الذين يجيبون عن استبيانات العملاء حول مخاطر الذكاء الاصطناعي والشفافية واستخدام البيانات
- فرق تحمل ISO 9001 أو ISO/IEC 27001 أو ISO/IEC 27701 وتريد نظام حوكمة متكاملاً
تحديد نطاق نظام إدارة الذكاء الاصطناعي
يبدأ التطبيق بتحديد أنظمة الذكاء الاصطناعي والخدمات والمواقع والفرق والموردين المشمولين، ودور المؤسسة في كل نظام: مطوّر أو مقدّم أو مشغّل أو مستخدم. تعتمد الإدارة سياسة للذكاء الاصطناعي وأهدافاً قابلة للقياس، وتعيّن مالكين مسؤولين، وتحدد كيفية الموافقة على أي استخدام جديد. يجب أن يسجل جرد أنظمة الذكاء الاصطناعي الغرض والمستخدمين المقصودين ومصادر البيانات والنموذج أو المورد ومستوى الاستقلالية والأشخاص المتأثرين والضوابط المطبقة.
- جرد يشمل النماذج الداخلية وميزات الموردين المدمجة وأدوات الذكاء الاصطناعي التوليدي التي يستخدمها الموظفون
- تحديد الدور لكل نظام وتحليل السياق والقضايا الداخلية والخارجية والأطراف المعنية
- سياسة وأهداف ومعايير موافقة منسجمة مع استراتيجية المؤسسة وتقبّلها للمخاطر
- الكفاءة والتوعية والمسؤوليات للمطورين ومالكي البيانات ومستخدمي الأعمال والإدارة
تقييم مخاطر الذكاء الاصطناعي وتقييم أثر الأنظمة
يتطلب ISO/IEC 42001 عملية موثقة لتقييم مخاطر الذكاء الاصطناعي ومعالجتها، وتقييماً لأثر أنظمة الذكاء الاصطناعي يأخذ في الاعتبار العواقب المحتملة على الأفراد والمجموعات والمجتمع. تشمل الموضوعات المعتادة التحيز والعدالة والدقة والمتانة وقابلية التفسير والخصوصية والأمن والسلامة وسوء الاستخدام والاعتماد المفرط على المخرجات الآلية. تختار معالجة المخاطر الضوابط من الملحق A الذي يضم 38 ضابطاً في تسعة مجالات، وتُسجل النتائج في بيان قابلية التطبيق مع تبرير ما أُدرج أو استُبعد.
- سياسات الذكاء الاصطناعي والتنظيم الداخلي والموارد من بيانات وأدوات وحوسبة وأشخاص
- تقييم الأثر وضوابط دورة حياة النظام من المتطلبات والتصميم إلى التحقق والنشر والمراقبة
- ضوابط جودة البيانات ومصدرها وإعدادها للتدريب والتحقق والتشغيل
- المعلومات للأطراف المعنية والاستخدام المسؤول والعلاقات مع الأطراف الثالثة والعملاء
فجوات الجاهزية الشائعة في حوكمة الذكاء الاصطناعي
من الفجوات الشائعة عدم وجود جرد كامل للذكاء الاصطناعي المستخدم، والتعامل معه كموضوع أمن معلومات فقط، والاعتماد على ادعاءات المورد دون تحقق، وتقييم المخاطر مرة واحدة عند الشراء دون إعادة التقييم بعد تحديث النموذج أو تغيير التعليمات أو إضافة حالة استخدام جديدة. ومن المشكلات أيضاً غموض الإشراف البشري، وغياب سجلات مصادر بيانات التدريب، وعدم مراقبة أداء النموذج أو انحرافه، وتدقيق داخلي يراجع السياسات دون فحص أدلة تشغيلية حقيقية.
- موظفون يستخدمون أدوات ذكاء اصطناعي عامة مع بيانات العمل أو البيانات الشخصية خارج أي إجراء معتمد
- غياب تقييم الأثر لأنظمة تؤثر في قرارات تخص العملاء أو الموظفين أو المرضى أو المتقدمين
- عقود موردين لا تعالج تغييرات النموذج واستخدام البيانات والإبلاغ عن الحوادث وحق التدقيق
- عدم تحديد محفزات إعادة التقييم أو التراجع أو إيقاف النظام
الشهادة والتنظيم والحدود
يدعم ISO IRAQ تقييم الفجوات وتطبيق النظام والتوثيق والتدقيق الداخلي ومراجعة الإدارة والجاهزية للشهادة. تؤكد جهة الشهادة المعتمدة المختارة بشكل مستقل برنامج التدقيق والنطاق والنتائج وقرار المنح، ويحدد ISO/IEC 42006 متطلبات الجهات التي تمنح شهادات أنظمة إدارة الذكاء الاصطناعي. يمكن أن يدعم المعيار المساءلة أمام تنظيمات ناشئة مثل قانون الذكاء الاصطناعي الأوروبي، لكن الشهادة وحدها لا تثبت الامتثال لأي قانون أو عقد، ويحتاج التفسير القانوني إلى استشارة مختصة.
مصادر رسمية
هل تحتاج دعماً لنظام إدارة الذكاء الاصطناعي؟
أرسل قائمة مختصرة بأنظمة الذكاء الاصطناعي التي تطوّرها أو تستخدمها ودورك في كل منها، والشهادات الحالية، ومتطلب العميل أو المناقصة، والموعد المستهدف. سنحدد المدخلات اللازمة لتقييم الجاهزية وفق ISO/IEC 42001.
ناقش ISO 42001