اكتب سياسة AI قبل التسريب—قائمة الأدوات ليست سياسة كافية

اكتب سياسة استخدام الذكاء الاصطناعي في العمل تجيب عن أسئلة الموظف قبل إدخال بيانات المؤسسة في أي أداة: ما المهمة المسموحة؟ أي حساب يستخدم؟ ما المعلومات المحظورة؟ من يراجع النتيجة، ومتى يلزم الإفصاح أو طلب استثناء؟ يمكن جمع القواعد في صفحة واحدة، وإلحاق قرار قصير بها يربط حساسية البيانات بالمهمة والأداة.

قائمة الأدوات المعتمدة تحدد ما تستطيع المؤسسة توفيره، لكنها لا تمنح إذناً مفتوحاً لرفع سجلات العملاء أو المرشحين إلى كل ميزة داخل تلك الأدوات. يصف إطار إدارة مخاطر الذكاء الاصطناعي لدى NIST نهجه بأنه طوعي ومرن للمؤسسات بمختلف أحجامها، ويتيح تخصيصه لحالات استخدام مثل التوظيف. ولهذا تبدأ السياسة اليومية بتحديد المهمة والبيانات والقرار الناتج عنها، ثم تختار الأداة وشروط استخدامها.

نص سياسة من صفحة واحدة

استبدل البيانات بين المعقوفين بأسماء المسؤولين والقنوات الفعلية قبل اعتماد النص. أبقِ أسماء المنتجات والاشتراكات في قائمة منفصلة يسهل تحديثها، واجعل القواعد التالية متاحة للموظفين والمتعاقدين الذين يؤدون عملاً للمؤسسة.

1. النطاق والغرض: تسري السياسة على استخدام الذكاء الاصطناعي في مهام المؤسسة، بما فيها الميزات المدمجة في برامج الكتابة والاجتماعات والبرمجة. لا يُستخدم أي نظام إلا لمهمة عمل واضحة وضمن صلاحيات الشخص الذي ينفذها.
2. الحسابات والأدوات: استخدم الحسابات ومساحات العمل الواردة في [رابط القائمة المعتمدة]، وللمهام وأنواع البيانات المحددة بجانب كل أداة. لا يعني الاشتراك الشخصي أو تسجيل الدخول ببريد العمل أو ظهور ميزة جديدة داخل برنامج مستخدم أصلاً أنها معتمدة. يحتاج ربط الأداة بالبريد أو الملفات أو الاجتماعات، وكذلك تمكينها من الإرسال أو تعديل السجلات، إلى موافقة مستقلة.
3. المدخلات المحظورة: لا تُدخل كلمات المرور والمفاتيح السرية في أدوات الذكاء الاصطناعي. ولا ترفع سجلات العملاء والموظفين والمرشحين، أو المعلومات المالية غير المنشورة، أو العقود والمواد السرية إلى أداة عامة أو إلى استخدام لم يُعتمد لهذه البيانات. أدخل الحد الأدنى اللازم للمهمة حتى في الأداة المعتمدة؛ فحذف الاسم وحده قد يترك تفاصيل تكشف هوية الشخص.
4. مراجعة المخرجات: يتحقق صاحب المهمة من الوقائع والمراجع والحسابات والسرية وحقوق استخدام المحتوى قبل إرسال النتيجة أو نشرها. تُراجع الشيفرة وتُختبر وفق إجراءات التطوير المعتادة. إذا أمكن أن تؤثر النتيجة في التوظيف أو الأجر أو حقوق شخص، يقدم النظام اقتراحاً فقط؛ ويفحص شخص مخوّل أساسه ويستطيع تغييره ويتخذ القرار النهائي.
5. الإفصاح: أخبر المراجع الداخلي عندما يكون للأداة دور جوهري في إعداد العمل. وأفصح للطرف الخارجي وفق الاتفاق المعمول به، أو عندما يتفاعل مباشرة مع نظام آلي، أو عندما يؤدي إخفاء دور الأداة إلى وصف مضلل لطريقة إنجاز العمل. لا تنسب إلى إنسان مقابلة أو بحثاً أو تحققاً لم يجره.
6. الاستثناءات والحوادث: أرسل طلب استخدام أداة جديدة أو بيانات مقيّدة إلى [مسؤول السياسة] قبل البدء، مع وصف المهمة والبيانات والمدة والمراجع البشري. إذا أُدخلت بيانات محظورة أو نفذت الأداة إجراءً غير مقصود، أوقف الاستخدام المتأثر وأبلغ [قناة الحوادث] فوراً، من دون إعادة نسخ البيانات الحساسة في قناة مفتوحة.

حدد في النسخة المعتمدة تاريخ نفاذ السياسة والمسؤول عن نشر تعديلاتها وإقرار العاملين بها. هذه قواعد تشغيلية مقترحة؛ وتحتاج المؤسسة إلى مواءمتها مع عقودها والتزامات حماية البيانات في البلدان والقطاعات التي تعمل فيها.

ملحق القرار: ماذا يدخل الأداة، وماذا تفعل به؟

صنّف المدخلات أولاً، ثم افحص فعل الأداة: التلخيص يختلف عن إرسال رسالة أو تعديل سجل. يحذر دليل الذكاء الاصطناعي للحكومة البريطانية، ضمن نطاقه الحكومي، من إدخال المعلومات غير المنشورة في التطبيقات العامة، ويدعو إلى مراجعة بشرية قبل إجراءات مثل إرسال الرسائل أو تعديل السجلات تلقائياً. يمكن تكييف هذا التمييز في قرار المؤسسة؛ ولا يجعله ذلك قاعدة قانونية موحدة للأسواق العربية.

• معلومات منشورة للعامة: يمكن استخدام أداة معتمدة لتلخيص صفحة منشورة أو اقتراح صياغة أولية لها. يتحقق صاحب المهمة من دقة الملخص ومراجعه قبل الاعتماد أو النشر، ويفحص حق المؤسسة في إعادة استخدام المادة.
• معلومات داخلية لا تعرّف أشخاصاً: يمكن إدخال وصف إجراء عمل غير سري في مساحة معتمدة إذا كانت المهمة وفئة البيانات مشمولتين بموافقتها. يحذف الموظف التفاصيل غير اللازمة، ويراجع صاحب العملية النتيجة قبل تداولها.
• بيانات شخصية أو سرية: لا تُرفع السيرة الذاتية أو شكوى العميل أو محضر اجتماع مغلق أو أرقام عقد لمجرد أن الأداة معتمدة لمهام أخرى. يلزم اعتماد محدد لحالة الاستخدام، وفحص شروط معالجة البيانات وصلاحيات الوصول، وتعيين مراجع بشري.
• أسرار دخول أو إجراء مباشر: تبقى كلمات المرور والمفاتيح خارج المدخلات. ويحتاج تمكين وكيل آلي من إرسال رسالة أو تغيير سجل أو تنفيذ قرار مؤثر إلى تصميم وموافقة منفصلين، مع نقطة مراجعة قبل التنفيذ وطريقة لإيقافه.

مثال افتراضي: يستطيع مسؤول توظيف استخدام أداة معتمدة لتحسين صياغة إعلان وظيفة منشور، ثم يراجع النص قبل نشره. أما تلخيص طلبات مرشحين حقيقيين فيحتاج إلى موافقة تشمل بياناتهم وطريقة معالجتها؛ ولا يتحول ترتيب تقترحه الأداة إلى قرار استبعاد تلقائي.

من يملك القرار ومن يراجع النتيجة؟

المراجعة البشرية تعني أن المراجع يستطيع فحص الاقتراح والاعتراض عليه وتغييره، لا أن يضغط زر الموافقة فحسب. يدعو إطار أخلاقيات البيانات والذكاء الاصطناعي البريطاني، في سياقه العام، إلى تسمية المسؤولين عن الإشراف، والتحقق من أخطاء مخرجات النماذج وتحيزها، وإبقاء القرار النهائي بيد إنسان عندما قد تؤثر النتيجة كثيراً في الأفراد.

• صاحب المهمة: يصنف المدخلات، ويستخدم الحساب المصرح به، ويتحقق من النتيجة قبل استعمالها. ويبين للمراجع ما تحقق منه وما بقي مجرد اقتراح.
• مدير العملية: يحدد المهام المسموحة ومعيار قبول النتيجة ونقطة المراجعة البشرية. وفي التوظيف، يعيّن من يفحص التوصية ومن يعتمد القرار النهائي.
• الأمن وحماية البيانات: يفحصان الأداة والاشتراك وعمليات الربط والتخزين والوصول بحسب فئة البيانات المقترحة، ويحددان القيود اللازمة قبل الموافقة.
• مسؤول السياسة: يحفظ قائمة الأدوات وسجل الاستثناءات، وينشر النسخة السارية، ويتابع البلاغات والتغييرات التي تستدعي تعديل القواعد.

قد يجمع شخص واحد أكثر من دور في فريق صغير، لكن يجب أن يبقى واضحاً من طلب الاستخدام ومن أجازه ومن راجع مخرجه. وإذا تعذر توفير شخص يستطيع تقييم نتيجة مؤثرة في الأفراد، فلا تُعتمد المهمة بصيغتها المقترحة.

استثناء محدد بدلاً من موافقة مفتوحة

اجعل طلب الاستثناء قصيراً: اسم الأداة والاشتراك، المهمة، فئة البيانات، سبب عدم كفاية المسار المعتمد، الأشخاص الذين سيصلون إلى البيانات، مدة الاستخدام وطريقة مراجعة النتيجة. يقدم صاحب المهمة الطلب قبل إدخال البيانات؛ ويفحص الأمن أو مسؤول حماية البيانات شروط المعالجة، ثم يقرر مدير العملية الحاجة العملية ويثبت مسؤول السياسة القرار.

يسجل القرار ما سُمح به تحديداً، وموعد انتهائه، ومن يوقف الوصول إذا انتهت المدة أو تغيرت شروط الخدمة. وقد يكون حذف البيانات الحساسة من المهمة بديلاً عن الاستثناء. أما إدخالها من غير قصد فيسلك قناة الحوادث مباشرة، ولا ينتظر دورة الموافقات.

مراجعة فصلية للقواعد والقائمة

في مراجعة كل فصل، افحص القائمة وملحق القرار وسجل الاستثناءات معاً: هل تغيرت شروط معالجة البيانات أو صلاحيات الأداة؟ هل أضيف ربط بالبريد أو الملفات أو تسجيل الاجتماعات؟ وهل كشف بلاغ أو خطأ في المخرجات مهمة تفتقر إلى مراجع بشري؟ عدّل القاعدة المعنية وعيّن المسؤول عن تنفيذها وتاريخ سريانها.

وعند إضافة أداة أو توسيع صلاحياتها، راجع استخدامها قبل إتاحته، من دون انتظار المراجعة الفصلية. يكفي أن يجد العاملون النسخة السارية والقائمة المرتبطة بها في مكان واضح، وأن يعرفوا أي تغيير يمس البيانات التي يدخلونها أو الأفعال التي تستطيع الأداة تنفيذها.

اقرأ أيضًا:

• سياسة AI من صفحتين: امنع تسريب البيانات قبل أن تمنع الأداة
• أقلّ صلاحية لوكيل الذكاء الاصطناعي: قائمة تمنع انهيار العزل
• صدّر قائمة beehiiv قبل الهجرة: رابط التنزيل ينتهي خلال 24 ساعة