قراءة بيان قابلية التطبيق كما يقرأه المدقق
قيد الإعداد
صدرت ISO/IEC 42001 في ديسمبر 2023 بوصفها أول مواصفة نظام إدارة قابلة للاعتماد خاصة بالذكاء الاصطناعي. وخلال عام واحد، صارت مجالس إدارة لم تسأل يوماً عن مواصفة نظام إدارة تسأل عن هذه بالذات. وفيما يلي ما تتطلبه فعلاً، مقروءةً كما سيقرأها المدقق.
هي مواصفة نظام إدارة، لا مواصفة تقنية
أكثر أنواع سوء الفهم شيوعاً هو توقّع قائمة ضوابط للنماذج: عتبات للإنصاف، وحدود دنيا للدقة، وبنى معتمدة. لا تتضمّن ISO/IEC 42001 شيئاً من ذلك، ولم يكن ذلك غرضها يوماً. فهي تتبع البنية المنسّقة نفسها التي تتبعها ISO/IEC 27001 وISO 9001: السياق، والقيادة، والتخطيط، والدعم، والتشغيل، وتقييم الأداء، والتحسين، لأن موضوعها هو كيف تحكم مؤسستك الذكاء الاصطناعي، لا أي دالة خسارة اخترتها.
إذا كنت تشغّل بالفعل نظام إدارة أمن معلومات معتمداً، فسيبدو لك الشكل مألوفاً على الفور، ويمكن مشاركة قدر كبير من آليات البنود من 4 إلى 10: ضبط الوثائق، والتدقيق الداخلي، ومراجعة الإدارة، والإجراءات التصحيحية. أما العمل الخاص بالذكاء الاصطناعي فيقع في بنود التخطيط وفي الملحق A.
مجموعة ضوابط الملحق A
يضم الملحق A 38 ضابطاً منظّمة تحت تسعة عناوين. وهي تتطلب منك باختصار ما يلي:
- سياسات للذكاء الاصطناعي معتمدة ومنشورة وتُراجَع فعلاً، لا صفحة كُتبت من أجل التدقيق
- تنظيم داخلي: أدوار محدّدة بالاسم، ومسؤولية معرّفة، وقناة تصعيد للمخاوف المتعلقة بالذكاء الاصطناعي
- موارد موثّقة: البيانات والأدوات وقدرة الحوسبة والخبرة البشرية التي يعتمد عليها كل نظام ذكاء اصطناعي
- تقييم الأثر لأنظمة الذكاء الاصطناعي على الأفراد والفئات والمجتمع، لا على المؤسسة وحدها
- إدارة دورة الحياة: المتطلبات، والتصميم، والتحقق، والنشر، والتشغيل، والمراقبة، والإيقاف
- حوكمة البيانات: المصدر، والجودة، والإعداد، والأساس الذي جرى بموجبه الحصول على بيانات التدريب
- إعلام الأطراف المعنية: ما الذي تخبر به المستخدمين والعملاء والجهات التنظيمية عن النظام
- الاستخدام المسؤول: القواعد التي تحكم كيفية استخدام موظفيك لأنظمة الذكاء الاصطناعي، بما فيها أنظمة لم تبنِها بنفسك
- العلاقات مع الأطراف الثالثة: توزيع المسؤولية بين المورّدين والشركاء والعملاء
كما هو الحال في ISO/IEC 27001، تُختار الضوابط وتُبرَّر، لا تُتبنّى جملةً واحدة. وتوقّع أن يسأل المدقق عن سبب عدم انطباق ضابط جرى استبعاده، وألّا يقنعه قولك «نحن مجرد مشغّل».
البند الذي يوقع الكثيرين: تقييم أثر نظام الذكاء الاصطناعي
يتطلب البند 6.1.4 وجود عملية لتقييم العواقب المحتملة لنظام الذكاء الاصطناعي على الأفراد وعلى فئات الأفراد وعلى المجتمع، ويتطلب تنفيذها عند نقاط محدّدة من دورة الحياة، وتوثيقها، وإعادة إدخال نتائجها في معالجة المخاطر.
هذا هو المتطلب الذي تستهين به معظم المؤسسات. ولا يفي به تقييم أثر حماية البيانات: فتقييمات أثر الخصوصية محدّدة النطاق حول البيانات الشخصية، بينما يتعيّن على تقييم أثر الذكاء الاصطناعي أن ينظر في آثار لا صلة لها بحماية البيانات: نموذج تسجيل نقاط يُلحق ضرراً منهجياً بفئة بعينها، أو قرار آلي بلا سبيل عملي للاعتراض عليه، أو مُخرَج خاطئ يُقدَّم بثقة في سياق يمسّ السلامة.
وفي التدقيق، نادراً ما تكون الملاحظة «لا يوجد لديك تقييم أثر». بل تكون أن تقييم الأثر موجود، وأنه أُجري مرة واحدة عند الإطلاق، ولا يشير إلى أي مُحفِّز محدّد لإعادته، ولا تظهر له صلة بسجل المخاطر.
ما الذي سيطلبه المدقق فعلاً
خمسة طلبات تتكرر في كل مرة تقريباً. وإذا استطعت الرد عليها بوثائق بدل الشروح، فأنت في وضع معقول:
- حصر لأنظمة الذكاء الاصطناعي ضمن نطاق التطبيق، بما فيها تلك التي جرى شراؤها كخصائص داخل برمجيات أخرى، فهناك يختبئ الحصر الخفي دائماً
- دورك في كل نظام: مطوّر، أو مزوّد، أو مشغّل، لأن الالتزامات تختلف، ولأن المؤسسات تجمع عادةً بين عدة أدوار في آن واحد
- أدلة على إشراف بشري حقيقي: من الذي يستطيع تجاوز النظام، وهل فعل ذلك يوماً، وهل يملك الصلاحية الفعلية لذلك
- مصدر البيانات المستخدمة في التدريب والضبط الدقيق، والأساس الذي جرى بموجبه الحصول عليها
- سجلات المراقبة بعد النشر: الانحراف، والحوادث، والشكاوى، وما اتُّخذ حيالها
كيف تتكامل مع ISO/IEC 27001 وISO/IEC 27701
صُمّمت الثلاث لتتشابك معاً. فـ ISO/IEC 27001 تحكم أمن المعلومات، وISO/IEC 27701 تمدّها إلى الخصوصية، وISO/IEC 42001 تحكم أنظمة الذكاء الاصطناعي التي تقوم على الاثنتين بصورة متزايدة. وحيث يكون نظام إدارة أمن المعلومات معتمداً بالفعل، يكون النظام المتكامل للإدارة هو المسار المعقول عادةً: برنامج تدقيق داخلي واحد، ومراجعة إدارة واحدة، ومجموعة واحدة من آليات الإجراءات التصحيحية، وثلاثة نطاقات تطبيق.
أما ما لا ينتقل فهو القدرة على الحكم في الأضرار الخاصة بالذكاء الاصطناعي. فالمدقق الذي أمضى عقداً في ضبط الوصول لن يكون مؤهلاً، من دون تدريب إضافي، لمساءلة تقييم أثر للذكاء الاصطناعي. وهذه الفجوة هي سبب وجود برنامج المدقق الرئيسي لـ 42001 كبرنامج مستقل لا كوحدة مضافة.
من أين تبدأ إذا كنت تبدأ الآن
ابدأ ببناء الحصر. فكل مؤسسة تقريباً تشرع في برنامج 42001 تكتشف أنها تشغّل من أنظمة الذكاء الاصطناعي أكثر مما ظنّت، ومعظمها مُشترى لا مبني داخلياً، وعدد منها يتخذ قرارات لم يصنّفها أحد. وما دام هذا الحصر غير موجود، فإن كل بند آخر يُطبَّق على نطاق لا تستطيع وصفه، ونطاق التطبيق غير المحدّد هو الملاحظة الوحيدة القادرة على إيقاف تدقيق الاعتماد قبل أن يبدأ.
هذه المقالة إرشاد عام ولا تغني عن المواصفة نفسها. وISO/IEC 42001:2023 محمية بحقوق النشر ومتاحة من ISO أو من جهة التقييس الوطنية لديك. وZULTIV جهة تدريب وتأكيد؛ ولسنا جهة منح شهادات معتمدة ولا نصدر شهادات ISO.