استخدام الذكاء الاصطناعي في الشركات – سياسة داخلية تمنع تسرب البيانات والقرارات غير المنضبطة

استخدام الذكاء الاصطناعي في الشركات لم يعد سؤالًا تقنيًا فقط؛ بل قرار تشغيل وحوكمة. يستطيع الموظف أن يختصر مسودة عرض، أو يلخّص اجتماعًا، أو يبني تحليلًا أوليًا في دقائق، لكنه قد ينسخ في الأداة نفسها بيانات زبائن أو عرضًا سعريًا أو جزءًا من عقد دون أن يدرك أثر ذلك. لذلك لا تبدأ السياسة بسؤال: «أي أداة نشتري؟» بل بسؤال أبسط وأهم: من يستخدم الذكاء الاصطناعي، في أي مهمة، وبأي بيانات، ومن يراجع النتيجة؟

هذا الدليل يقدّم نموذجًا عمليًا لسياسة داخلية تضبط الاستخدام دون أن تحوّله إلى حظر شامل. وهو إطار إداري وتشغيلي، لا بديل عن التقييم القانوني أو التعاقدي أو الأمني المتخصص عندما تشمل الحالة بيانات شخصية أو معلومات حساسة أو تكاملات تقنية مؤثرة.

لماذا تحتاج الشركة إلى سياسة داخلية لاستخدام الذكاء الاصطناعي؟

قد يكون داخل المنشأة عشرات المستخدمين لأدوات الذكاء الاصطناعي من دون أن يظهر ذلك في تقرير تقني واحد. فريق التسويق يطلب أفكارًا للمحتوى، والمبيعات تلخّص رسائل الزبائن، والموارد البشرية تصوغ وصفًا وظيفيًا، والإدارة تراجع ملخصات وتقارير. المشكلة ليست في تنوع الاستخدامات، بل في أن كل موظف قد يفترض قواعد مختلفة للخصوصية والدقة والاعتماد.

سياسة استخدام الذكاء الاصطناعي تحول استخدام الذكاء الاصطناعي في الشركات من افتراض فردي إلى قرار معلن. فهي تحدد حدودًا يمكن للموظف العمل داخلها بثقة: ما الذي يسمح بإدخاله، وما الذي يظل خارج الأداة، ومتى يطلب موافقة، ومن يتحمل مسؤولية المخرج النهائي. وبذلك يصبح الذكاء الاصطناعي مساعدًا في العمل لا «موظفًا خفيًا» يتخذ قرارات بلا مالك واضح.

هناك ثلاثة مكاسب مباشرة من السياسة الواضحة:

• تقليل الاستخدام العشوائي للأدوات العامة أو الحسابات الشخصية في مهام العمل.
• توحيد مستوى المراجعة قبل إرسال نص أو تحليل أو توصية إلى مدير أو زبون أو جهة خارجية.
• كشف الاحتياج الحقيقي للتدريب أو للأداة المعتمدة أو لضبط الصلاحيات، بدل معالجة كل حالة بعد وقوعها.

لا يلزم أن تبدأ الشركة بوثيقة طويلة. النسخة الأولى الجيدة قد تكون صفحة واحدة يفهمها الموظف ومديره، مع مسار تصعيد للحالات الحساسة. الأهم أن تكون قابلة للتطبيق والقياس والمراجعة عند تغير الأداة أو الخدمة أو طريقة العمل.

ما الفرق بين استخدام الذكاء الاصطناعي وحوكمة البيانات والأمن السيبراني؟

الخلط بين هذه المفاهيم يسبب وثيقة شديدة العمومية أو شديدة التقنية. سياسة الذكاء الاصطناعي لا تحل محل حوكمة البيانات، ولا تحل محل ضوابط الأمن السيبراني؛ لكنها تربطهما بسلوك يومي محدد: ماذا يفعل المستخدم عند فتح أداة أو كتابة طلب أو اعتماد نتيجة.

يشير نظام حماية البيانات الشخصية ولائحته التنفيذية إلى اتخاذ تدابير تنظيمية وإدارية وتقنية لحماية البيانات الشخصية؛ لذلك لا يصح التعامل مع إدخال معلومات الأفراد في أداة ذكاء اصطناعي بوصفه قرارًا تحريرياً بسيطًا. وفي الوقت نفسه، تختلف قابلية التطبيق الدقيقة للالتزامات بحسب دور الجهة والبيانات والغرض والعقود. لهذا ينبغي أن تحيل السياسة الحالات غير المعتادة إلى المالك المختص بدل أن تزعم أنها تفصل في كل وضع قانوني.

ما المخاطر التي يجب أن تعالجها السياسة؟

التركيز على «تسرب البيانات» وحده غير كافٍ. قد يأتي الخطر من إدخال معلومات لا ينبغي مشاركتها، أو من الاعتماد على إجابة خاطئة، أو من استخدام حساب غير معتمد، أو من غياب أثر يمكن الرجوع إليه لمعرفة ما حدث. السياسة الفعالة تسمي هذه المخاطر بلغة يفهمها المستخدم.

أولًا، خطر الإدخال غير المناسب. قد تبدو المعلومة عادية وحدها، لكنها تصبح حساسة عند جمعها مع تفاصيل أخرى: اسم الزبون، رقم العقد، قيمة الصفقة، مشكلة تقنية، وملاحظات داخلية. لذلك يجب أن يميّز الموظف بين معلومة منشورة للجمهور، ومعلومة داخلية غير حساسة، ومعلومة شخصية أو سرية.

ثانيًا، خطر المخرج غير الدقيق أو المنحاز. أدوات الذكاء الاصطناعي تستطيع صياغة جواب مقنع حتى عندما تكون الوقائع ناقصة أو غير صحيحة. ولهذا لا ينبغي اعتمادها وحدها في تسعير، أو توظيف، أو تقييم أداء، أو قرار ائتماني، أو تفسير التزام تعاقدي، أو تشخيص فني مؤثر. المخرج مسودة أو مدخل للمراجعة، وليس جهة تفويض مستقلة.

ثالثًا، خطر الصلاحيات والهوية. استخدام حساب شخصي، أو مشاركة كلمة مرور، أو ربط أداة خارجية بصندوق بريد أو مساحة ملفات من دون موافقة، قد يوسع الوصول إلى معلومات لا يحتاجها المستخدم. يجب أن تتضمن السياسة قاعدة بسيطة: لا ربط ولا رفع ولا مشاركة خارجية إلا عبر أداة وحساب وصلاحية معتمدة.

رابعًا، خطر غياب المسؤولية. عندما يرسل موظف ملخصًا أعدته أداة إلى مدير أو زبون، يجب أن يعرف الجميع من راجع المحتوى ومن يملك القرار. تحديد «مالك النتيجة» يحول دون اختباء القرار خلف عبارة «الذكاء الاصطناعي قال ذلك».

ما البيانات التي لا تدخل في أدوات الذكاء الاصطناعي؟

القاعدة التشغيلية الأسهل: لا تدخل في أي أداة عامة أو غير معتمدة شيئًا لا تقبل أن يراه طرف خارجي لا يحتاجه. ثم تطبق الشركة تصنيفها الفعلي للبيانات واشتراطات العقود وخصائص الأداة المعتمدة. الجدول التالي ليس حكمًا نظاميًا على كل حالة؛ بل قرار مبدئي يمنع العجلة ويحدد متى يلزم التصعيد.

ينبغي أيضًا أن تفرّق السياسة بين أداة عامة وأداة مؤسسية معتمدة. وجود خطة مدفوعة لا يعني تلقائيًا أن كل نوع من البيانات صار مسموحًا؛ فالقرار يتطلب فهم إعدادات الاحتفاظ والتدريب والمشاركة والهوية والتكاملات، إضافة إلى التزامات المنشأة تجاه زبائنها وشركائها.

من يحق له الاستخدام ولأي مهام؟

لا تحتاج الشركة إلى منح الجميع الصلاحيات نفسها. التوزيع المنطقي يبدأ بمبدأ «الحد الأدنى اللازم»: يمنح كل دور ما يحتاجه لمهمة محددة، وتبقى الاستخدامات عالية الأثر أو المتصلة بالبيانات الحساسة تحت موافقة ومسار واضحين.

اكتب المهام المسموحة بصيغة أمثلة لا بصيغة وعود مفتوحة: «إعداد مسودة وصف خدمة باستخدام معلومات منشورة»، أو «تلخيص محضر اجتماع بعد إزالة المعلومات غير اللازمة». واكتب المحظورات بالوضوح نفسه: «لا تستخدم الأداة لإرسال قرار نهائي إلى زبون، أو لتقييم موظف، أو لإدخال ملف يحتوي أسماء وأرقام تواصل، ما لم يكن هناك مسار معتمد للحالة».

عندما يكون الهدف تنظيم المسؤوليات والإجراءات بين الأقسام، يمكن أن تبدأ المنشأة من مراجعة أدوارها ومسارات اعتمادها ضمن الاستشارات الإدارية. أما اختيار التطبيق أو ربطه بخدمة قائمة فيحتاج إلى تعريف حاجة العمل أولًا، ثم تقييم تقني ملائم، وهو منطلق يتسق مع صفحة الحلول التقنية والرقمية.

كيف تمنع القرارات غير المنضبطة؟

في استخدام الذكاء الاصطناعي في الشركات، لا يعني المنع أن يتحقق المدير من كل جملة. المقصود أن لا ينتقل أي مخرج من «اقتراح آلي» إلى «قرار مؤثر» من دون إنسان مسؤول يملك المعلومات والسياق وصلاحية الاعتماد. وكلما زاد الأثر على شخص أو مال أو حق أو التزام، ارتفع مستوى المراجعة المطلوبة.

قبل اعتماد أي مخرج من الذكاء الاصطناعي، يجيب المراجع عن أربعة أسئلة:

1. هل اعتمدت الأداة على معلومات صحيحة وكاملة ومسموح استخدامها لهذه المهمة؟
2. هل تحققت من الوقائع والأرقام والمصادر، أم اكتفيت بصياغة تبدو مقنعة؟
3. هل يمكن أن يؤثر المخرج في زبون أو موظف أو مورد أو التزام تعاقدي؟ وإذا كان نعم، فمن يملك القرار النهائي؟
4. هل تستطيع شرح سبب اعتماد النتيجة، والاحتفاظ بما يلزم من أثر للمراجعة عند الحاجة؟

ينبغي أن تصنف السياسة القرارات إلى ثلاثة مستويات. المستوى الأول: مسودات أو أفكار داخلية منخفضة الأثر، ويكفي لها فحص المستخدم. المستوى الثاني: محتوى موجه إلى الخارج أو تحليل تشغيلي، ويحتاج مراجعة صاحب الاختصاص. المستوى الثالث: قرارات تتعلق بالأفراد أو الأسعار أو القبول والرفض أو الحقوق أو المخاطر المالية أو التعاقدية، ولا تعتمد فيها الأداة إلا كمساعد ضمن مسار قرار موثق وموافقة بشرية صريحة.

كيف تكتب سياسة استخدام الذكاء الاصطناعي من صفحة واحدة؟

أفضل سياسة أولى لا تشرح تاريخ التقنية ولا قائمة الأدوات الموجودة في السوق. هي وثيقة تقول للمستخدم ما يجب أن يفعله الآن، ومن يسأل غدًا، وما الذي لا يجوز تجاوزه. اجعل اللغة مباشرة، وعرّف المالك الذي يحدّث السياسة، وحدد تاريخ مراجعة دوريًا.

بعد كتابة المسودة، اختبرها بثلاثة سيناريوهات واقعية من منشأتك. مثلًا: موظف مبيعات يريد تلخيص رسائل زبون، ومدير موارد بشرية يريد تجهيز أسئلة مقابلة، وفريق تقني يريد تحليل سجل أخطاء. إذا لم تعرف الوثيقة ماذا يفعل كل شخص في هذه الأمثلة، فهي ما زالت عامة أكثر من اللازم.

تطبيق السياسة في 30 يومًا

يمكن للمنشأة الصغيرة أو المتوسطة البدء بتطبيق متدرج دون مشروع ضخم. لا تهدف الأيام الثلاثون إلى الوصول إلى امتثال كامل لكل سيناريو، بل إلى جعل استخدام الذكاء الاصطناعي في الشركات مرئيًا، وتحديد حواجز أولى قابلة للتنفيذ، وخلق مالك للمراجعة.

وفي جلسة التوعية، لا تكتف بعرض القواعد. اعرض مثالًا صحيحًا ومثالًا خاطئًا لنفس المهمة. مثلًا، مسموح أن تطلب من الأداة «صياغة هيكل رسالة متابعة عامة»، لكن ليس مناسبًا أن تلصق سلسلة رسائل تتضمن أسماء زبائن وشروط أسعار وشكوى قائمة. الأمثلة المختصرة تجعل الموظف يتذكر القرار عند الحاجة.

متى تحتاج الشركة إلى مراجعة أعمق؟

ترتفع الحاجة إلى مراجعة أعمق عندما يتحول استخدام الذكاء الاصطناعي من كتابة أو تلخيص عام إلى معالجة مؤثرة أو متصلة بأنظمة المنشأة. من أمثلة ذلك: رفع بيانات زبائن أو موظفين، ربط الأداة بنظام إدارة علاقات الزبائن أو البريد أو التخزين السحابي، بناء نموذج يوصي بقبول أو رفض، أو استخدام خدمة خارجية ضمن عقد يفرض قيودًا على الإفصاح أو الاحتفاظ أو النقل.

في هذه الحالات، لا تعتمد على سياسة الصفحة الواحدة وحدها. اجمع مالك العمل ومالك البيانات وتقنية المعلومات، وأضف المختص القانوني أو الأمني أو التعاقدي وفق الحالة. راجع الغرض، وأنواع البيانات، ومكان المعالجة، وضبط الوصول، وإعدادات الاحتفاظ، وأثر الخطأ، وطريقة إيقاف الاستخدام أو التعامل مع الحادثة.

تقدم سدايا إطار تبني الذكاء الاصطناعي بوصفه إطارًا إرشاديًا لتبني التقنية، فيما توضح الضوابط الأساسية للأمن السيبراني ECC 2:2024 نطاقًا وضوابط يجب التحقق من انطباقها على الجهة المعنية. الاستفادة من هذه المراجع تعني مواءمة القرار مع واقع المنشأة، لا افتراض أن كل دليل يشكل التزامًا موحدًا على كل شركة خاصة.

أخطاء تجعل سياسة الذكاء الاصطناعي غير قابلة للتطبيق

الخطأ الأول هو نسخ سياسة عامة من الإنترنت من دون أسماء مسؤولين أو أدوات أو سيناريوهات فعلية. لن يعرف الموظف من يسأل، ولن يعرف المدير متى يوافق. صححه بتسمية مالك، وببريد أو قناة واضحة، وبخمسة أمثلة من الأعمال اليومية.

الخطأ الثاني هو منع كل شيء. الحظر الكامل يدفع الاستخدام إلى حسابات شخصية أو قنوات غير مرئية، ويحرم المنشأة من التعلم. الأفضل أن تسمح بحالات منخفضة الخطر ضمن أدوات محددة، مع حظر واضح للبيانات والممارسات الحساسة.

الخطأ الثالث هو اعتبار التدريب حدثًا واحدًا. الأدوات تتغير، والموظفون الجدد ينضمون، وحالات العمل تكشف ثغرات لا تظهر في الوثيقة. ضع مراجعة دورية قصيرة، وسجلًا للأسئلة أو الحوادث، ثم حدّث الأمثلة بدل إعادة كتابة السياسة كلها.

الخطأ الرابع هو الاعتماد على المخرج لأنه مكتوب بلغة جيدة. جودة الصياغة لا تثبت صحة الوقائع ولا سلامة القرار. لذلك اجعل «المراجعة البشرية القابلة للمساءلة» قاعدة مكتوبة لا تلميحًا في مقدمة الوثيقة.

الأسئلة الشائعة عن استخدام الذكاء الاصطناعي في الشركات

هل يمكن للموظف استخدام ChatGPT أو أدوات مشابهة في العمل؟

نعم، يمكن ذلك عندما تحدد الشركة الأدوات المعتمدة ونوع المهام المسموح بها والبيانات الممنوعة، وتوضح أن المخرج لا يعتمد قبل مراجعته. لا يُعامل الموظف كل خدمة عامة بوصفها مساحة عمل آمنة تلقائيًا؛ بل يتبع إعدادات المؤسسة وصلاحياته وتعليمات مديره. وعند غياب سياسة واضحة، يكون الأصل عدم إدخال أي معلومة غير عامة إلى الأداة إلى أن تحدد المنشأة مسار استخدامها.

هل تكفي شروط خصوصية الأداة لحماية بيانات الشركة؟

لا تكفي وحدها. شروط الأداة جزء من التقييم، لكنها لا تحدد تلقائيًا ما تسمح به عقود الشركة أو تصنيف بياناتها أو صلاحيات موظفيها. تحتاج المنشأة كذلك إلى معرفة نوع البيانات التي سيدخلها المستخدم، وإعدادات الحساب والاحتفاظ والمشاركة، ومن يوافق على الربط أو الرفع. السياسة الداخلية تضيف هذا البعد التشغيلي، وتمنع افتراض أن مجرد الاشتراك في خدمة يجعل كل استخدام مشروعًا أو مناسبًا.

ما البيانات التي ينبغي منع إدخالها في أدوات الذكاء الاصطناعي؟

يبدأ المنع العملي بأسرار الوصول، والبيانات الشخصية، والمعلومات السرية أو التعاقدية، وملفات الزبائن والموظفين، ما لم تتبع المنشأة مسارًا معتمدًا للحالة والأداة. ويجب الانتباه إلى أن إزالة الاسم وحدها قد لا تكون كافية إذا أبقت الأرقام أو التواريخ أو سياق المشروع قابلًا للتعرف. الأصل هو إدخال الحد الأدنى الضروري فقط، واستبدال التفاصيل الواقعية بأمثلة افتراضية عندما يكفي ذلك لإنجاز المهمة.

هل يمكن للذكاء الاصطناعي أن يقرر بدل المدير أو الموظف؟

لا ينبغي أن يحل محل صاحب القرار في القرارات المؤثرة على الأشخاص أو الأموال أو الحقوق أو الالتزامات. يمكن للأداة أن تساعد في ترتيب معلومات أو اقتراح بدائل أو إعداد مسودة، لكن المدير أو المختص يراجع الوقائع والسياق والأثر قبل الاعتماد. وتزداد أهمية هذه المراجعة عندما يتعلق المخرج بتوظيف أو تسعير أو قبول أو رفض أو تفسير عقد أو رسالة خارجية. المسؤولية تبقى بشرية ومسمّاة.

هل تعد سياسة استخدام الذكاء الاصطناعي كافية للامتثال لنظام حماية البيانات؟

لا. السياسة أداة تشغيلية مفيدة لتنظيم سلوك المستخدمين، لكنها لا تغني عن تقييم التزامات حماية البيانات أو العقود أو الأمن السيبراني بحسب طبيعة المعالجة. عندما تشمل الحالة بيانات شخصية أو نقلًا أو تكاملًا أو طرفًا خارجيًا، تحتاج المنشأة إلى مراجعة أعمق للغرض والضوابط والمسؤوليات. ويمكن أن تكون السياسة نقطة انطلاق ممتازة لأنها تكشف الاستخدامات التي تتطلب هذا التقييم بدل أن تخفيها.

هل تطبق إرشادات الذكاء الاصطناعي الحكومية على كل شركة خاصة في السعودية؟

لا يصح افتراض ذلك. تصدر جهات حكومية أطرًا وأدلة ومواد إرشادية ذات قيمة كبيرة، كما توجد ضوابط تنظيمية قد ينطبق بعضها على جهات أو قطاعات أو حالات محددة. على الشركة أن تفرّق بين الإرشاد العام والالتزام النظامي الذي ينطبق على وضعها، وأن تراجع نطاق الوثيقة والعقود والجهة التنظيمية ذات الصلة. الاستفادة من الدليل لا تعني تلقائيًا أن نطاقه القانوني واحد لجميع الشركات.

ناقش احتياج منشأتك التشغيلي

إذا كان الاستخدام الحالي للذكاء الاصطناعي يتوسع بين الأقسام، فابدأ بحصر المهام والبيانات والحسابات الموجودة اليوم. من هذا الحصر تتضح الأولويات: هل المشكلة في الدور والصلاحية؟ أم في اختيار الأداة؟ أم في مسار المراجعة؟ أم في غياب تصنيف واضح للبيانات؟ القرار العملي الأول لا يحتاج إلى سياسة مثالية، بل إلى مالك واضح وقاعدة يمكن للموظفين تطبيقها غدًا ومراجعتها مع نمو الاستخدام.