موظفوك يستخدمون الذكاء الاصطناعي بالفعل. بعضهم يصوغ الرسائل بمساعدة ChatGPT، وبعضهم يطلب من Copilot تلخيص الاجتماعات، وبعضهم يلصق جدول بيانات في نافذة محادثة ليحصل على تحليل سريع. ومعظمهم يريد فقط أن ينجز أسرع. وما ينقص عادة هو توضيح أين تقع الحدود.

وسياسة الاستخدام المقبول للذكاء الاصطناعي هي التي ترسم هذه الحدود. والسياسة الجيدة تتيح للموظفين الاحتفاظ بمكاسب الإنتاجية، مع بقاء البيانات السرية والشخصية في مكانها الصحيح. وفيما يلي ما ينبغي أن تتضمنه السياسة، وكيف تطبقها في جهة سعودية.

لماذا نادرًا ما ينجح المنع #

تحجب بعض الجهات كل مواقع الذكاء الاصطناعي. يبدو ذلك آمنًا لكنه يفشل عادة، إذ ينتقل الموظفون إلى هواتفهم وحساباتهم الشخصية حيث لا ترى شيئًا على الإطلاق، وتخسر الجهة إنتاجية حقيقية. كما أن مزايا الذكاء الاصطناعي تصل داخل برمجيات اعتمدتها أصلًا، فيصعب تطبيق المنع الشامل.

والأنجح أن تعتمد الأدوات المناسبة، وتضع قواعد واضحة للبيانات، وتمنح الناس طريقة سهلة للسؤال حين يترددون.

ما الذي قد يحدث #

المخاطر ملموسة:

  • عقد أو رد على منافسة أو قائمة عملاء يُلصق في أداة عامة قد يُخزَّن أو يُعالج خارج جهتك.
  • ملفات الموظفين أو بيانات المرضى أو سجلات العملاء المُدخلة في أداة ذكاء اصطناعي قد ترتّب التزامات بموجب نظام حماية البيانات الشخصية.
  • قد ينتج الذكاء الاصطناعي نصًا واثقًا لكنه خاطئ، وإن دخل تقريرًا أو عقدًا أو ردًا على عميل دون مراجعة فالخطأ خطؤك.
  • قد يلصق المطورون شفرات تتضمن كلمات مرور أو مفاتيح أو عناوين داخلية.
  • الأدوات التي تقرأ البريد أو الملفات أو صفحات الويب يمكن توجيهها بتعليمات مخفية داخل ذلك المحتوى، وهو ما يُسمى حقن الأوامر.

الأجزاء السبعة للسياسة الجيدة #

اجعل السياسة قصيرة تُقرأ في خمس دقائق. وهذه الأجزاء السبعة تغطي ما يهم.

1. الأدوات المعتمدة #

اذكر أدوات الذكاء الاصطناعي المعتمدة للعمل، ووضّح أن بيانات العمل لا تدخل إلا الأدوات المعتمدة وبحسابات العمل. والنسخ المخصصة للأعمال تأتي عادة بالتزامات أقوى تجاه البيانات من الحسابات الشخصية المجانية، فراجع الشروط قبل الاعتماد.

2. قواعد البيانات بحسب التصنيف #

اربط القواعد بتصنيف بياناتك كي لا يضطر الموظفون إلى التخمين:

  • المعلومات العامة يجوز استخدامها مع الأدوات المعتمدة.
  • المعلومات الداخلية مع أدوات الأعمال المعتمدة فقط.
  • المعلومات السرية لا تُدخل إلا إذا اعتُمدت أداة محددة لهذا الغرض.
  • البيانات الشخصية والمنظَّمة لا تُدخل أبدًا ما لم توجد عملية مراجَعة ومعتمدة.
  • كلمات المرور والمفاتيح ورموز الدخول لا تُدخل تحت أي ظرف.

3. المراجعة البشرية #

تعامل مع مخرجات الذكاء الاصطناعي كمسودة. فكل ما يذهب إلى عميل أو جهة تنظيمية أو عقد أو شفرة إنتاجية يجب أن يراجعه شخص مسؤول عنه.

4. الشفافية #

اتفقوا على متى يذكر الموظف أن الذكاء الاصطناعي ساعد في إنتاج عمل ما، كالمواد الموجهة للعملاء أو المستندات الرسمية.

5. البناء بالذكاء الاصطناعي #

إن أراد فريق بناء مزايا ذكاء اصطناعي، أو ربطه ببيانات الجهة، أو السماح لوكلاء أذكياء باتخاذ إجراءات، فذلك يمر أولًا بخطوة اعتماد ومراجعة أمنية، لأن المخاطر الأكبر هنا.

6. الإبلاغ #

أخبر الموظفين بما يفعلونه إن ظنوا أنهم أدخلوا بيانات خاطئة أو رأوا أداة تتصرف بغرابة: من يبلّغون، وبأي سرعة. فالبلاغ المبكر أنفع بكثير من الصمت.

7. الملكية والمراجعة #

سمِّ مالك السياسة وراجعها كل ستة أشهر على الأقل، فأدوات الذكاء الاصطناعي تتغير بسرعة، وكذلك إرشادات الهيئة الوطنية للأمن السيبراني.

التطبيق على أرض الواقع #

لا تنجح السياسة إلا إذا عرف الناس بوجودها وفهموها.

  1. ابدأ بالجرد. اسأل الفرق عن الأدوات التي تستخدمها فعلًا، فاستبيان قصير يكشف أكثر من سجلات الجدار الناري.
  2. اعتمد قبل أن تقيّد. تأكد من وجود خيار معتمد جيد قبل حجب البدائل.
  3. درّب بأمثلة حقيقية. أرِ الموظفين أمرًا آمنًا وآخر غير آمن، باستخدام نوع المستندات التي تتعامل معها جهتكم فعلًا.
  4. سهّل السؤال. جهة اتصال مسمّاة لأسئلة الذكاء الاصطناعي تمنع معظم الأخطاء.
  5. قِس وعدّل. بعد الأشهر الثلاثة الأولى، راجع الاستخدام والحوادث والأسئلة وحدّث القواعد.

اختبار بسيط للموظفين #

عند الشك، اطرح سؤالًا واحدًا قبل الضغط على زر الإرسال: هل أرتاح لو ظهر هذا النص خارج جهتنا؟ فإن كانت الإجابة لا، فلا تلصقه، أو استخدم أداة معتمدة لهذا النوع من البيانات.

الصلة بالمتطلبات الوطنية #

تضع إرشادات الهيئة الوطنية للأمن السيبراني للذكاء الاصطناعي استخدامه ضمن حوكمة الأمن السيبراني، وسياسة الاستخدام المقبول من أوضح الدلائل على وجود هذه الحوكمة. وإن كانت البيانات الشخصية معنيّة فنظام حماية البيانات الشخصية ينطبق أيضًا.

ونساعد الجهات على كتابة سياسات الاستخدام المقبول للذكاء الاصطناعي وتطبيقها ضمن خدمة الجاهزية الأمنية للذكاء الاصطناعي، إلى جانب الامتثال لنظام حماية البيانات الشخصية والتوعية الأمنية.

الأسئلة الشائعة #

هل استخدام ChatGPT في العمل آمن؟

يمكن أن يكون كذلك مع نوع الحساب المناسب وقواعد واضحة: استخدم أدوات الأعمال المعتمدة بحسابات العمل، وأبقِ البيانات السرية والشخصية خارجها ما لم تُعتمد أداة لذلك، وراجع المخرجات قبل استخدامها.

هل نحجب أدوات الذكاء الاصطناعي؟

المنع الشامل يدفع الموظفين غالبًا إلى أجهزتهم وحساباتهم الشخصية حيث لا ترى شيئًا. واعتماد الأدوات المناسبة ووضع قواعد للبيانات أجدى.

ما الذي لا يجوز إدخاله أبدًا في أداة ذكاء اصطناعي؟

كلمات المرور والمفاتيح ورموز الدخول لا تُدخل أبدًا. أما البيانات الشخصية والمنظَّمة فلا تُدخل إلا عبر عملية مراجَعة ومعتمدة.

هل ينطبق نظام حماية البيانات الشخصية على استخدام الذكاء الاصطناعي؟

إذا أُدخلت بيانات شخصية في أداة ذكاء اصطناعي أو عالجتها الأداة، فالنظام ينطبق على هذه المعالجة كما ينطبق على أي نظام آخر.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.