انتقل الذكاء الاصطناعي من المشاريع التجريبية إلى العمل اليومي أسرع مما استطاعت معظم برامج الأمن مجاراته. فالموظفون يلصقون المستندات في مساعدات المحادثة، والمطورون يربطون النماذج اللغوية ببوابات العملاء، والموردون يضيفون مزايا الذكاء الاصطناعي إلى منتجات تدفع ثمنها أصلًا. واستجابت الهيئة الوطنية للأمن السيبراني بإرشادات الأمن السيبراني للذكاء الاصطناعي، التي تحدد التوقعات الأمنية لاستخدام الجهات في المملكة للذكاء الاصطناعي وبنائها له.

أُغلق الاستطلاع العام في أغسطس 2026، والنص الآن في مرحلة الاعتماد. والاتجاه واضح بالفعل، فهذا وقت مناسب للاستعداد بدل الاستعجال عند صدور النسخة النهائية.

ماذا تغطي الإرشادات #

تتناول الإرشادات الأمن السيبراني للذكاء الاصطناعي عبر دورة حياته: الأدوات التي تستخدمها الجهة، والأنظمة التي تطوّرها، والخدمات التي تشتريها. ويشمل نطاقها صراحة الذكاء الاصطناعي التوليدي الذي ينتج النصوص والصور والبرمجيات، والذكاء الاصطناعي الوكيل الذي يستطيع التخطيط والتصرف بنفسه، كإرسال رسائل البريد أو الاستعلام من قواعد البيانات أو استدعاء أنظمة أخرى.

وهي تعني الجهات العامة والخاصة التي تستخدم الذكاء الاصطناعي أو تخطط لذلك، وعمليًا يشمل ذلك كل جهة تقريبًا، لأن الذكاء الاصطناعي صار يصل داخل البرمجيات العادية كما يصل عبر المشاريع المخصصة.

المجالات الأربعة #

للمسودة أربعة مجالات مألوفة لكل من يعرف الضوابط الأساسية للأمن السيبراني. الحوكمة: من يملك مخاطر الذكاء الاصطناعي، وما السياسات المنطبقة، وكيف تُعتمد الأنظمة قبل استخدامها، وكيف تبقى القيادة على اطلاع. والتعزيز: حماية البيانات والنماذج والأوامر والتكاملات خلف أنظمة الذكاء الاصطناعي، وضبط ما يُسمح للوكلاء بفعله. والصمود: اكتشاف إساءة الاستخدام أو التعطل، والاستجابة للحوادث المرتبطة بالذكاء الاصطناعي، والتعافي منها بأمان. والأطراف الخارجية: موردو الذكاء الاصطناعي ومزودو النماذج والمنصات التي تعتمد عليها، والبيانات التي تشاركها معهم.

وإن كان لديك برنامج حوكمة لضوابط ECC أو NCNICC، فيمكن إضافة أمن الذكاء الاصطناعي إليه بدل تشغيله كمشروع منفصل.

المخاطر التي تعالجها الإرشادات #

يأتي الذكاء الاصطناعي بمخاطر لم تُصمَّم لها الضوابط التقليدية، وأكثرها شيوعًا:

  • المستندات السرية وسجلات العملاء والشفرات البرمجية التي تُلصق في أدوات عامة قد تخرج عن سيطرتك.
  • حقن الأوامر: نص مخفي في رسالة بريد أو صفحة ويب أو مستند قد يوجّه المساعد الذكي إلى تجاهل قواعده أو كشف بيانات أو تنفيذ إجراء لم يقصده أحد.
  • الوكيل الذكي المتصل بالبريد أو الملفات أو أنظمة الأعمال قد يُحدث ضررًا حقيقيًا إذا مُنح صلاحيات تتجاوز مهمته.
  • قد يعطي الذكاء الاصطناعي إجابات واثقة لكنها خاطئة، فتصبح خطرًا حين تُبنى عليها قرارات أو شفرات أو رسائل للعملاء دون مراجعة.
  • النماذج والإضافات والمنصات برمجيات من أطراف خارجية، لها ثغراتها وطريقتها الخاصة في التعامل مع البيانات.
  • تتبنى الفرق أدوات دون اعتماد (ما يُسمى الذكاء الاصطناعي الخفي)، فلا يعرف أحد أي بيانات تذهب وإلى أين.

كيف تستعد من الآن #

لا تحتاج إلى النص النهائي لتحقق تقدمًا حقيقيًا، فهذه الخطوات صالحة أيًّا كانت الصياغة النهائية.

1. أعدّ جردًا للذكاء الاصطناعي #

احصر الأدوات التي يستخدمها الموظفون، ومزايا الذكاء الاصطناعي داخل برمجياتك الحالية، والأنظمة التي تبنيها أو تشتريها. وسجّل لكل منها البيانات التي يصل إليها ومن يملكه. ومعظم الجهات تكتشف استخدامًا أكبر مما توقعت.

2. ضع سياسة للاستخدام المقبول #

أخبر الموظفين بالأدوات المعتمدة، والبيانات التي لا يجوز إدخالها أبدًا، ومتى تحتاج المخرجات إلى مراجعة بشرية. واجعلها قصيرة وواضحة. ويشرح دليلنا للاستخدام الآمن لـ ChatGPT في العمل ما ينبغي أن تتضمنه.

3. صنّف البيانات التي يصل إليها الذكاء الاصطناعي #

اربط جرد الذكاء الاصطناعي بتصنيف بياناتك. فالمعلومات العامة يمكن أن تتدفق بحرية، أما البيانات السرية والشخصية والمنظَّمة فتحتاج إلى حدود صارمة. والبيانات الشخصية تُدخل نظام حماية البيانات الشخصية في الصورة أيضًا.

4. قيّد ما يستطيع الوكلاء فعله #

طبّق مبدأ الحد الأدنى من الصلاحيات على كل نظام يستطيع اتخاذ إجراءات: قراءة فقط حيثما أمكن، وخطوات موافقة للإجراءات الحساسة، وسجلات لما فعله الوكيل ولماذا.

5. اختبر قبل أن تثق #

قبل إطلاق أي ميزة ذكاء اصطناعي، اختبرها كما يفعل المهاجم، بما في ذلك حقن الأوامر ومحاولات استخراج البيانات. وقائمة OWASP Top 10 for LLM Applications مرجع مفيد لذلك.

6. أدخل موردي الذكاء الاصطناعي في إجراءات الموردين #

اسأل المزودين أين تُخزَّن بياناتك وتُعالج، وهل تُستخدم لتدريب نماذجهم، وكم تُحفظ، وكيف يتعاملون مع الحوادث. ثم ضع الإجابات في العقد.

7. أضف الذكاء الاصطناعي إلى الاستجابة للحوادث #

حدّد ما يُعدّ حادثة ذكاء اصطناعي، ومن يتولاها، وكيف توقف ميزة ما بسرعة إن أساءت التصرف.

أين يقع معيار ISO/IEC 42001 #

معيار ISO/IEC 42001 هو المعيار الدولي لنظام إدارة الذكاء الاصطناعي، ويغطي حوكمة الجهة للذكاء الاصطناعي بمسؤولية، بما في ذلك إدارة المخاطر والأثر ودورة الحياة. وتركز إرشادات الهيئة على الأمن السيبراني، بينما يغطي المعيار نظام الإدارة الأوسع. والجهات التي تريد شهادة معترفًا بها دوليًا لحوكمة الذكاء الاصطناعي تستخدم الاثنين غالبًا، فتجمع الأدلة مرة واحدة وتربطها بكليهما.

أول ستين يومًا بواقعية #

  • من اليوم 1 إلى 20: تعيين مالك، وإعداد جرد الذكاء الاصطناعي، ونشر تعميم مؤقت للاستخدام المقبول.
  • من اليوم 21 إلى 40: تصنيف البيانات التي يصل إليها كل نظام، ومراجعة صلاحيات الوكلاء، وسؤال الموردين الرئيسيين.
  • من اليوم 41 إلى 60: تقييم الجاهزية وفق المجالات الأربعة، واختبار الميزة الأعلى خطورة، والاتفاق على خارطة طريق مع القيادة.

ابدأ بالجرد، فكل ما بعده يعتمد على معرفة ما تشغّله فعلًا من ذكاء اصطناعي. واطّلع على خدمة الجاهزية الأمنية للذكاء الاصطناعي وعلى معيار ISO/IEC 42001.

الأسئلة الشائعة #

هل إرشادات الأمن السيبراني للذكاء الاصطناعي نهائية؟

أُغلق الاستطلاع العام في أغسطس 2026 والنص في مرحلة الاعتماد. ويمكن للجهات الاستعداد الآن وفق المسودة المنشورة ثم التعديل عند صدور النسخة النهائية.

ما المجالات الأربعة للإرشادات؟

حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية.

هل تنطبق الإرشادات إن كنا نستخدم أدوات مثل ChatGPT أو Copilot فقط؟

استخدام الموظفين لأدوات الذكاء الاصطناعي يقع ضمن حوكمة الذكاء الاصطناعي، وهو من أكثر مصادر تسرب البيانات شيوعًا. والجرد وسياسة الاستخدام المقبول هما الخطوتان الأوليان الصحيحتان.

ما علاقة الإرشادات بمعيار ISO/IEC 42001؟

تركز إرشادات الهيئة على الأمن السيبراني للذكاء الاصطناعي، بينما يحدد معيار ISO/IEC 42001 نظام إدارة قابلًا للاعتماد. وتستخدم جهات كثيرة الاثنين معًا وتربط مجموعة أدلة واحدة بكليهما.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.