ISO/IEC 42001:2023 هو معيار لنظام إدارة الذكاء الاصطناعي: فهو لا يصف نموذجًا أو منتجًا بعينه، بل يصف كيف تدير المؤسسة الذكاء الاصطناعي. أنهيت تدريب المدقق الرئيسي على هذا المعيار في عام 2025. هذه المقالة ليست ادعاءً بالحصول على شهادة، ولا بديلًا عن المعيار نفسه؛ بل هي قائمة أسئلة استخلصتها من ذلك التدريب ومن خبرتي في إدارة المشاريع، وتسهّل عمل قائد المشروع.
أولًا، فرق مهم: شهادة المؤسسة مقابل أسلوب العمل
ISO/IEC 42001 معيار لنظام إدارة يمكن للمؤسسات أن تُمنح شهادة وفقًا له. أنا لا أحمل شهادة مؤسسية؛ لكنني أستخدم المنظور الذي اكتسبته من تدريب المدقق الرئيسي كأسلوب عمل على مستوى المشروع. لذلك فإن القائمة أدناه هي قائمة أسئلة قائد مشروع يرى أن «الحوكمة لا ينبغي أن تُضاف لاحقًا». وإن كان هدفك الحصول على شهادة مؤسسية، فهذه القائمة نقطة انطلاق جيدة فقط وليست بديلًا عن ذلك.
1. الغرض والنطاق
- ما سؤال العمل أو العملية التي يخدمها نظام الذكاء الاصطناعي؟
- من سيستخدمه، وفي أي سياق، وفي أي حالات يجب ألا يُستخدم؟
- هل البنود الخارجة عن النطاق مكتوبة؟
2. المسؤولية والأدوار
- من هو مالك النظام من جهة العمل، ومن هو مالكه من الجهة التقنية؟
- إلى من يُرجع عند الاعتراض على مخرجات النظام أو ملاحظة خطأ؟
- من يملك صلاحية قرار التوسيع أو الإيقاف أو التراجع؟
3. البيانات
- من أين تأتي البيانات، وهل لدينا الحق والإذن في استخدامها؟
- هل تتضمن بيانات شخصية، وإن كان كذلك فما القواعد والضمانات المطبقة؟
- من يستطيع الوصول إلى أي بيانات، وما قواعد الاحتفاظ والحذف؟
- من يراقب جودة البيانات وحداثتها، وكيف؟
4. تقييم المخاطر والأثر
- إذا أخطأ النظام في سلوكه، فمن يتأثر وكيف؟
- هل تُحفظ المخاطر في سجل لكل منها مالك وإجراء تخفيف؟
- هل حُددت النقاط التي تحتاج إلى موافقة بشرية؟
- ما آلية الرقابة على المخرجات الخاطئة أو المتحيزة أو المختلقة؟
5. دورة الحياة والتغيير
- هل التصميم والاختبار والنشر والصيانة والإيقاف النهائي محددة؟
- هل تُجرى إعادة تقييم عند تغيّر النموذج أو الموجّه (prompt) أو البيانات؟
- هل تُسجَّل التغييرات؟
6. الأطراف الثالثة
- أي نموذج أو خدمة أو مزوّد بيانات خارجي يُستخدم؟
- ما البيانات التي تذهب إلى هذا المزوّد، وهل يغطيها العقد وشروط الخصوصية؟
- ماذا يحدث إذا تغيّر المزوّد أو توقفت الخدمة؟
7. المراقبة والتحسين
- ماذا نراقب أثناء تشغيل النظام، وبأي وتيرة؟
- هل يستطيع المستخدمون الإبلاغ عن المشكلات، وإلى مكتب من تصل البلاغات؟
- كيف تتحول النتائج المرصودة إلى قرار التحسين التالي؟
كيف أستخدم هذه القائمة في المشروع؟
أستخدم القائمة كجزء من التخطيط، لا كنموذج تدقيق. في الأسابيع الأولى تُجمع الإجابات؛ أما الأسئلة التي لا يمكن الإجابة عنها فتدخل سجل المخاطر مع مالك وتاريخ. وبعد المشروع التجريبي تُراجع القائمة مرة أخرى، ويُتخذ قرار التوسيع بالنظر إلى تلك الإجابات. بهذه الطريقة تصبح الحوكمة سجلًّا يغذي القرارات، لا كومة وثائق تُضاف في نهاية المشروع.
أما تقييم المعيار نفسه وما إذا كانت مؤسستك بحاجة إلى شهادة فهو عمل منفصل؛ وأوصي بالاستعانة لذلك بخبير مستقل أو بجهة منح شهادات معتمدة. ولمعرفة أسلوب عملي الخاص، راجع صفحتَي أمن المعلومات والامتثال لمعايير ISO ومشاريع الذكاء الاصطناعي.