حوكمة الذكاء الاصطناعي وفق متطلبات SAMA

إطار SAMA وحوكمة الذكاء الاصطناعي

البنك المركزي السعودي (SAMA) أصدر إطار حوكمة تقنية المعلومات (IT Governance Framework) اللي يلزم كل البنوك والمؤسسات المالية في المملكة بتطبيق معايير صارمة لإدارة التقنية. مع انتشار الذكاء الاصطناعي في القطاع المصرفي، صار لازم نطبق هذا الإطار على نماذج AI بنفس الجدية اللي نطبقها على أي نظام تقني حرج. الإطار ما يذكر الذكاء الاصطناعي بالاسم بس مبادئه تنطبق عليه تمامًا: حوكمة، إدارة مخاطر، رقابة داخلية، وشفافية.

المشكلة إن كثير بنوك تستخدم نماذج ذكاء اصطناعي — سواء في كشف الاحتيال، تقييم الائتمان، أو خدمة العملاء — بدون ما تربطها بإطار حوكمة واضح. الموظف يرفع بيانات للنموذج، النموذج يعطي نتيجة، ولا أحد يسأل: من وافق على هذا الاستخدام؟ أي بيانات دخلناها؟ هل النتيجة متوافقة مع سياسة البنك؟ هذا الفراغ التنظيمي يخالف روح إطار SAMA ويعرض البنك لمخاطر تشغيلية وقانونية قد تؤثر على استقراره.

الحوكمة هنا ما تعني توقف الابتكار. تعني إن كل استخدام للذكاء الاصطناعي يكون موثّق، قابل للمراجعة، ومرتبط بسياسة معتمدة. SAMA تتوقع من البنوك إنها تثبت السيطرة على أنظمتها التقنية، والذكاء الاصطناعي ما يختلف عن أي نظام آخر — يحتاج مالك واضح، تصنيف مخاطر، وضوابط تشغيلية. اللي يخلي AI خارج إطار الحوكمة يخاطر بسمعة البنك وثقة الجهة التنظيمية.

تصنيف مخاطر أنظمة AI وفق SAMA

SAMA تتوقع من البنوك تصنيف أنظمتها التقنية حسب مستوى الخطورة. للذكاء الاصطناعي، التصنيف يعتمد على نوع القرار اللي يتخذه النموذج ونوع البيانات اللي يعالجها. نموذج يقرر رفض طلب قرض له خطورة أعلى من نموذج يصنّف تذاكر الدعم الفني. التصنيف هو الأساس اللي تُبنى عليه كل الضوابط اللاحقة — بدون تصنيف صحيح، ما في فرق في التعامل بين نظام حرج ونظام عادي.

التصنيف العملي يبدأ بثلاثة محاور: نوع البيانات (عامة، شخصية، مالية، صحية)، الأثر المحتمل (مالي، تشغيلي، سمعة، قانوني)، ودرجة الأتمتة (قرار كامل، توصية بمراجعة بشرية، أداة مساعدة). كل محور يحدد مستوى الضوابط المطلوبة. النماذج عالية المخاطر تحتاج موافقة بشرية، سجل تدقيق مفصّل، ومراجعة دورية. النماذج منخفضة المخاطر تحتاج توثيق أساسي بس.

كثير بنوك يطبقون التصنيف على الورق بس ما يترجمونه لضوابط تشغيلية. النتيجة: نموذج مصنّف "عالي المخاطر" بس ما في فرق في التعامل الفعلي بينه وبين نموذج "منخفض المخاطر". هنا تظهر قيمة BrightAI — يحوّل التصنيف إلى قواعد تشغيلية تطبق في الوقت الفعلي على كل طلب. النموذج عالي المخاطر تلقائيًا يطلب موافقة بشرية، والنموذج منخفض المخاطر يمر مباشرة بسجل التدقيق.

خريطة ربط متطلبات SAMA بضوابط تشغيلية

تحويل مبادئ إطار SAMA إلى ضوابط يومية يتطلب خريطة واضحة لكل بنك:

الخريطة تربط كل التزام بمبدأ واضح بتنفيذ ملموس، فتسهّل على الفرق المتابعة وعلى المراجع فهم النظام بأكمله بسرعة.

حماية بيانات العملاء والسرية البنكية

السرية البنكية من أهم الالتزامات اللي يفرضها SAMA على البنوك. أي تسرب لبيانات العملاء — أرقام حسابات، أرصدة، سجل معاملات — يعتبر مخالفة جسيمة. الذكاء الاصطناعي يضيف تحدي جديد: الموظف قد يرفع بيانات عميل لنموذج AI خارجي بدون قصد، والنموذج يخزنها أو يستخدمها في تدريب مستقبلي. هذا يخلق خطر تسرب غير مباشر للسرية البنكية.

الحل إنك ما تمنع استخدام AI، بس تتحكم في البيانات اللي تخرج من البنك. AI Firewall من BrightAI يركّب كطبقة وسيطة بين المستخدم والنموذج. يفحص كل طلب، يصنّف البيانات حسب الحساسية، ويحجب أي معلومة مالية حساسة قبل وصولها للنموذج الخارجي. الموظف يكتب طلبه عادي، والـ Firewall ينظّف البيانات في الخلفية بدون ما يغير سير العمل.

هذا النهج متوافق مع متطلبات SAMA لأنه يحافظ على السرية البنكية بدون ما يوقف العمل. البنك يثبت إنه طبق ضوابط تقنية تمنع تسرب البيانات، وسجل التدقيق يوثق كل تفاعل — من أرسل الطلب، أي بيانات حُجبت، وأي سياسة طُبقت. هذا المستوى من السيطرة هو بالضبط اللي تتوقعه الجهة التنظيمية من بنك يتعامل مع بيانات عملاء حساسة.

الموافقة البشرية على القرارات المصرفية الحساسة

SAMA يضع مسؤولية القرار النهائي على البشر، لا على النماذج. القرارات المصرفية عالية الأثر — الموافقة على قرض، رفع سقف، حظر حساب — لا يجوز أن تصدر تلقائيًا من نموذج دون إشراف. هذا المبدأ هو جوهر الرقابة الداخلية المصرفية.

طبقة الموافقة البشرية تعمل كحاجز: النموذج ينتج توصية، لكن التنفيذ يتطلب موافقة موظف معتمد حسب سلطاته. النظام يسجل: من قدم التوصية، من وافق، ومتى، وما المبرر. أي تجاوز لهذه الطبقة يعتبر مخالفة داخلية موثقة.

التحدي التشغيلي: كيف توازن بين سرعة الابتكار وضرورة الرقابة؟ الحل أن تكون طبقة الموافقة ذكية: القرارات منخفضة الخطورة تمر تلقائيًا، وعالية الخطورة تتوقف عند المالك المعتمد فقط. التصنيف الصحيح للمخاطر هو الذي يحدد متى تتوقف العملية عند الإنسان ومتى تتدفق.

أخطاء شائعة في حوكمة AI المصرفية

• تجاهل العلاقة مع SAMA: معاملة الذكاء الاصطناعي كأداة مساندة خارج نطاق إطار حوكمة تقنية المعلومات، بينما أي نظام يعالج بيانات العملاء ضمن نطاقه.
• تصنيف غير عملي: تصنيف المخاطر على الورق دون ترجمة تلقائية لضوابط مختلفة في التشغيل الفعلي.
• إيقاف الابتكار بدل ضبطه: منع استخدام AI كليًا بسبب الخوف من الامتثال، بينما الحوكمة الصحيحة تسمح بالاستخدام الآمن.
• سجلات يدوية: الاعتماد على توثيق يدوي للتفاعلات، فيفوت التوثيق وتتسرب البيانات دون أثر.
• الموافقة البشرية الشكلية: تمرير القرارات عبر موافقة بشرية آلية لا تحقق مراجعة فعلية، فتتحول لختم مطاطي.
• غياب ملكية واضحة: نموذج يعمل بلا مالك مسؤول عن أدائه ومخاطره ومراجعته الدورية.

سجل التدقيق وإثبات السيطرة

SAMA تتوقع من البنوك الحفاظ على سجلات تدقيق كاملة لأنظمتها التقنية. للذكاء الاصطناعي، السجل يجب أن يوثق: من استخدم النموذج، متى، أي بيانات دخلها، أي نتيجة طلعت، وأي قرار اتُخذ بناءً عليها. هذا المستوى من التوثيق صعب تحقيقه يدويًا، خاصة مع مئات الموظفين اللي يستخدمون AI يوميًا في مهام مختلفة.

سجل التدقيق من BrightAI يوثق كل تفاعل مع نظام AI في سجل غير قابل للتعديل محمي بـ hash chain. كل سجل يحتوي: المستخدم، الطابع الزمني، نوع الطلب، تصنيف البيانات، السياسة المطبقة، والنتيجة. هذا يثبت للمراجع الداخلي أو لـ SAMA إن البنك يسيطر على استخدام الذكاء الاصطناعي ويقدر يتتبع أي قرار لأصله.

القيمة الحقيقية تظهر وقت التفتيش. بدل ما يدّعي البنك إنه يطبق الحوكمة، يعرض سجل تدقيق كامل قابل للبحث والتحليل. المراجع يشوف بنفسه كل تفاعل، يتأكد إن الضوابط طُبقت، ويتحقق إن القرارات الحساسة مرّت بموافقة بشرية. هذا يحوّل الحوكمة من ادعاء إلى دليل ملموس يرضي أي جهة رقابية.

أسئلة شائعة عن حوكمة AI وفق SAMA

هل SAMA أصدر ضوابط ذكاء اصطناعي مستقلة؟

SAMA يبني متطلباته على إطار حوكمة تقنية المعلومات وقواعد السلوك التنظيمي، وأضاف لاحقًا توجهات وتوقعات للاستخدام المسؤول للتقنيات الناشئة. عمليًا، البنك يطبق مبادئ الإطار القائمة على أنظمة AI ويوثق ذلك بالأدلة، وسيظل المرجع هو التوقعات التنظيمية الحالية.

هل يحق للبنك استخدام نماذج AI خارجية (Cloud)؟

نعم، بشرط أن تفي بضوابط SAMA للحوسبة السحابية وحماية البيانات: توقيع اتفاقيات معالجة بيانات، معرفة مكان تخزين البيانات، وتطبيق ضوابط الوصول والتشفير. الاستخدام السحابي لا يعفي البنك من مسؤولية حماية بيانات العملاء.

ما الفرق بين حوكمة AI وفق SAMA ووفق NCA؟

SAMA ينظم الجهات المصرفية والمالية ويركز على الحوكمة المصرفية والسرية البنكية، بينما NCA تنظّم الأمن السيبراني الوطني وتفرض ضوابط ECC/CSCC. البنك السعودي يطبق الاثنين معًا: ضوابط NCA للجانب السيبراني، وإطار SAMA للجانب الحوكمي المصرفي.

هل تنطبق المتطلبات على مزودي التقنية المالية (Fintech)؟

حسب النشاط والترخيص. الجهات المرخصة من SAMA والمسجلة ضمن البيئة التجريبية، والمزودون الذين يتعاملون مع بيانات البنوك، تدخل ضمن النطاق التنظيمي. الأفضل لكل جهة مراجعة نطاقها مع مستشارها القانوني.

الخلاصة

حوكمة الذكاء الاصطناعي وفق متطلبات SAMA ليست خيار — هي التزام تشغيلي لكل بنك يستخدم AI في عملياته. الإطار يتطلب تصنيف المخاطر، حماية البيانات، الموافقات البشرية، وسجل تدقيق كامل. البنوك اللي تتجاهل هذه المتطلبات تعرض نفسها لمخاطر تنظيمية وتشغيلية قد تكلفها أكثر من الاستثمار في الحوكمة نفسها.

BrightAI يوفر طبقة تشغيلية واحدة تجمع AI Firewall و Audit Trail و Human Approval Layer و Risk Classification في مكان واحد. هذا يحوّل متطلبات SAMA من وثائق سياسة إلى ضوابط تطبق في الوقت الفعلي على كل تفاعل ذكاء اصطناعي. ابدأ بتقييم الفجوة، ثم فعّل الضوابط على الحالات عالية المخاطر أولًا.