سدايا في القطاعات: تطبيق إرشادات الذكاء الاصطناعي في الصحة والبنوك والحكومة

م. ناصر العبدالله

مستشار حوكمة الذكاء الاصطناعي في BrightAI. مهندس ومستشار حوكمة ذكاء اصطناعي يركز على تحويل متطلبات الامتثال السعودية إلى ضوابط تشغيلية قابلة للتدقيق داخل المؤسسات.

ملاحظة مهمة: هذا المحتوى للتوعية وبناء برنامج حوكمة قطاعي عملي، ولا يغني عن مراجعة المستشارين القانونيين أو متطلبات الجهة التنظيمية المختصة في حالتك الخاصة.

أولاً: ليش كل قطاع له مسار حوكمة مختلف؟

سؤال يتردد باستمرار من مسؤولي الامتثال في المؤسسات السعودية: “إرشادات سدايا اللي شفناها تطبق على الكل، ليه نقول إن مسار الحوكمة يختلف من قطاع لآخر؟”

الجواب بسيط: سدايا تضع المبادئ العامة — المبادئ السبعة: المسؤولية، الشفافية، العدالة، الخصوصية، المراجعة البشرية، إدارة المحتوى والمخاطر، والأمان. هذي المبادئ زي الدستور، فوق الجميع ومرجعية للكل. لكن فوقها، لكل قطاع جهة تنظيمية تضيف متطلباتها الخاصة:

• القطاع الصحي: SFDA تشترط توثيق سريري وخصوصية بيانات مرضى وموافقة مستنيرة.
• القطاع المالي: SAMA تفرض ضوابط حوكمة ائتمانية وتصنيف مخاطر وإشراف بشري على القرارات المالية.
• القطاع الحكومي: DGA تلزم بشفافية الخدمات وسجل تدقيق حكومي وربط بإستراتيجية التحول الرقمي.

فكر فيها طبقات: سدايا هي الطبقة العليا (المبادئ). الجهات القطاعية تضيف الطبقة الثانية (الضوابط الخاصة). وأنت تحتاج تدمجهم في طبقة تشغيلية واحدة — سياسات، ضوابط تقنية، سجلات تدقيق، وتقارير امتثال — تغطي الاثنين مع بعض.

هذا المقال ما يتكلم عن المبادئ نظرياً. فيه ثلاث حالات قطاعية واقعية: مستشفى، بنك، وجهة حكومية. كل حالة تبيّن وش التحدي الفعلي، وش الحل اللي طُبّق، ووش النتائج اللي انتحزت.

مقال مبادئ سدايا السبعة يشرح المبادئ بالتفصيل لو تبي تتعمق أكثر.

ثانياً: حالة ١ — القطاع الصحي: مستشفى يستخدم AI في التشخيص

التحدي

مستشفى خاص في الرياض قرر يستخدم الذكاء الاصطناعي التوليدي في دعم التشخيص الطبي. الفكرة: طبيب الأشعة يرفع تقرير الأشعة، والـ AI يحلّله ويقترح تشخيصات تفاضلية وتوصيات بمتابعات. يختصر الوقت من ٣٠ دقيقة لكل حالة إلى ٥ دقائق.

التحديات اللي طلعت:

1. بيانات المرضى — حساسة جداً: التقارير الطبية تحتوي على رقم الملف الطبي، التشخيص، التاريخ المرضي، ونتائج الفحوصات. كلها بيانات شخصية حساسة بموجب PDPL وضوابط SFDA. النموذج السحابي ما يقدر يشوفها بدون ضوابط.
2. SFDA تشترط توثيق الأدلة السريرية: أي توصية من AI تستخدم في التشخيص لازم تكون موثقة — مين وافق، وش مصدر الـ AI، ليش اختيرت هالتوصية.
3. سدايا تطلب مراجعة بشرية إجبارية: القرار الطبي قرار حساس (مبدأ رقم ٥ — Human Oversight). الـ AI يقترح، الطبيب يقرر. والسبب موثق.
4. سجل تدقيق لكل خطوة: لو حصل خطأ تشخيصي، لازم تقدر تتراجع: من وين جاء الاقتراح، مين شافه، وش كان القرار النهائي.

الحل

المستشفى طبّق حزمة من الضوابط التشغيلية بالترتيب التالي:

أولاً — جدار حماية (AI Firewall): قبل ما أي تقرير طبي يوصل للنموذج السحابي، جدار حماية الذكاء الاصطناعي يشيل تلقائياً أي معلومات تعريفية (أسماء، أرقام ملفات، تواريخ ميلاد) ويستبدلها بمعرّفات مؤقتة. النموذج يشوف المحتوى الطبي بس بدون ما يقدر يربطه بمريض معين. بعد ما يرجع الاقتراح، النظام يعيد ربطه بالملف الأصلي داخل بيئة آمنة.

ثانياً — تصنيف كل حالة حسب المخاطر: مو كل حالة تشخيصية بنفس المستوى. المستشفى صنّف ثلاث مستويات:

• حالات روتينية (فحص دوري، نتائج طبيعية) → يمر عبر AI مع مراجعة بشرية سريعة.
• حالات متوسطة (تشخيص تفاضلي لأعراض) → AI يقترح، طبيب يراجع ويثبت أو يعدّل.
• حالات عالية الخطورة (اشتباه ورم، نتائج حرجة) → AI ما يطلع توصية بدون مراجعة استشاري وتوثيق كتابي.

حوكمة الذكاء الاصطناعي الصحي يساعد في بناء هذا التصنيف مع ربطه بمتطلبات SFDA.

ثالثاً — سجل تدقيق (Audit Trail): كل طلب يمر على AI يسجّل في سجل تدقيق الذكاء الاصطناعي: وقت الطلب، اسم الطبيب، النموذج المستخدم، التوصية الخام، التعديلات اللي سوّاها الطبيب، القرار النهائي. هذا السجل متاح للتدقيق الداخلي وزيارات SFDA.

رابعاً — طبقة موافقة بشرية (Human-in-the-Loop): للتشخيصات النهائية، النظام ما يرسل التقرير للمريض أو الملف الطبي إلا بعد موافقة الطبيب المعالج. طبقة الموافقة البشرية تمنع أي توصية من الـ AI تطلع بدون بصمة طبيب.

النتيجة

بعد ٦ أشهر من التطبيق:

• وقت التشخيص لكل حالة نزل من ٣٠ دقيقة إلى ٨ دقائق (تحسين ٧٣٪).
• نسبة قبول توصيات الـ AI من قبل الأطباء: ٨٢٪.
• ما حصلت أي حادثة تسرب بيانات مرضى.
• المستشفى جايز التدقيق الداخلي لـ SFDA بدون ملاحظات على حوكمة AI.
• الأطباء صار عندهم وقت أطول للمرضى المعقدين بدل ما يقضونه في التقارير الروتينية.

ثالثاً: حالة ٢ — القطاع المالي: بنك يستخدم AI في خدمة العملاء

التحدي

بنك سعودي كبير يبغى يستخدم الذكاء الاصطناعي التوليدي في قناتين: الأولى روبوت خدمة عملاء ذكي يرد على استفسارات العملاء، والثانية مساعد داخلي لموظفي الفروع يساعدهم في تقييم الطلبات الائتمانية.

التحديات:

1. SAMA تشترط موافقة بشرية للقرارات المالية: أي توصية تتعلق بتمويل أو ائتمان لازم يقررها إنسان — الـ AI مو مسموح له يقرر رفض أو قبول قرض بشكل مستقل.
2. بيانات العملاء تحت PDPL: أرقام الحسابات، السجلات الائتمانية، الدخل الشهري — كلها بيانات شخصية محمية. النموذج السحابي ما يقدر يلمسها بدون ضوابط.
3. سدايا تطلب شفافية كاملة: العميل لازم يعرف إنه يتكلم مع AI وليس مع موظف بشري، وله الحق يطلب تحويل لموظف في أي وقت.
4. التحيز (Bias) في القرارات الائتمانية: النموذج يمكن يظهر تحيز ضد فئات معينة بناءً على بيانات تاريخية. لازم فحص دوري.
5. سجل تدقيق لكل تفاعل: لو عميل قدّم شكوى، الجهات الرقابية تتوقع من البنك يقدّم سجل كامل لسبب كل قرار.

الحل

أولاً — تصنيف مخاطر الحالات: البنك صنّف حالات خدمة العملاء إلى:

• منخفضة: استفسار عن رصيد، موقع فرع، ساعات العمل → AI كامل، وإفصاح “هذا رد آلي”.
• متوسطة: شكوى منتج، طلب توثيق، تغيير بيانات → AI ينتج مسودة، موظف يراجع ويصدّق.
• عالية: طلب تمويل، إعادة جدولة، رفض سابق → AI ما يتعامل معها مباشرة، تحال لبشر فوراً.

حوكمة الذكاء الاصطناعي المالي يوفّر هذا التصنيف جاهز مع ربطه بمتطلبات SAMA.

ثانياً — جدار حماية مزدوج: النظام يمنع دخول أي معلومات حساسة للنموذج السحابي. أرقام الحسابات ورقم الهوية يتم إخفاؤها (masking) قبل إرسال الطلب. لو العميل كتب رقم حسابه في المحادثة، الجدار يمنع وصوله للنموذج ويحذّر العميل.

ثالثاً — التحيز وفحص العدالة: كل شهر، البنك يفحص عينة من ردود الـ AI (١٠٠٠ رد) ويحلّلها: هل فيه تباين في جودة الردود حسب الجنس، المنطقة، أو العمر؟ النتائج توثق في تقرير يرفع للجنة حوكمة AI. تصنيف مخاطر الذكاء الاصطناعي يساعد يحدد أي حالات تحتاج فحص تحيز أعمق.

رابعاً — سجل تدقيق شامل: كل محادثة عميل تسجّل: مين؟ متى؟ وش سأل؟ وش رد الـ AI؟ هل مرت بموافقة بشرية؟ وش القرار النهائي؟ السجل متاح للتدقيق الداخلي ومطابق لمتطلبات سدايا + SAMA.

خامساً — مراجعة بشرية إجبارية للقرارات الائتمانية: أي توصية ائتمانية (رفض أو قبول تمويل) لا تمر للعميل إلا بعد موافقة موظف معتمد. النظام يمنع إرسال الرد تلقائياً ويسجّل مين وافق ومتى.

النتيجة

بعد سنة من التشغيل:

• ٧٠٪ من استفسارات العملاء حُلّت بالكامل عن طريق AI بدون تدخل بشري.
• وقت انتظار العميل نزل من ١٢ دقيقة إلى دقيقتين.
• رضا العملاء (CSAT) ارتفع من ٧٨٪ إلى ٩١٪.
• صفر شكاوى للجهات الرقابية متعلقة بحوكمة AI.
• فريق خدمة العملاء تركّز على الحالات المعقدة بدل الردود المتكررة.

رابعاً: حالة ٣ — القطاع الحكومي: جهة تخدم مليون مستفيد

التحدي

جهة حكومية سعودية تخدم أكثر من مليون مستفيد شهرياً — استفسارات، معاملات، وتقديم خدمات. الجهة قررت تستخدم الذكاء الاصطناعي التوليدي في ثلاثة مجالات: روبوت إجابة عن الاستفسارات، مساعد داخلي للموظفين يلخص المعاملات، وأداة تحليل مقترحات المواطنين.

التحديات:

1. DGA تشترط الشفافية: أي تفاعل مع المستفيد لازم يكون واضح: هل هذا AI ولا موظف؟ المستفيد عنده الحق يعرف.
2. NCA تفرض ضوابط أمن سيبراني: الخدمات الحكومية تحت تصنيف عالي من الأمن السيبراني. أي نموذج AI لازم يخضع لضوابط الوصول والتشفير والتدقيق.
3. سدايا تطلب جرد شامل: حوكمة الذكاء الاصطناعي الحكومي تبدأ بجرد كل حالة استخدام AI في الجهة — حتى اللي شغالة بدون علم الإدارة.
4. بيانات المستفيدين: أرقام الهوية، العنوان، الحالة الاجتماعية — كلها بيانات شخصية. الجهة الحكومية ملزمة بحمايتها بموجب PDPL.
5. المسؤولية (Accountability): مين صاحب القرار لو AI أخطأ في ردّه؟ لازم مالك مسؤول لكل خدمة.

الحل

أولاً — جرد كامل (AI Inventory): الجهة سوّت جرد شامل لكل استخدامات الذكاء الاصطناعي — أكثر من ٢٥ حالة استخدام، بعضها كانت شغالة بدون إشراف. لكل حالة ثبتو: اسم الخدمة، الجهة المالكة، مستوى المخاطر (عالي/متوسط/منخفض)، نوع البيانات المستخدمة، هل فيها تدخل بشري.

ثانياً — مالك مسؤول لكل خدمة (AI Owner): كل خدمة ذكاء اصطناعي عُيّن لها مالك مسؤول — مو “فريق تقنية” كاسم عام، بل شخص محدد في هيكل الجهة. هذا المالك يقرر: هل تحتاج الخدمة موافقة إضافية؟ مين يراجعها؟ كم مرة نفحصها؟

ثالثاً — الشفافية تجاه المستفيد: كل رد من روبوت الخدمة الحكومية يبدأ بـ “هذا رد آلي، إذا تبغى تتواصل مع موظف اكتب تواصل بشري”. للإفصاح إضافة في كل صفحة خدمة: “هذه الخدمة تستخدم الذكاء الاصطناعي في بعض مراحلها”.

رابعاً — ضوابط NCA: البنية التحتية للـ AI خضعت لضوابط NCA ECC — التحكم بالوصول، تشفير البيانات، إدارة الثغرات، سجل الحوادث. أي نموذج AI يمر عبر بوابة أمنية قبل الوصول للبيانات الحكومية.

خامساً — أدلة جاهزة للتدقيق: بدل ما فريق الامتثال يجمع أدلة الحوكمة كل مرة، ملف أدلة الامتثال ينتج تقارير جاهزة: سجل جرد، سجل تدقيق، تقارير فحص التحيز، موافقات المالكين. جاهزة لأي زيارة تدقيق من DGA.

النتيجة

بعد ٩ أشهر:

• ٨٥٪ من استفسارات المستفيدين أجاب عنها AI تلقائياً.
• وقت معالجة المعاملة نزل من ٧ أيام ليومين.
• المستفيدون صاروا يقدرون يحصلون على الخدمة ٢٤ ساعة بدل ساعات الدوام الرسمي.
• الجهة جهّزت أدلة جاهزة لأي تدقيق من DGA أو NCA.
• الجرد كشف ٥ حالات استخدام كانت شغالة بدون إشراف — وتم تصحيحها.

خامساً: جدول المقارنة — منظم لكل قطاع

الجدول يبين لك شي مهم: كل القطاعات تشترك في مبادئ سدايا الأساسية، لكن التحدي الرئيسي يختلف، والحل الأساسي يختلف. الحل اللي اشتغل في المستشفى (جدار حماية + مراجعة بشرية) مو بالضرورة يكفي البنك — البنك يحتاج كمان فحص تحيز وتصنيف مخاطر ائتماني.

سادساً: نقاط مشتركة بين القطاعات الثلاثة

مع الاختلافات الواضحة، فيه نقاط مشتركة مهمة تكررت في كل حالة:

١. جرد حالات الاستخدام أول خطوة. في كل قطاع، أول شي سويناه هو حصر كل استخدامات الذكاء الاصطناعي في المؤسسة. لو ما تدري وش يستخدم موظفوك من AI، ما تقدر تحكمه. الجرد مفاجئ دائماً — حالات استخدام شغالة بدون ما الإدارة تعرف.

٢. التصنيف حسب المخاطر. كل القطاعات احتاجت تصنيف حالات الاستخدام إلى ٣ مستويات على الأقل (منخفض/متوسط/عالي). التصنيف مبني على: نوع البيانات، حساسية القرار، عدد المستفيدين، الأثر القانوني.

٣. سجل تدقيق موحد. في كل حالة، سجل التدقيق هو العمود الفقري للإثبات. بدونه، أي كلام عن “الامتثال” لا قيمة له. سجل تدقيق الذكاء الاصطناعي يجب أن يسجل: من، متى، وش، ليش، ومين راجع.

٤. جدار حماية (AI Firewall). في كل قطاع تعاملنا مع بيانات حساسة. الجدار يمنع تسرب البيانات للنماذج السحابية ويطبق سياسات الخصوصية في الوقت الفعلي. جدار حماية الذكاء الاصطناعي مو رفاهية — هو أساس الحوكمة التقنية.

٥. التدخل البشري للقرارات الحساسة. في القطاع الصحي: التشخيص يحتاج طبيب. في القطاع المالي: القرار الائتماني يحتاج موظف معتمد. في القطاع الحكومي: المعاملات المصيرية تحتاج موافقة إدارية. المبدأ واحد: الـ AI يقترح، الإنسان يقرر.

٦. المراجعة الدورية. كل ٣-٦ شهور، كل مؤسسة سوّت مراجعة دورية لحوكمة AI: هل التصنيف لسا مناسب؟ هل فيه حالات استخدام جديدة؟ هل التحيز تغير؟ هل الإرشادات التنظيمية صدر فيها تحديث؟

٧. التوثيق الجاهز للتدقيق. الجهات الرقابية ما تبلّغ قبل الزيارة بأسبوعين. المؤسسات اللي عندها أدلة جاهزة (سجلات تدقيق، تقارير فحص، موافقات) تمر بسهولة. اللي ما عندها — تدخل في سباق مع الوقت.

سابعاً: الأسئلة الأكثر شيوعاً