إرشادات سدايا للاستخدام المسؤول للذكاء الاصطناعي التوليدي: شرح عملي

لماذا تحتاج المؤسسة سياسة GenAI مستقلة؟

أدوات الذكاء الاصطناعي التوليدي تختلف عن البرمجيات التقليدية. المستخدم قد يضع نصًا طويلًا، مرفقًا، صورة، أو كودًا، ثم يحصل على مخرج يبدو واثقًا حتى لو كان خاطئًا. الأداة قد تحفظ السجلات، أو تستخدم البيانات لتحسين الخدمة، أو تنتج مخرجات شبيهة بمحتوى محمي، أو تقترح قرارًا يؤثر على عميل أو موظف. لذلك سياسة أمن المعلومات العامة لا تكفي وحدها؛ يجب أن توجد سياسة GenAI توضح الحدود بلغة يفهمها الموظفون والمطورون والإدارة.

السياسة المستقلة لا تعني وثيقة طويلة لا يقرأها أحد. الأفضل أن تكون سياسة قصيرة مدعومة بضوابط تقنية: أدوات معتمدة، تحذيرات داخل الواجهة، منع تلقائي للبيانات الحساسة، موافقات بشرية، وسجل تدقيق. بهذا الشكل تتحول إرشادات سدايا للذكاء الاصطناعي من مبادئ إلى سلوك يومي. الموظف لا يحتاج تخمينًا في كل مرة؛ النظام يساعده على الاختيار الصحيح.

تصنيف الاستخدامات: ممنوع، مقيد، مسموح بمراجعة، مسموح

أفضل طريقة لتقليل الفوضى هي تصنيف الاستخدامات بدل كتابة قائمة طويلة من الأمثلة. الاستخدام الممنوع يشمل إدخال أسرار أو بيانات شخصية أو بيانات مصنفة في أدوات غير معتمدة، أو استخدام GenAI لاتخاذ قرار نهائي عن شخص بدون مراجعة. الاستخدام المقيد يشمل تحليل عقود أو شكاوى أو ملفات موظفين عبر أدوات معتمدة وبموافقات محددة. الاستخدام المسموح بمراجعة يشمل صياغة محتوى خارجي أو توصيات تؤثر على عملاء. الاستخدام المسموح يشمل العصف الذهني العام، إعادة الصياغة غير الحساسة، أو تلخيص نصوص عامة.

التحقق من المخرجات والهلوسة

المخرج الجميل ليس دليل صحة. GenAI يستطيع تقديم إجابة واثقة بمعلومة غير دقيقة أو مصدر غير موجود. لذلك يجب تصنيف المخرجات حسب أثرها. إذا كان المخرج للتفكير الداخلي، يكفي تنبيه المستخدم. إذا كان سيرسل لعميل أو ينشر للجمهور، يجب مراجعته. وإذا كان سيؤثر على قرار ائتماني أو وظيفي أو صحي أو أمني، يجب أن يكون AI مساعدًا لا صاحب القرار، مع مراجعة بشرية موثقة ومصادر تحقق.

ضع قاعدة بسيطة للفرق: لا تستخدم مخرج GenAI كمصدر وحيد في موضوع نظامي أو مالي أو طبي أو أمني. في المحتوى المرجعي، اطلب من النظام إظهار مصادر رسمية ثم تحقق منها يدويًا. في الكود، شغل اختبارات وفحص أسرار وثغرات. في التحليل، احتفظ بعينة مراجعة دورية تقارن المخرجات ببيانات صحيحة. هذه الإجراءات تحمي المؤسسة من الثقة الزائدة وتبني ثقافة استخدام مسؤولة.

البيانات الحكومية والحساسة

في الجهات الحكومية أو الجهات التي تتعامل مع بيانات حساسة، يجب أن تكون القاعدة أشد. لا تدخل بيانات مصنفة أو وثائق داخلية حساسة في أدوات عامة. استخدم قنوات معتمدة، نماذج داخلية أو بيئات محكومة عند الحاجة، وضوابط وصول دقيقة. يجب أن يفهم الموظف أن prompt نفسه قد يكون وثيقة عمل، وأنه إذا احتوى معلومات غير مصرح بإفصاحها فقد صار قناة تسريب.

للاستخدامات الحكومية، اعمل بمبدأ "القراءة والتحليل تحت السيطرة". إذا احتاج الموظف تلخيص وثيقة، يجب أن تمر الوثيقة عبر مسار معتمد يحترم التصنيف. وإذا احتاج مساعدة في صياغة رد، يجب عدم إدخال أسماء أو أرقام أو تفاصيل قضية غير لازمة. وفي كل الأحوال، المخرجات الرسمية يجب أن تعتمد من شخص مسؤول، لأن المؤسسة لا تستطيع تحويل مسؤوليتها إلى نموذج.

المشتريات والتعاقد مع مزودي GenAI

قبل شراء أداة GenAI، يجب أن تسأل المشتريات والأمن والامتثال أسئلة محددة. هل يستخدم المزود بياناتنا للتدريب؟ أين تحفظ السجلات؟ ما مدة الاحتفاظ؟ هل يمكن حذف البيانات؟ هل توجد معالجات فرعية؟ ما شهادات الأمن؟ هل يدعم إدارة الهوية المؤسسية؟ هل يمكن منع أنواع بيانات معينة؟ هل يقدم سجل تدقيق؟ وهل يمكن تشغيله داخل منطقة أو بيئة تتوافق مع متطلبات المؤسسة؟

لا تجعل التقييم مقتصرًا على جودة الإجابات أو السعر. أداة ممتازة لغويًا قد تكون غير مناسبة إذا كانت لا توفر تحكمًا بالبيانات أو سجلًا أو منع تدريب. وأداة أقل لمعانًا قد تكون أفضل للمؤسسة إذا دعمت الهوية، العزل، السجلات، وإعدادات الاحتفاظ. القرار الصحيح يجمع الإنتاجية مع السيطرة.

دليل عملي لسياسة داخلية قصيرة

ابدأ بسياسة من صفحة أو صفحتين بدل وثيقة معقدة. عرّف GenAI، حدد الأدوات المعتمدة، اكتب أمثلة ممنوعة، اشرح متى يجب الإفصاح، ووضح أن المستخدم مسؤول عن التحقق من المخرج. ثم اربط السياسة بضوابط تقنية: بوابة AI، فحص بيانات، سجلات، موافقات، وتدريب موظفين. السياسة وحدها لن تمنع التسريب؛ لكن السياسة المدعومة بالتنفيذ ستغير السلوك.

يمكن أن تقول السياسة: "يسمح باستخدام أدوات GenAI المعتمدة لأغراض الإنتاجية العامة بشرط عدم إدخال بيانات شخصية أو سرية أو مصنفة. أي استخدام يتضمن بيانات عملاء أو موظفين أو عقود أو مخرجات ستستخدم في قرار مؤثر يحتاج قناة معتمدة ومراجعة بشرية. يجب التحقق من المخرجات قبل النشر أو الاعتماد. يجب الإبلاغ عن أي إدخال خاطئ للبيانات أو مخرج ضار وفق آلية الحوادث الداخلية." هذه الصياغة مختصرة لكنها قابلة للتحويل إلى قواعد.

مؤشرات قياس الاستخدام المسؤول

لا تستطيع إدارة ما لا تقيسه. راقب عدد أدوات GenAI المعتمدة، عدد الاستخدامات المحجوبة بسبب بيانات حساسة، زمن الموافقة على الحالات المقيدة، نسبة المخرجات التي تمت مراجعتها قبل النشر، عدد حوادث الاستخدام الخاطئ، وعدد الموظفين المدربين. المؤشرات لا تهدف إلى معاقبة الفرق؛ هدفها معرفة أين تحتاج المؤسسة توعية أو تحسينًا في الأداة أو السياسة.

آلية التحديث التلقائي عند تغير إرشادات سدايا

هذه الصفحة تحتوي كتلة Regulatory Watch تشير إلى ملفات SDAIA العامة والحكومية ومبادئ أخلاقيات AI. عند تشغيل فحص النشر أو المراجعة الدورية، تتم مقارنة روابط الملفات وأسماء الإصدارات وتاريخ المراجع. إذا تغيرت أي إشارة، تفتح مراجعة محتوى لتحديث التصنيف والجداول والFAQ وdateModified. بهذه الطريقة لا تبقى السياسة الداخلية مرتبطة بنسخة قديمة من الإرشادات.

التحديث في موضوع GenAI يجب أن يكون سريعًا لكن مضبوطًا. التقنية تتغير أسرع من الوثائق، لذلك راقب أيضًا تغير الموردين: ظهور ميزة تدريب افتراضية، تغير مدة الاحتفاظ، إضافة معالج فرعي، أو تغيير شروط استخدام. أي تغيير من هذه التغييرات قد يستدعي تعديلًا في سياسة الاستخدام حتى لو لم يتغير النص الرسمي نفسه.

ملحق عملي: نموذج سياسة استخدام يومية للموظفين

السياسة اليومية يجب أن تكون مفهومة في أول قراءة. يمكن للمؤسسة أن تقول: استخدم أدوات GenAI المعتمدة فقط، لا تدخل بيانات شخصية أو سرية أو مصنفة، لا تعتمد المخرج النهائي بدون مراجعة، لا تنشر محتوى مولدًا باسم المؤسسة قبل الاعتماد، ولا تستخدم AI لاتخاذ قرار نهائي عن عميل أو موظف. إذا احتجت استخدام بيانات داخلية، استخدم القناة المعتمدة التي تطبق الإخفاء والسجلات والموافقات.

ثم أضف أمثلة قريبة من واقع العمل. في الموارد البشرية: لا ترفع سيرة ذاتية أو تقييم أداء إلى أداة عامة. في المالية: لا تدخل آيبان أو كشف حساب أو عقدًا كاملًا. في التقنية: لا ترسل مفاتيح API أو كودًا يحتوي أسرارًا. في التسويق: تحقق من الحقائق والحقوق قبل نشر محتوى مولد. في خدمة العملاء: لا ترسل شكوى كاملة تحتوي اسمًا ورقمًا وبيانات تواصل، بل استخدم ملخصًا منقحًا.

مسار تدريب وتوعية من 4 أسابيع

الأسبوع الأول يكون عن الأساسيات: ما هو GenAI، ماذا يستطيع وما حدوده، ولماذا المخرج ليس حقيقة دائمًا. الأسبوع الثاني عن البيانات: ما الذي لا يجوز إدخاله، كيف نميز البيانات الشخصية والسرية، وكيف نستخدم القنوات المعتمدة. الأسبوع الثالث عن التحقق: كيف نراجع المصادر، كيف نكتشف الهلوسة، وكيف نراجع المخرجات قبل النشر. الأسبوع الرابع عن المسؤولية: من يعتمد، متى نصعد، كيف نبلغ عن استخدام خاطئ، وكيف نحسن السياسة.

اجعل التدريب مبنيًا على أمثلة حقيقية من بيئة المؤسسة. الموظف يتعلم أسرع عندما يرى prompt خاطئًا ثم يرى النسخة الآمنة منه. مثلًا: بدل "لخص شكوى العميل أحمد ورقم جواله..." استخدم "لخص شكوى عميل بعد إزالة الاسم ورقم التواصل، وركز على نوع المشكلة والإجراء المطلوب." هذه الأمثلة الصغيرة تصنع فرقًا كبيرًا لأنها تحول الإرشادات إلى عادة.

قائمة مراجعة قبل اعتماد أداة GenAI

1. هل الأداة معتمدة رسميًا ومربوطة بهوية المؤسسة؟
2. هل يمكن منع استخدام بيانات المؤسسة في تدريب النموذج؟
3. هل توجد إعدادات واضحة للاحتفاظ والحذف والتصدير؟
4. هل تدعم سجلات استخدام إدارية قابلة للمراجعة؟
5. هل يمكن تطبيق سياسات منع بيانات شخصية أو سرية؟
6. هل توجد طريقة للإفصاح والمراجعة البشرية للمخرجات المؤثرة؟
7. هل راجع الأمن السيبراني والمشتريات والامتثال شروط المورد؟
8. هل يوجد مالك داخلي مسؤول عن تحديث السياسة عند تغير الأداة؟