حوكمة الذكاء الاصطناعي وفق NIST AI RMF: خطة أول 30 يومًا

حين يسألك عميل: «هل تتبعون إطار NIST AI RMF؟»، اجعل إجابتك عن حوكمة الذكاء الاصطناعي مدعومة بأدلة تخص نظامًا محددًا: من المسؤول عن مخاطره، وما الذي اختبرتموه، وما الإجراءات المسموح له بتنفيذها، وكيف تتصرفون عند إخفاقه. يضم الإطار 4 وظائف، وتطبيقه طوعي. أما أول 30 يومًا، فهدفها إرساء عملية فعلية لإدارة المخاطر، مع وصف دقيق لما ينقصها. ويوفر إطار NIST البنية التي تنظم هذا العمل.

يساعد إطار إدارة مخاطر الذكاء الاصطناعي (AI RMF) الصادر عن National Institute of Standards and Technology (NIST) المؤسسات على معالجة المخاطر التي قد تطال الأفراد والمؤسسات والمجتمع عند تصميم الذكاء الاصطناعي أو تطويره أو نشره أو استخدامه. ولا يقتصر نطاقه على النموذج؛ فالأشخاص والبيانات والصلاحيات وبيئة عمل النظام كلها عناصر مؤثرة. وتوضح وثيقة AI RMF 1.0 هذا النطاق الأوسع.

إذا كانت شركتك تضم من 20 إلى 200 موظف وتُدخل النماذج اللغوية الكبيرة، أو LLMs، إلى بيئة الإنتاج، فالبداية المفيدة هي تطبيق محدد النطاق. اختر ميزة تترتب عليها آثار مهمة، واربط مخاطرها بقرارات وسجلات، ثم وسّع التطبيق. فشراء نموذج من شركة أخرى لا يوضح لعميلك كيف تضبط الميزة التي بنيتها حوله.

تاريخ التحقق من المصادر: 26 أكتوبر 2026. جرت مراجعة الإطار وPlaybook وGenerative AI Profile بالرجوع إلى صفحات NIST ومنشوراته المتاحة. وتذكر صفحة الإطار أن AI RMF 1.0 قيد المراجعة، مع استمرار إتاحة رابط هذا الإصدار. ولا يعني هذا الإعلان نشر بديل له، ولا يحدد موعدًا لإصدار بديل.

كيف يدعم NIST AI RMF حوكمة الذكاء الاصطناعي؟

يدعوك الإطار إلى ربط المساءلة والسياق والأدلة والإجراءات طوال دورة حياة النظام. تخيّل خطة السلامة من الحرائق في مبنى: معرفة المخارج مفيدة، لكنك تحتاج أيضًا إلى شخص مسؤول عن إبقائها خالية من العوائق، وطريقة للتحقق من ذلك، وخطة استجابة عندما يحدث خلل.

NIST AI 100-1: الوثيقة الأساسية للإطار

NIST AI 100-1 هو معرّف نشر وثيقة AI RMF 1.0، الصادرة في 26 يناير 2023. يشرح جزؤها الأول المخاطر والجدارة بالثقة، ويضم الجزء الثاني المكوّن الأساسي (Core) والملفات التطبيقية (Profiles). وينظم المكوّن الأساسي إدارة المخاطر ضمن وظائف Govern وMap وMeasure وManage، ولكل منها فئات وفئات فرعية. وهي تصف نتائج وإجراءات، ولا تشكّل قائمة تدقيق موحدة يُحكم بموجبها بالنجاح أو الإخفاق. معلومات NIST عن الإطار وإصداره؛ AI RMF 1.0، الجزآن 1 و2.

تشمل خصائص الجدارة بالثقة صلاحية النظام وموثوقيته؛ وسلامته؛ وأمنه وقدرته على الصمود؛ وخضوعه للمساءلة وشفافيته؛ وقابليته للشرح والتفسير؛ وتعزيزه للخصوصية؛ وعدالته مع إدارة التحيز الضار. ولا تكفي إجابة سلسة لإثبات أي من هذه الخصائص. ويناقش NIST هذه الخصائص والمفاضلات بينها في AI RMF 1.0، القسم 3.

قد يجيب مساعد دعم، مثلًا، عن أسئلة المنتج بدقة، لكنه يكشف في إجابته سجلات عميل آخر. لذلك يجب أن يفحص التقييم المفيد الإجابة وحدود الوصول إلى البيانات معًا. فالاقتصار على قياس جودة الإجابة قد يُغفل الإخفاق الأشد أثرًا.

NIST AI RMF Playbook: اختر الإجراءات المناسبة لاحتياجك

يضيف NIST AI RMF Playbook إجراءات مقترحة ومراجع وإرشادات لتحقيق نتائج المكوّن الأساسي. ويتيح NIST للمؤسسات صراحةً اختيار المقترحات التي تلائم احتياجاتها؛ ولا يتوقع من كل مؤسسة تنفيذها جميعًا. كما أن Playbook ليس قائمة تدقيق ذات ترتيب إلزامي. دليل NIST Playbook؛ الأسئلة الشائعة عن NIST Playbook.

ارجع إليه عندما يحتاج خطر محدد إلى استجابة عملية. فإذا كان مساعد الدعم قد يكشف سجلات خاصة، فابحث عن إجراءات تتعلق بالبيانات والوصول والقياس والتعامل مع الحوادث. وسجّل ما اخترته، ولماذا يناسب الحالة، وكيف تتحقق من تطبيقه فعليًا. أما نسخ كل المقترحات إلى جدول، فيضيف عملًا من دون أن يحسم ما إذا كان ينبغي إطلاق الميزة.

الوظائف الأربع والسجلات التي يحتاجها الفريق الصغير

أبقِ الوظائف مترابطة. تسري وظيفة Govern على وظائف Map وMeasure وManage جميعًا، ويتكرر العمل مع المراجعة والتحسين عبر دورة حياة الذكاء الاصطناعي. فقد تعود إلى دراسة السياق بعد أن يكشف اختبار خطرًا جديدًا، أو تعدّل سياسة بعد وقوع حادثة. ولا يفرض NIST مسارًا يسير في اتجاه واحد. المكوّن الأساسي لإطار NIST AI RMF.

يمثل الربط التالي بين الوظائف والسجلات مقترحنا لتطبيق الإطار في فريق صغير. يحدد NIST النتائج، أما صيغ السجلات والمسؤولون عنها فهي خيارات عملية لإنتاج أدلة على تحقق تلك النتائج. وقد يخدم السجل الواحد عدة وظائف.

المعرّفات وأوصاف النتائج الواردة أعلاه مأخوذة من جداول وظائف المكوّن الأساسي لدى NIST. وهي نقاط مرجعية مختارة، ولا تعني أن الجدول يغطي كل فئة فرعية.

Govern: امنح شخصًا صلاحية الإيقاف

تؤسس Govern السياسات والمساءلة والثقافة اللازمة لإدارة المخاطر. ويشمل NIST ضمن هذه الوظيفة توثيق الأدوار، والمسؤولية التنفيذية، وتدريب العاملين، والإشراف البشري. المكوّن الأساسي لدى NIST، وظيفة Govern.

في شركة برمجيات افتراضية تضم 40 موظفًا، قد يتولى المؤسس مسؤولية سياسة المخاطر، ويتولى قائد الدعم مسؤولية المساعد، ويتولى مهندس مسؤولية ضوابط الوصول. ويحتاج هؤلاء إلى صلاحيات فعلية، لا إلى مجرد إدراج أسمائهم في مستند. حدّد من يستطيع إيقاف الميزة مؤقتًا، ومن يستطيع قبول المخاطر التي تبقى بعد تطبيق وسائل الحماية، أي المخاطر المتبقية.

يمكن أن تُصاغ قاعدة إشراف بشري قابلة للتنفيذ هكذا: «يجوز للمساعد إعداد مسودات ردود بالاستناد إلى مواد الدعم المعتمدة. ويجب على موظف دعم التحقق من المصدر والمستلم قبل الإرسال. لا يملك المساعد صلاحية رد المبالغ أو تعديل صلاحيات الوصول إلى الحسابات. ويستطيع قائد الدعم تعطيله؛ أما إعادة تشغيله فتتطلب موافقة المسؤول الهندسي وقائد الدعم».

هذه القاعدة مثال توضيحي لاختيار تصميمي. وقد يبرر سير عمل مختلف صلاحيات مختلفة. المهم أن تتطابق صلاحيات الوصول وسلوك المراجعة في النظام المنشور مع القاعدة المعلنة.

Map: صِف الميزة بكل مكوناتها، ولا تكتفِ بالنموذج

تحدد Map السياق اللازم لفهم المخاطر والآثار، بما يشمل مكونات النظام والأطراف الخارجية. كما تساعد على تقرير ما إذا كان حل الذكاء الاصطناعي مناسبًا أصلًا. المكوّن الأساسي لدى NIST، وظيفة Map.

خصص لمساعد الدعم بندًا مستقلًا في الجرد. وسجّل غرضه، والمسؤول عنه، والجمهور الذي يخدمه، وفئات البيانات، ومصادر الاسترجاع، والأنظمة المتصلة، ومعرّف النموذج أو الخدمة، والإجراءات المسموح بها، وحالة الاعتماد. وأدرج الأشخاص الذين قد يتأثرون بأخطائه، بما في ذلك عملاء لا يتعاملون معه مباشرةً.

ثم صِغ الخطر في صورة سبب وحدث ونتيجة: «يؤدي مرشّح حساب غير صحيح إلى استرجاع تذكرة تخص عميلًا آخر؛ فيُدرجها المساعد في مسودة؛ ثم يرسل المراجع معلومات سرية إلى العميل الخطأ». أما عبارة «خطر على الخصوصية» وحدها، فلا تخبر المهندس بما ينبغي إصلاحه.

ضع وسائل الحماية المقترحة بجانب السيناريو، وحدّد المسؤول عنها وحالتها ورابط الأدلة. وأي تغيير في الغرض أو إضافة لصلاحية يستحق تقييمًا جديدًا، حتى لو بقي النموذج الأساسي كما هو.

Measure: اختبر الخطر الذي حددته

تستخدم Measure أساليب كمية أو نوعية أو مزيجًا منهما لتقييم المخاطر والجدارة بالثقة. ويشمل NIST ضمنها الاختبار في ظروف تشبه بيئة النشر، وتوثيق القيود، وتقييم جوانب مثل الأمن والخصوصية والتحيز الضار. المكوّن الأساسي لدى NIST، وظيفة Measure.

بالنسبة إلى مساعد الدعم، احتفظ بحالات اختبار لسؤال عادي، وغياب المادة المصدرية، وتعارض السياسات، وسجلات عميل آخر، وتعليمة خبيثة مدسوسة في نص مسترجع. ويعني حقن التعليمات (Prompt injection) أن يقدم مهاجم تعليمات بهدف تحويل سلوك النظام عن مساره المقصود. ويناقش NIST في Generative AI Profile، القسم 2.9 الهجمات المباشرة والهجمات التي تمر عبر المواد التي يسترجعها النظام.

ينبغي أن يحدد كل سجل تقييم التهيئة التي خضعت للاختبار، ومدخلات الحالة، والسلوك المتوقع، والمخرجات أو الإجراء الفعلي، والمراجع، والنتيجة. واربط كل حالة إخفاق بالخطر الذي تكشفه. واحفظ الأدلة الحساسة تحت ضوابط وصول مناسبة، بدل نسخ بيانات العملاء إلى تقرير للاستخدام العام.

اكتب معايير القبول قبل مراجعة النتائج. في هذا المثال، يمنع كشف بيانات عميل لعميل آخر إطلاق الميزة، حتى لو بدت بقية الإجابات جيدة. وهذه قاعدة مقترحة للإطلاق، وليست حدًا وضعه NIST. وقد تكشف مجموعة اختبارات صغيرة إخفاقًا، لكن اجتيازها لا يثبت استحالة وقوع إخفاقات.

Manage: حوّل النتائج إلى قرارات

ترتب Manage المخاطر بحسب الأولوية وتخصص الموارد لمعالجتها. ويشمل NIST ضمنها قرارات المضي في التطوير أو النشر، وخيارات مثل تخفيف المخاطر أو قبولها، وآليات تعطيل الأنظمة، والمراقبة المستمرة والاستجابة للحوادث. المكوّن الأساسي لدى NIST، وظيفة Manage.

إذا أخفق اختبار الفصل بين الحسابات، فعطّل مسار الاسترجاع المتأثر، وأصلح ضابط التفويض، ثم أعد الاختبار قبل إعادة إتاحة الوصول. وإذا كان الإخفاق أقل أثرًا، فوثّق سبب قبول إطلاق محدود مع المراقبة، ومن اتخذ هذا القرار. فكلمة «مقبول» من دون مبرر أو صاحب اعتماد يتحمل المسؤولية دليل ضعيف.

احتفظ بسجل للحوادث يتضمن وقت اكتشاف الحادثة، والنظام المتأثر وتهيئته، والأثر المعروف، وإجراءات الاحتواء، ومكان الأدلة، والتواصل، والإجراء التصحيحي، واعتماد إعادة التشغيل. وسجّل أيضًا الوقائع التي كادت تتحول إلى حوادث. وإذا لم تقع أي حادثة، فالسجل الفارغ وصف صادق؛ وأرفق به تمرينًا مصنفًا بوضوح بوصفه محاكاة، يثبت قدرة شخص على تنفيذ الاستجابة.

NIST AI 600-1: ماذا يضيف ملف الذكاء الاصطناعي التوليدي؟

يطبّق NIST AI 600-1، المعروف باسم Generative Artificial Intelligence Profile، الإطار على المخاطر الخاصة بالذكاء الاصطناعي التوليدي أو التي يزيدها حدةً. وقد نُشر في 26 يوليو 2024 بوصفه وثيقة مرافقة لإطار AI RMF 1.0، وليس إطارًا بديلًا أو شهادة مستقلة. صفحة المنشور لدى NIST.

يحدد الملف 12 مجالًا للمخاطر، ويقدم إجراءات مقترحة مرتبطة بالإطار. وقد ركز إعداده على الحوكمة، وتتبّع منشأ المحتوى، والاختبار قبل النشر، والإفصاح عن الحوادث. ويُقصد بـتتبّع منشأ المحتوى معرفة مصدره وتاريخه. وتساعد هذه الاعتبارات على ربط المخرجات المولّدة بممارسات تشغيلية خاضعة للمساءلة. NIST AI 600-1، المقدمة والقسم 2 والملحق A.

ابدأ في حالة مساعد الدعم بتحويل المخاطر ذات الصلة إلى حالات إخفاق محددة:

• اختلاق المعلومات: إجابة واثقة لكنها خاطئة تختلق حقًا في استرداد المبلغ. احتفظ بالإجابة المتوقعة وفق السياسة، وتحقق مما إذا كانت المواد التي يستشهد بها النظام تدعمها.
• خصوصية البيانات وأمن المعلومات: تتسرب بيانات العملاء، أو يحوّل محتوى خبيث مسترجع سلوك المساعد عن مساره. اختبر حدود الوصول إلى البيانات والسلوك عند التعرض لمدخلات عدائية معًا.
• تهيئة العلاقة بين الإنسان والذكاء الاصطناعي: يفرط المراجع في الثقة بمسودة مصقولة. أتح له المصدر الذي تستند إليه، ومعايير الرفض، وصلاحية إيقاف الإجراء.
• التحيز الضار أو التجانس المفرط: تتفاوت جودة الخدمة بين فئات المستخدمين أو اللغات ذات الصلة. افحص السياقات التي تخدمها فعلًا، ووثّق حدود الأدلة.
• سلسلة القيمة وتكامل المكونات: يتغير نموذج أو مصدر بيانات أو تكامل من دون أن تفهم أثر التغيير. احتفظ بسجلات للمكونات التي يعتمد عليها النظام وللتغييرات، ثم أعد تقييم المخاطر المتأثرة.

هذه أمثلة تطبيقية مستمدة من أوصاف المخاطر في الملف، وليست قائمة رسمية مختصرة. وتشمل المجالات الأخرى المذكورة فيه المعلومات أو القدرات الكيميائية أو البيولوجية أو الإشعاعية أو النووية (CBRN)؛ والمحتوى الخطر أو العنيف أو المحرّض على الكراهية؛ والآثار البيئية؛ وسلامة المعلومات؛ والملكية الفكرية؛ والمحتوى الفاحش أو المهين و/أو المسيء. قيّم صلة كل منها بنظامك ووثّق أسباب حكمك. وترد التعريفات الكاملة في NIST AI 600-1، القسم 2.

من الطرق المفيدة للعمل بالملف أن تسجّل الخطر المنطبق، والإجراء المختار، والمسؤول عنه، والأدلة، ثم تشرح الاستبعادات المهمة. وإذا كان الوكيل يستطيع تنفيذ إجراءات عبر برمجيات متصلة، فقيّم مسار تنفيذ الإجراء إلى جانب النص الذي يولده. فدقة المسودة لا تثبت أن تعديل الحساب كان مصرحًا به.

أول 30 يومًا: خطة تشغيلية مقترحة

استهدف عملية يمكن إثبات عملها ضمن نطاق محدد. هذا الجدول توصية منا، وليس مهلة يفرضها NIST، ولا مستوى نضج، ولا ضمانًا لاكتمال العمل. حافظ على حضور الحوكمة طوال المدة؛ فالجدول وسيلة لتنظيم الشهر الأول، وليس تسلسلًا يفرضه الإطار.

1. 1

   الأيام 1-5: تحديد النطاق والمسؤوليات

   حدّد مسؤولًا تنفيذيًا يتحمل المساءلة ومالكًا للنظام. واحصر الاستخدامات الحالية للذكاء الاصطناعي، بما فيها الميزات المدمجة في البرمجيات التي تشتريها بالفعل. واختر للتقييم التفصيلي الأول ميزة تعمل في بيئة الإنتاج وتنطوي على مخاطر مهمة تتعلق بالعملاء أو البيانات أو الإجراءات.

   اكتب غرضها وحدودها، وحدّد الأشخاص المتأثرين بها، واجمع الإجراءات الحالية للإطلاق والوصول والاستجابة للحوادث. وسجّل الثغرات في عملية الحصر بدل إعلان اكتمال الجرد من دون دليل.

   احتفظ بـ: الجرد الأولي، والمسؤوليات المحددة بالأسماء، وقاعدة إشراف بشري جرت مطابقتها مع الصلاحيات الفعلية للميزة.

2. 2

   الأيام 6-10: تحديد سيناريوهات الإخفاق واختيار الاستجابات

   راجع الميزة المختارة خطوة بخطوة مع من بناها ومن يشغّل سير العمل. وأشرك شخصًا يستطيع مساءلة الافتراضات المتعلقة بأثرها على العملاء. وتتبع المدخلات والمواد المسترجعة والمخرجات والإجراءات المتصلة.

   دوّن سيناريوهات الضرر في سجل المخاطر. واستخدم Generative AI Profile لتمحيص القائمة. ورتّب الأولويات وفق الأثر المحتمل واحتمال الوقوع، مع مراعاة عدم اليقين، وعيّن مسؤولًا عن معالجة كل خطر. وحدّد أي الإخفاقات يمنع الإطلاق، وأيها يستلزم تضييق نطاق التشغيل.

   احتفظ بـ: وصف النظام، وسجل المخاطر، والإجراءات المختارة، ونواقص الأدلة، ومعايير القبول المقترحة.

3. 3

   الأيام 11-20: تقييم التصميم المزمع نشره

   نفّذ حالات اختبار تمثل الاستخدام الفعلي، وأخرى للإخفاق والهجمات، على التهيئة التي تنوي استخدامها. وسجّل معرّفات النموذج أو الخدمة، والتعليمات، وإعدادات الاسترجاع، وصلاحيات الأدوات بالقدر المتاح. وإذا حجب المزود تفصيلًا ذا صلة، فاحتفظ بهذا القيد في التقييم.

   اختبر أيضًا تسليم العمل إلى الإنسان: هل يستطيع المراجع تمييز الإجابة غير السليمة، والعثور على مصدرها، ورفضها؟ أصلح الإخفاقات وسجّل نتائج إعادة الاختبار. واستعن بمراجع غير من بنى الميزة متى أمكن؛ ويمكن لشركة صغيرة جدًا الاستعانة بمراجع خارجي مؤهل للقرارات المهمة.

   احتفظ بـ: سجلات تقييم ذات إصدارات موثقة، والنتائج التي لم تُعالج بعد، وروابط المخاطر المرتبطة بها. لا تحوّل افتراضًا لم يُختبر إلى نتيجة ناجحة.

4. 4

   الأيام 21-30: اتخاذ القرار والتدرّب وإعداد التقرير

   اعتمد الميزة أو ضيّق نطاقها أو أوقفها مؤقتًا بناءً على الأدلة. وحدّد الشخص الذي يقبل المخاطر المتبقية، وضع الحالات التي تستدعي المراجعة عند تغيير البيانات أو النماذج أو الغرض أو الصلاحيات.

   حاكِ حادثة يبلغ فيها عميل عن ظهور معلومات حساب آخر في إجابة. وتأكد ممن يستطيع تعطيل الوصول، وحفظ الأدلة، وتقييم الأثر، وتنسيق التواصل، واعتماد إعادة التشغيل. وصنّف التمرين بوضوح بوصفه محاكاة.

   احتفظ بـ: قرار إطلاق موثق، وتحديد مسؤولية المراقبة، وسجل الحوادث، وبيان موجز للعميل أو مجلس الإدارة يميّز بين الضوابط المطبقة فعليًا والعمل الذي لم يكتمل.

التدريب على NIST AI RMF: تدرّب على اتخاذ القرار

درّب الأشخاص على القرارات التي تقع ضمن مسؤولياتهم. يتناول GOVERN 2.2 تدريب العاملين والشركاء على إدارة المخاطر؛ والنتيجة المطلوبة أن يتمكنوا من أداء مسؤولياتهم. المكوّن الأساسي لدى NIST، وظيفة Govern.

بالنسبة إلى قائد الدعم، يعني ذلك اكتشاف إفصاح غير آمن عن المعلومات، وإيقاف المساعد مؤقتًا، وتصعيد الأمر. وبالنسبة إلى المهندس، يعني معرفة أي تغيير في الصلاحيات يستلزم إعادة التقييم. واحتفظ بسيناريو المحاكاة، وأسماء المشاركين، والقرارات، وإجراءات المتابعة. فسجل إتمام دورة تدريبية وحده لا يثبت أن الاستجابة تعمل في بيئة الإنتاج.

ويصف NIST أيضًا الملفات الحالية (Current Profiles) والملفات المستهدفة (Target Profiles)، التي ترصد نتائج إدارة المخاطر القائمة والمنشودة. وتكشف المقارنة بينها العمل المتبقي. ويمكن لشركة صغيرة استخدام هذا التمييز في فهرس أدلتها: مطبق، أو مطبق جزئيًا، أو مخطط له، أو غير منطبق مع ذكر المبرر. وهذه التسميات للحالة اقتراح منا. AI RMF 1.0، القسم 6.

كيف تشرح وضعك للعميل أو المدقق أو مجلس الإدارة؟

صِف نطاق عملك ومستوى نضجه قبل القول إنه متوائم مع الإطار. فالعميل الذي يقيّم مساعد دعم يحتاج إلى معرفة ما إذا كانت أدلتك تغطي تلك الميزة، وتهيئتها الحالية، والإجراءات المسموح لها بتنفيذها.

إذا كان التطبيق لا يزال جاريًا، فصرّح بذلك. مثلًا:

نعمل على تطبيق ممارسات NIST AI RMF على مساعد دعم العملاء لدينا. وقد حددنا المسؤوليات، وأعددنا جرد النظام وتقييم المخاطر. ولا يزال التقييم وتمرين الاستجابة للحوادث غير مكتملين. وستبقى الميزة ضمن نطاقها المقيد الحالي إلى أن تُستكمل القرارات المرتبطة بذلك.

أما إذا كانت الممارسات مطبقة فعليًا وتؤيدها السجلات، فيمكن تقديم إجابة أشمل:

نستخدم NIST AI RMF 1.0 لتنظيم إدارة المخاطر في مساعد دعم العملاء لدينا، مع إجراءات ذات صلة من Generative AI Profile. ونحتفظ بقواعد للمسؤولية والإشراف، وسجلات للنظام والمخاطر، وأدلة تقييم، وإجراءات للحوادث. ويحدد بيان النطاق التهيئات التي جرى تقييمها، والقيود المعروفة، والإجراءات المفتوحة، والمراجعة المقبلة. وهذا وصف منا للتطبيق، وليس شهادة من NIST.

هذه صيغ توضيحية ينبغي تكييفها وفق أدلتك الفعلية. لا تنسخ الصيغة الأقوى إذا كانت الضوابط التي تسندها لا تزال في مرحلة التخطيط.

أرسل فهرسًا موجزًا للأدلة يتضمن المسؤولين عن المستندات، والتواريخ، وروابط خاضعة لضوابط الوصول. وميّز في كل ادعاء بين السياسة والسجل الذي يثبت تنفيذها. فقاعدة الإشراف تصف ما ينبغي أن يحدث؛ أما سجل إطلاق خضع للمراجعة أو سجل اعتماد، فيثبت التطبيق الفعلي. وشارك نسخة من التقييم حُجبت منها المعلومات الحساسة إذا كانت الأدلة الأصلية تتضمن بيانات عملاء أو تفاصيل أمنية حساسة.

ومع مجلس الإدارة، ركّز على المخاطر المهمة التي لم تُحسم، والقرارات المطلوبة، والمسؤولين عنها. فقد تخفي نسبة إنجاز صفوف جدول مسألة واحدة مفتوحة ينبغي أن تمنع النشر.

ما الذي ينبغي أن يغيّره المطورون والمشغّلون والمشترون؟

المطورون: تعاملوا مع أي صلاحية جديدة باعتبارها تغييرًا في التصميم. فإضافة صلاحية رد المبالغ إلى مساعد يُعدّ المسودات تغيّر المخاطر، حتى لو بقي النموذج والتعليمات كما هما. حدّثوا وصف النظام، واختبارات الصلاحيات، وقرار الاعتماد قبل تفعيلها.

المشغّلون: اربطوا الملاحظات بسجل المخاطر. فالشكوى المتكررة من اختلاق سياسة ينبغي أن تتحول إلى نمط إخفاق يجري التحقيق فيه، وحالة تقييم، وقرار بشأن استمرار الاستخدام. وعيّنوا شخصًا مسؤولًا عن إتمام هذه المتابعة.

المشترون والمؤسسون: اطلبوا النطاق الذي خضع للتقييم، وأدلة تقييم حديثة، والقيود المتبقية. وينبغي أن يوضح بيان المورّد عن التواؤم مع الإطار ما الذي يضبطه هو، وما الذي يجب عليكم تهيئته أو مراقبته بأنفسكم.

تحرّك الآن عندما تتعامل الميزة مع معلومات حساسة، أو تؤثر في قرار مهم، أو ترسل مواد إلى العملاء، أو تستطيع تعديل سجلات خارجية. واستخدم عملية أخف لتجربة محدودة النطاق تعتمد على معلومات عامة أو اصطناعية ولا تنفذ أي إجراء خارجي. وأجّل توسيع الاستقلالية عندما تعجز عن إثبات حدود الصلاحيات أو مسار المراجعة أو آلية الإيقاف. هذه قواعد مقترحة لترتيب الأولويات، وليست تصنيفات مخاطر صادرة عن NIST.

مراجعة الإطار لا تزيل مصادر الخطر المعروفة. واصل إدارتها، مع تحديد الإصدار الذي تستخدمه بوضوح في مستنداتك.

أين يقع ISO/IEC 42001 وقانون EU AI Act ضمن هذا العمل؟

استخدم كل وثيقة لغرضها المحدد. يضع ISO/IEC 42001:2023 متطلبات نظام لإدارة الذكاء الاصطناعي على مستوى المؤسسة. ويمكن للمؤسسات السعي إلى الحصول على شهادة مستقلة لنظام الإدارة هذا؛ أما ISO نفسها فلا تصدر الشهادات. نظرة ISO العامة على المعيار؛ شرح ISO للشهادات.

يفرض قانون الذكاء الاصطناعي للاتحاد الأوروبي (EU AI Act) التزامات قانونية بحسب الدور والنظام والاستخدام المعني. وقد تدعم سجلات AI RMF عملك، لكن التواؤم مع الإطار لا يثبت الامتثال للقانون. راجع إرشادات المفوضية الأوروبية بشأن قانون الذكاء الاصطناعي لمعرفة القواعد والجدول الزمني المنطبقين، وارجع إلى صفحتنا عن EU AI Act للاطلاع على التغطية ذات الصلة في الموقع.

يوفر إطار حوكمة الذكاء الاصطناعي لدينا طبقة تحديد المسؤوليات على مستوى الشركة، بينما توفر سياسة الاستخدام المقبول للذكاء الاصطناعي القواعد الموجهة للموظفين. اربطها بأدلة تخص الأنظمة، بدل الاحتفاظ بسياسات منفصلة لكل إطار.

ما الذي يُبالَغ فيه؟ الشهادات ونسب الإنجاز وسلامة النماذج

أكبر مبالغة هي اعتبار تبنّي الإطار دليلًا على سلامة النظام. فإرشادات NIST تنظّم إدارة المخاطر، بينما تظل الأدلة المفيدة مرتبطة بالنظام وسياقه والقرارات المتخذة بشأنه. ويتسم مكوّنه الأساسي صراحةً بالمرونة وتكرار المراجعة والتحسين. المكوّن الأساسي لإطار NIST AI RMF.

شهادة NIST AI RMF لا تعني اعتمادًا صادرًا عن NIST

لا يمنح NIST المؤسسات شهادات بموجب AI RMF. صِف تطبيقك ونطاقه وأدلته، ولا تدّعِ أنك «معتمد من NIST». وقد يكون التقييم المستقل مفيدًا، لكن ينبغي أن يحدد تقريره من قيّم ماذا، وبالاستناد إلى أي معايير. ولا يتحول بذلك إلى شهادة صادرة عن NIST. ونقطة البداية الرسمية هي إطار AI RMF الطوعي لدى NIST.

إكمال قائمة تدقيق لا يساوي اتخاذ قرار بشأن المخاطر. لا يحدد NIST مستوى موحدًا لتحمّل المخاطر، ولا يلزم Playbook بتنفيذ كل إجراء مقترح. اختر معايير قبول تناسب الضرر المحتمل، واشرحها. AI RMF 1.0، القسم 1.2.2؛ إرشادات Playbook.

أدلة المورّد لا تغطي تطبيقك كاملًا. فبيانات الاسترجاع، وضوابط الوصول، والتكاملات، والمستخدمون تضيف عناصر إلى السياق. ويتناول NIST صراحةً مكونات الأطراف الخارجية وإدارتها المستمرة؛ احتفظ بأدلة المورّد، مع اختبار تصميمك التشغيلي. المكوّن الأساسي لدى NIST، وظيفتا Map وManage.

المراجعة البشرية ليست ضمانًا سحريًا. يحتاج المراجع إلى المصدر والوقت والمعرفة ذات الصلة وصلاحية التدخل. وإذا كان سير العمل يجعل الاعتماد تلقائيًا في الممارسة، فغيّره قبل وصفه بأنه إشراف فعّال.

أسئلة شائعة

لماذا نحتاج إلى إطار لإدارة مخاطر الذكاء الاصطناعي؟

تنشأ مخاطر الذكاء الاصطناعي من التفاعل بين التقنية والأشخاص وسياق النشر. ويساعد الإطار المؤسسات على إدارة هذه التفاعلات عبر دورة الحياة، بما يشمل الآثار على أشخاص غير المستخدم المباشر. وهو مورد طوعي، وليس تبنّيه متطلبًا قانونيًا. NIST AI RMF 1.0.

ما 5 أمثلة على مخاطر الذكاء الاصطناعي؟

في ميزة تعتمد على الذكاء الاصطناعي التوليدي، هناك خمسة أمثلة مفيدة: مخرجات خاطئة لكنها واثقة، وتسرب معلومات خاصة، وتحيز ضار، واعتماد بشري مفرط، وهجمات تعيد توجيه سلوك النظام. وتقابل هذه الأمثلة مجالات يناقشها Generative AI Profile، لكنها لا تمثل قائمته الكاملة للمخاطر. NIST AI 600-1، القسم 2.

ما الغرض الأساسي من إطار NIST لإدارة المخاطر (RMF)؟

بالنسبة إلى AI RMF الذي يناقشه هذا المقال، فإن الغرض هو مساعدة المؤسسات على إدارة مخاطر الذكاء الاصطناعي وإدماج الجدارة بالثقة في التطوير والاستخدام. حدّد «AI RMF» في إجابتك للعميل حتى يتضح الإطار المقصود. نظرة NIST العامة على الإطار.

هل تطبيق NIST AI RMF إلزامي؟

الإطار نفسه طوعي. تحقّق من أي التزامات تعاقدية أو متعلقة بالمشتريات أو قانونية منفصلة تنطبق على نشاطك؛ فتبنّي إطار طوعي لا يحسم تلك الالتزامات. نظرة NIST العامة على الإطار.

ما الإطار الذي سيحل محل RMF؟

بالنسبة إلى AI RMF، كانت صفحة NIST عند مراجعتها في 26 أكتوبر 2026 تذكر أن الإصدار 1.0 قيد المراجعة، مع استمرار إتاحة رابطه. لا تستنتج من هذا التنويه صدور نسخة بديلة. أما NIST AI 600-1 فهو ملف مرافق للذكاء الاصطناعي التوليدي. صفحة إطار NIST.

هل سيحل الذكاء الاصطناعي محل العمل في إدارة المخاطر المالية (FRM)؟

لا يمكن استنتاج ما إذا كان العمل في إدارة المخاطر المالية سيُستبدل بالاعتماد على AI RMF. فهذا الإطار يعالج كيفية إدارة المؤسسات لمخاطر الذكاء الاصطناعي، بما يشمل المسؤوليات البشرية والإشراف، ولا يقدم توقعًا بشأن استبدال مهنة. المكوّن الأساسي لدى NIST، وظيفة Govern.

ما أفضل 3 أطر للأمن السيبراني؟

لا يوجد ترتيب موحد لأفضل ثلاثة أطر يناسب كل مؤسسة. اختر إرشادات الأمن السيبراني بحسب أنظمتك والتزاماتك واحتياجاتك للتحقق والضمان. وفي هذا السياق، استخدم AI RMF لمعالجة المخاطر الخاصة بالذكاء الاصطناعي إلى جانب برنامجك الأمني الحالي؛ فنتائجه المتعلقة بالأمن والقدرة على الصمود لا تغطي وظيفة الأمن السيبراني كاملةً. NIST AI RMF 1.0.

هل يتراجع دور مجال الأمن السيبراني؟

إدخال الذكاء الاصطناعي لا يلغي حاجتك إلى العمل الأمني. يشمل AI RMF تقييم الأمن والقدرة على الصمود، وإدارة مخاطر الأطراف الخارجية، والاستجابة للحوادث. وتظل هذه مسؤوليات على مشغّل النظام في بيئة الإنتاج إسنادها وإثبات أدائها. وهذا استنتاج تشغيلي، وليس توقعًا لسوق العمل. المكوّن الأساسي لدى NIST.

ما التهديد السيبراني رقم 1 اليوم؟

لا يوجد تهديد واحد يستحق هذه المرتبة لدى كل شركة. أعطِ الأولوية لما يمكن أن يسبب ضررًا في بيئة نشرك. ففي مثال مساعد الدعم، يستحق الوصول غير المصرح به إلى البيانات وحقن التعليمات اختبارات صريحة؛ وتتوقف أولويتهما على البيانات والصلاحيات المعنية. Generative AI Profile لدى NIST، القسم 2.9.

خطوتك العملية في بداية الأسبوع

افتح جرد الأنظمة مع المسؤول عن أكثر ميزات الذكاء الاصطناعي أثرًا لديك. واختر إخفاقًا معقول الاحتمال، وحدّد من قد يتضرر، ثم تتبّع ارتباطه باختبار وقرار إطلاق وإجراء إيقاف. وإذا انقطعت الصلة في أي موضع، فاجعل سد هذه الثغرة الإجراء التالي، وحدّد مسؤولًا عنه بالاسم.

بهذا تستند إجابتك المقبلة للعميل إلى أساس ملموس: النظام المشمول بالنطاق، والأدلة المتاحة، والعمل الذي لا يزال مطلوبًا.

للحصول على ملاحظات عملية حول تشغيل الذكاء الاصطناعي في بيئة الإنتاج، اشترك في النشرة البريدية.