من المسؤول عن مخاطر الذكاء الاصطناعي في الشركات؟

يتواصل انتشار الذكاء الاصطناعي بوتيرة متسارعة داخل الشركات، مع دخول الذكاء الاصطناعي الوكيلي (Agentic AI) ونماذج اللغة الكبيرة (LLMs) في كل شيء تقريبًا، بدءًا من تطبيقات المؤسسات ووصولًا إلى روبوتات الدردشة التي تساعد المستخدمين في طلب الطعام.

لكن إلى جانب الفوائد الواضحة لهذه التقنيات، بدأت الشركات تواجه مجموعة متزايدة من المخاطر، من نماذج ذكاء اصطناعي خارجة عن السيطرة، وهجمات إلكترونية مدعومة بالذكاء الاصطناعي، إلى آلاف الحوادث الأمنية المرتبطة بهذه التقنيات، فضلًا عن تحول وكلاء الذكاء الاصطناعي إلى نقاط دخول جديدة محتملة إلى شبكات الشركات.

وهنا يبرز سؤال مهم: من يتحمل مسؤولية الذكاء الاصطناعي عندما تسوء الأمور؟

بحسب دراسة جديدة أجرتها شركة PwC، لا تملك الشركات حتى الآن إجابة موحدة عن هذا السؤال.

الأمن السيبراني والذكاء الاصطناعي في مجالس الإدارة
أصدرت "PwC" يوم الجمعة تقريرها Digital Trust Insights 2027، الذي استطلع آراء نحو 4 آلاف من قادة الأعمال والتكنولوجيا في 71 دولة.

وأظهرت نتائج الدراسة عدم وجود منصب واحد يتحمل بوضوح مسؤولية إدارة الذكاء الاصطناعي الوكيلي أو تأمينه، رغم أن إدراك فوائد الذكاء الاصطناعي ومخاطره وصل إلى مستوى مجالس الإدارة في نحو نصف الشركات.

وقال 47% من المشاركين إن الأمن السيبراني يمثل بندًا ثابتًا على جدول أعمال مجالس الإدارة، وهي نسبة ترى "PwC" أنها لا تزال بعيدة عن المستوى الكافي.

ومع ذلك، تبدو بعض الأسس التنظيمية موجودة بالفعل؛ إذ قال 9 من كل 10 قادة أعمال إن ممارسات مثل الرقابة من جانب مجلس الإدارة، وتحمل المسؤولية التنفيذية، ودمج مخاطر الأمن السيبراني ضمن إدارة مخاطر المؤسسة، أصبحت مطبقة داخل شركاتهم.

أما فيما يتعلق بالذكاء الاصطناعي تحديدًا، فقد أدرك نحو ثلث المؤسسات، أي 33%، الحاجة إلى تحديد مسؤولية واضحة، وبدأت في استحداث مناصب متخصصة في الذكاء الاصطناعي، من بينها رؤساء الذكاء الاصطناعي وأعضاء مجالس الإدارة المسؤولون عن هذا الملف.

الرئيس التنفيذي أم CIO أم CISO أم رئيس الذكاء الاصطناعي؟
تكشف دراسة "PwC" عن مشكلة تنظيمية داخل قطاع الشركات: حتى عندما يتم استحداث مناصب متخصصة في الذكاء الاصطناعي، لا يزال من غير الواضح ما إذا كانت هذه المناصب تشمل المسؤولية الشاملة عن أمن الذكاء الاصطناعي وحوكمته.

وقال 29% من الرؤساء التنفيذيين وقادة الأمن وإدارة المخاطر إن مسؤولية الذكاء الاصطناعي تقع على عاتق مدير تقنية المعلومات (CIO)، أو مدير التكنولوجيا (CTO)، أو منصب تقني مشابه.

في المقابل، رأى 17% من المشاركين أن المسؤولية يجب أن تقع على عاتق مدير أمن المعلومات (CISO) أو فرق الأمن السيبراني، بينما قال 26% إن الملف يجب أن يبقى لدى قائد متخصص في الذكاء الاصطناعي أو وظيفة مخصصة لهذا الغرض.

وقال 11% من المشاركين إن المسؤولية غير واضحة، وإنها موزعة بين عدة مناصب أو وظائف داخل المؤسسة.

وتشير هذه النتائج إلى أن الشركات باتت تدرك الحاجة إلى وجود جهة تتحمل مسؤولية الذكاء الاصطناعي الوكيلي والمخاطر الأمنية المرتبطة بنشره ومراقبته وتأمينه، لكن سلسلة المسؤولية نفسها لم تُحدد بعد بشكل واضح.

هل تحتاج الشركات إلى منصب جديد؟
لم يكن منصب مدير أمن المعلومات، أو CISO، موجودًا دائمًا بالشكل المعروف حاليًا. ففي عام 1994، عيّنت شركة Citigroup أول CISO رسمي، وهو ستيف كاتز، للتعامل مع تداعيات هجمات إلكترونية روسية.

ومنذ ذلك الوقت، أصبح من الصعب تصور شركة متوسطة أو كبيرة دون مسؤول رفيع المستوى عن أمن المعلومات.

لكن إضافة مسؤوليات جديدة مرتبطة بأمن الذكاء الاصطناعي إلى مهام CIOs وCISOs قد تشكل عبئًا إضافيًا على هذه المناصب، التي تتولى بالفعل ملفات واسعة تتعلق بالبنية التحتية والتكنولوجيا والأمن وإدارة المخاطر.

ومن هنا قد يظهر اتجاه جديد نحو استحداث منصب متخصص يمكن أن يعمل كنظير لـ CISO، لكن مع التركيز على الذكاء الاصطناعي، وهو ما يمكن تسميته رئيس أمن الذكاء الاصطناعي (CAISO).

هل يمكن للتكنولوجيا سد فجوة المسؤولية؟
بينما تحاول الشركات تحديد الجهة المسؤولة عن الذكاء الاصطناعي وتقسيم الأدوار بين المناصب المختلفة، يمكن للتكنولوجيا نفسها أن تساعد المؤسسات على فرض قدر أكبر من السيطرة على وكلاء الذكاء الاصطناعي.

وقال جيم تايلور، كبير مسؤولي المنتجات والاستراتيجية في شركة RSA، لموقع ZDNET، إن ضوابط الهوية نفسها التي استخدمتها الشركات لعقود لتأمين المستخدمين البشريين يجب تطبيقها أيضًا عند إدارة الذكاء الاصطناعي الوكيلي.

ومن السهل تجاهل حقيقة أن كل نموذج ذكاء اصطناعي أو عملية نشر للذكاء الاصطناعي الوكيلي لها هوية خاصة بها.

وترتبط هذه الأنظمة بمجموعة من بيانات الاعتماد، كما تمتلك مستويات مختلفة من الوصول إلى الموارد والمعلومات، ويمكنها تنفيذ مهام أو التصرف نيابة عن موظف بشري.

وكما تستخدم الشركات كلمات المرور ومبادئ الثقة المعدومة (Zero Trust) والمصادقة متعددة العوامل (MFA) وغيرها من ضوابط الوصول للتحقق من هوية المستخدمين، يرى تايلور أن كل نظام للذكاء الاصطناعي الوكيلي يجب أن يخضع لضوابط الهوية نفسها التي أمّنت المستخدمين البشريين لعقود.

ولا يعني ذلك الاستغناء عن وجود مسؤول بشري على مستوى القيادة يشرف على هذه الأنظمة، لكنه يعني أن تعزيز الأمن من خلال ضوابط حوكمة الذكاء الاصطناعي يمكن أن يساعد المؤسسات على الاستعداد بشكل أفضل للمخاطر المستمرة المرتبطة بهذه التقنيات.

ربط كل وكيل ذكاء اصطناعي بمسؤول بشري
على سبيل المثال، يمكن للشركات إنشاء منصة مركزية تسجل وكلاء الذكاء الاصطناعي المسموح لهم بالعمل داخل شبكات المؤسسة، مع ربط كل وكيل بموظف بشري محدد يكون مسؤولًا عنه.

ويمكن أيضًا اشتراط حصول هذا المسؤول على موافقة شخصية قبل أن ينفذ الوكيل إجراءات عالية الخطورة.

ويقترح تايلور كذلك أن تضمن المؤسسات التي تنشر أنظمة الذكاء الاصطناعي تطبيق ضوابط حوكمة متوافقة مع أطر العمل والمعايير الخاصة بكل قطاع، إلى جانب إجراء تقييمات متكررة لوكلاء الذكاء الاصطناعي وإيقاف الأنظمة التي لم تعد هناك حاجة إليها.

وقال تايلور إن الشركات ستواصل الاستثمار في الذكاء الاصطناعي، لكنها في الوقت نفسه أصبحت تضيف إلى قوتها العاملة أنظمة لا يراها المسؤولون ولا يستطيعون التحكم فيها بالطريقة نفسها التي يتحكمون بها في الموظفين البشريين.

وأضاف أن وكلاء الذكاء الاصطناعي أنفسهم لن يتحملوا مسؤولية خرق قواعد الامتثال، بل ستقع المسؤولية على المؤسسة التي نشرتهم. ولذلك، فإن الشركات التي تختار استخدام هذه الأنظمة ستحتاج إلى الوسائل اللازمة للحفاظ على أمنها والسيطرة على طريقة عملها.