صدرت المواصفة ISO/IEC 42001 في دجنبر 2023، وهي أول مرجع قابل للاعتماد مخصص لإدارة الذكاء الاصطناعي. تمنح المؤسسات إطاراً منظماً، وقابلاً للتدقيق قبل كل شيء، لتصميم أنظمة الذكاء الاصطناعي ونشرها وتشغيلها بمسؤولية، في اللحظة نفسها التي يدخل فيها قانون الذكاء الاصطناعي الأوروبي حيز التطبيق. وبالنسبة لإدارة تتساءل كيف تثبت أنها تتحكم في ذكائها الاصطناعي، فهذا اليوم هو الجواب الأكثر اعترافاً به.
الأساسي في سطور
- ISO/IEC 42001:2023، وعنوانها الرسمي Information technology, Artificial intelligence, Management system، صدرت في دجنبر 2023 عن اللجنة المشتركة ISO/IEC JTC 1/SC 42 (المصدر: ISO).
- أول معيار عالمي لنظام إدارة الذكاء الاصطناعي، على النموذج المُجرَّب لـ ISO 9001 و ISO/IEC 27001.
- الملحق A: ثمانية وثلاثون تدبيراً موزعة على تسعة أهداف للضبط (A.2 إلى A.10)، تُنتقى عبر بيان قابلية التطبيق.
- قابلة للاعتماد من طرف ثالث، بعد تدقيق على مرحلتين تجريه هيئة معتمدة.
- قانون الذكاء الاصطناعي: اللائحة (الاتحاد الأوروبي) 2024/1689، السارية منذ فاتح غشت 2024 (المصدر: EUR-Lex).
معيار إدارة، لا معيار تقني
لا تقول ISO/IEC 42001 كيف يُدرَّب نموذج، ولا أي بنية تُعتمد، ولا أي عتبة أداء تُستهدف. إنها تُعرّف نظام إدارة الذكاء الاصطناعي: التنظيم والمسؤوليات والمسارات والأدلة التي تتيح للمؤسسة أن تُثبت أنها تحكم ذكاءها الاصطناعي. والتمييز جوهري. فبإمكان فريق تقني ممتاز أن ينتج نموذجاً عالي الأداء دون أن يترك أثراً يسمح، بعد ستة أشهر، بمعرفة من صادق على ماذا، وعلى أي بيانات، وبأي احتياطات. وهذا بالضبط هو الفراغ الذي يسده المعيار.
وقد أعدّتها اللجنة الفرعية ISO/IEC JTC 1/SC 42، وهي اللجنة المشتركة بين ISO و IEC المخصصة للذكاء الاصطناعي، وتستند إلى لبنات معيارية متاحة سلفاً: ISO/IEC 22989 للمفاهيم والمصطلحات، و ISO/IEC 23894 لإدارة المخاطر المرتبطة بالذكاء الاصطناعي.
بنية مألوفة: البنية المنسجمة
على غرار كل معايير أنظمة الإدارة الحديثة، تتبع 42001 البنية المنسجمة ودورة PDCA (التخطيط، التنفيذ، المراقبة، التحسين). وتنتشر متطلباتها القابلة للتدقيق على البنود 4 إلى 10: سياق المؤسسة، القيادة، التخطيط، الدعم، التشغيل، تقييم الأداء، التحسين.
وهذا التقارب ليس تفصيلاً إدارياً، بل هو اختصار عملي. فالمؤسسة التي تشغّل أصلاً نظام إدارة أمن المعلومات ISO/IEC 27001 أو نظام إدارة الجودة ISO 9001 تملك سلفاً المراجعة الإدارية والتدقيق الداخلي وضبط المعلومات الموثقة ومعالجة حالات عدم المطابقة. فهي ليست مضطرة لبناء نظام موازٍ: بل توسّع النظام القائم. وفي الممارسة، ينخفض العبء بوضوح: فجوهر منظومة الإدارة قائم سلفاً، ولا يبقى إلا توسيعه ليشمل أنظمة الذكاء الاصطناعي.
النواة التشغيلية: الملحق A وتدابيره الثمانية والثلاثون
يرافق المعيار مجموعة مرجعية من ثمانية وثلاثين تدبيراً موزعة على تسعة أهداف للضبط، مرقّمة من A.2 إلى A.10: سياسة الذكاء الاصطناعي، التنظيم الداخلي، موارد أنظمة الذكاء الاصطناعي، تقييم الأثر، دورة حياة النظام، حوكمة البيانات، إعلام الأطراف المعنية، الاستعمال المسؤول، والعلاقات مع الغير ومع الزبناء.
وكما هو الحال في ISO/IEC 27001، لا تُطبَّق هذه التدابير آلياً: تُعِدّ المؤسسة بيان قابلية التطبيق الذي يبرر إدراج كل تدبير أو استبعاده في ضوء تقديرها للمخاطر. وتكمل المنظومةَ ثلاثةُ ملاحق إرشادية: الملحق B يوجّه تنفيذ التدابير، والملحق C يحصي الأهداف ومصادر المخاطر الخاصة بالذكاء الاصطناعي (التحيّز، الأمن، قابلية التفسير، جودة البيانات)، والملحق D يتناول التطبيق حسب المجالات والقطاعات.
ما يميز 42001 حقاً: تقييم الأثر
نظام الإدارة التقليدي يقدّر المخاطر التي تهم المؤسسة. أما 42001 فتطلب أكثر من ذلك: تقييم آثار أنظمة الذكاء الاصطناعي على الأفراد والجماعات والمجتمع. الإنصاف، الشفافية، سلامة الأشخاص المعنيين، والآثار على فئات ليست من زبناء المؤسسة ولا من مستخدَميها.
وهو المتطلب الذي يربك أكثر من غيره المؤسسات المعتادة على معايير الإدارة، لأنه يفرض النظر إلى ما وراء حدود المقاولة. ويرافقه ركنان آخران خاصان: حوكمة البيانات التي تغذّي النماذج (الجودة، المصدر، الإعداد)، وضبط دورة الحياة، من التصميم إلى سحب النظام من الخدمة.
قابلة للاعتماد، وهذه هي النقطة التي تغيّر كل شيء
كانت هناك أطر طوعية سلفاً، وفي مقدمتها NIST AI RMF الذي يقترح منهجية لإدارة المخاطر. غير أن الإطار الطوعي لا يُعتمد: لا مدقق من طرف ثالث، ولا بيان قابلية تطبيق، ولا شهادة يمكن الاحتجاج بها أمام زبون أو صاحب طلب.
أما ISO/IEC 42001 فهي قابلة للاعتماد من طرف ثالث، بعد تدقيق على مرحلتين تجريه هيئة معتمدة. وبالنسبة لمؤسسة تبيع خدمات تتضمن ذكاءً اصطناعياً، أو تشتريها، فهذه اليوم هي الوسيلة الرئيسية لإثبات حوكمة محكمة أمام الجميع، دون الحاجة إلى كشف شفرتها أو نماذجها.
قطعة ضمن منظومة تنظيمية
هذه المرجعيات متكاملة أكثر منها متنافسة. فـ NIST AI RMF يوفّر منهج إدارة المخاطر. و ISO/IEC 42001 توفّر نظام الإدارة القابل للتدقيق. أما قانون الذكاء الاصطناعي الأوروبي، أي اللائحة (الاتحاد الأوروبي) 2024/1689 السارية منذ فاتح غشت 2024، فيوفّر الإلزام القانوني، مع تطبيق تدريجي لأحكامه.
ويُنتظر أن تتبنى هيئة CEN-CENELEC المعيار 42001 على المستوى الأوروبي، وقد يساهم في افتراض المطابقة لقانون الذكاء الاصطناعي. لكن هذا أمر يُتابَع ولا يُعتبر مكتسباً: فلائحة المعايير المنسجمة ما تزال قيد البناء، ولن نقدّم على أنه محسوم تكافؤاً ليس كذلك.
من أين نبدأ
- ارسم خريطة أنظمة الذكاء الاصطناعي لديك والدور الذي تؤديه في كل واحد منها: مورّد، مطوّر، مستعمل. فالدور هو الذي يحدد الالتزامات.
- حدّد مجال تطبيق نظام الإدارة: أي أنظمة، وأي مسارات، وأي كيانات.
- قدّر المخاطر وقيّم الآثار، فهما عمليتان متمايزتان ومطلوبتان معاً.
- ابنِ بيان قابلية التطبيق لتدابير الملحق A الثمانية والثلاثين، مع تبرير كل استبعاد.
- ركّب على القائم بدل الازدواج، إن كان لديك أصلاً نظام لأمن المعلومات أو للجودة.
- دقّق داخلياً، وعالج الفجوات، ثم باشر تدقيق الاعتماد.
مورد مجاني
شبكة التقييم الذاتي ISO/IEC 42001:2023
حدّد موقع مؤسستك من المتطلبات الرئيسية الثلاثة والثلاثين للمعيار، البنود 4 إلى 10 وأهداف الملحق A، مع نسبة مطابقة ولوحة متابعة يُحتسبان تلقائياً. ملف Excel من HEMC، متاح بالفرنسية والإنجليزية والإسبانية والعربية.
تحميل الشبكة مجاناًكيف ترافق HEMC المؤسسات
نساعد المؤسسات على رسم خريطة أنظمة الذكاء الاصطناعي لديها والأدوار التي تؤديها فيها، وعلى إنجاز تقدير المخاطر وتقييم الآثار، وبناء بيان قابلية التطبيق، والتهيؤ لتدقيق الاعتماد. وحين يكون نظام أمن المعلومات قائماً، نفضّل دائماً توسيعه على بناء نظام ثانٍ: فذلك أسرع وأقل كلفة، ويُجنّب مراجعتين إداريتين حيث تكفي واحدة. وللمزيد، اقرأ دليلنا حول الأمن السيبراني للمقاولات بالمغرب و ISO/IEC 27001، وتابع يقظتنا المعيارية، واطّلع على خبرتنا في أمن المعلومات أو تحدّث مع مستشارينا.
يُقدَّم هذا المقال لأغراض إعلامية ولا يشكل استشارة قانونية. والنصوص المرجعية هي الحجة: يُرجع إلى النشر الرسمي للمواصفة ISO/IEC 42001 وإلى نص اللائحة (الاتحاد الأوروبي) 2024/1689.