أنظمتك الذكية تحتاج الآن إلى سجل ومسؤول معيَّن وأدلة.

يكمّل التنظيم رقم 10 قانون حماية البيانات رقم 5 لسنة 2020 في مركز دبي المالي العالمي، وينطبق على المؤسسات التي تعالج بيانات شخصية عبر أنظمة مستقلة أو شبه مستقلة. تقع الالتزامات على المُشغّلين والجهات الناشرة، وأثقلها يتعلق بالمعالجة عالية المخاطر.

الالتزامات الأربعة عملياً

1. الاعتماد. تتطلب أنظمة الذكاء الاصطناعي التجارية عالية المخاطر شهادة اعتماد. وهي خاصة بالنظام لا بالجهة، فاعتماد مؤسستك لا يعتمد نموذجك التالي.
2. مسؤول الأنظمة المستقلة. على الجهات الناشرة والمشغّلين في المعالجة عالية المخاطر تعيين مسؤول يوفّر رقابة مستقلة.
3. سجل وتفسير. تحتفظ بسجل لأنظمتك الذكية، ويجب أن تكون قادراً على تفسير المعالجة بعبارات غير تقنية ومدعومة بالأدلة لمن تمسّهم.
4. تقييم المخاطر قبل المعالجة. تُقيَّم مخاطر الخصوصية وتُوثَّق قبل بدء المعالجة عالية المخاطر، ثم تُعالَج. تسجيل الخطر لا يعني معالجته.

وهناك أيضاً حق الاعتراض: يمكن لصاحب البيانات الطعن في نتيجة أنتجها نظام ذكاء اصطناعي، ما يعني أنك تحتاج إلى القدرة على إعادة بناء كيفية الوصول إلى قرار معيّن.

تعامل مع النطاق كمسألة قانونية. تحديد ما إذا كان نظام ما عالي المخاطر وفق التنظيم رقم 10 قرار يُتخذ مع مستشار قانوني، لا من صفحة مزوّد.

ابدأ بالسجل. كل التزام آخر يعتمد عليه، لأن الضابط لا يمكن أن يرتبط بنظام لم يدوّنه أحد.

ما يجب أن يحتويه السجل

• كل نظام يتخذ قراراً أو يؤثر فيه جوهرياً، بما في ذلك الأنظمة التي اشتُريت ببطاقة ولم تُراجع يوماً.
• النموذج وإصداره خلف كل نظام، كي يُتبَّع المُخرَج إلى ما أنتجه.
• ما يدخل من بيانات شخصية، ومن أين جاءت، والأساس القانوني لاستخدامها هكذا.
• هل يعتمد إنسان النتيجة، ومن هو بحسب الدور.
• تقييم المخاطر وتاريخه وما فُعل بما كشفه.
• البنية التي لا يسجّلها أحد: مخازن المتجهات، وسجلات المُدخلات والمُخرجات، وقوائم المراجعة، ومجموعات التقييم، ومستخرجات التقارير.

هذا السطر الأخير هو موضع فشل التقييمات. يُدقَّق في النموذج بعناية، أما المكوّنات حوله فقد أُنشئت أثناء تجربة أولية ولم تدخل عملية الحوكمة قطّ.

وهو السجل نفسه الذي يطلب ADHICS من مزوّدي الرعاية الصحية في أبوظبي الاحتفاظ به لأصول المعلومات. إن كنت تحتفظ بواحد فأنت أبعد مما تظن.

قبل بناء أي شيء، نحدّد ما تشغّله فعلاً وموقعه مقابل المنظومة التي تنطبق عليك.

ما ينتجه التقييم

• جرد كامل لأنظمة الذكاء الاصطناعي والقرار الآلي المستخدمة، بما فيها عمليات النشر غير المعلنة.
• فئة مخاطر لكل نظام، مع تدوين المنطق كي يُدافَع عن التصنيف أو يُراجَع.
• ربط كل نظام بالالتزامات التي تبلغه: قانون حماية البيانات، ومعيارك القطاعي، والتنظيم رقم 10 حيث تكون مرخّصاً في مركز دبي المالي العالمي.
• الفجوات مرتّبة بحسب التعرّض التنظيمي لا بحسب سهولة إغلاقها.
• خطة معالجة بمالك وتسلسل، والأدلة التي يجب أن تتركها كل خطوة.

أين تكون المؤسسات أضعف عادةً

• لا أحد يملك القائمة الكاملة، فيُجمع الجرد من ثلاث قوائم جزئية متناقضة.
• لم تُعرَّف القرارات الآلية المؤثرة في الأفراد على أنها كذلك، فلم تُدرَس المادة 18 من قانون حماية البيانات.
• تحدّد نقل البيانات عبر الحدود بحسب المزوّد الذي فضّله فريق الهندسة.
• المراجعة البشرية موجودة في وصف العملية لا في النظام، فلا سجل يثبت أن أحداً اعتمد شيئاً.

نبني طبقة الحوكمة كبرمجيات عاملة داخل بيئتك، لا كمجموعة سياسات عليك تشغيلها يدوياً بعد ذلك.

مشروع نموذجي

1. تنفيذ تقييم الجاهزية والاتفاق على تصنيف المخاطر.
2. إنشاء سجل أنظمة الذكاء الاصطناعي كسجل حيّ متصل بالأنظمة التي يصفها، كي يبقى محدّثاً لا أن يتقادم في جدول بيانات.
3. تجهيز تسجيل القرارات: المُدخل وإصدار النموذج والمُخرَج ومن اعتمده ومتى، مكتوباً في موضع لا يمكن تعديله لاحقاً.
4. بناء مسار تقييم المخاطر والمراجعة، ببوابات اعتماد تمنع النشر لا تسجّل أن أحدها تُجوهِل.
5. تجميع حزمة الأدلة التي سيطلبها مُقيّم أو جهة اعتماد أو طلب من صاحب بيانات.
6. التسليم والسجل مُعبّأ والتسجيل يعمل وفريقك قادر على تشغيل الاثنين.

يُنشر على بنيتك التحتية. سجلات القرارات والمُدخلات تحمل بيانات شخصية وغالباً أحكاماً حسّاسة تجارياً، فتبقى تحت قواعد الإقامة والوصول ذاتها كبقية سجلّك.

من المفيد التصريح بهذا، لأن الحدود تُطمَس في هذا السوق.

ما لا نفعله

• لا نصدر شهادة اعتماد التنظيم رقم 10. لا تصدرها إلا جهة اعتماد معتمدة من مركز دبي المالي العالمي، ولا يمكن لأي مزوّد هندسي أن يضمن نتيجة يقرّرها طرف ثالث معتمد. نجهّزك لذلك التقييم ونبني الأدلة التي يعمل عليها.
• لا نقدّم استشارة قانونية. ما إذا كان نظام عالي المخاطر، وما إذا كانت آلية النقل صالحة، وكيف ينطبق التزام على جهتك، أسئلة لمستشار مؤهّل. نبني وفق ما يقرّره مستشاروك.
• لا نعمل كمسؤول أنظمتك المستقلة أو مسؤول حماية بياناتك. توقعات الاستقلالية حول هذين التعيينين شأن مستشاريك. نمنح من يتولى الدور السجل والسجلات والتقارير لأدائه كما يجب.

إن عرض عليك مزوّد اعتماداً مضموناً، فاسأل أي جهة معتمدة تصدره وعلى أي أساس. الجواب مفيد.