تفترض كلٌّ من ISO/IEC 42001، وإطار NIST لإدارة مخاطر الذكاء الاصطناعي (NIST AI RMF)، وقانون الاتحاد الأوروبي للذكاء الاصطناعي، والإرشادات الوطنية في دول الخليج أمرًا واحدًا: أنك تعرف مسبقًا أنظمة الذكاء الاصطناعي التي تشغّلها، ومن يملكها، وما الذي تفعله.
معظم المؤسسات لا تعرف ذلك. ابدأ ببناء هذا السجل أولًا، وأبقِه بسيطًا، ودعه يخبرك بالإطار الذي تحتاجه.
لماذا الآن
ثلاثة أسباب تشكّل حوكمة الذكاء الاصطناعي للمؤسسات الخليجية في عام 2026.
أعلنت دولة الإمارات في 14 يونيو 2026 إنشاء هيئة اتحادية للذكاء الاصطناعي والبيانات، تدمج مكتب الذكاء الاصطناعي، وقطاع الحكومة الرقمية في هيئة تنظيم الاتصالات والحكومة الرقمية، ومكتب الإمارات للبيانات. وتشمل اختصاصاتها المعلنة وضع المعايير للمنصات الحكومية ومراقبة الامتثال في الجهات الاتحادية. وحتى 1 سبتمبر 2026 لم تُنشر صلاحياتها التفصيلية بعد. ينبغي لأي جهة اتحادية أن تستطيع الإجابة عن سؤال «ما أنظمة الذكاء الاصطناعي التي نستخدمها؟» قبل أن يطرحه عليها أحد.
وفي المملكة العربية السعودية، يطلب إطار تبنّي الذكاء الاصطناعي الصادر عن سدايا (سبتمبر 2024) من الجهات الحكومية إنشاء وحدات للذكاء الاصطناعي وتقييم مستوى نضجها. وبحلول أواخر 2024 كانت 23 جهة حكومية قد أنشأت مكاتب للذكاء الاصطناعي. وأول سؤال جدّي عن النضج هو سؤال الجرد.
وفي أوروبا، نُشرت حزمة Digital Omnibus في الجريدة الرسمية للاتحاد الأوروبي في 24 يوليو 2026، فأرجأت التزامات الأنظمة عالية المخاطر الواردة في الملحق الثالث من 2 أغسطس 2026 إلى 2 ديسمبر 2027. كسبت المجموعات الخليجية التي لها عمليات في أوروبا وقتًا، لكنها لم تكسب وضوحًا. فلا يمكنك تصنيف نظام لم تُدرجه في قائمتك، كما أن معظم التزامات الشفافية في المادة 50 سارية منذ 2 أغسطس 2026.
وهناك سبب رابع، وهو داخل مؤسستك. ففي استطلاع نشرته PagerDuty في يونيو 2026، سُئل 1,250 موظفًا مكتبيًا في شركات كبرى في الولايات المتحدة والمملكة المتحدة وأستراليا واليابان عن استخدامهم للذكاء الاصطناعي. أفاد 66% منهم بأنهم استخدموا أدوات ذكاء اصطناعي بما يخالف سياسة الشركة، وأفاد 88% بأنهم شاركوا معلومات العمل مع أدوات ذكاء اصطناعي عامة. العينة ليست خليجية، ولم نعثر على استطلاع خليجي مماثل، لكن النمط تحذير معقول: الجرد الذي تظن أنه لديك أصغر من الجرد الذي تشغّله فعلًا.
ما الذي تطلبه الأطر كلها أولًا
تختلف الأطر في قوتها القانونية، لكنها تتفق على ما يجب أن تعرفه عن كل نظام.
| الإطار | ما يتوقع أن تعرفه عن كل نظام ذكاء اصطناعي | أين ينص على ذلك |
|---|---|---|
| ISO/IEC 42001:2023 | البيانات والأدوات والبنية التحتية والأشخاص الذين يعتمد عليهم كل نظام؛ ومرحلته في دورة الحياة؛ وأنظمة الذكاء الاصطناعي التي تستخدمها من أطراف خارجية | مجموعات الضوابط في الملحق A: A.4 (الموارد)، وA.6 (دورة الحياة)، وA.10 (الأطراف الخارجية) |
| NIST AI RMF 1.0 | الغرض المقصود وسياق النشر؛ وكيف يشرف البشر على المخرجات؛ ونطاق التطبيق؛ والمكونات الخارجية ومخاطرها | MAP 1.1 و2.2 و3.3 و4.1 و4.2 |
| قانون الاتحاد الأوروبي للذكاء الاصطناعي (بعد حزمة Omnibus) | ما يكفي عن الغرض والمستخدمين والأشخاص المتأثرين لتصنيف المخاطر، وتوثيق الأنظمة عالية المخاطر | واجبات تصنيف المخاطر والتوثيق الفني؛ الملحق الثالث اعتبارًا من 2 ديسمبر 2027 |
| ميثاق الإمارات للذكاء الاصطناعي | الشفافية، والإشراف البشري، والحوكمة والمساءلة في أنظمة الذكاء الاصطناعي التي تطوّرها أو تستخدمها | ثلاثة من مبادئ الميثاق الاثني عشر |
| إطار تبنّي الذكاء الاصطناعي من سدايا | موقع الذكاء الاصطناعي في المؤسسة ومدى نضج إدارته | المرحلة الأولى: وحدات الذكاء الاصطناعي وتقييم النضج |
يتكرر الغرض والمالك والأشخاص المتأثرون والإشراف عبر الصفوف، وتظهر البيانات والموردون في المعايير التفصيلية الثلاثة. سجلٌّ واحد يخدم الأطر الخمسة كلها.
هذه ليست استشارة قانونية. لخّصنا الأطر أعلاه لإظهار النمط المشترك، لا لتحديد الالتزامات التي تنطبق عليك.
الحد الأدنى من السجل
ابدأ بتحديد ما يدخل في الجرد. تُدرج معظم عمليات الجرد الأولى ما هو واضح: روبوت المحادثة على الموقع والنموذج الذي بناه فريق البيانات. لكنها تُغفل ثلاث فئات.
- الذكاء الاصطناعي المدمج في برمجيات مرخّصة لديك أصلًا. تقييم العملاء المحتملين في نظام إدارة علاقات العملاء، وفرز المتقدمين في أنظمة الموارد البشرية، وأدوات الأمن، وإدارة المستندات. أضاف المورّد الذكاء الاصطناعي في ملاحظات إصدار لم يقرأها أحد.
- مساعدات الذكاء الاصطناعي التوليدي التي يستخدمها الموظفون. سواء أكانت معتمدة أم لا، في المتصفح أو على الهاتف.
- النماذج داخل الأنظمة المسلَّمة. بناها متعاقد ودرّبها ثم غادر، وجهتك هي التي تشغّلها.
قاعدة بسيطة تُبقي القائمة أمينة: إذا كان النظام يتخذ قرارًا أو يؤثر فيه، أو يولّد محتوى، أو يرتّب الأشخاص، فهو يدخل القائمة. وعند الشك أدرِجه. وقد تبنّت الإرشادات الاتحادية الأمريكية لجرد استخدامات الذكاء الاصطناعي الصادرة في أغسطس 2024 نظرة واسعة مماثلة، فأشارت إلى الاستخدامات التي تمس الحقوق والسلامة، وأبقت الأنظمة الخارجة من الخدمة في القائمة.
اثنا عشر حقلًا يكفي للمرحلة الأولى. احتفظ بها في جدول بيانات أو في أداة الحوكمة والمخاطر والامتثال (GRC) المتوفرة لديك. لا تشترِ منصة لتعدّ قائمة.
| # | الحقل | لماذا يهم | مثال افتراضي |
|---|---|---|---|
| 1 | المعرّف | مرجع ثابت عبر عمليات التدقيق | AI-0017 |
| 2 | الاسم | ما يسمّيه به الناس | مساعد فرز الشكاوى |
| 3 | المالك من جهة العمل | من يُسأل عن النتائج | رئيس إسعاد المتعاملين |
| 4 | المالك التقني | من يستطيع تعديله أو إيقافه | قائد فريق التطبيقات |
| 5 | الغرض (في جملة واحدة) | أساس كل سؤال عن المخاطر | يفرز الشكاوى الواردة حسب الأولوية ويوجّهها |
| 6 | من يتأثر به | الجمهور، الموظفون، العملاء، الموردون | أفراد الجمهور |
| 7 | درجة التأثير في القرار | يُعلِم / يساعد / يقرر | يساعد (يؤكد الموظف المختص) |
| 8 | البيانات المستخدمة | بما فيها البيانات الشخصية: نعم أم لا | نص الشكوى وبيانات الاتصال: نعم |
| 9 | المصدر | مبني / مشترى / مدمج / أداة عامة | مدمج في نظام إدارة علاقات العملاء |
| 10 | المورّد والنموذج | لضوابط الموردين والتحديثات | مورّد نظام إدارة علاقات العملاء، وإصدار النموذج حسب ملاحظات الإصدار |
| 11 | مرحلة دورة الحياة | فكرة / تجريبي / قيد التشغيل / خارج الخدمة | قيد التشغيل منذ مارس 2026 |
| 12 | آخر مراجعة | يثبت أن السجل يُحدَّث | 2026-10-15 |
صفّ المثال افتراضي، ولا يصف أي جهة أو منتجًا حقيقيًا.
الحقول 6 و7 و8 تؤدي معظم العمل لاحقًا، فهي معًا تخبرك ما إذا كان النظام يمس الجمهور، أو يتخذ قرارات بشأن الأشخاص، أو يعالج بيانات شخصية. وهذه الإجابات الثلاث هي التي تحدد تصنيف المخاطر وفق قانون الاتحاد الأوروبي للذكاء الاصطناعي وإطار NIST AI RMF ومعيار ISO/IEC 42001.
تبقى الأنظمة الخارجة من الخدمة في السجل مع وسمها بأنها خارجة من الخدمة، فالمدقق سيسأل عمّا كنت تشغّله سابقًا.
كيف تجد ما ليس في القائمة
بحسب تقديرنا، تستطيع جهة متوسطة الحجم إنجاز أول جرد في نحو أربعة أسابيع إذا تولّاه شخص واحد. نفّذ الخطوات الخمس التالية بالتوازي.
- راجع سجلات المشتريات والتراخيص. ابحث في العقود وأوامر الشراء عن «ذكاء اصطناعي» و«تعلّم آلي» و«نموذج» و«أتمتة» وما يقابلها بالإنجليزية، وعن أسماء منتجات الموردين المعروف أنها تتضمن ميزات ذكاء اصطناعي.
- اسأل مالكي التطبيقات عبر نموذج يستغرق عشر دقائق. خمسة أسئلة: ماذا يفعل النظام، ومن يتأثر به، وهل يقرر شيئًا، وما البيانات التي يستخدمها، ومن المورّد.
- افحص سجلات تسجيل الدخول والشبكة بحثًا عن نطاقات خدمات الذكاء الاصطناعي. بهذا تجد الأدوات التي يستخدمها الناس فعلًا، لا التي يصرّحون بها.
- استطلع آراء الموظفين مع إعفاء من المساءلة. الهدف هو الاطّلاع لا التأديب، فقل ذلك كتابةً. تُظهر أرقام PagerDuty ما يحدث حين يتوقع الموظفون العقوبة: يواصلون استخدام الأدوات ويتوقفون عن إخبارك.
- اقرأ عقود الموردين بحثًا عن بنود الذكاء الاصطناعي. بعض اتفاقيات البرمجيات كخدمة باتت تحتفظ بحق إضافة ميزات ذكاء اصطناعي أو استخدام بياناتك لتحسين النماذج.
ادمج القوائم الخمس، وتوقّع أن تكون القائمة المدمجة أطول بكثير من تقديرك الأول.
ما الخطوة التالية
بمجرد وجود السجل، يخبرك النمط الذي يظهر فيه من أين تبدأ.
- ذكاء اصطناعي مشترى أو مدمج في الغالب. مخاطرك لدى الموردين. ابدأ بضوابط الأطراف الخارجية A.10 في ISO/IEC 42001 وببنود العقود، لا بالحصول على الشهادة.
- أنظمة تمس الجمهور أو تتخذ قرارات في الائتمان أو التوظيف أو الاستحقاقات. ابدأ بتصنيف المخاطر. فئات الملحق الثالث في قانون الاتحاد الأوروبي للذكاء الاصطناعي منظور مفيد حتى خارج الاتحاد الأوروبي، لأنها تسمّي حالات الاستخدام التي تقلق الجهات التنظيمية في كل مكان قبل غيرها.
- أدوات إنتاجية للموظفين في الغالب. ابدأ بسياسة للاستخدام المقبول وبرفع الوعي بالذكاء الاصطناعي. الشهادة يمكن أن تنتظر.
والجرد الجيد يجعل الخطوات المكلفة أقل تكلفة. فبيان النطاق في ISO/IEC 42001، ووظيفة MAP في إطار NIST AI RMF، وتصنيف قانون الاتحاد الأوروبي للذكاء الاصطناعي، كلها تبدأ بالسؤال نفسه: ما أنظمة الذكاء الاصطناعي المشمولة بالنطاق؟ ومع وجود السجل، تكون إجابة هذا السؤال جاهزة إلى حد كبير.
خمسة إجراءات، بالترتيب:
- عيّن مالكًا للجرد هذا الأسبوع: شخصًا واحدًا لديه صلاحية السؤال في كل الإدارات.
- اعتمد السجل ذا الحقول الاثني عشر، ولا تُضف حقولًا قبل اكتمال المرحلة الأولى.
- نفّذ خطوات الاكتشاف الخمس خلال مهلة أربعة أسابيع.
- صنّف كل نظام وفق ثلاثة أسئلة: هل يمس الجمهور؟ هل يعالج بيانات شخصية؟ هل يتخذ قرارًا؟
- حدّد نطاق الإطار بناءً على ما تُظهره هذه التصنيفات، لا على ما يبيعه المورّد.
تقدّم MAAI جولات مكثفة لجرد أنظمة الذكاء الاصطناعي وتصنيف مخاطرها للجهات الحكومية والمؤسسات في دول الخليج، بوصفها الخطوة الأولى في خدمتنا لحوكمة الذكاء الاصطناعي والتوكيد. إذا كنت تحتاج إلى الإجابة بثقة عن سؤال «ما أنظمة الذكاء الاصطناعي التي نستخدمها؟»، تحدّث معنا.
المصادر
- Future of Privacy Forum, The AI Act implementation timeline: what changes under the AI Omnibus?, 28 July 2026 (updated 5 August 2026).
- Gibson Dunn, EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines and Other Key Changes, 27 May 2026.
- Al Tamimi & Company, UAE Establishes New Federal Authority for AI and Data, 1 September 2026.
- UAE Government portal, The UAE Charter for the Development and Use of Artificial Intelligence, updated 3 July 2026.
- Al Riyadh Daily, SDAIA Launches AI Framework to Promote Ethical, Responsible Use, 1 December 2024.
- IEC Webstore, ISO/IEC 42001:2023, published 18 December 2023.
- SureCloud, ISO/IEC 42001 Annex A Controls Explained, 27 July 2026.
- NIST, NIST Risk Management Framework Aims to Improve Trustworthiness of Artificial Intelligence, 26 January 2023.
- Ankura, Implementing the NIST AI Risk Management Framework — Map, 1 April 2024.
- US CIO Council, 2024 Guidance for AI Use Case Inventories, 14 August 2024.
- PagerDuty, 66% of Office Professionals Have Used Unauthorized AI Tools at Work, 11 June 2026.
المصادر بلغتها الأصلية (الإنجليزية)، وتم الاطلاع عليها جميعًا في 3 نوفمبر 2026. يشرح هذا المقال خيارات الحوكمة، ولا يُعدّ استشارة قانونية.