الذكاء الاصطناعي الظلّي: موظفوك يلصقون بيانات الشركة في المحادثات الآلية بالفعل

في مكان ما داخل منشأتك هذا الأسبوع، لصق أحدهم قائمة عملاء في محادثة آلية لإعادة تنسيقها. ورفع آخر عقداً ليحصل على ملخّص قبل اجتماع. ولصق مطوّر شيفرةَ إنتاج تحوي بيانات اعتماد ليصحّح خطأً أسرع.

ولم يقصد أيٌّ منهم ضرراً. وكان كلٌّ منهم يحلّ مشكلة حقيقية تحت ضغط الوقت بأداة تؤدّي الغرض. وفي أغلب المنشآت، لم يخالف أيٌّ منهم قاعدة، لأنه لا توجد قاعدة أصلاً.

هذا هو الذكاء الاصطناعي الظلّي، وهو يختلف عن تقنية المعلومات الظلّية السابقة في جانب مهمّ. فحين تبنّى الموظفون مشاركة ملفات غير معتمدة، ذهبت البيانات إلى مكان لا تتحكّم فيه المنشأة. وحين يلصق الموظفون في أدوات الذكاء الاصطناعي، قد تذهب البيانات إلى مكان لا تتحكّم فيه المنشأة، وقد تسهم في نظام لا تستطيع استرجاعها منه أبداً.

وسّعت Fortinet منصة FortiEndpoint برؤية الذكاء الاصطناعي وحوكمته، وأمن البيانات الأصيل، والعمليات المدعومة بـFortiAI، بهدف مساعدة المنشآت على حوكمة استخدام الذكاء الاصطناعي، وتقليص تعرّض البيانات الحسّاسة، وإنفاذ وصول واعٍ بالخطر عبر البيئات الموزّعة. والقدرة موجودة لأن المشكلة صارت عامة.

لماذا يفشل المنع

الاستجابة الغريزية حجب أدوات الذكاء الاصطناعي عند المحيط. وهي لا تنجح، وفهم السبب مهمّ قبل تصميم أي شيء آخر.

يستخدم الموظفون هذه الأدوات لأنها تحقّق مكاسب إنتاجية حقيقية. وإزالة الأداة لا تزيل الضغط الذي دفع إلى تبنّيها. بل تنقل الاستخدام إلى الأجهزة والحسابات الشخصية، حيث لا ترى المنشأة شيئاً إطلاقاً. فالحجب يحوّل مشكلة قابلة للحوكمة إلى مشكلة غير مرئية.

وثمة بُعد تنافسي أيضاً. فالمنشآت التي تمنع الذكاء الاصطناعي منعاً تامّاً بينما يتبنّاه منافسوها بحوكمة تقبل عيباً إنتاجياً مقابل ضابط لا يصمد.

والهدف العملي استخدامٌ محكوم: أدوات معتمَدة، وحدود واضحة لما يجوز مشاركته، وإنفاذ تقني خلف السياسة.

ما الذي يتسرّب فعلاً

فهم الفئات يساعد على توجيه الاستجابة.

بيانات العملاء والبيانات الشخصية تُلصق للتنسيق أو التحليل أو الصياغة. وهذه تحمل أثراً تنظيمياً مباشراً بموجب التزامات حماية البيانات في المملكة، لأنها نقل بيانات شخصية إلى معالِج لم تقيّمه المنشأة قطّ.

الشيفرة المصدرية، وكثيراً ما تتضمّن بيانات اعتماد مضمّنة ومفاتيح واجهات برمجية وسلاسل اتصال. فالمطوّرون يلصقون الشيفرة للتصحيح، وتسافر الأسرار معها.

العقود والشروط التجارية تُرفع للتلخيص قبل الاجتماعات. ونادراً ما تتصوّر التزامات السرّية تجاه الأطراف المقابلة هذا.

المواد الاستراتيجية الداخلية تُستخدم لتوليد ملخّصات وعروض. وهي حسّاسة تنافسياً بحكم تعريفها.

بيانات الاعتماد والتهيئة تُلصق أثناء استكشاف الأخطاء، وهي أعلى الفئات خطورة وأقلّها ذكراً.

بناء حوكمة تصمد

يأتي الاكتشاف أولاً. فلا تستطيع منشأة حوكمةَ استخدام لا تراه. وبيانات الشبكة والنقاط الطرفية تحدّد أي خدمات ذكاء اصطناعي يجري بلوغها، ومن أين، وبأي حجم. والنتائج تفاجئ القيادة عادةً، في الحجم وفي أي الإدارات تتصدّر التبنّي.

والتصنيف يرسم الحدّ. فينبغي أن تنصّ السياسة على فئات البيانات التي يجوز مشاركتها مع أي أدوات. فالمنع الشامل يُتجاهل لأنه غير عملي. والحدّ الواضح — المواد العامة والداخلية مقبولة في الأدوات المعتمدة، والبيانات السرّية والشخصية ممنوعة دائماً — يُتَّبع لأن الموظف يستطيع تطبيقه دون تردّد.

والأدوات المعتمدة تزيل العذر. فإن وفّرت المنشأة قدرة ذكاء اصطناعي معتمدة تلبّي الحاجة الفعلية، لم يكلّف الالتزامُ الموظفين شيئاً. والترتيبات المؤسسية تقدّم عادةً التزامات معالجة بيانات لا تقدّمها الأدوات الاستهلاكية، وهذا هو السبب الجوهري لتوجيه الاستخدام عبرها.

والإنفاذ التقني يسند السياسة. فضوابط النقاط الطرفية التي تتعرّف أنماط البيانات الحسّاسة وتمنع إرسالها إلى خدمات غير معتمدة تحوّل السياسة إلى شيء نافذ لا معلَن. وينبغي أن يميّز الإنفاذ بين الوجهات المعتمدة وغير المعتمدة بدل حجب فئة بكاملها.

والتدريب يشرح المنطق. فالموظف الذي يفهم سبب وجود الحدّ يُعمل حكمه في الحالات التي لم تتوقّعها السياسة. والموظف الذي يُعطى قواعد بلا أسباب يطبّقها حرفياً ويتوقّف عند حوافّها.

والمراقبة تغلق الدائرة. فالحوكمة تتآكل دون رؤية. والأدوات الجديدة تظهر باستمرار، وأنماط الاستخدام تتبدّل. وهذه وظيفة تشغيلية مستمرة لا مشروع له نهاية.

الزاوية التنظيمية

بالنسبة إلى المنشآت السعودية، يقع الذكاء الاصطناعي الظلّي عند تقاطع عدة التزامات سارية أصلاً.

فلصق بيانات شخصية في خدمة ذكاء اصطناعي خارجية نقلٌ إلى طرف ثالث، يستدعي التزامات حماية البيانات المتعلّقة بالأساس النظامي وتقييم المعالِج، وفي حالات كثيرة موضعِ المعالجة. وتحمل المنشأة هذا الالتزام سواء علمت بالنقل أم لم تعلم.

وبموجب مكوّني الأطراف الخارجية والحوسبة السحابية في أطر ضوابط الأمن السيبراني الحالية، تُعدّ الخدمةُ الخارجية غير المقيَّمة التي تعالج بيانات الشركة التعرّضَ الذي وُجدت تلك الضوابط لمعالجته تحديداً. والمنشأة العاجزة عن وصف خدمات الذكاء الاصطناعي التي يستخدمها موظفوها لا تستطيع إثبات حوكمة الأطراف الخارجية.

أسئلة شائعة

هل ينبغي حجب أدوات الذكاء الاصطناعي ببساطة؟ الحجب يدفع الاستخدام إلى الأجهزة الشخصية حيث لا وجود لأي رؤية، ويفرّط في مكاسب إنتاجية يلتقطها المنافسون. والتبنّي المحكوم أنجع وأقوى دفاعاً.

كيف يُكتشف استخدام الذكاء الاصطناعي الظلّي؟ عبر بيانات الشبكة والنقاط الطرفية التي تُظهر أي خدمات يجري بلوغها ومن يبلغها. وأغلب المنشآت تجمع البيانات الأساسية أصلاً ولم تحلّلها قطّ لهذا الغرض.

هل تحلّ الأدوات المؤسسية المشكلة؟ تعالج الجزء الأكبر، بمنح الموظفين مساراً معتمداً بالتزامات معالجة بيانات أفضل. وتبقى بحاجة إلى سياسة تصنيف وإنفاذ، لأن الموظفين سيواصلون بلوغ أدوات غير معتمدة لمهامّ تؤدّيها الأداة المعتمدة أداءً ضعيفاً.

ما أعلى فئات التسرّب خطورة؟ بيانات الاعتماد والتهيئة الملصوقة أثناء استكشاف الأخطاء. وهي تجتذب أقلّ انتباه وتنشئ أكثر التعرّضات مباشرة.

كيف تدعم بناة الأنظمة حوكمة الذكاء الاصطناعي

تساعد بناة الأنظمة المنشآت على بناء رؤية لاستخدام الذكاء الاصطناعي، وصياغة سياسة تصنيف عملية، وإنفاذها عبر ضوابط النقاط الطرفية والشبكة. ولأن الفريق نفسه يشغّل البنية الأمنية الأساسية، يُصمَّم الإنفاذ حول ما تستطيع المنظومة دعمه وما سيتّبعه الموظفون فعلاً.

لمناقشة حوكمة الذكاء الاصطناعي، تواصل مع بناة الأنظمة على 920-020-750 أو itbuilders.com.sa

خدمات ذات صلة

خدمات الأمن السيبراني · الأساس السحابي · الخدمات المُدارة