الذكاء الاصطناعي السيادي في فرنسا: ما تتوقعه ANSSI وCNIL وعقيدة cloud de confiance

حوّلت فرنسا "الذكاء الاصطناعي الموثوق" من شعار إلى عقيدة منشورة — وينبغي للمؤسسات التي تقتني منصات الذكاء الاصطناعي أن تقرأها بوصفها قائمة متطلبات. فقد أصدرت ANSSI، الوكالة الوطنية للأمن السيبراني، توصيات أمنية مخصصة لأنظمة الذكاء الاصطناعي التوليدي (ANSSI-PA-102) تغطي دورة الحياة من التدريب مرورًا بالنشر وصولًا إلى الإنتاج. وأطلقت CNIL، هيئة حماية البيانات، خطة عمل للذكاء الاصطناعي في عام 2023، وأنجزت منذ ذلك الحين سلسلة من التوصيات والأدلة العملية حول تطبيق اللائحة العامة لحماية البيانات (بالفرنسية RGPD، وبالإنجليزية GDPR) على تطوير الذكاء الاصطناعي. والصناعة منظمة خلف الأجندة نفسها: فوفقًا لـNumeum، جمعية الصناعة الرقمية الفرنسية، تحقق شركاتها الأعضاء البالغ عددها نحو 2,500 شركة قرابة 85% من إيرادات القطاع — وهو المنظومة ذاتها التي أنتجت روّاد الذكاء الاصطناعي السيادي مثل Mistral AI.

الخيط المشترك ليس الحذر من الذكاء الاصطناعي في حد ذاته، بل الحذر بشأن أين يعمل الذكاء الاصطناعي ومن يستطيع الوصول إلى البيانات — وهو تحديدًا السؤال الذي أُنشئت عقيدة الدولة cloud de confiance ("السحابة الموثوقة") للإجابة عنه.

ماذا تتوقع ANSSI من نظام ذكاء اصطناعي توليدي آمن؟

تتعامل توصيات ANSSI مع الذكاء الاصطناعي التوليدي بوصفه بنية تحتية حرجة ذات سطح هجوم خاص به: تسميم البيانات، وحقن الأوامر، وتسريب البيانات عبر المخرجات. التوقعات الأساسية:

• عزل مراحل دورة الحياة — فصل التدريب والنشر والإنتاج عبر تجزئة الشبكة وعتاد مخصص وضبط صارم للوصول.
• تصفية المدخلات والمخرجات لاحتواء حقن الأوامر ومسارات تسرب البيانات قبل وصولها إلى المستخدمين أو الأدوات اللاحقة.
• إجراء تحليل مخاطر وتدقيقات أمنية دورية، بما في ذلك اختبارات متانة خاصة بالذكاء الاصطناعي قبل أي دخول إلى الإنتاج.
• تحصين طبقة الاستضافة — حماية معاملات النموذج وعدم مشاركة الموارد الحاسوبية مع أحمال عمل غير موثوقة.

كيف تطبّق CNIL اللائحة العامة لحماية البيانات على الذكاء الاصطناعي؟

موقف CNIL هو أن اللائحة العامة لحماية البيانات تنطبق غالبًا على نماذج الذكاء الاصطناعي المدرَّبة على بيانات شخصية — وأن التطوير المتوافق ممكن تمامًا. وتترجم توصياتها اللائحة إلى ممارسة هندسية:

• تحديد غرض صريح ومشروع قبل اختيار أي وثيقة تدريب أو استرجاع.
• تقليل البيانات إلى الحد الأدنى — معالجة ما يتطلبه الغرض فعلًا فقط.
• إعلام أصحاب البيانات وضمان حقوقهم، من الاطلاع إلى المحو، حتى في سياقات الذكاء الاصطناعي.
• توثيق كل شيء — المساءلة تعني أدلة، لا تطمينات.

لماذا تصرّ فرنسا على SecNumCloud وعلى cloud de confiance؟

توجد هذه العقيدة لأن العقد لا يستطيع تحييد قانون أجنبي. فالبيانات الحساسة للقطاع العام يجب أن تعمل على عروض مؤهلة وفق معيار SecNumCloud الصادر عن ANSSI، الذي تتضمن متطلباته حماية صريحة من القوانين غير الأوروبية ذات الامتداد خارج الإقليم مثل قانون US CLOUD Act الأمريكي. فالبنية والولاية القضائية وحدهما — لا شروط الخدمة — تقرران من يستطيع فرض الوصول. وتطبّق الشركات الفرنسية الخاصة الاختبار نفسه بشكل متزايد على الذكاء الاصطناعي، حيث تتركز في الأوامر وفهارس RAG والسجلات أكثر مواد الشركة حساسية.

ماذا ينبغي أن تطلب مؤسسة فرنسية من منصة ذكاء اصطناعي؟

• نشر داخل المقر (on-premises) — الاستدلال وفهارس RAG والسجلات داخل محيطكم، مع خيار عزل شبكي (air-gap) حقيقي.
• سجلات معالجة قابلة للتحقق — سجل تدقيق غير قابل للتعديل لكل استدعاء، لا لوحة معلومات مستضافة على سحابة طرف آخر.
• إشراف بشري — موافقات بشرية ضمن الحلقة على إجراءات الوكلاء ذات العواقب.
• حواجز حماية للمدخلات والمخرجات — بما في ذلك فحص مضاد للبرمجيات الخبيثة للملفات المرفوعة، انسجامًا مع منطق التصفية لدى ANSSI.
• تكاملات محوكمة — موصلات بأدنى الامتيازات يُسجَّل كل استدعاء فيها.

المصادر: ANSSI (cyber.gouv.fr) وCNIL (cnil.fr) وNumeum (numeum.fr) — المواقف والأرقام كما نشرتها هذه الجهات.