ضمان الذكاء الاصطناعي في المملكة المتحدة: ما تتوقعه NCSC وICO وDUAA وSS1/23 اليوم من الذكاء الاصطناعي المؤسسي

اختارت المملكة المتحدة عمداً طريقاً مختلفاً لتنظيم الذكاء الاصطناعي: لا قانون واحد للذكاء الاصطناعي، بل خمسة مبادئ عابرة للقطاعات — السلامة والشفافية والإنصاف والمساءلة وقابلية الاعتراض — تطبّقها الهيئات الرقابية القائمة بصلاحياتها القائمة. وهذا يجعل أدلة الضمان، لا أوراق السياسات، عملة الامتثال. والرهان حقيقي: فوفقاً لتقرير techUK بعنوان "AI Adoption in the UK: Putting AI into Action"، يمكن للذكاء الاصطناعي أن يضيف ما يصل إلى 550 مليار جنيه إسترليني إلى الناتج المحلي الإجمالي البريطاني بحلول 2035 — لكن المؤسسات القادرة على إثبات حوكمة ذكائها الاصطناعي هي وحدها التي ستحصد هذه القيمة.

ما الذي تتوقعه فعلاً إرشادات NCSC للذكاء الاصطناعي الآمن؟

إن إرشادات NCSC لتطوير أنظمة الذكاء الاصطناعي الآمنة (Guidelines for Secure AI System Development) — الصادرة بالاشتراك مع وكالة CISA الأمريكية والموقّعة من هيئات في 18 دولة — ترسي قاعدة الأمان منذ التصميم عبر أربع مراحل: التصميم الآمن، والتطوير الآمن، والنشر الآمن، والتشغيل والصيانة الآمنان. وترجمتها إلى الممارسة المؤسسية:

• ضَع نمذجة تهديدات حقن الأوامر (prompt injection) وتسميم البيانات قبل الإطلاق، لا بعد أول حادث.
• اعرف سلسلة توريد الذكاء الاصطناعي لديك: أي نماذج، وأي موصلات، وأي بيانات يجوز لكل منها لمسها.
• سجّل الأحداث الخاصة بالذكاء الاصطناعي بحيث يمكن إعادة بناء أي حادث خطوة بخطوة.

DUAA: "المشاركة البشرية الهادفة" معيار أعلى من زر الموافقة

استبدل قانون البيانات (الاستخدام والوصول) لعام 2025 (DUAA) المادة 22 من اللائحة البريطانية لحماية البيانات بالمواد الجديدة 22A–22D، السارية منذ فبراير 2026. أصبحت القرارات الآلية المؤثرة مسموحة على نطاق واسع — لكن صمام الأمان هو المشاركة البشرية الهادفة، والإجماع الناشئ صريح: يجب أن يكون الدور البشري فاعلاً، لا مجرد إيماءة شكلية. فالمراجع الذي يختم مخرجات الآلة دون السياق والبيانات والصلاحية اللازمة لتغيير النتيجة لا يُحتسب. أما ICO — التي أجرت مطلع 2026 مشاورة حول إرشادات محدّثة للقرارات الآلية وتعدّ مدونة ممارسات قانونية للذكاء الاصطناعي — فتعتبر المساءلة عن نتائج الذكاء الاصطناعي أمراً غير قابل للتفاوض. اسأل نفسك:

• هل يرى المراجع المدخلات والاستدلال — أم الحكم النهائي فقط؟
• هل يستطيع المراجع فعلاً نقض القرار، وهل يثبت السجل ذلك؟
• هل يمكن تتبّع كل قرار آلي إلى نموذج وأمر (prompt) ومصدر بيانات؟

لماذا تُدخِل SS1/23 الذكاء الاصطناعي في إدارة مخاطر النماذج؟

بالنسبة إلى البنوك وجمعيات البناء وشركات الاستثمار المعيّنة من PRA، فإن البيان الرقابي SS1/23 الصادر عن PRA — خمسة مبادئ لإدارة مخاطر النماذج سارية منذ مايو 2024 — يعامل الذكاء الاصطناعي كأي نموذج آخر: مُدرجاً في جرد، ومُتحقَّقاً منه، ومُراقَباً، مع مدير أول مسؤول بالاسم. ونماذج المورّدين مشمولة صراحةً؛ فعبارة "مزوّد واجهة البرمجة لدينا يتولى ذلك" ليست دفاعاً. وتسير الشركات الخاضعة لرقابة FCA في الاتجاه نفسه بموجب نظام كبار المديرين.

ما الذي ينبغي لمؤسسة بريطانية أن تطلبه من منصة ذكاء اصطناعي؟

• سجلات معالجة قابلة للتحقق: سجلات غير قابلة للتعديل، لكل استدعاء، تغطي كل نداء نموذج واسترجاع وإجراء — أدلة، لا ادعاءات تسويقية.
• إشراف بشري داخل مسار التنفيذ، يوثّق سياق المراجع وصلاحيته حتى تكون مراجعات DUAA هادفة بشكل يمكن إثباته.
• نشر داخل مقر المؤسسة (on-premises): إبقاء النماذج والبيانات وسجلات التدقيق داخل محيطك الخاص يتجاوز مخاوف التركّز الكامنة وراء نظام الأطراف الثالثة الحرجة في المملكة المتحدة.

لن تقرأ الهيئات الرقابية سياسة الذكاء الاصطناعي لديك. بل ستطلب السجل.