NIST AI RMF: الدليل الذي تُقاس به الشركات الأمريكية — وكيف تجتازونه

لا تملك الولايات المتحدة قانوناً موحداً للذكاء الاصطناعي — بل مركز جاذبية. نشر معهد NIST إطار AI Risk Management Framework (AI RMF 1.0) في 26 يناير 2023، وأتبعه في 26 يوليو 2024 بملف Generative AI Profile (NIST-AI-600-1) الذي يصنّف 12 فئة مخاطر خاصة بالذكاء الاصطناعي التوليدي أو تتضخم بسببه. وبالتوازي، أصدرت وكالة CISA مع مركز NCSC البريطاني في نوفمبر 2023 إرشادات مشتركة لتطوير أنظمة ذكاء اصطناعي آمنة، وقّعت عليها 23 جهة أمن سيبراني محلية ودولية. وتوجّه الجمعيات الصناعية — ITI وCompTIA وTechNet — أعضاءها إلى الوثائق نفسها. أما الولايات فتتحرك على إيقاعها الخاص: قانون كولورادو الرائد للذكاء الاصطناعي (SB 24-205) أُجّل من 1 فبراير 2026 إلى 30 يونيو 2026، ثم أُعيدت كتابته قبل أن يدخل حيز التنفيذ أصلاً. الإطار طوعي؛ أما القدرة على إثبات ما تفعلونه فليست كذلك.

لماذا تحوّل إطار طوعي إلى معيار الأمر الواقع؟

لأن الجميع في سلسلة القرار تبنّاه. المنظّمون يستشهدون به، وشركات التأمين تُسعّر على أساسه، وفرق المشتريات تنسخه في طلبات العروض، ومحامو المدّعين يسألون لماذا تجاهلتموه. ينظّم إطار AI RMF الذكاء الاصطناعي الجدير بالثقة في أربع وظائف:

• Govern (الحوكمة) — المساءلة والسياسات والأدوار وسجل قابل للتدقيق لقرارات الذكاء الاصطناعي.
• Map (رسم الخريطة) — معرفة أين يلامس الذكاء الاصطناعي بياناتكم وموظفيكم وقراراتكم ذات الأثر.
• Measure (القياس) — اختبار المخاطر المرسومة بمقاييس قابلة للتكرار، لا بالانطباعات.
• Manage (الإدارة) — التصرف بناءً على النتائج: ضوابط، إشراف بشري، استجابة للحوادث.

الشركة القادرة على تقديم أدلة للوظائف الأربع كلها تكون في موقف دفاعي متين تحت أي نظام أمريكي لاحق تقريباً.

ماذا يضيف ملف الذكاء الاصطناعي التوليدي؟

يحوّل NIST-AI-600-1 المخاطر المجردة إلى قائمة مسماة: أمن المعلومات (بما يشمل حقن الأوامر المباشر وغير المباشر وتسميم البيانات)، خصوصية البيانات وتسربها، سلامة المعلومات وإثبات مصدر المحتوى، والاختلاق، وتكامل سلسلة القيمة والمكوّنات — أي الخطر الكامن في النماذج والموصّلات والإضافات التي لم تبنوها بأنفسكم. إن لم تستطع منصتكم إثبات ضوابط ضد هذه المخاطر المسماة، فأنتم تحملونها دون قياس.

توقّع CISA للأمان بالتصميم

تنقل إرشادات CISA/NCSC المشتركة عبء الأمن نحو المورّد: تصميم آمن، تطوير آمن، نشر آمن، تشغيل آمن. الترجمة العملية للمشتري: اطلبوا أنظمة ذكاء اصطناعي محصّنة افتراضياً، تفحص ما يدخل خط المعالجة، وتفشل مغلقةً، وتسجّل ما فعلته. عبارة «مزوّد النموذج يتكفل بذلك» ليست ضابطاً.

فسيفساء قوانين الولايات تجعل الأدلة هي الملاذ الآمن

انعطافة كولورادو هي الدرس لا الاستثناء: المنظّمون القطاعيون (تحذيرات SEC وFINRA بشأن استخدام الذكاء الاصطناعي، وقواعد HIPAA الممتدة إلى الذكاء الاصطناعي الصحي) وعشرات مشاريع القوانين الولائية ستظل تتغير. الموقف الوحيد الدائم هو الحوكمة القائمة على الأدلة — ضوابط قابلة للقياس وسجلات قابلة للتقديم، مهما قال قانون الشهر. ما ينبغي أن تطلبه الشركة الأمريكية من منصة الذكاء الاصطناعي:

• ضوابط قابلة للقياس: حواجز حماية بحالة تشغيل لحظية، تشمل صدّ حقن الأوامر وفحص المحتوى المُستوعَب ضد البرمجيات الخبيثة.
• أدلة تدقيق: سجل غير قابل للتعديل لكل إجراء ذكاء اصطناعي، لكل طلب.
• إشراف بشري: بوابات موافقة على إجراءات الوكلاء ذات الأثر.
• حرية النشر: داخل منشآتكم أو بعزل هوائي كامل، ليُغلق خطر خصوصية البيانات بالبنية المعمارية لا بالعقد.

المصادر: NIST AI 100-1 (يناير 2023) وNIST-AI-600-1 (يوليو 2024)، nist.gov؛ إرشادات CISA/NCSC لتطوير أنظمة ذكاء اصطناعي آمنة (نوفمبر 2023)، cisa.gov؛ التسلسل الزمني لقانون كولورادو SB 24-205 وفق الجمعية العامة لكولورادو وأدوات التتبع القانونية.