قبل تسليم بياناتك لمشروع ذكاء اصطناعي، هذه الأسئلة الثمانية تفرّق بين مزوّد جدي ومخاطرة قانونية وتشغيلية. دليل عملي للمديرين والفرق الحكومية.
لماذا أصبح أمن البيانات شرطاً قبل بدء المشروع لا بعده
كل مشروع ذكاء اصطناعي يبدأ بقرار غير تقني في جوهره: ماذا نسلّم من بياناتنا، ولمن، وبأي شروط؟ المشكلة أن كثيراً من الفرق توقّع عقد المزوّد ثم تبدأ في طرح الأسئلة الأمنية بعد أن تكون البيانات قد انتقلت فعلاً. في الأنظمة التقليدية، يمكنك عزل قاعدة البيانات لاحقاً. أما في مشاريع الذكاء الاصطناعي، فالبيانات غالباً هي المادة الخام التي دُرّب أو فُهم عليها النموذج، واسترجاعها بعد ذلك ليس مضموناً.
الأسئلة الثمانية التالية ليست قائمة تدقيق شكلية. كل سؤال منها يكشف نوعاً مختلفاً من المخاطر: قانونية، وتشغيلية، وتعاقدية. اطرحها قبل التوقيع، واطلب إجابات مكتوبة لا شفهية.
1. ما البيانات التي ستدخل النموذج فعلياً، وأين تُخزَّن؟
الفرق بين «نرسل مستندات العملاء» و«نرسل أسماء العملاء وأرقام هواتفهم» فرق جوهري. اطلب من المزوّد خريطة بيانات واضحة: ما الحقول التي ستُرسل إلى النموذج، وهل تُرسل كاملة أم بعد إخفاء الهوية، وأين تُخزَّن النسخ المؤقتة. انتبه بشكل خاص إلى بيانات الهوية والبيانات المالية والبيانات الصحية، فهي الأكثر حساسية قانونياً.
اسأل أيضاً عن المدة: كم يبقى النص المُرسل محفوظاً لدى المزوّد؟ يوم؟ ثلاثون يوماً؟ إلى أن يُحذف يدوياً؟ الإجابة هنا تحدد حجم مسؤوليتك عند أي حادث.
2. هل يُستخدم محتوى مؤسستك لتدريب النماذج؟
هذا هو السؤال الأهم في عقود الذكاء الاصطناعي التوليدي. بعض المزوّدين يستخدمون المدخلات لتحسين نماذجهم افتراضياً، وبعضهم يوفّر خيار التعطيل، وبعضهم لا يوفّره أصلاً. اطلب بنداً تعاقدياً صريحاً: «لا تُستخدم بيانات العميل في تدريب النماذج». إذا كان المزوّد يستخدم واجهات برمجية عامة من مزوّد ثالث، فاسأل عن سياسة ذلك الطرف الثالث أيضاً، لأن المسؤولية تنتقل إليك ولو لم تتعامل معه مباشرة.
3. أين تتم المعالجة جغرافياً، وما الإطار القانوني المطبّق؟
موقع الخوادم ليس تفصيلاً تقنياً. إذا كانت بيانات عملائك أو موظفيك تُعالَج خارج النطاق القانوني الذي يخضع له نشاطك، فقد تحتاج إلى ضمانات إضافية أو إلى موافقات محددة. اطلب تحديد الدول أو المناطق التي تمر بها البيانات، واطلب توضيحاً للإطار القانوني الذي يلتزم به المزوّد، وما إذا كان يوفّر ملاحق حماية بيانات قياسية قابلة للتوقيع.
4. كيف تُعزل بياناتك عن بيانات عملاء آخرين؟
في الأنظمة متعددة المستأجرين، قد يعمل النموذج نفسه لعدة عملاء. السؤال: هل هناك عزل منطقي على مستوى قاعدة المتجهات أو فهرس البحث أو الذاكرة المؤقتة؟ وكيف يُختبر هذا العزل؟ الحل الجيد هو عزل على مستوى مساحة العمل مع اختبارات دورية، والحل الأفضل هو بيئة مخصصة لمؤسستك. اطلب وصفاً للآلية، لا وعداً عاماً بالسرية.
5. ما سلسلة الموردين الفرعيين، ومن يتحمل المسؤولية عند الحادث؟
معظم حلول الذكاء الاصطناعي سلسلة: المزوّد، ومزوّد النموذج، ومزوّد الاستضافة، وأدوات المراقبة. اطلب قائمة بالموردين الفرعيين الأساسيين، واطلب بنداً واضحاً يحدد من يبلّغك عند حدوث خرق، وفي أي مهلة زمنية، ومن يتحمل تكاليف الاستجابة. الغموض هنا يعني أنك ستكتشف الحادث متأخراً وبمعلومات ناقصة.
6. كيف تُدار الوصول والصلاحيات داخل النظام؟
الذكاء الاصطناعي يضاعف أثر خطأ الصلاحيات: مساعد داخلي يصل إلى كل المستندات يمكن أن يكشف ملفات الأجور لموظف لا يملك حق الوصول إليها. اسأل عن نموذج الصلاحيات: هل يقيّد النظام الإجابة بناءً على دور المستخدم؟ هل هناك سجل تدقيق لكل استعلام ومن نفّذه؟ وهل يمكن تعطيل ميزة أو مصدر بيانات فوراً عند الحاجة؟
7. ما خطة الطوارئ عند تعطّل المزوّد أو تغيّر شروطه؟
اعتمادك على واجهة برمجية واحدة يعني أن أي تغيير في الأسعار أو الشروط أو إيقاف خدمة سيصيب عملياتك مباشرة. اسأل: هل يمكن استبدال النموذج بآخر دون إعادة بناء النظام؟ هل تُصدَّر بياناتك ومعرفتك في صيغة قابلة للنقل؟ اطلب تجربة عملية صغيرة للتصدير قبل التوقيع، فالتصدير النظري غالباً لا يعمل عند الحاجة الفعلية.
8. من يملك المخرجات، ومن يضمن جودتها؟
مسألة الملكية تبدو قانونية لكنها عملية جداً: هل تملك أنت النصوص والتصنيفات التي أنتجها النظام؟ وهل يستطيع المزوّد إعادة استخدامها؟ واسأل أيضاً عن الجودة: كيف تُقاس دقة النظام، ومن يراقب الانحراف بعد الإطلاق؟ النظام الذي يعمل بدقة جيدة عند التسليم قد يتدهور بعد أشهر إذا تغيّرت البيانات، وبدون مراقبة لن تلاحظ ذلك إلا من شكاوى المستخدمين.
خلاصة عملية
لا تحتاج إلى فريق أمني كامل لتطبيق هذه الأسئلة. تحتاج إلى اجتماع واحد مع المزوّد، وإجابات مكتوبة، وبند تعاقدي لكل نقطة. الأفضل من ذلك: ابدأ بمشروع تجريبي محدود النطاق وببيانات غير حساسة، واختبر الوعود قبل أن تعتمد عليها في نظام إنتاجي. المزوّد الجدي يرحّب بهذه الأسئلة، لأنها تحميه أيضاً.
لنناقش مشروعك
إذا كنت تخطط لمشروع ذكاء اصطناعي وتريد مراجعة الجانب الأمني قبل اختيار المزوّد أو قبل التوقيع، يمكنك مشاركة تفاصيل مشروعك على contact@hamzabelgacem.com. نبدأ عادةً بسؤال واحد: ما البيانات التي لا يمكن لمؤسستك أن تخسر السيطرة عليها؟ الإجابة عن هذا السؤال ترسم بقية الطريق.