ما هو تدقيق الذكاء الاصطناعي؟

تدقيق الذكاء الاصطناعي هو فحص منظم يستند إلى الأدلة لتقييم كيفية تصميم أنظمة الذكاء الاصطناعي (AI) وتدريبها ونشرها. الذكاء الاصطناعي.

ويمكن النظر إلى تدقيق الذكاء الاصطناعي بوصفه "فحصاً شاملاً للحالة التشغيلية" لأنظمة الذكاء الاصطناعي. وفي حين يركز التدقيق التقليدي على البيانات المالية أو ضوابط تقنية المعلومات، يتعمق تدقيق الذكاء الاصطناعي في الأسس التي تقوم عليها دورة حياة الذكاء الاصطناعي بأكملها. يشمل ذلك جمع البيانات وجودتها، وبنية النماذج وقابليتها للتفسير، وآلية صناعة القرار بعد دخول النظام مرحلة التشغيل الفعلي.

تقيّم عملية التدقيق هذه مدى توافق استخدام المؤسسة للذكاء الاصطناعي مع إطار الحوكمة الخاص بها وإطار إدارة المخاطر لديها ومعاييرها الأخلاقية. وتطرح أسئلة مثل:

• هل جُمعت البيانات الشخصية وبيانات التدريب بصورة قانونية وخُزنت بأمان؟؟
• هل تُدخل الخوارزميات تحيزاً أم تنشئ ثغرات أمنية جديدة؟
• هل توجد ضوابط ومقاييس الوصول للحد من المخاطر بمرور الوقت؟

يرسم تدقيق الذكاء الاصطناعي صورة واضحة للآليات الداخلية لنظام الذكاء الاصطناعي، مما يعزز جدارته بالثقة. وبالنسبة للأطراف المعنية والجهات التنظيمية، فإنه يوفر دليلاً ملموساً على استخدام هذه التقنية الناشئة بمسؤولية.

وتؤثر أنظمة الذكاء الاصطناعي يومياً في قرارات عالية الأهمية، مثل الموافقة على الرهون العقارية، وفرز المرضى بحسب الأولوية، والإشراف على محتوى وسائل التواصل الاجتماعي. بينما توفر هذه الأنظمة سرعة وأتمتة، إلا أنها قد تسبب أيضا أضرارا محتملة. فقد يعزز نموذج معيب التحيز، وقد يؤدي ضعف الوضع الأمني إلى اختراق أمن البيانات؛ وقد تؤدي عملية صناعة القرار المستندة إلى معلومات غير دقيقة إلى تقويض ثقة الأطراف المعنية.

وتستجيب الجهات التنظيمية لذلك. يحدد قانون الذكاء الاصطناعي في الاتحاد الأوروبي (EU AI Act) عدة مستويات من المخاطر كالمخاطر المحدودة والمنخفضة، المخاطر العالية والمخاطر غير المقبولة ويتطلب معايير تدقيق صارمة.

وبالمثل، يحدد إطار العمل الخاص بإدارة مخاطر الذكاء الاصطناعي الصادر عن المعهد الوطني للمعايير والتكنولوجيا (NIST) توقعات تتعلق بشفافية الذكاء الاصطناعي ومساءلته. ومن المتوقع أن تثبت فرق التدقيق الداخلي وأمن المعلومات الامتثال، وأن تُظهر أن أنظمة الذكاء الاصطناعي الخاصة بها جديرة بالثقة منذ مرحلة التصميم وحتى مرحلة النشر.

لذلك، يمثل تدقيق الذكاء الاصطناعي أداة دفاعية واستراتيجية في آنٍ واحد، فهو يساعد المؤسسات على تحديد الثغرات الأمنية قبل تفاقمها، ما يعزز ممارسات ومبادرات حوكمة البيانات. كما تساعد تدقيقات الذكاء الاصطناعي المؤسسات، من خلال تعزيز التوثيق الواضح وسير العمل القابل للتكرار، على تلبية متطلبات الامتثال التنظيمي وبناء الثقة لدى العملاء والمستثمرين.

يفحص تدقيق الذكاء الاصطناعي الشامل ثلاثة مجالات مترابطة، لكل منها مجموعة خاصة من الاختبارات والمقاييس:

• بيانات
• النموذج
• النشر

يقيم المدققون آلية جمع البيانات وتصنيفها وإدارتها. يراجعون دقة مجموعات البيانات وجودتها، ويختبرون وجود أي تحيز خفي أو بيانات "قديمة" قد تؤثر في المخرجات. وتُعد ضوابط الخصوصية وحماية البيانات عناصر أساسية؛ إذ يجب أن تستوفي البيانات الشخصية الحساسة متطلبات اللائحة العامة لحماية البيانات (GDPR) أو المعايير المماثلة، بينما يجب أن تكون البيانات الوصفية قابلة للتتبع عبر دورة حياة الذكاء الاصطناعي بأكملها.

وتشمل عمليات التحقق المعتادة تقييم جودة البيانات ومراجعات تقييم العدالة، بما يضمن توثيق فترات الاحتفاظ بالبيانات وضوابط الوصول والأذونات وتطبيقها.

ثم يفحص المدققون الخوارزميات نفسها. تشمل الأسئلة الرئيسية: ما هي تقنيات التعلم الآلي المستخدمة؟ إلى أي مدى تتسم آلية صناعة القرار بقابلية التفسير؟ هل حُددت مقاييس وحدود مرجعية لرصد الانحراف أو السلوك غير المتوقع؟

وغالباً ما يُجرون تحليلات لمعدلات الأخطاء عبر المجموعات السكانية المختلفة، ويطبقون اختبارات الإجهاد أو يمارسون أنشطة الفريق الأحمر Red Teaming لكشف الثغرات الأمنية. كما تساعد اختبارات الموثوقية على تحديد الأضرار المحتملة قبل النشر.

أخيرًا، يفحص المدققون البيئة التشغيلية. ويتحققون من استمرار تطبيق هياكل الحوكمة وسير عمل المراقبة بعد الإطلاق.

وتشمل التقييمات الشائعة تقييمات المطابقة للامتثال التنظيمي (مثل قانون الذكاء الاصطناعي في الاتحاد الأوروبي (EU AI Act))، والمراقبة المستمرة للأداء في الوقت الفعلي، ومحاكاة الاستجابة للحوادث للمساعدة في ضمان قدرة المؤسسة على اكتشاف التهديدات الناشئة واحتوائها. وقد يتحقق المدققون أيضاً من خضوع المخرجات لمراجعة بشرية ضمن الحلقة عند الضرورة.

يتزايد عدد القوانين والمعايير التي تشكل ممارسات تدقيق الذكاء الاصطناعي حول العالم. وقد دخل عدد منها حيز التنفيذ بالفعل، بينما يقترب العديد منها الآخر بسرعة من مرحلة التطبيق. وتشمل أبرز اللوائح ما يلي:

• قانون الذكاء الاصطناعي للاتحاد الأوروبي: في الاتحاد الأوروبي، دخل قانون الذكاء الاصطناعي للاتحاد الأوروبي حيز التنفيذ منذ أغسطس 2024، ويصنف أنظمة الذكاء الاصطناعي وفق مستويات المخاطر، مع فرض متطلبات موسعة للتوثيق والاختبار والإشراف البشري على التطبيقات عالية المخاطر.

• طور المعهد الوطني للمعايير والتكنولوجيا NIST إطار إدارة مخاطر الذكاء الاصطناعي: في عام 2023، ويوجه المؤسسات في تحديد مخاطر الذكاء الاصطناعي وتقييمها وإدارتها عبر دورة الحياة بأكملها. ورغم إلغاء الأمر التنفيذي الذي وجّه الوكالات الفيدرالية إلى إضفاء الطابع المؤسسي على هذا الإطار، فإن المعيار نفسه لا يزال يُستخدم مرجعاً إرشادياً.

• توجيه صناعة القرار الآلي: يفرض التوجيه الفيدرالي الكندي، الساري منذ عام 2020، على الجهات الحكومية استكمال تقييم الأثر الخوارزمي والإفصاح العلني عن النتائج الخاصة بأنظمة الذكاء الاصطناعي عالية التأثير.

• إطار عمل حوكمة الذكاء الاصطناعي النموذجي صدر إطار سنغافورة لأول مرة في عام 2019، ثم حُدّث في عام 2024، ويوفر إرشادات تفصيلية بشأن الشفافية وإشراك الطرف المعني والإشراف البشري. وتستخدمه العديد من مؤسسات القطاع الخاص.

• إرشادات حوكمة الذكاء الاصطناعي: حُدّثت إرشادات اليابان في عام 2023، وتدعو إلى إجراء تقييمات للمخاطر، وتعزيز قابلية التفسير، وإجراء عمليات تدقيق مستقلة بواسطة أطراف خارجية، مع التركيز على المساءلة عبر دورة حياة الذكاء الاصطناعي.

• مبادئ الذكاء الاصطناعي: اعتمدت أكثر من 40 دولة عضواً في منظمة التعاون الاقتصادي والتنمية (OECD) هذه المبادئ منذ عام 2019. وتعزز هذه المبادئ غير الملزمة الإنصاف والشفافية والأمن القوي.

كما تظهر أطر وطنية جديدة في دول من بينها البرازيل والإمارات العربية المتحدة وكوريا الجنوبية. تدفع هذه المبادرات مشاريع قوانين حوكمة الذكاء الاصطناعي وتنشر إرشادات تفصيلية تركز على الاستخدام الأخلاقي، وحماية الخصوصية، ومساءلة الأطراف المعنية.

وتضيف اللوائح التنظيمية الخاصة بالقطاعات المختلفة مستوى إضافياً من المساءلة. ففي الولايات المتحدة، يجب على مؤسسات الرعاية الصحية الامتثال لقانون (HIPAA)، بما في ذلك قواعد الخصوصية والأمن الخاصة به، والتي تفرض ضمانات صارمة على أي بيانات مرضى تُستخدم في أنظمة الذكاء الاصطناعي.

أما المؤسسات المالية فتلتزم بمعايير إدارة مخاطر النماذج، مثل إرشادات SR 11-7 الصادرة عن إرشادات الاحتياطي الفيدرالي ومتطلبات التحقق من صحة النماذج الصادرة عن مكتب مراقب العملة، وكلاهما يفرض إجراء اختبارات مستقلة ومراقبة مستمرة لنماذج الذكاء الاصطناعي.

وتحوّل الأطر التنظيمية المتطلبات القانونية إلى معايير عملية للتدقيق. وغالباً ما تدمج المؤسسات عناصر من عدة أطر لإنشاء منهجية تدقيق تتناسب مع قطاعها وبيئتها التنظيمية.

ومن أطر العمل الشائعة ما يلي:

• يوفر إطار أهداف الرقابة للمعلومات والتقنيات ذات الصلة (COBIT): نهجاً قائماً على الضوابط يدمج تدقيق الذكاء الاصطناعي ضمن برامج حوكمة تكنولوجيا المعلومات وأمن المعلومات على مستوى المؤسسة. ويساعد ذلك على ضمان اتساق الإشراف عبر مختلف الإدارات.

• يساعد إطار إدارة مخاطر المؤسسة لجنة المنظمات الراعية للجنة تريدواي (COSO ERM) المؤسسات على دمج مخاطر الذكاء الاصطناعي ضمن استراتيجيات إدارة المخاطر الأوسع والإشراف على مستوى مجلس الإدارة مما يربط التقنيات الناشئة بالأهداف المؤسسية.

• إطار العمل المساءلة عن الذكاء الاصطناعي التابع لمكتب المحاسبة الحكومي الأمريكي: يقدم إطار العمل المساءلة عن الذكاء الاصطناعي التابع لمكتب المحاسبة الحكومي الأمريكي إرشادات لتقييم الحوكمة جودة البيانات ومراقبة الأداء، ما يجعله مفيدًا لعمليات التدقيق في القطاعين العام والخاص.

• إطار عمل معهد المدققين الداخليين IIA لتدقيق الذكاء الاصطناعي: يكيّف إطار عمل معهد المدققين الداخليين (IIA) لتدقيق الذكاء الاصطناعي معايير التدقيق التقليدية لتلائم الخصائص الفريدة لأنظمة الذكاء الاصطناعي، مع التركيز على المعايير الأخلاقية والشفافية في عملية صناعة القرار.

• يوفر إطار حوكمة الذكاء الاصطناعي النموذجي الصادر عن لجنة حماية البيانات الشخصية في سنغافورة (PDPC): إرشادات تفصيلية بشأن إشراك أصحاب المصلحة والتعامل المسؤول مع البيانات للمؤسسات العاملة عبر ولايات قضائية متعددة.

يجمع تدقيق الذكاء الاصطناعي الفعّال بين أفضل الممارسات ومنهجية منضبطة قائمة على خطوات متتابعة. ورغم تعدد استراتيجيات تدقيق الذكاء الاصطناعي، يمكن اتباع النهج التالي:

إنشاء هيكل حوكمة يحدد أدوار فرق التدقيق والمدققين الداخليين، وعلماء البيانات ،والأطراف المعنية المرتبطة بالأعمال. إشراك وظيفة التدقيق الداخلي بمجرد اقتراح مشاريع الذكاء الاصطناعي، بحيث تُدمج تدابير تقييم المخاطر وحوكمة البيانات منذ البداية.

حصر كل نموذج من نماذج الذكاء الاصطناعي المستخدمة أو قيد التطوير، بما في ذلك نماذج الذكاء الاصطناعي التوليدي، وروبوتات المحادثة، وأدوات الأتمتة. توثيق مصادر بيانات التدريب ومقاييس جودة البيانات لتكوين أساس لتقييم المخاطر والمراقبة المستقبلية.

إجراء تقييم رسمي للمخاطر يأخذ في الاعتبار الأضرار المحتملة، مثل التحيز أو خروقات البيانات أو إساءة استخدام البيانات الشخصية. التحقق من أساليب جمع البيانات ومراجعة تدابير حماية الخصوصية، والتأكد من استيفاء مجموعات البيانات للمعايير التنظيمية المتعلقة بمقاييس مثل الاحتفاظ بالبيانات والدقة.

اختيار أطر التدقيق المتوافقة مع القطاع والبيئة التنظيمية الخاصة بالمؤسسة. فعلى سبيل المثال، تجمع بعض المؤسسات بين تركيز COBIT على الضوابط ورؤية COSO لمخاطر المؤسسة، ثم تضيف عناصر من GAO أو IIA لتعزيز المساءلة، ومن PDPC لتعزيز الشفافية تجاه الطرف المعني. واستخدم أدوات تدقيق تدعم اختبارات قابلية التفسير، والتدقيق الخوارزمي، والمقاييس الفورية.

وطوّر قوالب لجمع الأدلة وضوابط الوصول وإعداد التقارير. وحدد مقاييس لأداء النماذج واستراتيجيات الحد من المخاطر. تأكد من أن سير العمل التدقيق يتضمن نقاط تحقق لاعتماد التدقيق الداخلي ومراجعة الأطراف المعنية.

وأجرِ التدقيق، ووثّق النتائج، وشاركها مع المسؤولين التنفيذيين والجهات التنظيمية حسب الاقتضاء. وأنشئ آليات مراقبة مستمرة لتتبع جودة البيانات والمخاطر التشغيلية. ويمكن للمقاييس ولوحات المعلومات أن تمنح فرق التدقيق رؤية فورية للثغرات وتمكنها من اتخاذ إجراءات التخفيف بسرعة.

تتطور ممارسات التدقيق بالتوازي مع تطور تقنيات الذكاء الاصطناعي. وبالنظر إلى المستقبل، قد تتوقع المؤسسات ما يلي:

وبغض النظر عن كيفية تطور المستقبل، لم يعد التدقيق مجرد عملية امتثال تُنفذ لمرة واحدة. بل أصبح عملية مستمرة وذكية تساعد المؤسسات على نشر تقنيات الذكاء الاصطناعي بأمان وبثقة.