مشكلة الامتياز الجديدة في الذكاء الاصطناعي: لماذا لا يزال مدير المعلومات (CIO) يملك المفتاح
مع انتقال الذكاء الاصطناعي المؤسسي من صياغة المسودات والتلخيص إلى التنفيذ، لم يعد الخطر يتعلق بجودة النموذج فقط؛ بل بمن يتحكم في الأذونات والموافقات والمساءلة حوله.
أصبح الذكاء الاصطناعي مفيدًا تحديدًا في الأماكن الأكثر تعرضًا للمخاطر داخل المؤسسات: الاجتماعات، والمستندات، وتحليل البيانات، والبرمجة، وأتمتة سير العمل. ويبدو هذا التحول تدريجيًا، لكنه يغيّر نموذج الأمان. فالأداة التي لا تفعل سوى صياغة النص شيء، أما الأداة التي يمكنها الوصول إلى الملفات، أو تشغيل المهام، أو التأثير في العمل الإنتاجي، فهي شيء آخر تمامًا.
حقائق سريعة
- يتوسع استخدام الذكاء الاصطناعي في المؤسسات من الإنتاجية الشخصية إلى دعم سير العمل وأتمتة الوكلاء في مراحلها الأولى.
- يرتفع الخطر عندما يمكن للذكاء الاصطناعي الوصول إلى بيانات حساسة، أو تشغيل إجراءات، أو الموافقة على معاملات، أو التفاعل مع بيئات الإنتاج.
- يفضّل إطار إدارة مخاطر الذكاء الاصطناعي من NIST الحوكمة القائمة على المخاطر بدل بوابات الموافقة الموحدة للجميع.
- تسلّط إرشادات OWASP الخاصة بالذكاء الاصطناعي الوكيلي الضوء على الحاجة إلى ضوابط أشد عندما يصبح الذكاء الاصطناعي قادرًا على تنسيق إجراءات متعددة الخطوات.
- تظل السجلات، وتحديد المسؤولية بالاسم، والمراجعة الدورية، والموافقة البشرية ضوابط أساسية لحالات الاستخدام الأعلى تأثيرًا.
من مساعد إلى فاعل
الحد التقني المهم هنا هو الوكالة. فالنظام الذي يلخص اجتماعًا أو يصوغ رسالة يمكن عادة احتواؤه بضوابط أساسية للخصوصية والوصول. لكن بمجرد السماح للذكاء الاصطناعي بنقل الملفات، أو تشغيل المهام اللاحقة، أو الموافقة على الاستثناءات، أو التفاعل مع الأنظمة الحية، يبدأ في التصرف مثل برمجيات مؤسسية ذات امتيازات. وعند هذه النقطة، لم تعد الأسئلة تتعلق بالسهولة. بل بالهوية، والتفويض، وقابلية التدقيق، وإمكانية التراجع.
ولهذا يظل نموذج التشغيل محوريًا. عمليًا، يجب على شخص ما أن يقرر حالات الاستخدام منخفضة المخاطر بما يكفي لتسريعها، وأيها يحتاج إلى مراجعة بشرية في الحلقة، وأيها يجب ألا يقترب من بيئات الإنتاج من دون ضوابط أشد. وإذا كانت هذه القرارات غير واضحة، فإن تبني الذكاء الاصطناعي يميل إلى التشتت بين فرق الأعمال، ويصبح تكنولوجيا المعلومات الظلّية مشكلة حوكمة بقدر ما هي مشكلة أمنية.
يكون إطار إدارة مخاطر الذكاء الاصطناعي من NIST مفيدًا هنا لأنه يعامل حوكمة الذكاء الاصطناعي كتخصص مستمر، لا كمربع اختيار. الأسئلة الصحيحة بسيطة لكنها قوية: ما البيانات التي يمكن للنظام الوصول إليها، وما الإجراء الذي يمكنه اتخاذه، وماذا يحدث إذا أخطأ؟ هذا النهج يتوسع أفضل من الموافقة الشاملة أو الرفض الشامل، خاصة عندما تحمل حالات استخدام الذكاء الاصطناعي المختلفة أنصاف أقطار انفجار مختلفة جدًا.
وتشير إرشادات OWASP الخاصة بالذكاء الاصطناعي الوكيلي في الاتجاه نفسه. فالخطر ليس فقط في المطالبات السيئة أو المخرجات الضعيفة، بل في الاستقلالية المفرطة المصحوبة بتفويضات ضعيفة والتحقق الضعيف. وإذا كان نظام ذكاء اصطناعي قادرًا على التصرف بنفسه، فإن أقل الامتيازات، ومسارات الموافقة، والسجلات، والمراقبة تصبح متطلبات أمنية أساسية، لا إضافات حوكمة اختيارية.
وهناك أيضًا درس تشغيلي صعب هنا: يمكن أن يتحول مشروع تجريبي مفيد للذكاء الاصطناعي سريعًا إلى اعتماد محفوف بالمخاطر. لذلك ينبغي أن تكون عمليات النشر في الإنتاج لها مالكون محددون بالاسم، وحدود مرئية، ومسارات تصعيد واضحة، ومراجعة دورية. ومن دون هذا الهيكل، قد تعرف المؤسسة أن الأداة مفيدة لكنها لا تعرف من يتحمل المسؤولية عندما تخطئ.
وفي وقت كتابة هذا المقال، الدرس الأوسع بسيط: لم يعد الذكاء الاصطناعي المؤسسي مجرد ميزة إنتاجية. إنه قضية حدود تحكم. والمؤسسات التي تتعامل معه بأفضل شكل لن تكون الأسرع فقط؛ بل ستعرف بدقة أين يُسمح للذكاء الاصطناعي بالتصرف، ومن يمكنه تفويض هذا التصرف، وكيف ستتعافى المؤسسة عندما يحدث خطأ.
TECHCROOK
مفتاح أمان مادي: مفيد لحماية حسابات الإدارة والموافقة التي تتحكم في أدوات الذكاء الاصطناعي، وأتمتة سير العمل، والأنظمة الحساسة. تمثل المصادقة الثانية المادية طريقة بسيطة لتقوية تسجيلات الدخول ذات الامتيازات وتقليل الاعتماد على كلمات المرور وحدها. وللفرق التي تضيف الذكاء الاصطناعي إلى بيئات الإنتاج، يعمل هذا بشكل جيد مع سياسات الوصول بأقل امتيازات وسجلات التدقيق.
WIKICROOK
- الذكاء الاصطناعي الوكيلي: أنظمة ذكاء اصطناعي يمكنها تنفيذ مهام أو سير عمل متعددة الخطوات مع تدخل بشري محدود.
- أقل الامتيازات: مبدأ أمني يمنح النظام فقط مقدار الوصول الذي يحتاجه للقيام بعمله.
- إنسان في الحلقة: نمط تحكم يراجع فيه شخص ما الإجراءات الآلية المهمة أو يوافق عليها.
- تكنولوجيا المعلومات الظلّية: تقنية تُستخدم خارج حوكمة تقنية المعلومات المعتمدة، وغالبًا من دون رؤية أو تحكم كاملين.
- سجل التدقيق: سجل للإجراءات والتغييرات يساعد في المساءلة والمراجعة والاستجابة للحوادث.
