ورقة بيضاء · تُراجَع كل ربع سنة · مفتوحة بلا تسجيل
خريطة حوكمة الذكاء الاصطناعي في الخليج
ستّ دول خليجية تكتب قواعد للذكاء الاصطناعي، ولا واحدة منها تُسمّي معياراً يُمتثل له. تُخرّط هذه الورقة ISO/IEC 42001 على كل أداة — والأهم، تُظهر ما الذي يشترطه الخليج ولا يبلغه المعيار.
لماذا خريطة لا قائمة تحقق
مجموعة تشغّل أنظمة ذكاء اصطناعي في الرياض ودبي والدوحة مسؤولة أمام ثلاثة أطر سيادية بثلاث مفردات، كتبتها ثلاث جهات لم تنسّق فيما بينها. فقد بنت الهيئة السعودية للبيانات والذكاء الاصطناعي إطار مخاطر خاصاً من خمس مراحل بدل تبنّي ISO/IEC 23894 أو إطار NIST. وكتبت دائرة الصحة بأبوظبي معياراً للذكاء الاصطناعي المسؤول لا يستشهد بأيٍّ منهما. وأصدر مصرف قطر المركزي إرشاداً مُلزِماً خاصاً به. وختم دبي للذكاء الاصطناعي لا يشير إلى أي معيار إدارة إطلاقاً.
والإغراء هو تشغيل ثلاثة برامج. والبديل تشغيل نظام إدارة واحد وتخريطه إلى الخارج — وهو النهج الوحيد الذي يصمد أمام الإطار الرابع حين يصل.
لكن خريطةً تسير في اتجاه واحد هي تسويق. والقسم المهمّ هنا هو الجدول الثاني: الالتزامات التي تفرضها الأدوات الخليجية ولا يبلغها ISO/IEC 42001 إطلاقاً. فالشركة التي تحصل على الشهادة وتتوقف ستُخفق في تلك، وستكون قد أُخبرت بأنها ممتثلة.
ISO/IEC 42001 مقابل الأدوات الخليجية
تتبع الصفوف بنود الإدارة في المعيار وأهداف ضوابط ملحقه (أ). وتصف الخلايا المتطلب المقابل في كل أداة بعبارتنا نحن — فالمعايير نفسها محمية بحقوق النشر ولا تُستنسخ هنا. والشرطة تعني غياب متطلب مكافئ، لا أن الموضوع محظور.
| بنية ISO/IEC 42001 | السعوديةإطار سدايا لإدارة مخاطر الذكاء الاصطناعي | الإمارات · مركز دبي المالياللائحة العاشرة | الإمارات · أبوظبيمعيار دائرة الصحة للذكاء الاصطناعي المسؤول | قطرإرشادات مصرف قطر المركزي | الاتحاد الأوروبيقانون الذكاء الاصطناعي |
|---|---|---|---|---|---|
| البند 4سياق المنشأة | المرحلة الأولى لتحديد السياق والنطاق هي الخطوة الأولى الصريحة في الإطار. | يُحدَّد النطاق بما إذا كان النظام يعالج بيانات شخصية ذاتياً أو شبه ذاتي. | يغطي النطاق الاستخدام السريري والمالي والإداري والبحثي، المبنيّ أو المشترى. | يُحدَّد النطاق بتصنيف المخاطر العالية الذي يجب أن تسنده الجهة. | يُحدَّد النطاق بالدور — مزوّد، ناشر، مستورد — وبمستوى المخاطر. |
| البند 5القيادة والسياسة | مبادئ حوكمة معلنة، مع إسناد المسؤولية على مستوى الجهة. | يجب تعيين ناشر ومُشغّل — أدوار مُسمّاة لا سياسة. | تضع ركيزة الأسس الجوهرية ثمانية مبادئ على المنشأة تبنّيها. | المساءلة على مستوى مجلس الإدارة وسياسة لحوكمة الذكاء الاصطناعي صريحتان. | تقع التزامات المزوّد على الكيان القانوني الذي يطرح النظام في السوق. |
| البند 6التخطيط وتقييم مخاطر الذكاء الاصطناعي | المرحلتان الثانية والثالثة: سبع فئات للمخاطر، ومصفوفة احتمالية وأثر رباعية. | أنظمة المخاطر العالية يجب تقييدها بأغراض يحدّدها الإنسان أو تعيين مسؤول لها. | تشترط ركيزة إدارة المخاطر تقييماً ومعالجة استباقيين قائمين على الأدلة. | تصنيف المخاطر هو ما يحدّد هل تلزم موافقة مسبقة أصلاً. | نظام لإدارة المخاطر مطلوب عبر دورة حياة الأنظمة عالية المخاطر. |
| البند 7الدعم والكفاءة والوعي | توقعات الكفاءة تتبع المعايير المهنية الوطنية للبيانات والذكاء الاصطناعي. | — | الثقافة المعرفية بالذكاء الاصطناعي ركيزة كاملة: تدريب مُصمَّم بحسب الدور مع تتبّع الكفاءات. | التدريب مُستفاد من بروتوكول الإشراف البشري لا منصوص عليه. | التزام المعرفة بالذكاء الاصطناعي سارٍ منذ فبراير 2025. |
| البند 8التشغيل | المرحلة الرابعة للمعالجة: التجنّب أو التخفيف أو النقل أو القبول، مع تسجيل القرارات. | سجلات تشغيلية لحالات الاستخدام والمعالجة وتبادل البيانات. | تغطية دورة الحياة من النشأة حتى إيقاف التشغيل. | التشغيل مشروط بموافقة مسبقة؛ والتعديلات الجوهرية تستدعيها من جديد. | نظام لإدارة الجودة ورصد ما بعد الطرح. |
| البند 9تقييم الأداء | المرحلة الخامسة للرصد والمراجعة مرحلة مُسمّاة في الإطار. | يجب أن تُثبت السجلات الامتثال لمتطلبات التدقيق ومنح الشهادات المنطبقة. | يُتوقَّع رصد مستمر عبر دورة الحياة. | سجلّ الذكاء الاصطناعي قابل للإفصاح للمصرف المركزي سنوياً عند الطلب. | التسجيل وحفظ السجلات والإبلاغ عن الحوادث الجسيمة. |
| البند 10التحسين | مخرجات المراجعة تغذّي الدورة التالية. | — | دورة مراجعة للمعيار مع تحديثات متوقَّعة على مستوى المنشأة. | يجب الإبلاغ عن حوادث الذكاء الاصطناعي الجسيمة، وهو ما يدفع الإجراء التصحيحي. | واجبات الإجراء التصحيحي على المزوّدين والناشرين. |
| أ.2السياسات المتعلقة بالذكاء الاصطناعي | يُتوقَّع من الجهات بناء سياسة داخلية على مفردات الإطار. | يجب أن تذكر إشعارات الشفافية المبادئ التي يقوم عليها تصميم النظام. | توقعات السياسات تسري عبر الركائز الأربع جميعها. | سياسة حوكمة الذكاء الاصطناعي مطلوبة صراحةً. | تُتوقَّع حوكمة داخلية لدى المزوّدين. |
| أ.3التنظيم الداخلي والأدوار | المسؤولية مُسندة، دون اشتراط مسؤول مُسمّى. | مسؤول للأنظمة ذاتية التشغيل بواجبات معادلة لمسؤول حماية البيانات في الأنظمة عالية المخاطر. | أدوار حوكمة مطلوبة إلى جانب هيكل لجنة الأمن في معيار أبوظبي. | مساءلة المجلس مُسمّاة؛ ولا مسؤول نظامي محدّد. | أدوار إشراف بشري محدّدة للأنظمة عالية المخاطر. |
| أ.4الموارد اللازمة لأنظمة الذكاء الاصطناعي | يُعالَج عبر معايير الكفاءة والبيانات لا عبر بند للموارد. | — | تغطي ركيزة إدارة البيانات المصادر ومعايير الجودة وإصدارات البيانات وبياناتها الوصفية. | يجب فصل مجموعات البيانات إلى تدريب وتحقق واختبار. | وثائق فنية وموارد مطلوبة للأنظمة عالية المخاطر. |
| أ.5تقييم آثار أنظمة الذكاء الاصطناعي | المصفوفة الرباعية هي منهج تقييم الأثر. | يُقيَّم الأثر على أصحاب البيانات عبر نظام حماية البيانات. | تقييم الأثر مطلوب ضمن إدارة المخاطر. | تصنيف المخاطر العالية هو بذاته تحديد للأثر. | تقييم الأثر على الحقوق الأساسية لبعض الناشرين. |
| أ.6دورة حياة نظام الذكاء الاصطناعي | دورة الحياة مُستفادة من المراحل الخمس لا منصوص عليها. | يجب أن تتتبّع السجلات الأنظمة قيد الاستخدام. | صريحة: من النشأة حتى إيقاف التشغيل. | ترتبط الموافقة بمرحلة الشراء وبالتعديل الجوهري. | التزامات دورة الحياة عبر التصميم والاختبار وما بعد الطرح. |
| أ.7البيانات اللازمة لأنظمة الذكاء الاصطناعي | تنبع حوكمة البيانات من المعايير الوطنية لإدارة البيانات. | معالجة البيانات الشخصية هي موضوع اللائحة بأكمله. | إدارة البيانات واحدة من أربع ركائز. | اختبار التحيّز على مجموعات بيانات مفصولة مطلوب. | واجبات البيانات وحوكمتها للأنظمة عالية المخاطر. |
| أ.8المعلومات للأطراف المعنية | الشفافية من المبادئ المعلنة. | يجب أن تذكر الإشعارات الأولية هل المعالجة مبدوءة ببشر أم ذاتية. | تُتوقَّع الشفافية في سياقات القرار السريري. | الإفصاح للعملاء ومسار للتظلّم مطلوبان. | المادة 50 للشفافية: الإفصاح عن المحادثات الآلية ووسم المحتوى الاصطناعي. |
| أ.9الاستخدام المسؤول لأنظمة الذكاء الاصطناعي | سبعة مبادئ، توصَف بأنها مؤسَّسة على القيم الإسلامية. | يجب أن يبقى الاستخدام ضمن الأغراض المُبلَّغ عنها. | الاستخدام المسؤول هو الفكرة الناظمة للمعيار. | بروتوكول إشراف بشري مطلوب لكل نظام. | الممارسات المحظورة سارية منذ فبراير 2025. |
| أ.10العلاقات مع الأطراف الخارجية والعملاء | توقعات الأطراف الخارجية تتبع الضوابط السيبرانية الوطنية لا هذا الإطار. | ترتيبات المعالِجين من الباطن داخل النطاق ويجب تسجيلها. | الأنظمة الخارجية والمشتراة مغطّاة صراحةً. | الموافقة مطلوبة قبل توقيع اتفاقيات الشراء أو الترخيص أو الإسناد. | تنساب الالتزامات عبر سلسلة القيمة. |
جُمعت من الأداة المنشورة لكل جهة. ويتبع ترقيم البنود والضوابط معيار ISO/IEC 42001:2023. وهذا تخطيط تحليلي من Gulf Cyber-Safe، لا اعتماد من أي منظّم ولا من المنظمة الدولية للتقييس، ولم يتبنّه أي منظّم.
ما الذي يشترطه الخليج ولا يشترطه ISO/IEC 42001
هذا هو نصف الخريطة الذي لا تغلقه الشهادة. كلٌّ من هذه التزام حقيقي بلا نظير في المعيار، فالمنشأة التي تحصل على الشهادة وتتوقف تبقى ناقصة.
| المتطلب الخليجي | الأداةمن أين تأتي | الطبيعةما الذي تطلبه فعلاً | لماذا يفوته 42001الفجوة |
|---|---|---|---|
| قطرموافقة تنظيمية مسبقة | إرشادات مصرف قطر المركزي للذكاء الاصطناعي، سبتمبر 2024. | موافقة من المنظّم قبل نشر نظام عالي المخاطر و قبل توقيع اتفاقية الشراء أو الترخيص أو الإسناد. | لا يعرف المعيار مفهوم بوابة موافقة خارجية. ونظام إدارة معتمد لا يمنحكم حقّ المضيّ. |
| الإماراتأدوار نظامية مُسمّاة | اللائحة العاشرة لمركز دبي المالي العالمي. | ناشر ومُشغّل معيَّنان، ومسؤول للأنظمة ذاتية التشغيل في الأنظمة عالية المخاطر، بواجبات معادلة لمسؤول حماية البيانات. | يُسند ملحق (أ) المسؤوليات لكنه لا يُنشئ أدواراً نظامية يمكن للمنظّم مساءلة شاغلها شخصياً. |
| الإماراتإقامة البيانات | القانون الاتحادي 2 لسنة 2019 لتقنية المعلومات في المجالات الصحية، ومعيار خصوصية بيانات المرضى بأبوظبي. | لا يجوز معالجة أو تخزين البيانات الصحية المتعلقة بخدمات تُقدَّم في الدولة خارجها. | المعيار صامت عن الجغرافيا. ونظام إدارة مطابق تماماً قد يظل غير مشروع هنا. |
| الإماراتثقافة معرفية مُصمَّمة بحسب الدور | معيار دائرة الصحة بأبوظبي للذكاء الاصطناعي المسؤول، أكتوبر 2025. | الثقافة المعرفية بالذكاء الاصطناعي ركيزة محكومة، بتدريب مُصمَّم بحسب الدور وكفاءات متتبَّعة بوصفها أدلة. | يشترط البند السابع الكفاءة بعبارات عامة؛ ولا يشترط برنامج ثقافة معرفية متتبَّعاً عبر الكوادر السريرية والإدارية. |
| السعوديةمنهج مخاطر محدّد | الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي لدى سدايا. | سبع فئات مخاطر مُسمّاة، ومصفوفة احتمالية وأثر رباعية بنطاقات محدّدة. | يشترط المعيار عملية للمخاطر لكنه يمتنع عمداً عن تحديد المنهج، فقد يكون المنهج المطابق غير الذي يتوقعه الإطار. |
| قطرسجلّ قابل للإفصاح | إرشادات مصرف قطر المركزي للذكاء الاصطناعي. | سجلّ بكل نظام ذكاء اصطناعي مع التصنيف والمزوّد وبروتوكول الإشراف البشري وتواريخ العقود، قابل للإفصاح للمنظّم سنوياً عند الطلب. | يتوقع ملحق (أ) وجود سجلات؛ ولا يحدّد سجلاً موجّهاً للمنظّم بهذه الحقول. |
| الاتحاد الأوروبيالوسم والإفصاح | قانون الاتحاد الأوروبي للذكاء الاصطناعي، المادة 50، ساري منذ أغسطس 2026. | الإفصاح بأن المستخدم يتفاعل مع نظام ذكاء اصطناعي، ووسم المحتوى الاصطناعي بصيغة مقروءة آلياً. | لا يفرض معيار إدارة التزامات وسم على مستوى المنتج، وهذه تطال أي شركة خليجية يُستخدم مُخرَجها في الاتحاد. |
إن عُرض عليكم اعتماد ISO/IEC 42001 بوصفه الجواب عن امتثال الذكاء الاصطناعي في الخليج، فهذا الجدول هو السؤال الذي يُطرح عليه.
كيف تُستخدم
تسلسل معقول
- حدّدوا أي الأدوات تصلكم فعلاً. معظم المنشآت تقع تحت اثنتين لا ستّ.
- ابنوا نظام إدارة واحداً، لا ثلاثة برامج.
- أغلقوا فجوات الجدول الثاني صراحةً، لأن الشهادة لن تغلقها.
- قرّروا هل تحصلون على الشهادة أصلاً — فهي هنا قرار شراء وثقة، لا قرار امتثال.
- أعيدوا قراءة وضع مركز دبي المالي العالمي كل ربع سنة؛ فمتطلبات الشهادات المنتظَرة لديه أرجح موضع لظهور إلزام خليجي أولاً.
ما ليست هذه الورقة
- ليست تخطيطاً معتمداً من منظّم. ولم تتبنّه أو تراجعه أي جهة.
- لا تستنسخ نص ISO/IEC 42001 ولا نص أي أداة — فالمعايير محمية بحقوق النشر والخلايا صياغتنا نحن.
- ليست استشارة قانونية، وعدة مدخلات في السجلّ الأساسي تحمل تحفظات تحقق.
- ليست بديلاً عن قراءة الأداة التي تُلزمكم. إنها تخبركم أيّها هي.
أمران سيغيّران هذه الورقة
كان يُنتظَر أن ينشر مركز دبي المالي العالمي متطلبات عامة لمنح الشهادات بموجب اللائحة العاشرة — فإن سمّى معياراً، حصل الخليج على أول إلزام بشهادة للذكاء الاصطناعي وتحوّل هذا التخطيط من وثيقة تحليلية إلى وثيقة امتثال. وبشكل منفصل، لم يصدر البنك المركزي السعودي أي أداة للذكاء الاصطناعي بينما أصدر نظيره الإماراتي إرشادات في فبراير 2026 وأصدر القطري إرشاداً مُلزِماً في سبتمبر 2024، ما يجعل صدور أداة سعودية للقطاع المالي أمراً يُستعدّ له. وكلاهما مرصود؛ ولهذا تحمل هذه الورقة تاريخ مراجعتها.
أيٌّ من هذه يصلكم؟
اثنتان عادةً. وتحديد أيّهما، وإيقاف البرامج التي لا تلزمكم، هو أول حديث.
المصادر الأصلية
كل صكّ تربط به هذه المقابلة، لدى الجهة المصدرة. تحقّقوا من النسخة الحالية هناك قبل الاعتماد على أيّ مقابلة.