ما لا تغطيه قائمة ضوابط الهيئة الوطنية للأمن السيبراني

قائمة ضوابط الهيئة الوطنية للأمن السيبراني والاستضافة داخل البلاد تُظهران أن البيئة المحيطة بالنموذج سليمة. ولا يُظهر أيٌّ منهما أن النموذج سليم. خمسة أسئلة تقع خارج الضوابط الأساسية للأمن السيبراني كليةً، وهي التي يسألها المشتري أو المستثمر أو الجهة التنظيمية أولاً.

اسأل مؤسسة سعودية كيف تدير امتثال الذكاء الاصطناعي والجواب واحد عادةً: لدينا قائمة تحقق لضوابط الهيئة الوطنية للأمن السيبراني، وبياناتنا تبقى داخل البيئة. كلاهما صحيح، وكلاهما مهم، ولا يقول أيٌّ منهما شيئاً عن النموذج.

أطر الهيئة الوطنية للأمن السيبراني — الضوابط الأساسية للأمن السيبراني وامتداداتها للسحابة والمنظومات الحرجة والبيانات — تحكم البيئة التي تعمل فيها المنظومة. التحكم بالوصول، والتقسيم، والتشفير، وبنية التسجيل، والاستجابة للحوادث. لنشر معزول عن الشبكة يعالج بيانات حساسة، ذلك العمل هو الفرق بين منظومة يمكن تشغيلها ومنظومة لا يمكن. وقد وسّعت الهيئة ضوابطها إلى القطاع الخاص عبر ضوابط الأمن السيبراني للكيانات غير المرتبطة ببنية تحتية حيوية (NCNICC-1:2025)، التي تسري على الكيانات التي يزيد عدد موظفيها على 250 أو إيراداتها على 200 مليون ريال، وعلى المنشآت الصغيرة والمتوسطة من 6 إلى 249 موظفاً أو من 3 إلى 200 مليون ريال، كما تخطرها الهيئة. قد تكون مؤسسات أكثر الآن داخل النطاق، وتؤدي هذا العمل، من ذي قبل.

ما تفعله ضوابط الهيئة، وما لا تسأل عنه

ما لا تسأل عنه تلك الضوابط هو ما إذا كان النموذج يعمل، ولمن، وهل يستطيع أحد إظهار ذلك.

خمسة أسئلة تقع خارج المحيط — وهي ذاتها التي تفحصها مراجعة أدلة الذكاء الاصطناعي في الملف وفي المنظومة العاملة.

خمسة أسئلة خارج المحيط

هل المخرَج قابل للتفسير؟ طبيب أو مسؤول ائتمان أو مدير موارد بشرية يتصرف بناءً على توصية نموذج يحتاج أن يعرف ما الذي حرّكها. منظومة مؤمَّنة تماماً قد تبقى صندوقاً أسود لمن يُحاسَب على القرار.

هل يؤدي بالتساوي عبر السكان الذين يخدمهم؟ نموذج دُرّب غالباً على فئة ونُشر على أخرى سيضعف أداؤه للثانية، بصمت. لا ضابط أمني يكشف هذا. يظهر في صورة شكوى، أو سؤال من جهة تنظيمية، أو فرد متضرر.

هل ثمة إشراف بشري حقيقي؟ ليس خانة توقيع، بل شخصاً لديه المعلومة والصلاحية والوقت لنقض المنظومة. إشرافٌ لا يمكن ممارسته إشرافٌ على الورق.

هل يمكن إعادة بناء القرار؟ سجل الأمن يدوّن الوصول. لا يدوّن أيّ نسخة نموذج وأيّ موجّه وأيّ بيانات أنتجت مخرَجاً بعينه قبل ستة أشهر — وهذا ما يحتاجه التحقيق فعلاً.

هل يراقب أحد الانحراف؟ النماذج تتدهور مع تحرك العالم. ولا شيء في إطار أمن سيبراني يسأل متى قيس الأداء في الإنتاج آخر مرة.

أين تقع المخاطرة فعلاً

ليست هذه فجوات في أطر الهيئة. إنها خارج موضوعها: الهيئة الوطنية للأمن السيبراني تحكم الأمن السيبراني، وتوقعات سدايا الأخلاقية والحوكمية، ونظام حماية البيانات الشخصية، والجهات القطاعية تغطي الباقي. المخاطرة تنظيمية: من المعقول أن تظن شركة أحسنت عملها الأمني أنها أنجزت عمل الذكاء الاصطناعي، لأن أحداً لم يسألها سؤالاً لم تستطع الإجابة عنه.

يتغير ذلك لحظةَ يرسل مستشفى أو بنك أو وزارة استبيان مشتريات فيه قسم عن تحقق النموذج. أو حين يسأل مستثمر كيف اختُبر التحيّز. أو حين تنتج منظومةٌ مخرَجاً يعترض عليه أحد.

الخلاصة

ضوابط البنية التحتية تخبرك أن البيئة سليمة. لا تخبرك أن المنظومة داخلها قابلة للدفاع عنها. هذان عملان منفصلان، وعادةً يُنجَز واحد منهما فقط.

ترسم أوكسون إكس خريطة الأطر (الهيئة الوطنية للأمن السيبراني، وسدايا، ونظام حماية البيانات الشخصية، والجهات القطاعية) التي تطال منظومات الذكاء الاصطناعي لديكم فعلاً، فيُنجَز العمل الأمني وعمل النموذج معاً، لا في صومعتين. وحين يكون السؤال بيانات تعبر خارج المملكة، تغطيه قائمة تحقق النقل عبر الحدود.