السياسة العامة لاستخدام الذكاء الاصطناعي في البحرين 2025: من المبادئ إلى التطبيق المؤسسي

ما هي السياسة العامة لاستخدام الذكاء الاصطناعي؟

أصدرت مملكة البحرين السياسة العامة لاستخدام الذكاء الاصطناعي في 2025.

وتسجل الوثيقة الرسمية الإصدار الأول بتاريخ 20 مايو 2025، بينما أعلنت هيئة المعلومات والحكومة الإلكترونية تدشين السياسة رسميًا في يوليو 2025.

هذا التفصيل مهم لأن الوثيقة ليست Draft أو Consultation.

هي سياسة وطنية منشورة رسميًا.

لكن وصفها بأنها قانون AI شامل سيكون غير دقيق.

موقع السياسة داخل المنظومة البحرينية

السياسة تمثل طبقة حوكمة وطنية.

وهي لا تلغي أو تستبدل:

• قانون حماية البيانات الشخصية.
• متطلبات الأمن السيبراني.
• القواعد القطاعية.
• متطلبات مصرف البحرين المركزي.
• الالتزامات التعاقدية.
• السياسات الداخلية للمؤسسات.

لذلك يجب استخدامها كجزء من Regulatory and Governance Stack.

لماذا السياسة مهمة للمؤسسات؟

كثير من المؤسسات بدأت استخدام AI قبل بناء نموذج حوكمة رسمي.

قد توجد أدوات:

• Copilots.
• Generative AI.
• Analytics.
• Chatbots.
• Fraud Models.
• Recommendation Systems.
• Agents.

السياسة الوطنية تمنح المؤسسات نقطة مرجعية لتحويل هذا الاستخدام من نشاط تجريبي إلى ممارسة مؤسسية منظمة.

Responsible AI ليس شعارًا

مصطلح Responsible AI لا يخلق قيمة ما لم يتحول إلى ضوابط قابلة للتنفيذ.

مثلاً:

Accountability → Accountable Owner.

Security → Security Assessment.

Human Oversight → Review and Override.

Transparency → Appropriate Disclosure.

Risk Management → Assessment and Monitoring.

Data Governance → Data Ownership and Controls.

Governance Operating Model

[ممارسة تنفيذية]

يمكن ترجمة السياسة إلى workflow:

Idea → Use Case Registration → Risk Classification → Data Review → Security Review → Vendor Review → Approval → Deployment → Monitoring → Reassessment

هذه هي النقطة التي تفصل بين "لدينا AI Policy" و"لدينا AI Governance".

AI Inventory

ابدأ بجرد الاستخدامات.

أدرج:

• التطبيقات التي بنتها المؤسسة.
• AI الموجود داخل SaaS.
• أدوات الموظفين.
• APIs.
• embedded AI.
• pilots.
• automation agents.

لكل سجل:

• owner.
• purpose.
• status.
• model/provider.
• data.
• users.
• risk tier.
• approvals.

Ownership

AI system بدون مالك مسؤول يصبح risk orphan.

قد توجد أدوار متعددة:

• Business Owner.
• Technical Owner.
• Data Owner.
• Risk Owner.

لكن يجب تحديد Accountable Owner واحد قادر على اتخاذ قرار بشأن:

• النشر.
• الاستمرار.
• الإيقاف.
• قبول المخاطر.

Acceptable Use

المؤسسة تحتاج قواعد استخدام واضحة للموظفين.

مثلاً:

• ما الأدوات المسموحة؟
• هل يمكن رفع ملفات داخلية؟
• هل يمكن إدخال بيانات شخصية؟
• هل يمكن توليد كود production؟
• هل يجوز استخدام AI لاتخاذ قرارات على العملاء؟
• ما الاستخدامات التي تحتاج موافقة مسبقة؟

Shadow AI

إذا كانت القواعد غير واقعية، سيستمر الموظفون في استخدام أدوات خارجية دون تصريح.

لذلك Shadow AI يجب أن يعالج بمزيج من:

• approved alternatives.
• awareness.
• access controls.
• monitoring.
• practical policy.

Risk Classification

ليست كل الاستخدامات بحاجة إلى نفس الحوكمة.

يمكن تقسيمها داخليًا إلى:

Low Medium High Critical

وفق عوامل مثل:

• Impact.
• Data Sensitivity.
• Automation.
• Autonomy.
• Reversibility.
• Scale.
• External Dependency.

التصنيف يجب أن يغير controls وليس أن يكون مجرد label.

High-Impact Use Cases

أمثلة الاستخدامات التي تستحق مراجعة أقوى:

• توظيف.
• تقييم أداء.
• قبول أو رفض عميل.
• خدمات مالية.
• خدمات حكومية.
• قرارات تؤثر على حقوق أو فرص.
• نظم مراقبة.
• أنظمة تنفذ إجراءات آلية.

Data Governance

AI system الجيد لا يمكن فصله عن جودة البيانات.

يجب تحديد:

• المصدر.
• الملكية.
• الجودة.
• الصلاحيات.
• التحديث.
• provenance.
• retention.

Personal Data

إذا عالج النظام بيانات شخصية، يدخل قانون حماية البيانات رقم 30 لسنة 2018 كطبقة مستقلة.

السياسة الوطنية لا تعطي استثناء من القانون.

Data Minimization

لا تجمع بيانات إضافية فقط لأن model قد يستخدمها لاحقًا.

كل عنصر بيانات إضافي يزيد:

• attack surface.
• privacy exposure.
• retention burden.
• governance complexity.

Third-Party AI

AI ecosystem يعتمد بشدة على الموردين.

قد تستخدم المؤسسة:

• Model Provider.
• Cloud Provider.
• Vector Database.
• OCR Provider.
• Security Provider.
• Observability Platform.

المخاطر لا تقف عند vendor الأول.

Subprocessors

اسأل المورد:

• من يعالج البيانات بعده؟
• في أي دول؟
• لماذا؟
• ما retention؟
• هل تتغير القائمة؟
• كيف يتم الإخطار؟

Generative AI

GenAI يزيد مخاطر مختلفة عن النماذج التقليدية:

• Hallucination.
• Prompt Injection.
• Data Leakage.
• Unreliable Explanations.
• Copyright Concerns.
• Unauthorized Advice.

لذلك يجب تصميم controls حسب طبيعة الاستخدام.

RAG

Retrieval-Augmented Generation يقلل بعض مخاطر المعرفة غير الموثوقة، لكنه يضيف مخاطر:

• unauthorized retrieval.
• stale documents.
• poisoned content.
• cross-user leakage.

Agentic AI

Agentic AI يحتاج مستوى أعلى من الحوكمة لأنه يستطيع تنفيذ Actions.

حدد:

• ما الأدوات المتاحة؟
• ما الأنظمة؟
• ما الصلاحيات؟
• ما الحدود المالية؟
• متى يحتاج Approval؟
• كيف يُوقف؟

Machine Identity

Agent يجب أن يمتلك هوية تقنية مستقلة وصلاحيات محدودة بدل استخدام credentials بشرية عامة.

Human Oversight

الإشراف يجب أن يتناسب مع الأثر.

قد يكون:

• review before action.
• approval threshold.
• exception review.
• post-action monitoring.

لكن في الأنظمة عالية الأثر يجب ألا يصبح الإنسان rubber stamp.

Security Review

أدخل AI threats في threat model.

اختبر على الأقل:

• prompt injection.
• credential misuse.
• unauthorized tools.
• data leakage.
• malicious files.
• insecure retrieval.
• agent escalation.

Vendor Review

العناية الواجبة للمورد تشمل:

• security posture.
• privacy.
• contractual terms.
• data retention.
• model training use.
• subprocessors.
• incident reporting.
• portability.
• termination.

Monitoring

بعد النشر راقب:

• performance.
• drift.
• incidents.
• complaints.
• overrides.
• access.
• vendor changes.
• unexpected behavior.

Model Change

تغيير model version قد يغير:

• output quality.
• safety.
• latency.
• pricing.
• training policy.
• retention.
• location.

لذلك لا تفترض أن vendor update غير جوهري.

Incident Response

يجب تعريف متى يتحول AI issue إلى Incident.

أمثلة:

• Sensitive data disclosure.
• Unsafe autonomous action.
• Material hallucination.
• Unauthorized access.
• Vendor compromise.

Evidence Pack

احتفظ بـ:

• Use Case.
• Risk Tier.
• Owner.
• Data Map.
• Security Review.
• Privacy Review.
• Vendor Review.
• Approval.
• Monitoring.
• Incidents.
• Changes.

Metrics

لا تقيس نجاح AI فقط بعدد المستخدمين.

راقب أيضًا:

• error rate.
• override rate.
• complaint rate.
• incident rate.
• unsupported outputs.
• policy violations.
• vendor dependency.

Internal Audit

يمكن للتدقيق الداخلي تقييم:

• هل inventory كامل؟
• هل التصنيف متسق؟
• هل approvals موجودة؟
• هل evidence متوفر؟
• هل monitoring يعمل؟
• هل exceptions موثقة؟

Implementation Roadmap

المرحلة الأولى:

Inventory + Acceptable Use.

المرحلة الثانية:

Risk Classification + Reviews.

المرحلة الثالثة:

Monitoring + Incident Management.

المرحلة الرابعة:

Assurance + Internal Audit + Continuous Improvement.

العلاقة مع الأمن السيبراني الوطني

استراتيجية الأمن السيبراني 2025–2028 تعزز:

• resilience.
• governance.
• risk management.
• compliance.
• workforce capability.

هذا يجعل دمج AI Governance مع Cyber Governance أكثر كفاءة من إنشاء منظومتين منفصلتين لا تتواصلان.

ما الذي لا ينبغي فعله؟

لا تحول السياسة إلى checklist شكلية.

ولا تنسخ نصها حرفيًا إلى Corporate Policy دون تحديد:

• Roles.
• Processes.
• Evidence.
• Escalation.
• Exceptions.
• Metrics.

الخلاصة

السياسة البحرينية لعام 2025 توفر أساسًا وطنيًا واضحًا لاستخدام AI بصورة مسؤولة وآمنة.

لكن القيمة المؤسسية الحقيقية لا تأتي من الإشارة إلى السياسة، بل من تحويلها إلى Operating Model يشمل inventory والملكية والمخاطر والبيانات والأمن والموردين والإشراف والمراقبة.

السياسة تحدد الاتجاه.

الحوكمة المؤسسية تحول الاتجاه إلى قرارات وضوابط وأدلة.