استخدام أدوات الذكاء الاصطناعي في المؤسسات البحرينية: من دليل الأدوات إلى الحوكمة والـShadow AI

لماذا أصبحت أدوات AI موضوع حوكمة مؤسسية؟

قبل سنوات كان اعتماد التقنية يمر عادة عبر:

Procurement → IT → Security → Deployment.

أما اليوم، يستطيع الموظف فتح أداة AI عامة خلال دقائق.

وقد يبدأ استخدامها قبل أن تعرف المؤسسة أصلًا أنها أصبحت جزءًا من workflow.

من أداة فردية إلى Enterprise Risk

المشكلة لا تبدأ عندما تستخدم المؤسسة model ضخمًا.

قد تبدأ عندما يقوم موظف بإدخال:

• عقد.
• بيانات عميل.
• مستند داخلي.
• Source Code.
• تقرير مالي.
• بريد حساس.

داخل أداة عامة.

Bahrain AI Tools Guide

دليل أدوات الذكاء الاصطناعي — الإصدار الأول — يمثل guidance تشغيليًا رسميًا منشورًا من هيئة المعلومات والحكومة الإلكترونية.

لا يجب تقديمه كقانون أو Regulation مستقل.

قيمته أنه يقرب AI من الاستخدام اليومي ويجعل Tool Adoption موضوعًا عمليًا وليس نظريًا فقط.

العلاقة مع Bahrain AI Policy

السياسة العامة لاستخدام AI توفر طبقة وطنية للمبادئ والاستخدام المسؤول.

بينما دليل الأدوات أقرب إلى:

Practical Adoption Layer.

الجمع بينهما أكثر قيمة من قراءة أي منهما وحده.

ما هو Enterprise AI Tool؟

يمكن أن يشمل:

• Chatbot.
• Writing Assistant.
• Code Assistant.
• Image Generator.
• Document Analyzer.
• Meeting Assistant.
• Research Tool.
• Translation Tool.
• AI Search.
• Agent Platform.

Free Tools vs Enterprise Tools

الأداة المجانية ليست بالضرورة غير آمنة.

والأداة Enterprise ليست آمنة تلقائيًا.

يجب فحص:

• data use.
• retention.
• admin controls.
• identity.
• audit logs.
• contractual terms.

Shadow AI

Shadow AI هو استخدام أدوات أو خدمات AI خارج المسار المعتمد للمؤسسة.

وقد يحدث عبر:

• حساب شخصي.
• free tier.
• browser extension.
• plugin.
• mobile app.
• unofficial API.

لماذا يظهر Shadow AI؟

الأسباب غالبًا ليست "سوء سلوك" فقط.

قد تكون:

• الأدوات الرسمية ضعيفة.
• الموافقات بطيئة.
• السياسات غير واضحة.
• المستخدم لا يعرف البدائل.
• الحاجة للعمل أسرع.

حظر AI ليس استراتيجية

الحظر الكامل قد يدفع الاستخدام إلى قنوات أقل وضوحًا.

الهدف الأفضل:

Controlled Adoption.

Tool Discovery

ابدأ بمعرفة ما يستخدم فعليًا.

مصادر الاكتشاف قد تشمل:

• surveys.
• interviews.
• browser telemetry.
• expense records.
• SSO logs.
• procurement data.
• network indicators.

AI Tool Inventory

لكل أداة سجل:

• tool name.
• vendor.
• owner.
• users.
• purpose.
• data types.
• integration.
• approval status.
• risk tier.

Approved Tool Catalog

أنشئ قائمة أدوات معتمدة.

لكن لا تجعلها مجرد أسماء.

حدد لكل أداة:

• allowed use.
• prohibited use.
• data restrictions.
• business owner.

Conditional Approval

بعض الأدوات قد تكون:

Approved for Public Data.

لكن:

Not Approved for Confidential Data.

هذا أفضل من binary yes/no في كثير من الحالات.

Tool Risk Classification

يمكن تصنيف الأدوات وفق:

• data sensitivity.
• autonomy.
• integration.
• external access.
• user population.
• business criticality.

Low-Risk Tool

مثال:

أداة تساعد في إعادة صياغة محتوى عام بلا بيانات حساسة.

Moderate-Risk Tool

مثال:

Assistant داخلي يعالج مستندات أعمال غير عامة.

High-Risk Tool

مثال:

Agent متصل بأنظمة فعلية ويستطيع تنفيذ actions.

Data Classification

قبل السماح باستخدام tool، حدد ما البيانات المسموح إرسالها.

Public Data

قد تسمح بها ضمن ضوابط أساسية.

Internal Data

تحتاج شروطًا أقوى.

Confidential Data

قد تحتاج:

• enterprise contract.
• restricted provider.
• no-training controls.
• retention controls.
• approval.

Personal Data

يجب ربط استخدام الأدوات بقانون حماية البيانات الشخصية والضوابط المؤسسية ذات الصلة.

Source Code

قد يحتوي source code على:

• credentials.
• architecture.
• vulnerabilities.
• proprietary logic.

لذلك Code Assistants تحتاج governance.

Prompts Are Data

Prompt ليس مجرد أمر.

قد يحتوي على كل ما سبق.

Uploaded Files

الملفات قد تذهب إلى:

• processing.
• temporary storage.
• logs.
• support systems.

لذلك يجب فهم lifecycle.

Vendor Data Use

اسأل:

• هل تستخدم البيانات للتدريب؟
• هل تستخدمها لتحسين الخدمة؟
• هل يحتفظ vendor بها؟
• هل توجد opt-out controls؟

Training vs Retention

عدم التدريب على البيانات لا يعني عدم الاحتفاظ بها.

هذه نقطة يجب أن تكون واضحة للمستخدمين وفرق procurement.

Vendor Retention

حدد:

• prompts.
• outputs.
• files.
• logs.
• metadata.
• backups.

Subprocessors

قد يعتمد tool على أطراف أخرى.

يجب معرفة:

• cloud provider.
• model provider.
• analytics provider.
• support provider.

Browser Extensions

AI browser extension قد يصل إلى:

• webpage content.
• email.
• documents.
• clipboard.

وهذا قد يوسع نطاق البيانات بصورة غير متوقعة.

Plugins

Plugin قد يحول tool من:

Generate Text

إلى:

Access Enterprise Data.

وهنا يتغير risk tier.

Connected Apps

راجع:

• Google Drive.
• Microsoft 365.
• CRM.
• Slack.
• GitHub.
• Knowledge Bases.

OAuth Scope

لا تمنح tool صلاحية أوسع من الحاجة.

Least Privilege

إذا كان tool يحتاج قراءة ملفات محددة، لا تمنحه access لكل Drive.

SSO

Enterprise tools يفضل أن تدخل عبر:

• SSO.
• centralized identity.
• MFA.
• lifecycle management.

Offboarding

عند خروج الموظف يجب إنهاء access.

Shared Accounts

تجنب الحسابات المشتركة.

هي تضعف:

• accountability.
• auditability.
• revocation.

Admin Console

الأداة المؤسسية الأفضل توفر:

• user management.
• usage controls.
• logs.
• retention settings.
• integration controls.

Audit Trail

يجب أن تعرف:

• من استخدم؟
• أي tool؟
• متى؟
• في أي use case؟
• هل حدث incident؟

Logging Balance

لكن لا تسجل كامل prompt بشكل تلقائي إذا كان ذلك يزيد privacy exposure دون ضرورة.

Responsible Use Rules

المستخدم يحتاج قواعد قصيرة وواضحة.

مثل:

• لا تدخل بيانات حساسة في أدوات غير معتمدة.
• راجع output قبل استخدامه.
• لا تعتمد على AI وحده في قرار مؤثر.
• تحقق من المصادر.

Human Verification

AI output يجب أن يُراجع بحسب أثره.

Hallucination

الـtool قد ينتج إجابة مقنعة لكنها خاطئة.

لذلك يجب تحديد استخدامات لا يجوز الاعتماد فيها على output دون تحقق.

Citation Verification

حتى إذا قدمت الأداة citations، يجب التحقق منها.

Generated Code

الكود المولد يحتاج:

• review.
• security testing.
• dependency review.
• licensing awareness.

Generated Images

الاستخدام يحتاج أيضًا مراعاة:

• branding.
• intellectual property.
• misinformation risks.
• sensitive context.

Meeting Assistants

قد تسجل:

• audio.
• transcript.
• participants.
• confidential discussion.

لذلك تحتاج consent وretention controls بحسب السياق.

Translation Tools

قد تمرر محتوى حساسًا إلى provider خارجي.

Research Assistants

قد تنتج:

• fabricated sources.
• outdated claims.
• overconfident summaries.

AI Search

قد يسجل:

• searches.
• context.
• documents.
• user behavior.

Code Assistants

راجع:

• repository access.
• telemetry.
• code retention.
• training terms.

Agent Platforms

Agent platform أخطر من productivity tool عادي.

لأنه قد:

• access.
• modify.
• send.
• execute.

Agent Permissions

حدد:

• allowed tools.
• allowed systems.
• limits.
• approval gates.
• kill switch.

Machine Identity

كل Agent يحتاج identity مستقلة.

Approval Gates

الإجراءات الحساسة لا يجب أن تعتمد على model وحده.

Shadow Agents

الخطر الجديد ليس Shadow AI فقط.

قد تظهر:

Shadow Agents.

أي workflows مستقلة ينشئها المستخدمون دون governance.

No-Code AI

سهولة بناء agents عبر no-code platforms تزيد هذا الخطر.

Citizen Development

يمكن دعم citizen development.

لكن داخل:

• approved platform.
• controls.
• templates.
• review gates.

Prompt Libraries

المؤسسة قد تبني prompts معتمدة للاستخدامات المتكررة.

Prompt Governance

حدد:

• owner.
• version.
• purpose.
• data restrictions.
• review.

Internal Knowledge

إذا كانت الأداة متصلة بمعرفة داخلية، يجب ضبط retrieval permissions.

RAG Authorization

المستخدم لا يجب أن يسترجع ما لا يملك صلاحية رؤيته.

Cross-Department Leakage

خطأ configuration قد يسمح لموظف برؤية محتوى قسم آخر.

Privacy

استخدام AI tools يجب أن يظل متوافقًا مع متطلبات حماية البيانات.

Cybersecurity

يجب ربط الأدوات بـ:

• IAM.
• endpoint security.
• incident response.
• vendor risk.
• network controls.

Vendor Risk

Procurement يجب أن يراجع:

• security.
• privacy.
• resilience.
• model changes.
• incidents.
• subprocessors.
• exit.

Vendor Concentration

إذا اعتمدت المؤسسة على provider واحد لكل شيء، يرتفع Concentration Risk.

Tool Sprawl

وجود عشرات الأدوات المتشابهة يخلق:

• cost.
• fragmentation.
• data spread.
• inconsistent controls.

Rationalization

راجع الأدوات دوريًا.

احذف:

• duplicated tools.
• unused tools.
• high-risk low-value tools.

Cost Governance

AI tools قد تتحول إلى subscriptions موزعة يصعب قياسها.

License Governance

اربط:

• users.
• business value.
• actual usage.
• renewal.

Value Measurement

اسأل:

هل الأداة:

• تقلل الوقت؟
• ترفع الجودة؟
• تقلل الأخطاء؟
• تزيد الإنتاجية؟

Productivity Claims

لا تعتمد على vendor claims فقط.

قِس داخليًا.

User Adoption

Low adoption قد يعني:

• tool mismatch.
• poor training.
• workflow friction.

Over-Adoption

High usage ليس دليل نجاح إذا كان الاستخدام:

• غير ضروري.
• غير آمن.
• لا يخلق قيمة.

AI Literacy

المستخدم يحتاج فهم:

• capabilities.
• limitations.
• privacy.
• verification.
• escalation.

Role-Based Training

التدريب يجب أن يختلف حسب الدور.

Developer ≠ HR ≠ Legal ≠ Finance.

Executive Use

القيادات نفسها قد تستخدم AI للتلخيص والتحليل.

وتحتاج ضوابط أيضًا.

Procurement Use

قد يستخدم الموظف AI في تقييم عروض أو عقود.

يجب ضبط استخدام المعلومات السرية.

Legal Use

AI قد يساعد في analysis، لكن output لا يعادل legal judgment.

HR Use

الخطورة ترتفع عندما يستخدم AI في:

• screening.
• ranking.
• evaluation.
• profiling.

Finance Use

لا تسمح للأداة العامة بأن تصبح مصدرًا وحيدًا لحسابات أو تقارير مالية مؤثرة.

Customer Service

يجب تحديد:

• escalation.
• disclosure.
• approved knowledge.
• prohibited advice.

Incident Reporting

المستخدم يحتاج قناة واضحة للإبلاغ عن:

• leakage.
• harmful output.
• unauthorized tool.
• suspicious behavior.

AI Incident Taxonomy

قد يشمل:

• data exposure.
• hallucination with impact.
• unauthorized access.
• tool misuse.
• vendor incident.
• agent action.

Response Playbook

حدد:

Detect → Contain → Investigate → Recover → Learn.

Kill Access

يجب أن تستطيع المؤسسة:

• disable user.
• block tool.
• revoke OAuth.
• terminate API keys.

Change Management

AI tools تتغير بسرعة.

قد يضيف vendor:

• new model.
• new plugin.
• new training terms.
• new region.
• new data use.

Vendor Change Monitoring

لا تقيّم tool مرة واحدة ثم تنساه.

Periodic Review

راجع:

• terms.
• features.
• integrations.
• risk.
• usage.
• value.

Tool Lifecycle

Request → Assess → Approve → Configure → Train → Use → Monitor → Review → Retire.

Fast-Track Approval

إذا كانت الموافقات تستغرق أشهرًا، سيزداد Shadow AI.

أنشئ مسارًا سريعًا للأدوات منخفضة المخاطر.

Sandbox

يمكن توفير بيئة آمنة لتجربة أدوات قبل الاعتماد.

Controlled Experimentation

حدد:

• users.
• duration.
• data.
• objectives.
• exit criteria.

Enterprise AI Portal

المؤسسات الناضجة قد توفر مكانًا مركزيًا يوضح:

• approved tools.
• rules.
• training.
• request process.
• incident reporting.

Tool Risk Dashboard

يمكن عرض:

• approved tools.
• blocked tools.
• shadow tools detected.
• high-risk integrations.
• open reviews.

Metrics

راقب:

• number of tools.
• approved usage.
• shadow usage.
• incidents.
• adoption.
• cost.
• value.

KRIs

أمثلة:

• confidential data sent to unapproved tool.
• unreviewed plugin.
• unmanaged API key.
• high-risk tool without owner.

KPIs

أمثلة:

• percentage of AI users trained.
• approved tool adoption.
• time to approve low-risk tools.
• tool rationalization savings.

Relationship with AI Readiness

Tool Governance جزء من Readiness.

إذا لم تستطع المؤسسة إدارة الأدوات اليومية، فهي ليست جاهزة للتوسع إلى agents والأنظمة الأكثر استقلالية.

Relationship with Bahrain AI Policy

السياسة الوطنية توفر المبادئ.

Tool Governance يحولها إلى Controls يومية.

Relationship with AI Tools Guide

الدليل يوفر طبقة عملية للاستخدام.

المؤسسة تحتاج إضافة controls خاصة بها بحسب بياناتها وقطاعها ومخاطرها.

Relationship with PDPL

عندما تحتوي prompts أو files على بيانات شخصية، تدخل Privacy Governance.

Relationship with Cyber Strategy

الأدوات الخارجية والموردون والـplugins يدخلون ضمن Cyber وThird-Party Risk.

Enterprise Control Model

يمكن بناء طبقات:

Discover → Classify → Approve → Configure → Educate → Monitor → Reassess.

أول 30 يومًا

نفذ:

1. Tool Discovery.
2. Approved/Blocked List.
3. Basic Data Rules.
4. User Guidance.
5. Incident Channel.

30–90 يومًا

أضف:

• SSO.
• vendor review.
• usage monitoring.
• role-based training.
• procurement workflow.

بعد 90 يومًا

طور:

• agent governance.
• AI portal.
• automated discovery.
• metrics.
• periodic assurance.

Evidence Pack

لكل أداة رئيسية:

• use cases.
• vendor assessment.
• approved data classes.
• configuration.
• contract.
• training.
• incidents.
• periodic reviews.

ما الذي لا يجب فعله؟

لا تفترض أن:

Enterprise License = Governed AI.

ولا أن:

Blocking = Risk Management.

ولا أن:

No Training = No Retention.

ولا أن:

Human Review = Effective Oversight.

الخلاصة

دليل أدوات الذكاء الاصطناعي في البحرين يوفر نقطة عملية مهمة للانتقال من مبادئ AI إلى الاستخدام اليومي.

لكن المؤسسة تحتاج إلى طبقة حوكمة أوسع تستطيع رؤية الأدوات والمستخدمين والبيانات والموردين والـplugins والـagents.

الهدف ليس إبطاء الاستخدام.

الهدف منع تحول AI Adoption إلى شبكة غير مرئية من المخاطر يصعب اكتشافها بعد وقوع الحادث.