حوكمة الذكاء الاصطناعي في التكنولوجيا المالية والأنشطة المالية غير المصرفية في مصر

لماذا FinTech AI يحتاج حوكمة قطاعية؟

استخدام الذكاء الاصطناعي في القطاع المالي يختلف عن استخدامه في تطبيق داخلي منخفض المخاطر.

الأنظمة المالية قد تؤثر في:

• قبول العميل.
• تقييم المخاطر.
• التسعير.
• الكشف عن الاحتيال.
• خدمة العملاء.
• التأمين.
• التمويل.
• المطالبات.
• التحقق من الهوية.
• التسويق.
• المراقبة.
• الامتثال.
• القرارات التشغيلية.

وعندما تدخل هذه الأنظمة في أنشطة مالية منظمة، تصبح حوكمة AI مرتبطة مباشرة بالإطار التنظيمي لذلك النشاط.

في مصر، الهيئة العامة للرقابة المالية هي الجهة التنظيمية للأنشطة المالية غير المصرفية الداخلة في نطاق اختصاصها.

قانون رقم 5 لسنة 2022

صدر قانون تنظيم وتنمية استخدام التكنولوجيا المالية في الأنشطة المالية غير المصرفية رقم 5 لسنة 2022 ليضع إطاراً تشريعياً لاستخدام التكنولوجيا المالية في هذا القطاع.

وتوضح الهيئة العامة للرقابة المالية أن الإطار يسمح باستخدام تقنيات تشمل:

• التطبيقات الرقمية.
• الذكاء الاصطناعي.
• تحليل البيانات الضخمة.

في مجالات من الأنشطة المالية غير المصرفية مثل:

• التمويل الاستهلاكي.
• التأمين.
• التأجير التمويلي.
• التخصيم.
• وغيرها من الأنشطة التي تخضع لاختصاص الهيئة.

هذه النقطة مهمة لأنها تجعل AI جزءاً معترفاً به من البنية التنظيمية للتكنولوجيا المالية، وليس مجرد تقنية جانبية غير مرئية تنظيمياً.

القانون لا ينظم AI وحده

قانون 5/2022 ليس قانوناً شاملاً للذكاء الاصطناعي.

موضوعه الأساسي هو استخدام التكنولوجيا المالية في الأنشطة المالية غير المصرفية.

لذلك لا ينبغي تحويل كل مادة أو قرار صادر تحته إلى قاعدة عامة على جميع أنظمة AI في مصر.

النطاق الصحيح هو:

AI used within regulated non-bank financial activities.

وهذا الفصل مهم جداً في Siyada AI حتى لا نخلط بين:

• التنظيم القطاعي.
• حوكمة AI الوطنية.
• حماية البيانات.
• الأمن السيبراني.
• قواعد التكنولوجيا المالية.

القرار 58 لسنة 2022

ضمن منظومة تطبيق قانون التكنولوجيا المالية أصدرت الهيئة قرار مجلس الإدارة رقم 58 لسنة 2022 بشأن الشروط والإجراءات المطلوبة لتأسيس وترخيص واعتماد الشركات والجهات التي ترغب في مزاولة الأنشطة المالية غير المصرفية باستخدام التكنولوجيا المالية.

من زاوية حوكمة AI، أهمية هذا القرار ليست أنه يمنح "ترخيص AI".

بل لأنه يثبت أن المؤسسة التي تدخل AI ضمن نموذج تقديم نشاط مالي غير مصرفي يجب أن تنظر إلى الأهلية والترخيص التنظيمي للنشاط كجزء من تصميم الحل.

وجود نموذج AI متقدم لا يمنح المؤسسة حق مزاولة نشاط مالي منظم خارج الإطار التنظيمي.

القرار 139 لسنة 2023

قرار مجلس الإدارة رقم 139 لسنة 2023 يتعلق بالتجهيزات والبنية التكنولوجية وأنظمة المعلومات ووسائل الحماية والتأمين اللازمة لاستخدام التكنولوجيا المالية لمزاولة الأنشطة المالية غير المصرفية.

هذا القرار مهم جداً لأن معظم AI systems الحديثة تعتمد على بنية تقنية أكبر من النموذج نفسه.

قد تشمل البنية:

• APIs.
• databases.
• cloud platforms.
• identity systems.
• integration middleware.
• logging.
• monitoring.
• security controls.
• vendor platforms.
• model endpoints.

ولذلك فإن تقييم AI لا ينبغي أن يتوقف عند النموذج.

AI System Boundary

عند تقييم نظام AI مالي، يجب تحديد حدود النظام بصورة صحيحة.

مثلاً:

Customer Application → Identity Verification → Data Layer → AI Model → Decision Engine → Financial Platform → Human Review → Customer Notification → Monitoring

إذا كانت المؤسسة تدقق model وحده، فإنها قد تفوت المخاطر الموجودة في integration أو البيانات أو الهوية أو التنفيذ.

القرار 140 لسنة 2023

يتناول قرار 140 لسنة 2023 موضوعات تشمل:

• الهوية الرقمية.
• العقود الرقمية.
• السجل الرقمي.
• مجالات استخدام التكنولوجيا المالية.
• متطلبات الامتثال.

هذه الموضوعات تتقاطع مباشرة مع AI عندما يصبح النظام جزءاً من onboarding أو التحقق أو تنفيذ العمليات أو توثيق التعاملات.

AI والهوية الرقمية

يمكن استخدام AI في:

• document recognition.
• biometric matching.
• fraud detection.
• anomaly detection.
• risk scoring.
• identity verification support.

لكن استخدام AI لا يلغي متطلبات الهوية الرقمية المنظمة.

النظام يجب أن يكون جزءاً من control environment وليس بديلاً عنها.

العقود الرقمية

قد يستخدم GenAI أو Agents لإعداد أو شرح أو معالجة عقود رقمية.

لكن هناك فرقاً بين:

AI-assisted drafting

و

legal execution of a regulated digital contract.

المؤسسة يجب أن تمنع حدوث انتقال غير مقصود من "مساعد" إلى "جهة تنفذ التزاماً" دون صلاحيات وضوابط واضحة.

Agentic AI في الخدمات المالية

عندما يصبح AI Agent قادراً على تنفيذ إجراءات بدلاً من مجرد تقديم اقتراحات، تزداد المخاطر.

مثلاً قد يستطيع agent:

• إنشاء طلب.
• إرسال عرض.
• تعديل سجل.
• بدء transaction.
• التواصل مع عميل.
• استدعاء خدمة خارجية.

هنا يجب تحديد:

• authority.
• allowed actions.
• transaction limits.
• approval requirements.
• prohibited actions.
• escalation rules.
• logging.
• human intervention.

لا تحول Agent إلى مستخدم غير مقيد

الخطأ هو إعطاء agent صلاحيات واسعة لأن العملية "آلية".

المبدأ الأفضل:

Machine authority should be narrower and more explicit than human authority.

[ممارسة تنفيذية]

كل Agent مالي يحتاج إلى مصفوفة:

القرار 141 لسنة 2023

قرار 141 لسنة 2023 يتعلق بسجل الاستعانة بمصادر خارجية في مجالات التكنولوجيا المالية لمزاولة الأنشطة المالية غير المصرفية.

هذه نقطة ذات أهمية خاصة في AI لأن معظم المؤسسات لا تبني كامل stack داخلياً.

قد تعتمد على:

• foundation model provider.
• cloud provider.
• identity provider.
• fraud platform.
• OCR provider.
• analytics vendor.
• managed AI provider.
• API service.
• data provider.

Third-Party AI Risk

استخدام AI SaaS لا ينقل المخاطر التنظيمية إلى المورد بالكامل.

المؤسسة ما زالت تحتاج إلى فهم:

• ما الذي يقدمه المورد؟
• ما البيانات التي يحصل عليها؟
• أين تتم المعالجة؟
• من هم subprocessors؟
• هل يستخدم البيانات للتدريب؟
• ما مستوى الأمن؟
• كيف يتم incident notification؟
• ما حق المؤسسة في المراجعة؟
• كيف يتم termination؟
• هل توجد بدائل؟
• كيف تسترجع البيانات؟

Outsourcing vs Procurement

ليس كل شراء برمجي Outsourcing بالمعنى التنظيمي نفسه.

لكن لا يجوز أيضاً وصف خدمة AI جوهرية بأنها مجرد software subscription إذا كانت عملياً تؤدي وظيفة مؤثرة في نشاط منظم.

يجب أن يحدد Legal وCompliance وProcurement الطبيعة الفعلية للخدمة.

Model Risk

النموذج المالي قد يفشل بسبب:

• data drift.
• poor calibration.
• biased training data.
• weak representativeness.
• unstable thresholds.
• hallucination.
• missing context.
• automation bias.
• integration errors.

ولهذا يجب بناء Model Risk Controls تتجاوز اختبار accuracy عند الإطلاق.

AI Risk Classification

[ممارسة تنفيذية]

يمكن للمؤسسة تصنيف أنظمة AI المالية بناءً على عوامل مثل:

• أثر القرار على العميل.
• حجم المعاملات.
• إمكانية التنفيذ الآلي.
• حساسية البيانات.
• قابلية التصحيح.
• الاعتماد على طرف ثالث.
• درجة الاستقلالية.
• عدد العملاء المتأثرين.
• إمكانية الضرر المالي.
• الأثر التنظيمي.

كلما ارتفع الخطر، ترتفع متطلبات:

• validation.
• approval.
• monitoring.
• human oversight.
• documentation.
• evidence.

Human Oversight

وجود human-in-the-loop ليس ضمانة كافية.

إذا كان الموظف يوافق دائماً على اقتراح AI دون مراجعة حقيقية، فالإشراف شكلي.

الإشراف الفعال يحتاج إلى:

• معلومات كافية.
• سلطة رفض القرار.
• وقت مناسب.
• تدريب.
• تفسير قابل للاستخدام.
• مؤشرات تصعيد.

Explainability

ليس كل نموذج يحتاج المستوى نفسه من التفسير.

لكن كلما زاد أثر القرار على العميل، ارتفعت الحاجة إلى فهم:

• ما المدخلات الرئيسية؟
• لماذا خرجت النتيجة؟
• هل يمكن الاعتراض؟
• هل توجد مراجعة بشرية؟
• هل يستطيع النظام إعادة إنتاج القرار؟
• هل تم تسجيل model version؟

Customer Impact

في الخدمات المالية لا ينبغي قياس أداء AI فقط بمؤشرات تقنية.

يجب النظر أيضاً إلى:

• false positives.
• false negatives.
• unfair exclusion.
• inconsistent treatment.
• inaccessible services.
• erroneous recommendations.
• misleading generated content.

Personal Data

إذا عالج النظام بيانات شخصية، تدخل طبقة قانون حماية البيانات الشخصية رقم 151 لسنة 2020 ولائحته التنفيذية.

هذا مسار مستقل عن تنظيم FinTech.

المؤسسة قد تحتاج في الوقت نفسه إلى:

Financial Regulation

و

AI Governance

و

Personal Data Protection

و

Cybersecurity

ولا يلغي واحد منها الآخر.

Credit and Risk Data

بيانات المخاطر والائتمان قد تكون شديدة الحساسية من الناحية التشغيلية حتى عندما يختلف توصيفها القانوني بحسب السياق.

لذلك يجب فرض controls صارمة على:

• access.
• purpose.
• retention.
• sharing.
• training.
• logging.
• model outputs.

Generative AI in Financial Services

يمكن استخدام GenAI في:

• customer service.
• document summarization.
• internal knowledge.
• compliance support.
• report drafting.
• employee assistance.

لكن GenAI يحمل مخاطر إضافية:

• hallucination.
• disclosure.
• prompt injection.
• unauthorized advice.
• inconsistent answers.
• leakage.
• fabricated explanations.

ولهذا يجب فصل الاستخدامات المساعدة عن القرارات أو الرسائل ذات الأثر المالي أو القانوني.

AI Financial Advice

إذا أنتج GenAI توصية يمكن أن يفهمها العميل باعتبارها نصيحة مالية أو قراراً منظماً، فإن وصف النظام بأنه "chatbot" لا يلغي طبيعة المخرجات الفعلية.

التصنيف التنظيمي يجب أن ينظر إلى الوظيفة والأثر، لا إلى اسم المنتج.

Fraud Detection

Fraud AI مثال على نظام يبدو مفيداً بوضوح لكنه قد يخلق مخاطر إذا ارتفعت false positives.

إيقاف عميل أو معاملاته بسبب نموذج غير مضبوط قد يكون له أثر جوهري.

لذلك يجب وضع:

• thresholds.
• escalation.
• human review.
• appeal.
• monitoring.
• recalibration.

Bias

قد يظهر bias حتى دون استخدام متغير حساس صريح.

قد تعمل variables أخرى كـproxies.

لذلك يجب تحليل:

• feature selection.
• training population.
• geographic differences.
• socioeconomic proxies.
• outcome disparities.

Continuous Monitoring

النموذج الذي نجح في الاختبار قد يتدهور بعد التشغيل.

يجب مراقبة:

• performance.
• drift.
• complaints.
• overrides.
• incidents.
• exception rates.
• fairness metrics where appropriate.
• vendor changes.

Material Model Change

تغيير model provider أو version أو dataset قد يكون تغييراً جوهرياً.

لا ينبغي السماح بترقية model production تلقائياً لمجرد أن المورد وصفها بأنها update.

أنشئ Change Gate يفحص:

• ما الذي تغير؟
• هل تغير السلوك؟
• هل تغيرت البيانات؟
• هل تغيرت locations؟
• هل تغير subprocessors؟
• هل تغير مستوى المخاطر؟
• هل نحتاج validation جديداً؟

AI Governance Committee

المؤسسات ذات الاستخدامات المؤثرة قد تحتاج governance forum يجمع:

• Business.
• Risk.
• Compliance.
• Legal.
• Privacy.
• Cybersecurity.
• Technology.
• Model Risk.
• Internal Audit.

القيمة ليست في إنشاء لجنة جديدة بحد ذاتها، بل في منع قرارات AI من البقاء محصورة في فريق تقني واحد.

Evidence Pack

[ممارسة تنفيذية]

لكل AI system مالي مؤثر، احتفظ بملف أدلة يتضمن:

1. Use case.
2. Regulatory scope.
3. System owner.
4. Model/provider.
5. Data sources.
6. Risk classification.
7. Validation.
8. Human oversight.
9. Security review.
10. Privacy review.
11. Vendor assessment.
12. Outsourcing assessment.
13. Model/version record.
14. Monitoring metrics.
15. Incidents.
16. Approvals.
17. Change history.
18. Exit plan.

العلاقة مع إطار حوكمة AI الوطني

الإطار الوطني لحوكمة AI يضيف طبقة أفقية تتعلق بالمخاطر والمسؤولية ودورة الحياة والإشراف والتقييم.

أما قانون FinTech وقرارات FRA فتضيف الطبقة القطاعية.

أفضل نموذج امتثال ليس اختيار أحدهما، بل بناء Regulatory Stack يحدد لكل AI system جميع الطبقات التي تنطبق عليه.

Regulatory Stack مقترح

AI use case داخل نشاط مالي غير مصرفي قد يحتاج إلى تحليل:

1. قانون النشاط المالي الأساسي.
2. قانون 5/2022 عندما ينطبق.
3. قرارات FRA ذات الصلة.
4. قانون حماية البيانات عندما توجد بيانات شخصية.
5. متطلبات الأمن والبنية التقنية.
6. إطار حوكمة AI الوطني.
7. العقود والموردين.
8. السياسات الداخلية.

Go-Live Gate

قبل نشر AI system مؤثر في نشاط مالي:

• حدد regulatory owner.
• حدد system owner.
• أكمل risk assessment.
• تحقق من البيانات.
• اختبر model.
• راجع vendor.
• راجع outsourcing.
• راجع security.
• راجع privacy.
• حدد human oversight.
• سجل version.
• حدد limits.
• ضع monitoring.
• حدد incident response.
• جهز rollback.
• وثق approval.

الخلاصة

الإطار المصري للتكنولوجيا المالية لا يعامل التقنية كمساحة منفصلة عن النشاط المالي.

AI يمكن أن يكون أداة قوية داخل القطاع المالي غير المصرفي، لكن كلما اقترب من القرار أو العميل أو المعاملة أو الهوية أو المورد الخارجي، أصبح جزءاً من control environment التنظيمي.

القاعدة العملية هي:

لا تحكم AI المالي كنموذج فقط؛ احكم كامل الخدمة المالية التي أصبح النموذج جزءاً منها.