الإرشادات الوطنية المصرية للذكاء الاصطناعي التوليدي 2026: حوكمة النماذج والمخرجات والبيانات والاستخدام

لماذا يحتاج Generative AI إلى إرشادات خاصة؟

Generative AI يختلف عن كثير من الأنظمة التقليدية لأنه لا يكتفي بالتصنيف أو التنبؤ، بل يستطيع إنشاء:

• text.
• images.
• audio.
• video.
• software code.
• synthetic content.

كما أن النماذج العامة يمكن استخدامها في مئات الحالات المختلفة.

هذا يوسع نطاق المخاطر بصورة كبيرة.

من أين تأتي المخاطر؟

الخطر لا يأتي من النموذج وحده.

قد يأتي من:

• training data.
• user prompts.
• retrieval sources.
• system instructions.
• external tools.
• plugins.
• APIs.
• model provider.
• generated outputs.
• downstream use.

لذلك يجب فهم النظام كسلسلة كاملة.

Hallucination

الهلوسة هي إنتاج محتوى يبدو مقنعاً لكنه غير صحيح.

المشكلة لا تكون متساوية في كل استخدام.

خطأ في مسودة بريد داخلي يختلف عن:

• نصيحة طبية.
• قرار مالي.
• تحليل قانوني.
• معلومات حكومية.
• قرار بشأن شخص.

التحقق من المخرجات

[ممارسة تنفيذية]

في الاستخدامات الحساسة يجب تحديد:

• ما الذي يحتاج تحققاً؟
• من يراجع؟
• ما المصدر المعتمد؟
• هل يمكن نشر المخرج مباشرة؟
• متى يرفض النظام الإجابة؟

Misinformation

قد ينتج GenAI معلومات خاطئة دون قصد.

وقد يستخدم عمداً لإنتاج misinformation أو disinformation.

المؤسسة تحتاج إلى الفصل بين:

• accidental inaccuracy.
• deliberate misuse.

Deepfakes

التزييف العميق مثال واضح على مخاطر synthetic media.

تشمل الحوكمة:

• consent.
• labeling.
• disclosure.
• provenance.
• prevention of deception.
• high-risk contexts.
• impersonation risk.

Synthetic Media

ليس كل محتوى اصطناعي Deepfake.

قد تكون صورة أو صوتاً أو شخصية افتراضية أو إعلاناً مولداً بالكامل.

التحدي هو أن يعرف المتلقي متى يحتاج السياق إلى الإفصاح.

الخصوصية

GenAI يخلق مخاطر جديدة:

• إدخال بيانات شخصية في prompt.
• إرسال أسرار تجارية.
• رفع مستندات داخلية.
• الاحتفاظ بالمحادثات.
• استخدام المدخلات في training.
• الاستنتاج من البيانات.

لذلك يجب فهم سياسة المورد وليس فقط قدرات النموذج.

بيانات المؤسسة

[ممارسة تنفيذية]

يجب أن تحدد المؤسسة بوضوح:

Allowed بيانات عامة أو غير حساسة.

Restricted بيانات داخلية بحسب السياسة.

Prohibited بيانات شخصية أو حساسة أو أسرار أو credentials عند غياب الضمانات المناسبة.

RAG

Retrieval-Augmented Generation قد يقلل بعض مشاكل الهلوسة لكنه يخلق مخاطر أخرى:

• unauthorized retrieval.
• stale data.
• incorrect documents.
• permission leakage.
• poisoning of knowledge sources.

RAG ليس ضماناً للحقيقة.

Fine-Tuning

عند fine-tuning يجب تقييم:

• training data rights.
• privacy.
• quality.
• bias.
• retention.
• deletion.
• model behavior after tuning.

Intellectual Property

GenAI يثير قضايا حول:

• training content.
• input materials.
• generated output.
• copyrighted work.
• licensing.
• trademarks.
• confidential information.

المؤسسة تحتاج إلى معرفة شروط المورد وعدم افتراض الملكية الكاملة للمخرجات تلقائياً.

Human Oversight

كلما زاد أثر المخرج يجب أن يزيد مستوى المراجعة.

المراجعة البشرية تحتاج إلى:

• competency.
• authority.
• context.
• documentation.

Government Use

الجهات الحكومية تحتاج إلى حذر إضافي بسبب:

• citizen data.
• public trust.
• official information.
• transparency.
• administrative decisions.
• national security.

Enterprise Use

في الشركات تظهر حالات مثل:

• customer service.
• marketing.
• legal drafting.
• HR.
• coding.
• analysis.
• procurement.
• internal knowledge.

كل حالة لها Risk Profile مختلف.

Employee Shadow AI

أحد المخاطر الرئيسية هو استخدام الموظفين أدوات عامة دون موافقة.

قد يؤدي ذلك إلى:

• data leakage.
• compliance breaches.
• IP exposure.
• inconsistent outputs.
• unlogged business decisions.

[ممارسة تنفيذية]

سياسة Acceptable Use يجب أن تكون جزءاً من GenAI governance.

Model Provider Risk

الاعتماد على مزود خارجي يخلق مخاطر مثل:

• model changes.
• service outage.
• retention changes.
• policy changes.
• training use.
• geographic processing.
• sub-processors.
• security incidents.

Monitoring

يجب مراقبة النظام بعد الإطلاق.

خصوصاً:

• output quality.
• harmful content.
• hallucination rates.
• complaints.
• misuse.
• security incidents.
• prompt attacks.
• data leakage.

Incident Response

حادث GenAI قد يكون:

• disclosure of data.
• harmful recommendation.
• deepfake generation.
• unauthorized action.
• repeated hallucination in critical workflow.
• provider breach.

يجب ألا تعتمد الاستجابة على فريق IT وحده.

قد تحتاج:

• legal.
• privacy.
• security.
• business owner.
• communications.

من GenAI إلى Agentic AI

أحد أهم التطورات هو انتقال النماذج من:

“أعطني إجابة”

إلى:

“نفذ المهمة.”

عندما يمتلك النظام أدوات وصلاحيات وذاكرة وقدرة على تنفيذ خطوات متتابعة، تتغير الحوكمة جذرياً.

لهذا السبب يستحق Agentic AI تحليلاً مستقلاً.

العلاقة بإطار الحوكمة المصري

GenAI لا يعمل خارج Framework.

يمكن أن يخضع لتصنيف مخاطر مختلف حسب الاستخدام.

نفس النموذج قد يكون:

• low-risk في brainstorming.
• limited-risk في customer interaction.
• high-risk إذا استخدم لاتخاذ قرار حساس.

الخلاصة

حوكمة GenAI ليست Content Moderation فقط.

هي حوكمة:

النموذج + المورد + البيانات + الصلاحيات + المستخدم + المخرجات + التكامل + دورة الحياة.

حوكمة دورة حياة GenAI داخل المؤسسة

إدخال نموذج توليدي إلى المؤسسة ليس قرار شراء أداة فقط.

دورة الحوكمة يجب أن تبدأ قبل اختيار المنتج نفسه.

تحديد الحاجة

هل GenAI هو الحل المناسب فعلاً؟

قد تكون بعض المشكلات أفضل باستخدام:

• search.
• rules engine.
• traditional ML.
• workflow automation.
• deterministic software.

اختيار GenAI دون حاجة واضحة قد يضيف مخاطر وتعقيداً من غير قيمة مضافة حقيقية.

اختيار النموذج

يجب النظر إلى:

• capabilities.
• language performance.
• context window.
• privacy options.
• hosting model.
• safety controls.
• auditability.
• cost.
• vendor maturity.
• geographic processing.

الاختبار

يجب اختبار النموذج على حالات المؤسسة الفعلية، لا الاكتفاء بنتائج Benchmark عامة.

الإطلاق

ينبغي تحديد المستخدمين والصلاحيات وحدود الاستخدام.

المراقبة

بعد الإطلاق يجب تتبع جودة المخرجات والحوادث والتغيرات في النموذج أو المورد.

Prompt Governance

الـPrompt قد يبدو مجرد نص، لكنه في الأنظمة المؤسسية قد يكون جزءاً من منطق العمل.

System Prompts قد تحتوي على:

• قواعد.
• حدود.
• workflow logic.
• safety instructions.
• access behavior.

[ممارسة تنفيذية]

في الاستخدامات المهمة يجب إدارة System Prompts كأصول يتم:

• versioning لها.
• مراجعتها.
• اختبارها.
• تحديد من يستطيع تعديلها.
• تسجيل التغييرات عليها.

تغيير Prompt مركزي قد يغير سلوك النظام مثل تغيير جزء من الكود.

حماية المعلومات السرية

ليس كل خطر بيانات في GenAI متعلقاً بالبيانات الشخصية.

قد تشمل المدخلات:

• خطط أعمال.
• شفرة برمجية.
• أسرار تجارية.
• عقود.
• تقارير أمنية.
• معلومات عملاء.
• بيانات مالية.
• مراسلات داخلية.

لذلك يجب أن تغطي السياسة Confidential Information أيضاً، وليس Privacy فقط.

استخدام GenAI في البرمجة

Coding Assistants قد تسرّع التطوير لكنها تخلق مخاطر مثل:

• vulnerable code.
• insecure dependencies.
• hallucinated APIs.
• license issues.
• exposed secrets.
• inappropriate code reuse.

[ممارسة تنفيذية]

الكود المولد يجب أن يخضع لنفس أو أعلى مستوى من:

• code review.
• security scanning.
• testing.
• dependency review.

ولا ينبغي اعتباره موثوقاً لمجرد أنه قابل للترجمة أو التشغيل.

استخدام GenAI في الموارد البشرية

حالات HR تحتاج إلى حذر إضافي عندما تنتقل من صياغة النصوص إلى:

• screening.
• ranking.
• performance interpretation.
• promotion recommendations.
• employee profiling.

كلما اقترب النظام من قرار يؤثر في حياة الموظف، زاد احتمال ارتفاع مستوى المخاطر والحاجة إلى human review وتوثيق أوضح.

استخدام GenAI في الخدمات القانونية والامتثال

يمكن استخدام GenAI في:

• تلخيص لوائح.
• draft policies.
• search.
• contract review support.

لكن الخطر يظهر إذا تحول النظام إلى مصدر نهائي للحكم القانوني بدون تحقق.

المشكلة ليست فقط hallucination؛ بل قد تكون الوثيقة:

• قديمة.
• غير نافذة.
• خارج الاختصاص.
• غير مكتملة.
• تم تفسيرها دون سياق.

ولهذا تبقى مسؤولية التحقق على المؤسسة والخبير المختص.

استخدام GenAI في الرعاية الصحية

حتى عندما لا يصدر النموذج تشخيصاً مباشراً، قد يستخدم في:

• تلخيص السجل.
• documentation.
• patient communication.
• decision support.

هذه الاستخدامات تحتاج إلى تقييم حساسية البيانات، وصحة المخرجات، وحدود الاستخدام، ومسؤولية المختص البشري.

الإفصاح للمستخدم

ليس كل استخدام لـAI يتطلب الشكل نفسه من الإفصاح.

لكن السياقات التي قد يعتقد فيها المستخدم أنه يتعامل مع إنسان أو محتوى أصلي تحتاج إلى تحليل خاص.

الإفصاح يمكن أن يساعد في:

• transparency.
• informed interaction.
• reducing deception.
• complaint handling.

Provenance والمصدر

كلما أصبح المحتوى الاصطناعي أكثر واقعية، تزداد أهمية معرفة:

• من أنشأه؟
• بأي أداة؟
• هل تم تعديله؟
• هل يمثل حدثاً حقيقياً؟
• هل هناك سجل أصل؟

Provenance لا يمنع التضليل وحده، لكنه جزء من منظومة الثقة.

حماية الأطفال والفئات الأكثر عرضة

بعض الفئات قد تكون أكثر عرضة:

• للأطفال.
• كبار السن.
• الأشخاص ذوي المعرفة الرقمية المحدودة.
• مستخدمي الخدمات الصحية أو الاجتماعية.

في هذه الحالات قد تحتاج المؤسسة إلى ضوابط أقوى على:

• المحتوى.
• الإقناع.
• الاستهداف.
• personalization.
• الإفصاح.

قياس جودة GenAI

لا يمكن قياس جودة GenAI بمقياس واحد.

قد تحتاج المؤسسة إلى تقييم:

• factuality.
• relevance.
• harmfulness.
• bias.
• instruction adherence.
• citation quality.
• refusal behavior.
• consistency.
• latency.
• cost.

[ممارسة تنفيذية]

يجب ربط كل Use Case بمقاييس مناسبة له بدلاً من استخدام Benchmark عام لكل شيء.

تغير النموذج بدون تدخل المؤسسة

في SaaS AI يمكن أن يغير المورد النموذج أو safety layer أو behavior.

هذا يخلق مشكلة Governance مهمة:

النظام داخل المؤسسة قد يتغير دون أن يغيّر فريق المؤسسة أي كود.

لذلك يجب مراقبة:

• model version.
• release notes.
• behavioral changes.
• policy changes.

وعند التغيير الجوهري قد يكون من الضروري إعادة الاختبار.

استراتيجية الخروج من مزود GenAI

Vendor Lock-In قد يظهر في:

• proprietary prompts.
• embeddings.
• vector stores.
• fine-tuned models.
• proprietary APIs.
• workflow integrations.

[ممارسة تنفيذية]

قبل الاعتماد الواسع يجب التفكير في:

• export.
• deletion.
• migration.
• alternative provider.
• continuity.
• data portability.

متى يجب منع حالة استخدام GenAI؟

قد تقرر المؤسسة أن المخاطر لا يمكن خفضها بما يكفي.

مثلاً إذا كان الاستخدام:

• يعتمد على بيانات لا يجوز مشاركتها.
• يتخذ قراراً عالي الأثر دون مراجعة مناسبة.
• لا يمكن التحقق من مخرجاته بدرجة كافية.
• يعتمد على مورد لا يوفر ضمانات ضرورية.
• يخلق احتمال تضليل غير مقبول.

الحوكمة ليست آلية للموافقة على كل مشروع؛ أحياناً تكون النتيجة الصحيحة هي عدم النشر.