المصارف الرقمية والذكاء الاصطناعي في العراق: الحوكمة والأتمتة والبيانات والمخاطر التشغيلية

لماذا يحتاج المصرف الرقمي إلى قراءة مستقلة؟

المصرف الرقمي ليس مجرد مصرف تقليدي نقل خدماته إلى تطبيق على الهاتف.

النموذج التشغيلي نفسه يعتمد بدرجة أكبر على الهوية الرقمية، والقنوات الإلكترونية، والأتمتة، وتكامل الأنظمة، والبيانات، والخدمات الخارجية، والبنية التقنية المستمرة.

لهذا فإن دخول الذكاء الاصطناعي إلى مصرف رقمي لا يمثل إضافة جانبية.

قد يصبح AI جزءًا من طريقة تشغيل المؤسسة نفسها.

يمكن أن يدعم كشف الاحتيال، وتحليل السلوك، وخدمة العملاء، وفرز العمليات، ومراقبة المخاطر، واكتشاف الحالات غير الطبيعية، ودعم القرارات الائتمانية، وتحسين العمليات الداخلية.

كلما ارتفع اعتماد المصرف على الأتمتة، ازدادت الحاجة إلى معرفة أين توجد حدود القرار الآلي ومن يتحمل المسؤولية عندما يفشل.

البيئة التنظيمية العراقية للمصارف الرقمية

نشر البنك المركزي العراقي في أبريل 2026 حزمة خاصة بالمصارف الرقمية تتضمن كتيب معايير المصارف الرقمية، ودليلًا للتقييم التفصيلي للمعايير، ووثيقة للخطة الزمنية لترخيص المصارف الرقمية.

وجود هذه الحزمة يعني أن المصرف الرقمي أصبح موضوعًا رقابيًا مستقلًا داخل البيئة المصرفية العراقية.

لكن يجب الحفاظ على تمييز واضح:

هذه الوثائق هي معايير وتنظيمات للمصارف الرقمية.

وليست تنظيمًا مستقلًا للذكاء الاصطناعي.

عندما يستخدم مصرف رقمي AI داخل عملياته، يجب قراءة مخاطر AI ضمن الإطار الرقابي والتقني والتشغيلي الأوسع للمصرف، وليس باعتبار النظام منفصلًا عنه.

🔴 الاستراتيجية الوطنية للذكاء الاصطناعي ما تزال مسودة

الاستراتيجية الوطنية العراقية للذكاء الاصطناعي وتكامل البيانات الضخمة ما تزال قيد التطوير — Draft.

لذلك لا يجوز تقديم أي اتجاه وارد فيها بوصفه متطلبًا نهائيًا نافذًا على المصارف الرقمية.

نستخدمها هنا لفهم الاتجاه الوطني المستقبلي فقط.

أما المتطلبات القطاعية القائمة فتأتي من الأطر والضوابط الرسمية للبنك المركزي العراقي وغيرها من القواعد النافذة ذات الصلة.

المصرف الرقمي كمؤسسة تعتمد على البرمجيات

في المصرف التقليدي قد تكون بعض الخدمات الرقمية امتدادًا لعملية موجودة أصلًا.

أما في المصرف الرقمي، فالبرمجيات والمنصات والاتصالات والبيانات تشكل البنية الأساسية للخدمة.

هذا يجعل أي خلل تقني أكثر قربًا من العميل ومن قدرة المصرف على العمل.

إذا دخل AI في هذه الطبقة، يصبح النموذج جزءًا من الاعتماد التشغيلي للمؤسسة.

لذلك يجب أن تُعامل النماذج المؤثرة بوصفها أصولًا تشغيلية تحتاج إلى مالك ومراقبة وخطط استمرارية.

الأتمتة لا تلغي المسؤولية

قد يستطيع المصرف أتمتة عملية كانت تحتاج إلى موظف سابقًا.

لكن الأتمتة لا تلغي المسؤولية المؤسسية عن النتيجة.

إذا رفض النظام عملية سليمة، أو أخطأ في تصنيف عميل، أو رفع إنذارًا غير صحيح، يجب أن توجد جهة مسؤولة عن مراجعة النتيجة.

السؤال الحوكمي ليس فقط:

هل يستطيع AI تنفيذ المهمة؟

بل:

من يتحمل مسؤولية النتيجة؟

رحلة العميل الرقمية

في المصرف الرقمي تبدأ علاقة العميل غالبًا عبر قناة إلكترونية.

هذا يرفع أهمية عمليات التسجيل والتحقق والإلحاق الرقمي.

البنك المركزي العراقي لديه بالفعل ضوابط مرتبطة بتقديم خدمات الإلحاق الرقمي ضمن بيئة تقنية المعلومات والمدفوعات.

عندما يدخل AI في هذه الرحلة، يمكن أن يساعد في تحليل البيانات أو اكتشاف الأنماط أو دعم عمليات التحقق.

لكن أي استخدام يجب أن يبقى ضمن ضوابط واضحة.

الهدف هو دعم العملية، لا إنشاء نقطة قرار غير مرئية لا يمكن للمصرف تفسيرها لاحقًا.

التحقق من الهوية والأتمتة

أنظمة التحقق الرقمية يمكن أن تجمع عدة إشارات.

قد تشمل بعض التطبيقات الحديثة تحليل الصور أو مطابقة المعلومات أو اكتشاف الأنماط غير الطبيعية.

لكن استخدام AI هنا يحتاج إلى تقييم شديد الدقة.

فشل النظام في التحقق من شخص صحيح قد يمنعه من الوصول إلى خدمة مالية.

وفي الاتجاه الآخر، قبول هوية أو بيانات غير صحيحة قد يخلق مخاطر احتيال أو امتثال.

لذلك يجب قياس الخطأ في الاتجاهين، لا الاكتفاء بنسبة دقة واحدة.

كشف الاحتيال

المصرف الرقمي يوفر كمية كبيرة من البيانات اللحظية.

هذا يجعل AI مفيدًا لكشف الأنماط غير الطبيعية.

لكن المشكلة الأساسية هي الموازنة بين:

اكتشاف السلوك المشبوه.

وعدم تعطيل العملاء الطبيعيين.

النموذج شديد الحساسية قد ينتج كمية كبيرة من الإنذارات الكاذبة.

والنموذج المتساهل قد يفشل في اكتشاف حالات حقيقية.

الحوكمة هنا تحتاج إلى مؤشرات متوازنة، وليس هدفًا تقنيًا واحدًا.

القرارات الائتمانية

إذا استخدم المصرف الرقمي AI لدعم الائتمان، ترتفع درجة المخاطر.

يجب معرفة:

ما البيانات المستخدمة؟

هل هي ذات صلة فعلية بالقرار؟

هل يوجد تاريخ كافٍ؟

هل النموذج قابل للتحقق؟

ما الحالات التي تتطلب مراجعة بشرية؟

وهل يستطيع المصرف تفسير العوامل المؤثرة عندما يعترض العميل؟

زيادة سرعة القرار ليست مبررًا لتقليل القدرة على المساءلة.

مخاطر النموذج

المصرف الرقمي قد يستخدم عشرات النماذج والخدمات الذكية.

إذا لم يوجد سجل مركزي، تتحول المخاطر بسرعة إلى "Shadow Models".

يمكن أن تستخدم الإدارات حلولًا مختلفة دون معرفة إدارة المخاطر أو الأمن.

السجل يجب أن يتضمن على الأقل:

اسم النظام.

الغرض.

المالك.

المورد.

نوع النموذج.

مصادر البيانات.

القرار الذي يدعمه.

تاريخ الاعتماد.

وآخر مراجعة.

التحقق المستقل

النموذج الذي يطوره فريق العمل لا يجب أن يعتمد فقط بناء على تقييم الفريق نفسه في الحالات عالية الأثر.

ينبغي وجود مراجعة مستقلة تتناسب مع مستوى المخاطر.

قد تشمل:

اختبار الأداء.

اختبار حالات الفشل.

اختبار التحيز.

اختبار البيانات.

اختبار الأمن.

ومراجعة الوثائق.

الهدف ليس خلق طبقة بيروقراطية، بل منع أن يكون المطور هو الطرف الوحيد الذي يقرر صلاحية النموذج.

إدارة التغيير

المشكلة في AI أن "النظام نفسه" قد يتغير دون أن يتغير اسم المنتج.

يمكن لمورد خارجي تحديث النموذج.

وقد تتغير البيانات.

وقد يتغير Prompt أو منطق الاسترجاع أو قواعد القرار.

لذلك يجب تحديد ما يعتبر تغييرًا جوهريًا يستوجب إعادة تقييم.

ليس كل تحديث يحتاج موافقة كاملة، لكن التغيير المؤثر لا يجب أن يمر بصمت.

البنية المعمارية

المصرف الرقمي يعتمد على مجموعة مترابطة من المكونات.

أنظمة أساسية.

تطبيقات.

قواعد بيانات.

بوابات.

خدمات دفع.

مزودو هوية.

خدمات خارجية.

ونماذج AI.

كل اتصال يخلق اعتمادًا.

لهذا فإن خريطة البنية التقنية للمصرف يجب أن توضح أين يوجد AI وأي خدمات تعتمد عليه.

المخاطر لا يمكن إدارتها إذا كان النموذج غير ظاهر في Architecture Map.

واجهات التكامل

البيئة الرقمية الحديثة تعتمد على تكامل الأنظمة.

عندما يحصل AI على البيانات عبر خدمة أو واجهة، يجب التحكم في الصلاحيات.

ليس مطلوبًا أن يحصل النموذج على كامل قاعدة البيانات إذا كان يحتاج إلى جزء محدود.

يجب تحديد:

نوع البيانات.

الغرض.

حجم الطلب.

معدل الوصول.

والسجل المطلوب.

هذه الضوابط تقلل أثر إساءة الاستخدام أو الخطأ.

حوكمة البيانات

المصرف الرقمي ينتج ويستهلك كميات كبيرة من البيانات.

البيانات قد تأتي من العميل، أو المعاملات، أو الأنظمة الداخلية، أو مصادر خارجية.

يجب أن توجد قواعد واضحة لمعرفة:

من يملك البيانات؟

من يستطيع تعديلها؟

ما مصدرها؟

ما درجة جودتها؟

ما مدة الاحتفاظ بها؟

وهل يسمح باستخدامها في الغرض الجديد؟

توفر البيانات تقنيًا لا يعني أن استخدامها في AI مشروع أو مناسب تلقائيًا.

مصدرية البيانات

عندما يتخذ نظام AI قرارًا أو توصية مهمة، يجب أن يستطيع المصرف معرفة البيانات التي دخلت في العملية.

مصدرية البيانات مهمة للتحقيق.

إذا ظهرت نتيجة خاطئة، يجب أن نستطيع تحديد:

هل كانت المشكلة في النموذج؟

أم في مصدر البيانات؟

أم في عملية التحويل؟

أم في تكامل نظام خارجي؟

بدون هذه القدرة تصبح معالجة السبب الحقيقي أكثر صعوبة.

حماية البيانات بالتصميم

المصرف الرقمي يحتاج إلى إدخال حماية البيانات منذ التصميم، وليس بعد تشغيل الخدمة.

هذا يعني تقليل البيانات.

تحديد الوصول.

الفصل بين البيئات.

تجنب الاحتفاظ غير الضروري.

وتقييم الخدمات الخارجية.

AI قد يشجع على جمع مزيد من البيانات بسبب الرغبة في تحسين النموذج، لكن هذا لا يعني أن الجمع غير المحدود ممارسة سليمة.

الأطراف الثالثة

النموذج التشغيلي للمصرف الرقمي قد يعتمد بقوة على الأطراف الثالثة.

يمكن أن يقدم المورد:

خدمة سحابية.

نموذج AI.

خدمة تحقق.

خدمة مراقبة.

تحليلات.

أو مكونات بنية أساسية.

كل طرف إضافي يوسع سلسلة المخاطر.

المصرف يبقى مسؤولًا عن معرفة أين توجد الخدمات الحرجة وكيف يمكن أن تؤثر على العملاء.

تركّز الموردين

ليس المهم فقط عدد الموردين.

قد يكون لدى المصرف عشرة موردين، لكن خمس خدمات حرجة تعتمد في النهاية على نفس مزود البنية.

هذا يسمى تركّز الاعتماد.

إذا فشل المورد الأساسي، قد تتأثر عدة وظائف في الوقت نفسه.

لذلك يجب أن تنظر إدارة المخاطر إلى سلسلة الاعتماد الفعلية وليس العقد المباشر فقط.

نقل البيانات عبر الحدود

المصرف الرقمي قد يعتمد على مزودين أو خدمات تعمل في أكثر من دولة.

عند استخدام AI خارجي يجب معرفة أين تعالج البيانات.

السؤال لا يقتصر على مكان تخزين قاعدة البيانات الرئيسية.

قد يتم إرسال Prompt أو جزء من سجل العميل أو Metadata إلى خدمة أخرى.

يجب رسم تدفق البيانات كاملًا.

الأمن السيبراني

ضوابط الصمود السيبراني الصادرة عن البنك المركزي العراقي توفر طبقة مهمة للمصرف الرقمي.

AI يضيف سطح هجوم جديدًا.

قد يستهدف المهاجم:

مدخلات النموذج.

واجهات التكامل.

بيانات الاسترجاع.

الصلاحيات.

أو منطق الأتمتة.

ولهذا لا يجب فصل AI Security عن برنامج الأمن السيبراني للمصرف.

الصمود التشغيلي

المصرف الرقمي يعتمد على توافر الخدمات باستمرار.

إذا كان AI مكونًا أساسيًا في رحلة العميل، فإن تعطل النموذج يمكن أن يعطل الخدمة نفسها.

يجب تحديد:

هل توجد آلية بديلة؟

هل يمكن تخفيض مستوى الأتمتة؟

هل تستطيع العملية الرجوع إلى مراجعة بشرية؟

كم تستغرق الاستعادة؟

هذه سيناريوهات يجب اختبارها وليس كتابتها فقط في خطة استمرارية.

Fail-Safe وليس Fail-Open دائمًا

عندما يفشل نموذج AI، يجب أن يكون للمصرف سلوك محدد.

في بعض الحالات يجب إيقاف القرار.

وفي حالات أخرى يمكن تحويله إلى موظف.

وفي حالات منخفضة المخاطر يمكن استخدام مسار بديل.

لا يجب أن يكون السلوك الافتراضي دائمًا هو استمرار العملية وكأن شيئًا لم يحدث.

الإشراف البشري

الإشراف البشري في المصرف الرقمي يجب أن يُصمم عمدًا.

إذا كانت كل العملية آلية، يجب تحديد نقاط يمكن عندها للإنسان التدخل.

الإنسان يحتاج إلى:

معلومات.

صلاحية.

وقت.

ومسار تصعيد.

وجود زر "Approve" لا يعني أن هناك إشرافًا حقيقيًا.

تجربة العميل

الحوكمة ليست ضد سهولة الاستخدام.

العكس صحيح.

النظام الذي ينتج قرارات غير مفهومة أو إنذارات خاطئة باستمرار يضر تجربة العميل.

يمكن تصميم الحوكمة بطريقة تجعل الاعتراضات والاستثناءات والحالات غير العادية أكثر سرعة ووضوحًا.

الشفافية

لا يحتاج العميل إلى معرفة بنية النموذج كاملة.

لكن في القرارات المؤثرة يجب أن يعرف بصورة مناسبة:

أن الأتمتة أو AI مستخدم.

ما طبيعة القرار.

كيف يمكن طلب مراجعة.

ومن أين يحصل على الدعم.

هذه الشفافية تقلل مخاطر تحويل النظام إلى سلطة لا يمكن مناقشتها.

أثر التدقيق

المصرف الرقمي يحتاج إلى سجل قوي للأحداث.

في استخدام AI عالي الأثر، يجب أن يستطيع لاحقًا تحديد:

المستخدم.

الوقت.

النموذج.

الإصدار.

البيانات.

القرار.

الاستثناء.

والتدخل البشري.

هذا السجل يخدم التدقيق والحوادث والشكاوى والرقابة.

المراقبة المستمرة

لا يكفي اعتماد النظام مرة واحدة.

يجب مراقبة:

الدقة.

الانحراف.

نسب الخطأ.

الحوادث.

زمن الاستجابة.

الاعتماد على الخدمة الخارجية.

ونسبة التدخل البشري.

المؤشرات تساعد على اكتشاف التدهور قبل أن يتحول إلى مشكلة واسعة.

العلاقة مع معايير المصارف الرقمية 2026

معايير المصارف الرقمية الصادرة عن البنك المركزي هي الإطار القطاعي الأساسي لهذا المقال.

لكن يجب عدم تحميلها ما لم تقله.

هي لا تتحول تلقائيًا إلى AI Governance Standard.

الاستخدام الصحيح هو أن تبدأ المؤسسة من متطلبات التشغيل والحوكمة والتقييم والترخيص الخاصة بالمصرف الرقمي، ثم تضيف طبقة متخصصة لإدارة مخاطر AI حيثما تستخدم التقنية داخل هذا النموذج.

العلاقة مع ضوابط الصمود السيبراني

الصمود السيبراني ليس مجرد Framework أمني منفصل.

بالنسبة للمصرف الرقمي، التوافرية والأمن والاستجابة للحوادث أجزاء من قدرة المصرف على الاستمرار.

إذا كان AI جزءًا من النظام، يجب إدخاله في:

اختبارات التعافي.

سيناريوهات الهجوم.

خرائط الاعتماد.

وتمارين الحوادث.

ما الذي لا يمكن استنتاجه؟

لا يمكن القول إن معايير المصارف الرقمية العراقية تفرض استخدام AI.

ولا يمكن القول إنها تمنع استخدامه.

ولا يمكن تقديمها باعتبارها AI Regulation.

ولا يمكن التعامل مع الاستراتيجية الوطنية للذكاء الاصطناعي، التي ما تزال مسودة، كالتزام نهائي.

ما يمكن قوله هو أن المصرف الرقمي يعمل داخل بيئة رقابية رقمية متزايدة النضج، وأن استخدام AI داخلها يحتاج إلى طبقة حوكمة متناسبة مع أثر النظام.

نموذج قرار للمصرف الرقمي

قبل الموافقة على أي AI use case، يجب أن يستطيع المصرف الإجابة عن خمسة أسئلة:

ما القرار الذي يدعمه النظام؟

ما البيانات التي يستخدمها؟

ما الضرر الممكن إذا أخطأ؟

ما الطرف الخارجي الذي نعتمد عليه؟

وكيف نستمر إذا فشل؟

إذا لم توجد إجابات واضحة، المشروع غير جاهز للإنتاج مهما كانت جودة النموذج في العرض التجريبي.

ما الذي يجب تنفيذه قبل الإطلاق؟

قبل Production يجب وجود:

مالك واضح.

تقييم مخاطر.

مصادر بيانات موثقة.

مراجعة للمورد.

اختبارات.

متطلبات أمن.

خطة فشل.

مؤشرات مراقبة.

وأثر تدقيق.

التحقق من هذه العناصر أهم من عدد خصائص AI التي يحتويها المنتج.

الخلاصة التنفيذية

المصرف الرقمي هو أحد البيئات الأكثر قابلية للاستفادة من الذكاء الاصطناعي، وهو في الوقت نفسه من أكثر البيئات التي يمكن أن يتحول فيها الخطأ التقني إلى أثر مالي أو تنظيمي أو مباشر على العميل.

إصدار البنك المركزي العراقي حزمة مستقلة لمعايير وتقييم وترخيص المصارف الرقمية في 2026 يعكس تطورًا واضحًا في البيئة القطاعية.

لكن استخدام AI داخل هذا النموذج يحتاج إلى طبقة إضافية من الحوكمة.

الهدف ليس منع الأتمتة.

الهدف هو معرفة أين توجد، وما البيانات التي تستخدمها، وما المخاطر التي تخلقها، ومن يتحمل مسؤوليتها، وكيف يستمر المصرف عندما تفشل.

المصرف الرقمي الناضج لا يقاس بعدد العمليات التي أتمتها.

يقاس بقدرته على أتمتتها دون فقدان السيطرة عليها.