إطار البنك المركزي الأردني للذكاء الاصطناعي في القطاع المصرفي: ماذا يعني للمؤسسات؟

إطار البنك المركزي الأردني للذكاء الاصطناعي في القطاع المصرفي: ماذا يعني للمؤسسات؟

لماذا يمثل هذا الإطار نقطة تحول في المشهد الأردني؟

لم يعد تنظيم الذكاء الاصطناعي في القطاع المالي الأردني يقتصر على السياسة الوطنية العامة أو المختبر التنظيمي JoRegBox أو القواعد الأفقية مثل حماية البيانات والأمن السيبراني. فقد أصدر البنك المركزي الأردني Artificial Intelligence Framework for the Banking and Financial Sectors in Jordan — Version 1.0, July 2025 ليضع إطارًا قطاعيًا مباشرًا لاستخدام الذكاء الاصطناعي لدى المؤسسات المصرفية الخاضعة لرقابته.

هذا مهم لأن الإطار لا يتعامل مع الذكاء الاصطناعي باعتباره تجربة تقنية منفصلة، بل باعتباره قدرة مؤسسية يجب أن تدخل ضمن الحوكمة وإدارة المخاطر والامتثال والبيانات والأمن واستمرارية الأعمال وإدارة الأطراف الثالثة.

والأهم أن نطاقه لا يقتصر على الأنظمة التي تطورها المؤسسة بنفسها. فهو يشمل الحالات التي:

• تطور فيها المؤسسة نظام AI داخليًا.
• تشتري فيها نظامًا أو خدمة تعتمد على AI.
• تستعين فيها بمورد أو طرف خارجي لتنفيذ عمليات أو وظائف تعتمد مباشرة على AI.

لذلك فإن شراء نموذج أو منصة جاهزة لا ينقل مسؤولية الحوكمة خارج المؤسسة.

من هو المسؤول عن الإطار؟

يوضح الإطار أن البنك المركزي الأردني هو الجهة الناشرة والمالكة له، والمسؤولة عن تقييم وضمان فعالية تطبيقه عبر الجهات الخاضعة لنطاقه.

وفي المقابل تتحمل المؤسسة نفسها مسؤولية تبني الإطار ودمجه والمحافظة عليه داخل عملياتها.

هذه الثنائية مهمة:

CBJ = إشراف وتقييم ومتابعة الإطار. المؤسسة = تطبيق ودمج وصيانة الحوكمة داخل عملياتها.

وبذلك لا يصبح الامتثال مجرد وثيقة مركزية صادرة عن الجهة المنظمة؛ بل مسؤولية تشغيلية داخل المؤسسة المصرفية.

من داخل المؤسسة يجب أن يهتم؟

الجمهور المستهدف واسع. الإطار يذكر أدوارًا تشمل:

• مجلس الإدارة.
• الإدارة العليا والتنفيذية.
• مالكي الأعمال والأصول المعلوماتية.
• مسؤولي المخاطر والامتثال.
• مهندسي AI/ML.
• علماء البيانات.
• فرق أمن المعلومات.
• فرق تقنية المعلومات.

وهذا يعكس طبيعة AI Governance كمسؤولية متعددة الوظائف وليست وظيفة تقنية فقط.

بالنسبة للمؤسسات، هذا يعني أن توزيع المسؤوليات يجب ألا يتركز في Data Science أو IT وحدهما. يجب أن يكون هناك ربط واضح بين القرار التنفيذي والمخاطر والامتثال والبيانات والأمن والفرق التقنية.

الهدف الأول: إنشاء بنية حوكمة وإشراف واضحة

يضع الإطار الحوكمة والإشراف في بدايته، ويطلب من المؤسسة إنشاء لجنة للإشراف على الذكاء الاصطناعي أو تفويض مسؤوليات حوكمة AI بوضوح إلى جهة حوكمة قائمة داخل المؤسسة.

كما يربط مبادرات AI بالأهداف الاستراتيجية للمؤسسة وبشهية المخاطر.

هذه نقطة عملية جدًا: لا يكفي أن توجد حالات استخدام ناجحة تقنيًا. يجب أن يعرف البنك:

• من يوافق؟
• من يملك المخاطر؟
• من يراقب؟
• من يستطيع إيقاف الاستخدام؟
• من يتحمل المسؤولية عن النتائج؟
• كيف ترتبط المبادرة باستراتيجية البنك وشهية المخاطر؟

ويحدد الإطار مجالات إشراف واسعة للجنة أو الجهة المكافئة تشمل حوكمة وأخلاقيات AI، حوكمة البيانات، الأمن والمرونة، البنية التقنية، الامتثال القانوني والتنظيمي، وإدارة مخاطر الذكاء الاصطناعي.

كما ينص على ضرورة وجود إشراف واضح حتى عندما لا تتوفر وظيفة مخصصة؛ عندها يجب إسناد المسؤوليات إلى أدوار أو لجان مناسبة.

الهدف الثاني: إدارة AI وفق نهج قائم على المخاطر

من أقوى عناصر الإطار أنه لا يعامل كل استخدامات الذكاء الاصطناعي بالطريقة نفسها.

على المؤسسة تبني نهج قائم على المخاطر وتصنيف تطبيقات AI وفق أثرها المحتمل إلى:

• مخاطر منخفضة.
• مخاطر متوسطة.
• مخاطر مرتفعة.

ثم يجب مواءمة مستوى الإشراف مع التصنيف.

كما ينبغي دمج مخاطر AI في إطار إدارة المخاطر القائم في البنك بدل إنشاء منظومة منفصلة لا تتصل بإدارة المخاطر المؤسسية.

ويشجع الإطار التبني التدريجي، بدءًا من الأنظمة غير الحرجة قبل التوسع الكامل، مع دمج Human-in-the-Loop في الأنظمة الحرجة لضمان الإشراف والتدخل البشري عند الحاجة.

[ممارسة تنفيذية] يمكن للمؤسسة ترجمة ذلك إلى AI Use Case Register يحتوي على الأقل على الغرض، المالك، البيانات، المورد، درجة المخاطر، الضوابط، الموافقات، مستوى الإشراف البشري، وحالة المراقبة.

الهدف الثالث: الأخلاقيات والعدالة والشفافية

لا يكتفي الإطار بالإشارة العامة إلى «الاستخدام المسؤول». بل يفصل مبادئ تشمل:

• العدالة وعدم التمييز.
• الشفافية.
• المساءلة.
• قابلية التفسير.
• التخفيف من التحيز.
• استقلالية العميل وحقوقه.

بالنسبة للأنظمة ذات الأثر المادي على العملاء، مثل تقييم الائتمان أو إجراءات مكافحة الاحتيال، يركز الإطار على القدرة على إنتاج مخرجات قابلة للتفسير.

كما يطلب إشعار العملاء بصورة واضحة عندما يتفاعلون مع أنظمة تعتمد على AI، بحسب السياق، وتقديم تفسير مناسب للفئة المستهدفة.

ولا يفترض الإطار أن تفسيرًا واحدًا يناسب الجميع؛ فالمستخدم العام يحتاج شرحًا مبسطًا، بينما قد تحتاج الفرق الفنية والجهات الرقابية إلى تفاصيل أعمق وأدلة تدقيق.

خيار عدم استخدام AI ليس فكرة هامشية

يتناول الإطار أيضًا Customer Autonomy and Opt-out Rights.

فعندما يكون ذلك مناسبًا، ينبغي توفير آليات واضحة تسمح للعميل باختيار خدمة تقليدية أو غير قائمة على AI بدل التفاعل مع نظام آلي.

هذه النقطة مهمة لأنها تنقل النقاش من مجرد «شرح القرار» إلى سؤال آخر:

هل يستطيع العميل أصلًا تجنب بعض صور الأتمتة عندما يكون ذلك ممكنًا؟

ولا ينبغي تعميم هذا الحق على كل حالة استخدام دون فحص النص والسياق، لكنه عنصر واضح يجب إدخاله في تصميم رحلة العميل عندما ينطبق.

تقييم الأثر ليس حدثًا لمرة واحدة

يعرف الإطار Impact Assessment بوصفه عملية لتحديد وفهم وتوثيق وتخفيف الآثار الأخلاقية والقانونية والاقتصادية والمجتمعية المحتملة لنظام AI في استخدام محدد.

وهذا يتجاوز الفحص التقني للنموذج.

في القطاع المصرفي قد يحتاج التقييم إلى الربط بين:

• أثر القرار على العميل.
• التحيز والعدالة.
• الخصوصية.
• المخاطر المالية.
• المخاطر التشغيلية.
• السمعة.
• قابلية التفسير.
• الأمن.
• الاعتماد على المورد.
• القدرة على التدخل البشري.

ومن المهم عدم الخلط بين هذا التقييم وبين DPIA الخاص بحماية البيانات؛ قد يتقاطعان لكنهما لا يؤديان الوظيفة نفسها.

الامتثال التنظيمي: AI لا يعيش خارج القواعد القائمة

يوضح الإطار أن أنظمة AI يجب أن تتوافق مع المتطلبات المحلية والدولية المنطبقة والمعايير ذات الصلة.

وهذا يعني أن تطبيق الإطار لا يلغي المتطلبات الأخرى في البيئة الأردنية.

قد تدخل، بحسب الحالة، طبقات مثل:

• قانون حماية البيانات الشخصية.
• تعليمات البنك المركزي.
• قواعد الأمن السيبراني.
• متطلبات حماية المستهلك المالي.
• التزامات نقل البيانات عبر الحدود.
• متطلبات التعاقد والاستعانة بمصادر خارجية.

لذلك يجب أن يحتوي كل AI Use Case مصرفي على Applicability Matrix تربط حالة الاستخدام بالقواعد المنطبقة بدل افتراض أن «اتباع إطار AI» يغطي كل الالتزامات.

إدارة البيانات: الجودة والخصوصية والتتبع

يخصص الإطار محورًا كاملًا لإدارة البيانات.

وتظهر فيه قضايا مثل:

• حماية البيانات والخصوصية.
• إخفاء الهوية والتشفير.
• تقليل البيانات وفترات الاحتفاظ.
• جودة البيانات وسلامتها.
• حوكمة البيانات.
• التوثيق وقابلية التتبع.

بالنسبة لـAI، جودة البيانات ليست مسألة تقنية فقط؛ ضعف البيانات قد ينعكس على دقة القرار وعدالته ومخاطره القانونية والتشغيلية.

ولهذا يجب أن تستطيع المؤسسة الإجابة عن أسئلة مثل:

• من أين جاءت البيانات؟
• هل استخدامها مشروع ومناسب للغرض؟
• كيف تم تنظيفها وتحويلها؟
• ما جودة البيانات؟
• هل توجد مجموعات ممثلة بشكل ضعيف؟
• من يستطيع الوصول إليها؟
• هل يمكن تتبع البيانات والإصدارات المستخدمة في قرار معين؟

التطوير والنشر الآمن

يعالج الإطار أمن أنظمة AI ضمن دورة الحياة، ويربط ذلك بالتطوير والنشر والتحقق والاختبار والمراقبة.

ولا يتوقف عند اختبار الدقة، بل يتناول أيضًا:

• التحيز.
• المتانة.
• آليات الفشل الآمن.
• المعايرة.
• المراقبة المستمرة.
• التدقيق.
• الإشراف البشري.

هذا مهم لأن نموذجًا يعطي نتائج جيدة في بيئة الاختبار قد يتغير أداؤه بعد النشر بسبب تغير البيانات أو المستخدمين أو العمليات أو المورد أو التكاملات.

[ممارسة تنفيذية] ينبغي تعريف حدود أداء ومخاطر واضحة لكل نظام، وربط تجاوزها بإجراءات مثل التحقيق، تقليل الاستخدام، إعادة التقييم أو الإيقاف.

الإشراف البشري يجب أن يكون قابلًا للإثبات

الإشراف البشري ليس مجرد وجود موظف في العملية.

يجب أن يكون الشخص قادرًا فعلًا على فهم الحالة والتدخل عندما يكون ذلك مطلوبًا.

[ممارسة تنفيذية] من الأسئلة التي ينبغي توثيقها:

• متى يجب تدخل الإنسان؟
• ما الذي يراه المراجع قبل اتخاذ القرار؟
• هل يستطيع تجاوز مخرج AI؟
• هل يتم تسجيل التجاوز؟
• هل توجد حالات يمنع فيها الاعتماد الكامل على الأتمتة؟
• هل يملك المراجع الوقت والمعرفة الكافيين؟

في الأنظمة الحرجة، يصبح Human-in-the-Loop جزءًا من بنية الضبط وليس عنصرًا شكليًا.

ماذا يحدث عندما يفشل AI؟

يتناول الإطار الاستجابة للحوادث واستمرارية الأعمال والتعافي من الكوارث بشكل مباشر.

وهذا اعتراف مهم بأن حادث AI لا يساوي دائمًا عطلًا تقنيًا تقليديًا.

قد يكون الحادث:

• قرارًا خاطئًا واسع النطاق.
• انحيازًا يضر فئة من العملاء.
• تسريب بيانات.
• استغلالًا أمنيًا.
• تدهورًا حادًا في أداء النموذج.
• خطأ من مورد خارجي.
• فشل تكامل يعتمد عليه النظام.
• مخرجات غير موثوقة تؤثر في عملية حرجة.

لذلك تحتاج المؤسسة إلى بروتوكولات حوادث تستوعب طبيعة AI وتربطها بالإبلاغ والتصعيد والتعافي.

كما يجب إدماج الاعتماد على AI في خطط استمرارية الأعمال وإجراء تمارين واختبارات مناسبة.

الطرف الثالث لا ينقل المخاطر خارج البنك

يخصص الإطار محورًا كاملًا لـThird-Party Risk Management.

وهذا منطقي لأن كثيرًا من المؤسسات لن تبني كل مكونات AI داخليًا. قد تستخدم:

• نماذج خارجية.
• خدمات سحابية.
• APIs.
• منصات تحليل.
• أدوات GenAI.
• مزودي بيانات.
• حلولًا مدمجة من شركات تقنية مالية.

الإطار يشدد على تقييم المورد والعناية الواجبة والشفافية والالتزامات التعاقدية وإدارة الاعتماديات.

[ممارسة تنفيذية] لا ينبغي أن تكتفي مراجعة المورد بسؤال «هل لديه شهادة أمن؟». بل يجب أن تشمل أيضًا:

• ما النموذج المستخدم؟
• أين تعالج البيانات؟
• هل يستخدم المورد بيانات المؤسسة للتدريب؟
• ما حدود الاحتفاظ؟
• ما sub-processors؟
• كيف يبلغ عن الحوادث؟
• هل تتغير النماذج دون إشعار؟
• ما أدلة الاختبار والتحقق؟
• ما خطة الخروج أو الاستبدال؟
• ماذا يحدث إذا توقف المورد أو تغيرت شروطه؟

أين يقع GenAI داخل الإطار؟

يتضمن الإطار تعريفًا للذكاء الاصطناعي التوليدي، كما يعرف Hallucination بوصفها حالة ينتج فيها النموذج محتوى يبدو معقولًا لكنه غير صحيح واقعيًا.

هذا مهم لأن GenAI ليس خارج نطاق الحوكمة لمجرد أنه أداة عامة أو واجهة محادثة.

إذا استخدمت المؤسسة GenAI في خدمة العملاء أو تلخيص المستندات أو التحليل أو مساعدة الموظفين أو إنتاج محتوى يؤثر في القرار، فيجب تقييم الاستخدام ضمن نفس منطق الحوكمة والمخاطر والبيانات والأمن والمراقبة.

كلما اقتربت مخرجات GenAI من قرار مالي أو تواصل مع العميل أو معالجة بيانات حساسة، ارتفعت الحاجة إلى ضوابط إضافية والتحقق والإشراف.

الفرق بين إطار CBJ وJoRegBox

من المهم عدم دمج الأصلين.

JoRegBox هو مختبر تنظيمي يسمح باختبار حلول مالية رقمية مبتكرة ضمن بيئة خاضعة للرقابة وبشروط محددة.

أما CBJ AI Framework فهو إطار مباشر لحوكمة استخدام الذكاء الاصطناعي لدى المؤسسات المصرفية الخاضعة للبنك المركزي.

قد يلتقيان عندما تختبر مؤسسة حلًا ماليًا يعتمد على AI داخل المختبر، لكن وظيفتهما التنظيمية مختلفة.

لذلك لا ينبغي القول إن JoRegBox هو إطار AI، كما لا ينبغي اعتبار إطار AI بديلًا عن المختبر التنظيمي.

ماذا يجب أن تفعل المؤسسة الآن؟

يمكن تحويل الإطار إلى برنامج عمل مؤسسي [ممارسة تنفيذية] عبر الخطوات التالية:

1. حصر جميع حالات استخدام AI الحالية والمخططة.
2. تحديد المالك والمسؤوليات لكل حالة.
3. إنشاء أو تعيين جهة إشراف واضحة.
4. تصنيف حالات الاستخدام حسب مستوى المخاطر.
5. دمج AI Risk داخل Enterprise Risk Management.
6. إجراء تقييمات أثر مناسبة.
7. ربط كل حالة استخدام بالمتطلبات القانونية والتنظيمية المنطبقة.
8. توثيق البيانات ومصادرها وجودتها.
9. اختبار الدقة والتحيز والمتانة والأمن.
10. تحديد مستوى الإشراف البشري المطلوب.
11. بناء مراقبة مستمرة ومؤشرات إنذار.
12. دمج حوادث AI في Incident Management.
13. تحديث خطط الاستمرارية لتشمل الاعتماد على AI.
14. تقييم الموردين والاعتماديات التكنولوجية.
15. تدريب الأدوار المختلفة بحسب مسؤولياتها.
16. مراجعة المنظومة وتحسينها دوريًا.

هذه القائمة ليست بديلًا عن نص الإطار، لكنها طريقة عملية لتحويل محاوره إلى Operating Model داخلي.

ما الذي لا يجب استنتاجه؟

وجود إطار البنك المركزي لا يعني أن الأردن أصبح لديه قانون شامل للذكاء الاصطناعي ينطبق على جميع القطاعات.

الإطار قطاعي، ونطاقه هو المؤسسات المصرفية الخاضعة للبنك المركزي الأردني.

كما لا يجوز افتراض أن كل بند في الإطار يحمل الدرجة نفسها من الإلزام دون قراءة صياغته الأصلية؛ فالوثيقة تستخدم صيغًا مختلفة مثل must وshould بحسب المتطلب.

لذلك يجب الحفاظ على التمييز بين:

• القانون الوطني العام.
• الأنظمة والتعليمات.
• الإطار التنظيمي القطاعي.
• السياسة والاستراتيجية.
• الميثاق الأخلاقي.
• المختبر التنظيمي.

هذه الدقة هي ما يمنع تحويل Siyada إلى قائمة مبسطة تفقد معنى السلطة التنظيمية.

الخلاصة

إطار البنك المركزي الأردني للذكاء الاصطناعي يمثل إحدى أكثر الطبقات تحديدًا في منظومة حوكمة AI الأردنية حتى الآن.

قيمته الأساسية أنه ينقل الذكاء الاصطناعي من مستوى المبادئ العامة إلى متطلبات حوكمة تشغيلية داخل المؤسسات المصرفية: مسؤوليات واضحة، تصنيف قائم على المخاطر، عدالة وتفسير، حماية بيانات، أمن، تحقق واختبار، إشراف بشري، استجابة للحوادث، استمرارية أعمال، وإدارة مخاطر الأطراف الثالثة.

بالنسبة للبنوك، السؤال لم يعد فقط: «هل لدينا سياسة AI؟»

بل أصبح:

هل نستطيع إثبات أن كل استخدام للذكاء الاصطناعي خاضع لمالك واضح، وتصنيف مخاطر، وضوابط، وأدلة، ومراقبة، وإشراف، وإدارة موردين، ومسار تصعيد يمكن للجهة الرقابية مراجعته؟

آخر مراجعة تنظيمية للمحتوى: 9 سبتمبر 2026.