حوكمة الذكاء الاصطناعي في القطاع المصرفي الكويتي: المرونة السيبرانية ومخاطر النماذج والموردين والسحابة

لماذا القطاع المصرفي يحتاج حوكمة AI مختلفة؟

المؤسسات المصرفية تعمل في بيئة شديدة الحساسية.

AI يمكن أن يؤثر في:

• العملاء.
• الأموال.
• القرارات.
• العمليات الحرجة.
• الأمن.
• السمعة.
• الاستمرارية.

لهذا السبب لا يجوز معاملته كتقنية مكتبية عادية.

إطار CBK 2025

أصدر بنك الكويت المركزي إطار الأمن السيبراني والمرونة التشغيلية 2025.

هذا الإطار نهائي.

ويعكس انتقالًا مهمًا نحو:

• resilience-first.
• risk-based approach.
• maturity.
• continuous improvement.
• operational continuity.

CORF ليس AI Framework

يجب أن تكون الصياغة دقيقة.

الإطار ليس:

CBK AI Framework.

ولا:

AI Regulation مستقلًا.

لكن AI systems داخل البنوك يمكن أن تدخل ضمن نطاق المخاطر والمرونة التي يعالجها الإطار.

لماذا AI مهم للمرونة؟

البنوك تستخدم أو قد تستخدم AI في:

• Fraud Detection.
• AML Support.
• Customer Service.
• Cybersecurity.
• Document Processing.
• Credit Analytics.
• Internal Copilots.
• Risk Monitoring.
• Operations Automation.

إذا تعطلت هذه الأنظمة، قد يتأثر business service نفسه.

Criticality

أول سؤال ليس:

هل النظام AI؟

بل:

هل النظام مهم للخدمة؟

حدد:

• business criticality.
• customer impact.
• financial impact.
• regulatory impact.
• recovery dependency.

AI Inventory

أنشئ inventory لجميع الأنظمة الذكية.

أدرج:

• owner.
• purpose.
• model.
• vendor.
• data.
• criticality.
• autonomy.
• risk tier.
• status.

Application vs Model

قد يستخدم تطبيق واحد عدة models.

وقد يعتمد عدة تطبيقات على model provider واحد.

لذلك يجب الربط بين:

Application ↔ Model ↔ Provider ↔ Cloud.

Model Risk

AI قد يفشل دون وقوع اختراق.

Model Risk قد يشمل:

• drift.
• hallucination.
• weak calibration.
• unstable output.
• poor generalization.
• bias.

Cyber Risk

Cyber Risk قد يشمل:

• unauthorized access.
• compromise.
• data leakage.
• injection.
• privilege escalation.
• API abuse.

Operational Risk

Operational Risk قد يظهر عندما:

• model unavailable.
• provider unavailable.
• workflow stuck.
• fallback fails.
• data pipeline fails.

Risk Convergence

في AI، هذه المخاطر قد تتقاطع.

مثال:

Prompt Injection → Unauthorized Action → Service Disruption → Customer Impact.

لذلك لا تدير كل فئة في جزيرة منفصلة.

Model Materiality

حدد مدى جوهرية model بحسب:

• value at risk.
• customer impact.
• transaction volume.
• service dependency.
• substitutability.

Model Validation

الأنظمة المؤثرة تحتاج Validation مناسبًا.

راجع:

• design.
• data.
• performance.
• assumptions.
• limitations.
• edge cases.
• stability.

Stress Testing

لا تختبر average case فقط.

اختبر:

• unusual data.
• incomplete data.
• adversarial input.
• extreme load.
• provider degradation.

Generative AI

GenAI قد يدخل في:

• internal knowledge.
• customer support.
• coding.
• document summarization.
• policy assistance.

Customer-Facing GenAI

المخاطر تشمل:

• hallucination.
• misleading information.
• disclosure.
• incorrect financial guidance.
• failed escalation.

Financial Decision Support

إذا كان AI يدعم:

• credit.
• collections.
• fraud.
• AML.
• eligibility.

يجب رفع مستوى governance.

Human Oversight

الموظف يجب أن يستطيع:

• challenge.
• override.
• escalate.
• document.

Rubber-Stamp Risk

إذا كان الإنسان يوافق آليًا على output، لا يوجد oversight حقيقي.

Override Monitoring

راقب:

• override rate.
• override reasons.
• repeated patterns.
• unit differences.

Explainability

استخدم مستوى شرح يناسب الاستخدام.

قد تحتاج إلى:

• reason codes.
• factors.
• decision trace.
• confidence indicators.

Fraud Detection

AI يمكن أن يحسن كشف الاحتيال.

لكن يجب قياس:

• false positives.
• false negatives.
• fraud capture.
• customer impact.

AML Support

AI قد يستخدم في:

• alert prioritization.
• entity resolution.
• document review.
• pattern discovery.

لكن governance ownership يبقى عند المؤسسة.

Cybersecurity Use Cases

البنوك قد تستخدم AI في:

• anomaly detection.
• SOC triage.
• phishing analysis.
• threat intelligence.

لكن AI security tool نفسه يحتاج governance.

Prompt Injection

إذا كان assistant متصلًا بأنظمة مصرفية، Prompt Injection قد يتحول إلى operational risk.

Agentic AI

Agent قد يمتلك:

• access.
• query capability.
• workflow permissions.
• messaging rights.
• execution rights.

Machine Identity

كل Agent يحتاج إلى identity مستقلة.

Least Privilege

لا تمنح Agent صلاحيات أوسع من المطلوب.

Segregation of Duties

لا تسمح لنفس Agent أن:

Create + Approve + Execute

عملية حساسة.

Transaction Limits

حدد:

• amount.
• frequency.
• transaction types.
• customer scope.

Step-Up Authentication

الإجراءات الحساسة تحتاج تحققًا إضافيًا.

Explicit Confirmation

بعض الإجراءات يجب أن تحتاج confirmation صريح.

Kill Switch

يجب أن تستطيع المؤسسة:

• revoke agent.
• disable API.
• stop workflow.
• isolate service.

Third-Party AI

البنوك قد تعتمد على:

• model provider.
• cloud provider.
• fintech vendor.
• analytics provider.
• security vendor.

Third-Party Risk

راجع:

• security.
• resilience.
• availability.
• privacy.
• model governance.
• incidents.
• financial stability.
• portability.

Fourth-Party Risk

المورد قد يعتمد على hyperscaler أو subprocessor.

المؤسسة تحتاج رؤية كافية لهذه السلسلة.

Concentration Risk

عدة خدمات قد تعتمد على provider واحد.

مثال:

Chatbot + Fraud + Internal Copilot + Cyber Analytics.

فشل provider واحد قد يسبب أثرًا واسعًا.

Cloud Dependency

AI يعتمد غالبًا على cloud.

في الكويت توجد Cloud Framework نهائية يجب أخذها في الاعتبار عند الانطباق.

Data Privacy

لائحة حماية خصوصية البيانات تمثل طبقة نهائية أخرى.

Regulatory Stack

يمكن أن يشمل use case:

CBK CORF 2025 + Cloud Framework + Data Privacy Regulation + Internal Model Risk + Third-Party Risk + AI Governance.

Draft AI Strategy

الاستراتيجية الوطنية AI ما تزال Draft.

يمكن استخدامها لفهم الاتجاه.

لا تستخدم كمصدر إلزامي نهائي.

AI Adoption Guideline

الدليل ما يزال Consultation.

يستخدم كمرجع اتجاهي فقط.

Current vs Proposed

CBK CORF → Final / Current.

Cloud Framework → Final / Current.

Privacy Regulation → Final / Current.

Draft AI Strategy → Proposed.

AI Adoption Guideline → Consultation.

Operational Resilience

المرونة تعني قدرة البنك على الاستمرار أو التعافي عند:

• model outage.
• cloud outage.
• provider incident.
• data pipeline failure.
• cyber incident.
• degraded output.

Dependency Mapping

ارسم:

Business Service → Application → Model → Provider → Cloud → Identity → Network.

Single Point of Failure

إذا كان عنصر واحد يوقف عدة خدمات، يجب التعامل معه كConcentration/Resilience Risk.

Graceful Degradation

مثال:

إذا تعطل AI fraud prioritization، يمكن تشغيل process بديل أقل آلية.

Manual Fallback

الخدمات الحرجة تحتاج إلى fallback فعلي ومختبر.

RTO / RPO

إذا كان النظام جزءًا من خدمة حرجة، يجب دمجه في recovery objectives المناسبة.

Recovery Sequence

قد تحتاج الاستعادة إلى ترتيب:

Identity → Data → Application → Model → Workflow.

Provider Outage

اختبر سيناريو:

model provider unavailable لمدة 12 ساعة.

ما الخدمات التي تتوقف؟

ما المسار البديل؟

Cloud Region Failure

إذا كان provider يعتمد على region واحد، ما الخطة؟

Model Degradation

الفشل ليس دائمًا outage.

قد يبقى model متاحًا لكن جودة output تنهار.

هذه حالة تحتاج detection.

Performance Monitoring

راقب:

• accuracy.
• latency.
• drift.
• false positives.
• failed calls.
• confidence.
• override.

Availability Monitoring

راقب:

• uptime.
• API errors.
• provider incidents.
• region health.
• rate limits.

Incident Taxonomy

AI incident قد يكون:

• Cyber Incident.
• Model Incident.
• Operational Incident.
• Privacy Incident.
• Vendor Incident.

Incident Severity

حدد severity حسب:

• customer impact.
• financial impact.
• service impact.
• data impact.
• duration.

Incident Response

يجب أن يكون واضحًا:

• who detects.
• who owns.
• who contains.
• who investigates.
• who restores.

Evidence Preservation

احتفظ بـ:

• logs.
• model version.
• input.
• output.
• tool calls.
• identities.
• timestamps.

Sensitive Logging

لا تسجل بيانات حساسة بلا حاجة.

Vendor Incident Notification

العقد يجب أن يحدد متى وكيف يبلغ vendor عن حادث مؤثر.

Business Continuity

AI systems المهمة يجب أن تدخل في Business Continuity Planning.

Disaster Recovery

وجود DR plan لا يكفي.

يجب اختبار recovery.

Recovery Testing

اختبر:

• provider outage.
• compromised agent.
• corrupted vector store.
• cloud failure.
• credential loss.

Tabletop Exercise

مثال:

Fraud model متوقف في وقت ارتفاع معاملات مشبوهة.

اختبر:

• detection.
• escalation.
• fallback.
• customer impact.
• recovery.

Cyber Resilience

CORF يركز على resilience المستمرة.

هذا يجعل AI workloads الحرجة جزءًا منطقيًا من برامج cyber and operational resilience حتى لو لم يذكر كل use case بالاسم.

Maturity Approach

لا يكفي وجود سياسة.

قيّم maturity عبر:

• defined.
• implemented.
• monitored.
• tested.
• improved.

Control Effectiveness

السؤال ليس:

هل لدينا control؟

بل:

هل يعمل؟

Key Risk Indicators

يمكن استخدام KRIs مثل:

• critical AI provider concentration.
• unresolved validation issues.
• model drift.
• outage exposure.
• high-risk exceptions.

Key Performance Indicators

KPIs قد تشمل:

• detection time.
• recovery time.
• false positive reduction.
• availability.
• validation completion.

Board Visibility

الإدارة العليا تحتاج visibility على:

• critical AI systems.
• material risks.
• provider concentration.
• major incidents.
• unresolved exceptions.

Risk Appetite

يمكن تحديد boundaries مثل:

عدم السماح بـfully autonomous financial action في فئات معينة.

Governance Committees

ليس الهدف إنشاء لجنة AI لكل شيء.

يمكن دمج AI في:

• Technology Risk.
• Operational Risk.
• Cyber Governance.
• Model Risk.
• Data Governance.

بحسب هيكل المؤسسة.

Internal Audit

يمكن للتدقيق مراجعة:

• inventory.
• risk classification.
• model validation.
• resilience.
• vendor controls.
• incident management.
• monitoring.

AI Assurance

للأنظمة عالية الأثر:

• validation.
• adversarial testing.
• resilience testing.
• security testing.
• control testing.
• independent review.

AI Red Teaming

في الأنظمة المتصلة بأدوات أو بيانات حساسة اختبر:

• prompt injection.
• privilege escalation.
• data extraction.
• agent misuse.
• cross-user leakage.

Data Governance

حدد:

• data source.
• owner.
• quality.
• lineage.
• retention.
• access.

Data Provenance

في التحقيق أو validation يجب معرفة أي data version دخل في القرار.

Model Change

قد يغير vendor model دون deployment من جانب البنك.

Change Management

Triggers تشمل:

• model update.
• vendor change.
• cloud change.
• new dataset.
• increased autonomy.
• new use case.

Change Revalidation

التغيير الجوهري قد يحتاج إعادة:

• validation.
• security review.
• resilience test.
• privacy review.

Vendor Exit Strategy

قبل الاعتماد الكامل على vendor، اعرف كيف ستخرج.

Portability

هل يمكن نقل:

• data.
• prompts.
• workflows.
• vector indexes.
• models.
• configurations؟

Lock-In Risk

قد يكون lock-in:

• technical.
• contractual.
• operational.
• data-related.

Evidence Pack

لكل AI system مادي:

• business purpose.
• owner.
• criticality.
• risk assessment.
• model documentation.
• data documentation.
• validation.
• security review.
• vendor assessment.
• resilience plan.
• recovery test.
• approval.
• monitoring.
• incidents.
• changes.

Lifecycle

Idea → Assessment → Classification → Validation → Approval → Deployment → Monitoring → Change → Retirement.

Retirement

عند الإيقاف:

• revoke access.
• remove integrations.
• close vendor access.
• manage retained data.
• archive evidence.
• update inventory.

Pre-Go-Live Gate

قبل تشغيل AI system مصرفي مهم:

1. هل criticality محددة؟
2. هل risk tier محدد؟
3. هل data موثقة؟
4. هل model validated؟
5. هل vendor assessed؟
6. هل cloud dependency واضحة؟
7. هل security tested؟
8. هل fallback موجود؟
9. هل recovery مختبر؟
10. هل monitoring جاهز؟

Attribution Discipline

لا تقل:

"CBK يفرض Model Validation للـAI"

إذا لم يكن لديك نص مباشر بهذا المعنى.

الصياغة الأدق:

Model Validation ممارسة مناسبة لإدارة Model Risk ضمن نظام مالي خاضع لمتطلبات قوية للمرونة والمخاطر.

الخلاصة

حوكمة AI في القطاع المصرفي الكويتي يجب أن تبدأ من واقع أن الخدمات المالية تحتاج إلى الصمود والتعافي، لا من انتظار Framework يحمل كلمة AI في عنوانه.

CBK CORF 2025 يوفر أساسًا قويًا لإدارة الأمن والمرونة التشغيلية.

وعندما يضاف إليه Cloud Governance وData Privacy وModel Risk وThird-Party Risk، تتكون منظومة حوكمة تستطيع استيعاب AI بصورة مهنية ودون اختراع التزامات لم تصدر رسميًا.