إدارة مخاطر الذكاء الاصطناعي في سلطنة عُمان: من المخاطر التقنية إلى المخاطر المؤسسية

إدارة مخاطر الذكاء الاصطناعي في سلطنة عُمان

لماذا لا يكفي تقييم تقني للنموذج؟

قد يعمل نموذج AI بدقة عالية بينما يبقى النظام ككل عالي المخاطر. فقد تكون المشكلة في البيانات، أو المورد، أو القرار الذي يعتمد على المخرجات، أو ضعف الإشراف البشري، أو موقع المعالجة، أو الاعتماد التشغيلي.

في سلطنة عُمان توفر سياسة إدارة مخاطر تقنية المعلومات المنشورة في 5 مارس 2026، إلى جانب الدليل الاسترشادي المنشور في 1 فبراير 2026، طبقة مؤسسية لإدارة مخاطر الخدمات والأصول التقنية في الجهات الحكومية.

ويشير الدليل إلى منهجيات تقييم المخاطر، واستراتيجيات الاستجابة، ودمج إدارة المخاطر في العمليات التنظيمية، وتحديد الأدوار والمسؤوليات، وتصنيف الأصول بحسب أهميتها، والإبلاغ والمراجعة والتحديث الدوري.

أين يدخل AI؟

السياسة ليست سياسة AI متخصصة. لكن عندما يصبح نظام AI جزءًا من خدمة أو أصل تقني حكومي، يجب إدخاله في عملية إدارة المخاطر المؤسسية والتقنية بدل التعامل معه كأداة منفصلة.

يمكن النظر إلى مخاطر AI عبر ست طبقات:

1. مخاطر الغرض والاستخدام

هل الاستخدام نفسه مناسب؟ وهل القرار حساس أو مؤثر؟

2. مخاطر البيانات

هل البيانات صحيحة، ممثلة، مصرحًا باستخدامها، ومحمية؟

3. مخاطر النموذج

هل الأداء مقبول؟ هل توجد حدود معروفة؟ هل يتغير الأداء بمرور الوقت؟

4. مخاطر الإنسان والقرار

هل المستخدم يفهم حدود النظام؟ هل توجد مراجعة بشرية مناسبة؟

5. مخاطر المورد والبنية

هل هناك اعتماد على مزود أو API أو Cloud خارجي؟ وما أثر فشله؟

6. مخاطر التشغيل والتغيير

هل توجد مراقبة، وخطة حادث، واستمرارية، وإعادة تقييم عند التغيير؟

هذه الطبقات [استنتاج تحليلي من Siyada AI] وليست تصنيفًا رسميًا منشورًا بهذا الاسم.

تقييم الاحتمال والأثر

أي عملية Risk Assessment تحتاج إلى تقدير احتمالية الحدث وأثره.

في AI قد يكون الأثر:

• ماليًا.
• تشغيليًا.
• قانونيًا.
• أمنيًا.
• متعلقًا بالخصوصية.
• متعلقًا بحقوق الأفراد.
• متعلقًا بسمعة الجهة.
• متعلقًا باستمرارية الخدمة.

[ممارسة تنفيذية] لا ينبغي اختزال كل هذه الأبعاد في رقم واحد إذا أدى ذلك إلى إخفاء طبيعة المخاطر.

الاستجابة للمخاطر

بعد التقييم يجب تحديد الاستجابة.

يمكن أن تكون [ممارسة تنفيذية]:

• تجنب الاستخدام.
• تقليل المخاطر.
• نقل جزء من المخاطر بعقد أو تأمين.
• قبول المخاطر ضمن سلطة واضحة.
• تأجيل الإطلاق حتى استكمال الضوابط.

المهم هو أن يكون القرار موثقًا وصادرًا من صاحب صلاحية مناسب.

المخاطر المتبقية

حتى بعد الضوابط، تبقى Residual Risk.

ينبغي أن يعرف صاحب القرار:

• ما المخاطر التي بقيت؟
• لماذا قبلت؟
• من قبلها؟
• ما شروط القبول؟
• متى يعاد تقييمها؟

علاقة AI بتصنيف الأصول

الدليل العُماني يبرز تصنيف الأصول التقنية بحسب أهميتها.

وهذا مهم لأن النظام الذي يدعم خدمة حكومية حرجة لا ينبغي أن يعامل مثل أداة داخلية بسيطة.

يمكن استخدام أهمية الأصل كأحد مدخلات تحديد شدة متطلبات AI Governance.

المراجعة الدورية

الدليل يؤكد المراجعات والتحديثات الدورية.

بالنسبة إلى AI، هذا مهم لأن المخاطر تتغير بسبب:

• تحديث النموذج.
• تغير البيانات.
• تغير المورد.
• تغير الغرض.
• تغير قاعدة المستخدمين.
• تغير البنية السحابية.
• ظهور حادث أو نمط خطأ جديد.

Risk Register

[ممارسة تنفيذية] يمكن إنشاء سجل مخاطر خاص بنظام AI يتضمن:

• الخطر.
• السبب.
• الأصل المتأثر.
• الاحتمال.
• الأثر.
• المالك.
• الضوابط.
• المخاطر المتبقية.
• قرار الاستجابة.
• تاريخ المراجعة.

هذا النموذج ليس قالبًا رسميًا إلزاميًا باسم محدد، لكنه يجعل التقييم قابلًا للتتبع.

التكامل مع ISO وNIST

يمكن استخدام ISO/IEC 23894 أو NIST AI RMF كطبقة مساعدة لتنظيم التحليل.

لكن يجب التمييز بوضوح:

الربط مع هذه الأطر هو Crosswalk تحليلي من Siyada AI، وليس إعلانًا بأن سلطنة عُمان تبنت هذه الأطر قانونيًا لمجرد وجود تشابه في المبادئ.

الخلاصة

إدارة مخاطر AI في السياق العُماني يجب أن ترتبط بإدارة المخاطر التقنية والمؤسسية القائمة، لا أن تنشئ جزيرة مستقلة.

السؤال الأهم ليس فقط: «هل النموذج يعمل؟»

بل:

ما الذي قد يفشل؟ ما أثره؟ ما الضوابط؟ من يملك الخطر؟ وما الذي بقي بعد المعالجة؟

راجعت Siyada AI الحالة التنظيمية بتاريخ 9 سبتمبر 2026.