مخاطر موردي وخدمات الذكاء الاصطناعي من الأطراف الثالثة في سلطنة عُمان

مخاطر موردي وخدمات الذكاء الاصطناعي من الأطراف الثالثة في سلطنة عُمان

شراء AI لا ينقل المسؤولية

قد تعتمد المؤسسة على مزود خارجي لبناء أو تشغيل جزء من نظام AI، لكن المسؤولية عن اختيار المورد وإدارة المخاطر لا تختفي.

في السياق العُماني تتقاطع هنا عدة طبقات: سياسة الاستخدام الآمن والأخلاقي للذكاء الاصطناعي، حماية البيانات، Cloud First، إدارة مخاطر تقنية المعلومات، واستمرارية العمليات.

ما الذي يجعل Vendor AI مختلفًا؟

مزود AI قد يتحكم في:

• النموذج.
• تحديثاته.
• البنية التحتية.
• موقع المعالجة.
• Logs.
• Subprocessors.
• سياسات الاحتفاظ.
• آليات الأمان.
• شروط الاستخدام.

وهذا يخلق اعتماديات أوسع من شراء برنامج تقليدي.

التقييم قبل التعاقد

[ممارسة تنفيذية] يمكن تقسيم Due Diligence إلى:

البيانات

ما البيانات التي يستقبلها؟ هل يحتفظ بها؟ هل يستخدمها للتدريب؟

الخصوصية

ما دوره؟ أين يعالج؟ كيف يدعم حقوق أصحاب البيانات؟

الأمن

ما الضوابط والشهادات والحوادث؟

النموذج

ما حدود الأداء؟ كيف تتغير الإصدارات؟

العقد

هل توجد شروط واضحة للاستخدام والبيانات والتغيير؟

المعالجون الفرعيون

من هم وأين يعملون؟

الاستمرارية

ما أثر التوقف؟

الخروج

هل يمكن نقل البيانات والخدمة إلى بديل؟

لا تعتمد على Marketing Claims

وصف المورد نفسه بأنه «آمن» أو «متوافق» لا يكفي.

يجب تحويل الادعاءات إلى أدلة قابلة للتحقق.

Contract Controls

حسب المخاطر قد تحتاج المؤسسة إلى شروط تتعلق بـ:

• استخدام البيانات.
• التدريب.
• الاحتفاظ والحذف.
• الإخطار بالحوادث.
• الإخطار بالتغييرات.
• Subprocessors.
• موقع المعالجة.
• التدقيق أو إثبات الضوابط.
• إنهاء الخدمة.
• إعادة البيانات.

هذه ليست شروطًا قانونية موحدة مفروضة باسم واحد على كل عقود AI؛ هي طبقة تنفيذية يجب مواءمتها مع المتطلبات المنطبقة.

Vendor Change Risk

الخطر لا ينتهي بعد توقيع العقد.

قد يغير المزود:

• النموذج.
• السعر.
• Region.
• سياسة البيانات.
• Subprocessor.
• واجهة API.
• حدود الخدمة.

لذلك يجب أن يكون هناك Monitoring للمورد.

Concentration Risk

إذا كانت خدمات كثيرة تعتمد على مزود واحد، يصبح فشل المزود أو تغير شروطه خطرًا مؤسسيًا.

هذه نقطة تدخل في Sovereign Dependency Graph™.

Switching Difficulty

يمكن قياس صعوبة التبديل عبر:

• حجم البيانات.
• الاعتماد على API خاصة.
• Prompts/Workflows المخصصة.
• مهارات الفريق.
• تكلفة إعادة الاختبار.
• اختلاف أداء البديل.

Evidence Pack للمورد

[ممارسة تنفيذية] يمكن حفظ:

• تقييم المورد.
• العقد.
• DPA.
• الشهادات.
• قائمة Subprocessors.
• مواقع المعالجة.
• نتائج الأمن.
• قرارات القبول.
• مراجعات دورية.
• خطة الخروج.

الخلاصة

أفضل سؤال ليس: «هل المورد معروف؟»

بل:

ما الذي نعتمد عليه؟ ما الذي يراه من بياناتنا؟ ما الذي يمكنه تغييره؟ وكيف نخرج إذا لم يعد مناسبًا؟

راجعت Siyada AI الحالة التنظيمية بتاريخ 9 سبتمبر 2026.