حوكمة الذكاء الاصطناعي السحابي والبيانات في السعودية

AI السحابي ليس خدمة واحدة

عندما تشتري المؤسسة خدمة GenAI أو تتصل بنموذج عبر API، قد تبدو التجربة للمستخدم كأنها منتج واحد.

لكن خلف الواجهة قد توجد سلسلة تشمل:

تطبيق → API → مزود نموذج → مزود سحابي → تخزين → خدمات مراقبة → معالجين فرعيين

لذلك يجب أن تعكس الحوكمة البنية الحقيقية، لا اسم المنتج فقط.

طبقة الأمن السحابي

تغطي ضوابط الأمن السيبراني للحوسبة السحابية CCC-2:2024 الأمن السحابي من منظور مقدمي الخدمات والمشتركين.

بالنسبة لخدمة AI، قد تشمل الأسئلة:

• من مقدم الخدمة السحابية؟
• من المشترك؟
• ما نموذج المسؤولية؟
• كيف تدار الهويات والصلاحيات؟
• كيف تحمى البيانات؟
• كيف تتم المراقبة والاستجابة للحوادث؟
• ما الاعتماديات الخارجية؟

ولا يعني استخدام cloud تلقائيًا أن المؤسسة انتهت من تحليل CCC بمجرد حصول المورد على شهادة أمنية.

يجب اختبار النطاق والمتطلبات الفعلية.

طبقة أمن البيانات

DCC-1:2022 تركز على حماية البيانات طوال دورة حياتها.

وفي AI قد تشمل دورة البيانات:

جمع → إدخال → معالجة → تخزين → استخدام → مشاركة → أرشفة → حذف

وقد توجد نسخ مختلفة من البيانات في:

• prompts.
• vector stores.
• logs.
• evaluation datasets.
• backups.
• model telemetry.

ولهذا يجب ألا يقتصر سجل البيانات على dataset التدريب فقط.

طبقة الخصوصية

إذا احتوت البيانات على بيانات شخصية، تدخل طبقة PDPL.

هنا يجب تحديد:

• جهة التحكم.
• جهة المعالجة.
• المعالجين الفرعيين.
• الغرض من المعالجة.
• البيانات اللازمة.
• متطلبات الاحتفاظ.
• حقوق أصحاب البيانات.
• التقويمات المطلوبة بحسب الحالة.

إذن:

DCC ≠ PDPL

الأولى تعالج الأمن السيبراني للبيانات ضمن نطاقها، والثانية تعالج حماية البيانات الشخصية وحقوق أصحابها والتزامات المعالجة.

وقد تحتاج المؤسسة إلى الاثنين.

موقع المعالجة والنقل خارج المملكة

لا يكفي سؤال المورد:

هل لديكم region سعودي؟

يجب معرفة أين تتم:

• inference.
• storage.
• backup.
• logging.
• support access.
• subprocessors processing.

إذا نتج عن البنية نقل أو إفصاح عن بيانات شخصية خارج المملكة، تدخل متطلبات تنظيم نقل البيانات في التحليل.

الموردون والمعالجون الفرعيون

مزود AI قد يكون نقطة الدخول فقط.

لذلك يجب أن يحتوي Vendor AI Record على معلومات مثل:

• اسم المورد.
• الخدمة.
• النموذج.
• السحابة.
• مواقع المعالجة.
• المعالجون الفرعيون.
• أنواع البيانات.
• الاحتفاظ.
• استخدام البيانات للتدريب.
• آلية الإخطار بالحوادث.
• إمكانية الخروج واسترجاع البيانات.

وهذه البيانات تخدم الخصوصية والأمن وإدارة مخاطر الطرف الثالث في الوقت نفسه.

من الامتثال إلى إدارة الاعتماديات

بعد اختبار المتطلبات التنظيمية يبقى سؤال استراتيجي:

ماذا يحدث إذا لم يعد هذا المورد متاحًا؟

يجب معرفة:

• من يملك النموذج؟
• من يملك compute؟
• ما APIs الحرجة؟
• أين توجد البيانات؟
• ما الاختصاصات القضائية؟
• هل توجد بدائل؟
• ما تكلفة الانتقال؟
• ما المهارات المطلوبة داخليًا؟
• أين توجد نقطة الفشل الأحادية؟

هذه هي الطبقة التي تتحول لاحقًا من Vendor Governance إلى Sovereign Dependency Graph™.

فالامتثال يخبرنا ما إذا كانت هناك متطلبات يجب تلبيتها، بينما تحليل الاعتماديات يخبرنا مدى قدرة المؤسسة على الاستمرار والتغيير والخروج.