مشهد حوكمة الذكاء الاصطناعي في سوريا 2026: من البنية الرقمية إلى الحوكمة المؤسسية

نقطة البداية: لا تبنِ الحوكمة على إطار غير موجود

قراءة حوكمة الذكاء الاصطناعي في سوريا خلال 2026 تحتاج إلى انضباط في المصطلحات. لا يكفي وجود مشروعات للتحول الرقمي أو استخدام تقنيات ذكية للقول إن الدولة تمتلك استراتيجية وطنية مستقلة للذكاء الاصطناعي أو قانونًا عامًا ينظم أنظمة AI.

حتى تاريخ هذه القراءة، لا تعتمد سيادة AI وجود استراتيجية وطنية سورية مستقلة للذكاء الاصطناعي أو قانون شامل للذكاء الاصطناعي بوصفهما حقيقتين مثبتتين.

لذلك يجب بناء التحليل على ما تم التحقق منه: استراتيجية التحول الرقمي الحكومي، البيئة القانونية لحماية البيانات، الاستراتيجية الوطنية للأمن السيبراني، والسياسة الوطنية للحوسبة السحابية.

هذه ليست مسألة لغوية. المؤسسة التي تفترض وجود نظام تنظيمي للذكاء الاصطناعي مكتمل قد تبني برنامج امتثال على متطلبات غير موجودة. أما المؤسسة التي تدرك أن الحوكمة الحالية موزعة بين طبقات رقمية وقانونية وسيبرانية، فتستطيع تحديد الفجوات التي يجب تغطيتها داخليًا.

أربع طبقات تشكل خط الأساس

يمكن قراءة البيئة السورية الحالية من خلال أربع طبقات مترابطة.

الطبقة الأولى هي التحول الرقمي الحكومي. الاستراتيجية الممتدة حتى 2030 تضع مسارًا تدريجيًا للبنية التحتية والخدمات الرقمية وربط الجهات والبيانات وصولًا إلى استخدام أوسع للبيانات في دعم القرار. لكن الاستراتيجية نفسها يجري تحديثها، ولذلك يجب عدم التعامل مع جميع تفاصيل النسخة الحالية كمعطيات ثابتة للمستقبل.

الطبقة الثانية هي حماية البيانات الشخصية. وجود قانون لحماية البيانات يجعل دورة حياة البيانات جزءًا من أي نقاش جدي حول AI، خصوصًا عندما تتعامل الأنظمة مع بيانات المواطنين أو الموظفين أو المستفيدين.

الطبقة الثالثة هي الأمن السيبراني. أنظمة AI لا تعمل خارج البيئة الأمنية للمؤسسة. الهوية والصلاحيات والسجلات والمراقبة والاستجابة للحوادث وحماية البنية كلها متطلبات سابقة على كثير من ضوابط AI المتقدمة.

الطبقة الرابعة هي البنية السحابية والرقمية. توسع الخدمات السحابية ومراكز البيانات والربط الحكومي يخلق إمكانات تشغيل جديدة، لكنه يزيد أيضًا أهمية قرارات موقع البيانات، وفصل البيئات، وإدارة الموردين، والمرونة التشغيلية، وسلاسل الاعتماد التقنية.

أين يبدأ AI Governance فعلًا؟

حوكمة AI تبدأ عندما تنتقل المؤسسة من إدارة التقنية العامة إلى إدارة خصائص النظام الذكي نفسه.

السؤال ليس فقط: هل الخادم آمن؟

بل أيضًا:

أي نموذج يعمل؟

من اعتمد استخدامه؟

ما البيانات التي تصل إليه؟

هل يعمل داخليًا أم من خلال مزود خارجي؟

ما القرارات التي يؤثر فيها؟

هل يستطيع الموظف تجاوز مخرجاته؟

وكيف نعرف أن الأداء لم يتدهور بعد تحديث النموذج؟

هذه الأسئلة لا تحل تلقائيًا بواسطة استراتيجية الأمن السيبراني أو قانون حماية البيانات أو سياسة السحابة. تلك الأطر توفر طبقات ضرورية، لكنها لا تستبدل سجل أنظمة AI وتصنيف المخاطر وضوابط النماذج والإشراف البشري والاختبار والتقييم.

سجل أنظمة AI هو نقطة التحكم الأولى

أي جهة تبدأ استخدام AI دون سجل مركزي ستفقد الرؤية بسرعة.

السجل يجب ألا يقتصر على اسم التطبيق.

المطلوب معرفة:

مالك النظام.

الغرض.

المورد.

النموذج أو الخدمة المستخدمة.

فئات البيانات.

مستوى حساسية الاستخدام.

المستخدمون.

التكاملات.

القرارات التي يتأثر بها المواطن أو الموظف.

وطريقة الإيقاف أو التصعيد.

الخطر الأكبر قد لا يأتي من مشروع AI رسمي. قد يأتي من خدمة توليدية يستخدمها موظفون بصورة فردية لرفع مستندات أو تلخيص ملفات أو تحليل بيانات لم تكن المؤسسة تتوقع خروجها إلى خدمة خارجية.

تصنيف حالات الاستخدام

ليس كل AI متساويًا في المخاطر.

استخدام أداة لتصحيح صياغة بيان عام يختلف جذريًا عن استخدام نموذج لتقييم طلب مواطن أو ترتيب حالات أو دعم قرار رقابي.

يمكن للجهة أن تبدأ بتصنيف بسيط يعتمد على:

أثر القرار.

حساسية البيانات.

درجة الأتمتة.

عدد الأشخاص المتأثرين.

قابلية الرجوع عن القرار.

أهمية الخدمة.

والاعتماد على طرف ثالث.

كلما ارتفع الأثر، زادت متطلبات الاختبار والمراجعة والمراقبة.

البيانات والسيادة الرقمية

الذكاء الاصطناعي يضاعف قيمة البيانات ويضاعف أثر سوء إدارتها.

قبل استخدام مجموعة بيانات حكومية للتدريب أو التخصيص أو الاسترجاع المعزز، يجب معرفة مصدرها وشرعية الوصول إليها ودقتها وتاريخ تحديثها ومن يملك حق تعديلها.

مصدرية البيانات مهمة لأن النظام قد ينتج إجابة تبدو موثوقة بينما تعتمد على سجل قديم أو غير مكتمل.

في الخدمات العامة، المشكلة لا تكون تقنية فقط؛ قد تتحول إلى قرار إداري غير صحيح.

السيادة الرقمية لا تعني ببساطة أن كل شيء يجب أن يكون محليًا. السؤال الأدق هو: ما البيانات والأحمال التي يمكن استضافتها خارج البيئة الوطنية أو المؤسسية، وتحت أي شروط، وما مستوى الاعتماد المقبول على مزود خارجي؟

حماية البيانات الشخصية

قانون حماية البيانات الشخصية رقم 12 لعام 2024 يمثل جزءًا مهمًا من البيئة القانونية السورية.

لكن يجب عدم القفز من وجود القانون إلى ادعاء تفاصيل لم نتحقق منها من النص القانوني الكامل.

بالنسبة إلى AI، الحد الأدنى المؤسسي هو معرفة أنواع البيانات التي تدخل إلى النظام، والغرض من استخدامها، ومن يستطيع الوصول إليها، وأين تعالج، وكم من الوقت تحتفظ المؤسسة أو المورد بها.

إذا كان النظام يستخدم خدمة خارجية، يجب أن يصبح تدفق البيانات إلى المورد جزءًا ظاهرًا من Architecture وليس تفصيلًا مخفيًا داخل إعداد تقني.

الأمن السيبراني وAI Security

الأمن التقليدي يبقى ضروريًا:

إدارة الهوية.

حماية الشبكات.

إدارة الثغرات.

التشفير.

التسجيل والمراقبة.

النسخ الاحتياطية.

والاستجابة للحوادث.

لكن AI يضيف طبقة مختلفة من المخاطر:

التلاعب بالمدخلات.

تسريب معلومات عبر السياق.

إساءة استخدام الأدوات المتصلة بالنموذج.

الاعتماد على مخرجات غير صحيحة.

تغير النموذج لدى المورد.

أو استخدام بيانات المؤسسة لتحسين خدمة خارجية دون فهم كافٍ للشروط.

لذلك لا يجوز مساواة Cybersecurity Governance مع AI Governance.

الحوسبة السحابية

السياسة الوطنية للحوسبة السحابية توفر طبقة أخرى ذات صلة.

أنظمة AI الحديثة تعتمد كثيرًا على موارد سحابية أو APIs خارجية أو بنية هجينة.

لكن Cloud Governance لا تعني AI Governance.

السحابة تجيب عن أسئلة تتعلق بالبنية والاستضافة والحماية والتوافر.

أما AI Governance فيضيف أسئلة تتعلق بالنموذج والسلوك والقرارات والاختبار والمخاطر.

المؤسسة تحتاج إلى الاثنين.

الذكاء الاصطناعي التوليدي

GenAI يمثل نقطة دخول سريعة للذكاء الاصطناعي إلى المؤسسات لأنه لا يتطلب دائمًا مشروعًا مركزيًا كبيرًا.

موظف واحد يستطيع استخدام خدمة خارجية خلال دقائق.

السياسة المؤسسية الجيدة لا تبدأ بمنع شامل ولا بسماح شامل.

تبدأ بتصنيف الاستخدام.

تلخيص محتوى عام يختلف عن معالجة ملف مواطن.

صياغة مسودة داخلية تختلف عن إصدار قرار.

البحث في وثائق منشورة يختلف عن رفع بيانات شخصية أو أمنية.

المطلوب هو تحديد الاستخدامات المسموحة والمقيدة والمحظورة، وربطها بتصنيف البيانات وبقنوات AI معتمدة.

Shadow AI

عندما تكون الأدوات الرسمية غير متاحة أو الإجراءات بطيئة، قد يستخدم الموظفون حساباتهم الشخصية وخدمات غير معتمدة.

هذه الظاهرة تجعل الحظر وحده ضعيف الفاعلية.

الحوكمة الأكثر عملية توفر أدوات معتمدة ومسارًا سريعًا لطلب استخدام جديد، مع سياسة واضحة بشأن البيانات التي لا يجوز إدخالها إلى الخدمات العامة.

الإشراف البشري

وجود إنسان في العملية لا يعني وجود Human Oversight فعلي.

إذا كان الموظف يضغط زر الموافقة على توصية النظام دون امتلاك المعلومات أو السلطة أو الوقت لمراجعتها، فالإشراف شكلي.

الإشراف الحقيقي يتطلب:

تحديد القرارات التي لا يجوز أتمتتها بالكامل.

عرض المعلومات اللازمة للمراجع.

إعطاء صلاحية فعلية لرفض مخرجات النظام.

وتوفير مسار للتصعيد عند عدم اليقين.

المسؤولية عن القرار

يجب ألا تتحول المسؤولية إلى النموذج.

إذا كان AI يقدم توصية، يبقى هناك إنسان أو وظيفة مؤسسية تملك القرار.

وقد يكون فريق التقنية مسؤولًا عن تشغيل النموذج، لكنه ليس بالضرورة مسؤولًا عن قرار إداري أو خدمي يستخدم مخرجاته.

هذا الفصل ضروري للمساءلة.

الموردون والأطراف الثالثة

قد تستخدم الجهة نظامًا لا تملك نموذجه ولا بنيته ولا دورة تحديثه.

عندها تصبح حوكمة المورد جزءًا من حوكمة AI.

العقد التقليدي الذي يغطي التوافر والدعم الفني غير كافٍ.

يجب فهم:

استخدام البيانات.

الاحتفاظ بها.

مواقع المعالجة.

التعاقد من الباطن.

تغييرات النموذج.

سجلات التدقيق.

الحوادث.

وحقوق الخروج ونقل البيانات.

مخاطر النماذج

النموذج قد يفشل دون وجود هجوم سيبراني.

قد تكون البيانات غير ممثلة.

قد يستخدم النظام خارج السياق الذي اختبر فيه.

قد تتغير البيئة.

وقد تتغير الخدمة الخارجية نفسها.

هذا النوع من المخاطر يحتاج إلى Model Risk Management وليس Vulnerability Management فقط.

ضمان AI والاختبار

قبل الانتقال من تجربة محدودة إلى خدمة تشغيلية، يحتاج النظام إلى اختبارات تتناسب مع أثره.

لا يكفي أن تكون الدقة المتوسطة جيدة.

يجب اختبار:

الحالات الحدية.

البيانات الناقصة.

الفئات المختلفة من المستخدمين.

السيناريوهات التي قد ينتج عنها ضرر.

واستقرار الأداء مع الزمن.

في الأنظمة التوليدية، يجب كذلك اختبار الميل إلى اختلاق المعلومات، ومقاومة التعليمات الخبيثة، وتسريب السياق، والقدرة على الامتناع عندما لا توجد معلومات كافية.

TEVV

الاختبار والتقييم والتحقق والتثبت يمكن أن يكون نموذجًا عمليًا للمؤسسات السورية عند التعامل مع استخدامات متوسطة وعالية الأثر.

هذا لا يعني أنه متطلب وطني سوري مثبت.

هو ممارسة حوكمة تساعد على الانتقال من سؤال "هل النموذج يعمل؟" إلى مجموعة أسئلة أكثر دقة:

هل اختبرنا الوظيفة؟

هل تحققنا من المتطلبات؟

هل ثبت أن النظام مناسب للغرض؟

وهل يبقى كذلك بعد التشغيل؟

أثر التدقيق

النظام عالي الأثر يجب أن يترك أثرًا يسمح بالتحقيق.

قد نحتاج إلى معرفة:

من استخدم النظام؟

متى؟

أي إصدار من النموذج؟

ما البيانات أو المصادر المستخدمة؟

ما النتيجة؟

هل تدخل إنسان؟

ومن اتخذ القرار النهائي؟

دون هذه المعلومات تصبح المساءلة نظرية.

المراقبة بعد الإنتاج

الاعتماد لا ينتهي عند Go-Live.

البيانات تتغير.

المستخدمون يغيرون سلوكهم.

النماذج الخارجية تتحدث.

وقد تتغير جودة النتائج.

لذلك يجب مراقبة الأداء والحوادث والتدخلات البشرية والتغيرات الجوهرية وإعادة التقييم عند الحاجة.

نموذج حوكمة مؤسسي مناسب

في غياب إطار AI وطني شامل مثبت، المسار الأقل مخاطرة للجهات السورية هو اعتماد حوكمة داخلية قائمة على المخاطر بدل انتظار تنظيم متخصص.

يمكن أن يتكون النموذج من:

مالك أعمال لكل نظام.

وظيفة تقنية مسؤولة عن التشغيل.

مسؤول بيانات.

أمن سيبراني.

وظيفة قانونية أو امتثال.

ومراجع أعلى للاستخدامات ذات الأثر المرتفع.

الهدف ليس إنشاء لجنة ضخمة لكل أداة. الهدف هو جعل مستوى الحوكمة متناسبًا مع المخاطر.

ما الذي لا ينبغي استنتاجه؟

لا ينبغي القول إن سوريا لديها National AI Strategy لمجرد وجود تحول رقمي.

لا ينبغي وصف استراتيجية الأمن السيبراني بأنها AI Security Framework.

لا ينبغي نسبة متطلبات AI-specific إلى قانون حماية البيانات دون نص مثبت.

ولا ينبغي اعتبار السياسة السحابية إطارًا عامًا لحوكمة الذكاء الاصطناعي.

الحوكمة الدقيقة تبدأ بعدم توسيع نطاق الوثيقة أبعد مما يدعمه المصدر.

ماذا يجب أن يحدث الآن؟

المؤسسة الجادة لا تحتاج إلى انتظار قانون AI كي تبدأ.

يمكنها:

حصر الأنظمة.

اعتماد سياسة GenAI.

تصنيف حالات الاستخدام.

منع إدخال البيانات الحساسة إلى خدمات غير معتمدة.

إنشاء مراجعة للاستخدامات عالية الأثر.

إضافة متطلبات AI إلى مشتريات التقنية.

وتوثيق الاختبارات والحوادث.

هذه الإجراءات قابلة للتنفيذ حتى عندما يكون المشهد التنظيمي في طور التطور.

الخلاصة

المشهد السوري لحوكمة AI في 2026 ليس فراغًا تنظيميًا كاملًا، لكنه أيضًا ليس منظومة AI تنظيمية مكتملة.

التحول الرقمي، حماية البيانات، الأمن السيبراني والسحابة توفر الأساس.

أما سجل أنظمة AI وتصنيف المخاطر وضمان النماذج والإشراف البشري وحوكمة الموردين والاستخدام المؤسسي لـGenAI فهي طبقات يجب على المؤسسات بناؤها بصورة صريحة.

والفارق بين الاثنين هو جوهر الحوكمة:

استخدام الموجود فعلًا دون نسب متطلبات إليه لم يضعها، ثم سد الفجوات بضوابط مؤسسية قابلة للتدقيق.