مشهد حوكمة الذكاء الاصطناعي في اليمن 2026: من أمن المعلومات والتحول الرقمي إلى الحوكمة المؤسسية

نقطة البداية: لا تفترض وجود إطار AI غير مثبت

قراءة حوكمة الذكاء الاصطناعي في اليمن خلال 2026 تتطلب فصلًا واضحًا بين ثلاثة أشياء:

ما هو موجود رسميًا.

ما هو توجه حكومي معلن.

وما تحتاج المؤسسات إلى بنائه داخليًا كي تستخدم AI بصورة مسؤولة.

حتى تاريخ هذه القراءة، لا تعتمد سيادة AI وجود استراتيجية وطنية يمنية مستقلة للذكاء الاصطناعي أو قانون شامل للذكاء الاصطناعي بوصفهما وثيقتين وطنيتين نهائيتين تم التحقق منهما.

هذا لا يعني غياب استخدام AI أو غياب الاهتمام به.

بل يعني أن الحوكمة لا يجب أن تُبنى على وثيقة غير مثبتة.

الأساس التنظيمي المتحقق

أقوى وثيقة يمنية مرتبطة مباشرة بالبيئة التقنية الحكومية والمتوفرة لدينا هي:

السياسات العامة لأمن المعلومات في الجهات الحكومية، الصادرة بقرار مجلس الوزراء رقم 59 لسنة 2020.

هذه الوثيقة لا تمثل AI Governance Framework.

لكنها توفر أساسًا مهمًا يتعلق بأمن المعلومات، وإدارة الحوادث، وحماية الأنظمة والمعلومات الحكومية.

لذلك يمكن استخدامها كطبقة أساس، ثم إضافة ضوابط AI-specific بصورة مؤسسية.

التحول الرقمي كبيئة تمكين

الموقع الرسمي لوزارة الاتصالات وتقنية المعلومات يضع قيادة التحول الرقمي ضمن الرؤية الحالية للوزارة، ويحدد من بين الأهداف:

تطوير البنية التحتية.

تحقيق تحول رقمي شامل.

بناء منظومة الأمن السيبراني الوطنية.

تنمية القدرات البشرية.

وتحديث الأطر القانونية والتنظيمية.

هذه أهداف مهمة لأنها تحدد البيئة التي ستعمل داخلها أنظمة AI.

لكنها ليست بحد ذاتها استراتيجية وطنية للذكاء الاصطناعي.

لماذا هذا الفرق مهم؟

عندما تخلط المؤسسة بين Digital Transformation وAI Governance، قد تعتقد أن مجرد رقمنة الخدمة يكفي لإدارة مخاطر AI.

هذا غير صحيح.

رقمنة خدمة تعني نقل عملية إلى بيئة رقمية.

أما AI Governance فتضيف أسئلة مثل:

من يملك النموذج؟

ما البيانات التي يستخدمها؟

هل ينتج توصية أم قرارًا؟

كيف يتم اختباره؟

من يراقب الانحراف؟

وما الذي يحدث عندما يخطئ؟

سجل أنظمة AI

أول Control تحتاج إليه المؤسسة ليس لجنة ولا Policy طويلة.

هو Inventory.

يجب معرفة كل استخدام فعلي للذكاء الاصطناعي داخل المؤسسة.

يشمل ذلك:

الخدمات التوليدية.

Chatbots.

أنظمة التحليل.

النماذج المدمجة داخل منتجات الموردين.

AI APIs.

وأدوات الموظفين الشخصية إذا كانت تستخدم في العمل.

Shadow AI

من أخطر الفجوات أن تستخدم الفرق أدوات AI دون معرفة الإدارة.

قد يرفع موظف مستندًا داخليًا إلى خدمة عامة.

قد ينسخ بيانات عميل أو مواطن داخل Prompt.

وقد يستخدم فريق تقنية Model API خارجيًا دون مراجعة أمنية أو تعاقدية.

هذه الممارسات تخلق Shadow AI.

الحل ليس الحظر الكامل.

الحل هو توفير مسار رسمي وأدوات معتمدة وقواعد واضحة.

تصنيف المخاطر

ليس كل استخدام AI متساويًا.

يمكن أن يكون الاستخدام منخفض الأثر، مثل تحسين صياغة نص عام.

وقد يكون متوسطًا، مثل تلخيص وثائق داخلية.

وقد يكون عالي الأثر عندما يؤثر في:

حق.

خدمة.

قرار مالي.

عملية أمنية.

توظيف.

تحقيق.

أو قرار حكومي.

يجب أن يرتفع مستوى المراجعة مع مستوى الأثر.

البيانات

الذكاء الاصطناعي يعتمد على البيانات.

لكن وجود البيانات لا يعني أن استخدامها صحيح.

يجب معرفة:

المصدر.

المالك.

الغرض.

الجودة.

الحساسية.

فترة الاحتفاظ.

وصلاحيات الوصول.

بدون Data Governance يصبح AI طبقة تضخم أخطاء البيانات الموجودة أصلًا.

مصدرية البيانات

Data Provenance مهمة بصورة خاصة عندما ينتج النظام نتيجة يصعب تفسيرها.

إذا كانت المؤسسة لا تعرف أي نسخة من البيانات استخدمت، فلن تستطيع التحقيق بجدية.

مصدرية البيانات يجب أن تشمل:

المصدر الأصلي.

التحديثات.

التحويلات.

والنسخة التي وصلت إلى النظام.

البيانات المفتوحة

Open Data يمكن أن توفر قيمة للبحث والتحليل والابتكار.

لكن البيانات المفتوحة ليست مرادفًا للبيانات الصحيحة أو الحديثة أو الملائمة لكل استخدام.

يجب تقييم الجودة والسياق قبل استخدامها في نموذج أو قرار.

الأمن السيبراني

وزارة الاتصالات تضع بناء منظومة الأمن السيبراني الوطنية ضمن أهدافها الاستراتيجية الحالية.

هذا مهم لـAI لأن أي نظام ذكي يعتمد على:

هوية.

شبكات.

بيانات.

سحابة.

واجهات.

وموردين.

لكن Cybersecurity لا يغطي كل مخاطر AI.

أين تبدأ مخاطر AI الخاصة؟

المخاطر الإضافية تشمل:

Prompt Injection.

Hallucination.

Model Drift.

RAG Poisoning.

تغير النموذج لدى المورد.

سوء استخدام Tools.

والاعتماد الزائد على التوصيات.

هذه المخاطر تحتاج ضوابط إضافية فوق أمن المعلومات التقليدي.

الإشراف البشري

وجود موظف داخل العملية لا يعني أن الإشراف فعال.

الموظف يجب أن يستطيع:

فهم أن النظام قدم توصية.

مراجعة المعلومات.

رفض النتيجة.

طلب مراجعة أخرى.

والتصعيد.

إذا كانت واجهة النظام تدفعه إلى الموافقة التلقائية، يصبح الإنسان ختمًا شكليًا.

المسؤولية

النموذج لا يتحمل المسؤولية المؤسسية.

يجب أن يوجد:

Business Owner.

System Owner.

Data Owner.

ومسؤول عن القرار النهائي.

التقنية قد تدعم القرار لكنها لا تمحو سلسلة المساءلة.

الموردون

المؤسسات اليمنية قد تعتمد بصورة كبيرة على حلول جاهزة وموردين خارجيين.

لذلك Vendor Risk أساسي.

يجب معرفة:

من المزود؟

أين تتم المعالجة؟

هل يحتفظ بالبيانات؟

هل يستخدمها للتدريب؟

هل توجد أطراف فرعية؟

كيف تتغير الخدمة؟

وكيف تخرج المؤسسة منها؟

الطرف الثالث

قد يكون المورد المباشر مجرد واجهة لخدمة أخرى.

وهذا يخلق سلسلة اعتماد.

Model Provider.

Cloud Provider.

Data Processor.

Libraries.

APIs.

كلها قد تكون جزءًا من النظام.

حوكمة الطرف الثالث يجب أن ترى السلسلة كاملة.

الذكاء الاصطناعي التوليدي

GenAI مرشح ليكون نقطة الدخول الأسرع إلى المؤسسات.

الاستخدام قد يبدأ قبل وجود مشروع رسمي.

لهذا تحتاج المؤسسة إلى Acceptable Use Policy بسيطة.

ما الأدوات المسموحة؟

ما البيانات المحظورة؟

ما الاستخدامات التي تحتاج مراجعة بشرية؟

وما الحالات التي تحتاج موافقة مسبقة؟

الهلوسة

النموذج قد ينتج معلومة غير صحيحة بصياغة واثقة.

لذلك يجب التفريق بين:

Drafting.

Research Assistance.

وAuthoritative Output.

كلما اقترب الاستخدام من قرار رسمي أو خدمة مواطن، يجب أن يرتفع مستوى التحقق.

RAG

ربط النموذج بوثائق المؤسسة قد يقلل بعض الأخطاء.

لكن RAG يخلق مخاطر جديدة.

من يستطيع إدخال الوثائق؟

من يستطيع رؤيتها؟

هل توجد وثائق قديمة؟

هل يستطيع مستخدم استرجاع معلومات لا يملك صلاحية لها؟

RAG يحتاج Governance مستقلًا.

AI Assurance

يمكن للمؤسسة استخدام AI Assurance كطبقة عملية للتحقق من أن النظام مناسب للغرض.

الهدف ليس إثبات الكمال.

الهدف وجود Evidence على:

الاختبار.

الحدود.

الأداء.

المراقبة.

والتصرف عند الفشل.

TEVV

Testing, Evaluation, Verification and Validation يمكن أن يكون منهجًا مفيدًا للأنظمة الأعلى أثرًا.

لكن لا ينبغي تقديم TEVV كمتطلب وطني يمني مثبت.

هو ممارسة حوكمة يمكن للمؤسسة تبنيها داخليًا.

المراقبة

النظام لا يبقى ثابتًا.

قد تتغير البيانات.

قد يتغير النموذج.

قد يتوسع الاستخدام.

وقد يتغير المورد.

لذلك يجب أن تكون هناك مراجعات دورية ومؤشرات واضحة.

أثر التدقيق

في الأنظمة المؤثرة، يجب أن نعرف:

من استخدم النظام؟

متى؟

أي نسخة؟

ما البيانات؟

ما النتيجة؟

ومن اتخذ القرار النهائي؟

بدون Audit Trail تصبح المساءلة ضعيفة.

المرونة التشغيلية

البيئة اليمنية تجعل Resilience موضوعًا مهمًا بحد ذاته.

أي خدمة تعتمد على اتصال أو مزود خارجي يجب أن تعرف ماذا يحدث عند الانقطاع.

هل يوجد Fallback؟

هل يعود العمل يدويًا؟

هل توجد نسخة محلية؟

هل تستطيع المؤسسة الاستمرار؟

لا تحول الفجوة إلى تشريع

غياب AI Regulation لا يسمح لنا باختراع واحد.

إذا لم يتم التحقق من National AI Strategy، يجب أن نقول ذلك.

إذا لم يوجد AI Law مثبت، لا نصف أي وثيقة تقنية بأنها قانون AI.

هذه قاعدة أساسية في النزاهة التنظيمية.

نموذج مؤسسي مؤقت

حتى ظهور أطر أكثر تخصصًا، تستطيع المؤسسات استخدام نموذج داخلي قائم على المخاطر.

ابدأ بـInventory.

ثم Risk Classification.

ثم Data Review.

ثم Security Review.

ثم Vendor Review.

ثم Testing.

ثم Human Oversight.

ثم Monitoring.

هذا ليس إطارًا وطنيًا يمنيًا.

هو نموذج تشغيلي لتقليل المخاطر.

ماذا يجب أن تفعل المؤسسة الآن؟

لا تنتظر استراتيجية AI.

ابدأ بحصر الاستخدامات.

حدد الأدوات المعتمدة.

ضع قواعد للبيانات.

أدخل AI في المشتريات.

حدد مسؤولية القرار.

اختبر الاستخدامات عالية الأثر.

وراقب الأنظمة بعد التشغيل.

الخلاصة

مشهد حوكمة AI في اليمن خلال 2026 يجب قراءته بواقعية.

هناك أساس رسمي لأمن المعلومات الحكومي.

هناك توجه واضح نحو التحول الرقمي والأمن السيبراني وتطوير الأطر التنظيمية.

وهناك استخدام متزايد للتقنيات الذكية.

لكن لا ينبغي تحويل هذه العناصر إلى ادعاء بوجود منظومة AI وطنية مكتملة.

النهج الأكثر نضجًا هو استخدام ما تم التحقق منه كأساس، ثم بناء حوكمة AI مؤسسية تغطي البيانات والنماذج والموردين والاختبار والإشراف والمراقبة.