حوكمة وكلاء الذكاء الاصطناعي الذين يتصرفون في أنظمة السجلات الأساسية

صُممت معظم برامج حوكمة الذكاء الاصطناعي في المؤسسات لعالم يُنتج فيه الذكاء الاصطناعي مخرجاً ويقرر فيه شخص ما يفعله به. نموذج يقيّم طلب قرض. مساعد يصيغ مسودة بريد إلكتروني. روبوت محادثة يجيب عن سؤال حول سياسة ما. يبقى الإنسان في المنتصف، ويبقى هو المسؤول عن الإجراء.

يغيّر وكلاء الذكاء الاصطناعي هذه المعادلة. يستطيع الوكيل أن يقرأ سجل عميل، ويقرر أن أمراً ما يجب أن يحدث، ثم ينفّذه: تحديث حقل في نظام CRM، أو إصدار أمر شراء في نظام ERP، أو إغلاق طلب خدمة، أو تعديل إعداد حساب في منصة مصرفية أساسية. لم يعد المخرج اقتراحاً، بل أصبح تغييراً في نظام سجلات أساسي.

أمضيت أكثر من عقدين في تطبيق أنظمة السجلات هذه وتشغيلها، والدرس ثابت: الخطر يكمن فيما يُكتب في النظام، لا فيما يُقال. يوضح هذا المقال لماذا يحتاج الوكلاء إلى ضوابط مختلفة، وكيف يبدو إطار ضوابط قابل للتطبيق.

لماذا تختلف مخاطر الإجابات عن مخاطر الإجراءات

قد يكون النموذج الذي يولّد إجابة مخطئاً أو متحيزاً أو ضعيف التفسير. هذه مخاطر حقيقية، لكن الشخص الذي يقرأ الإجابة يحتويها عادةً. أما الوكيل الذي ينفّذ إجراءً فيضيف مجموعة جديدة من المخاطر أقرب إلى المخاطر التشغيلية منها إلى مخاطر النماذج.

• النطاق. قد تُنفَّذ تعليمة معيبة آلاف المرات قبل أن يلاحظها أحد، لأن الوكلاء لا يتعبون ولا يتوقفون للتشكيك في نمط متكرر.
• مدى الوصول. كثيراً ما يستخدم الوكلاء بيانات اعتماد التكامل المُعدّة للربط بين الأنظمة، وقد تمنحهم صلاحيات أوسع بكثير مما يملكه أي موظف بمفرده.
• التسلسل. قد يصبح مخرج وكيل مدخلاً لوكيل آخر، فينتشر الخطأ عبر الأنظمة والفرق.
• قابلية التراجع. بعض الإجراءات، مثل إرسال مراسلة إلى عميل أو تحويل أموال، لا يمكن التراجع عنها بسهولة.
• المساءلة. عندما يتغير سجل ما، سيسأل المدققون والجهات التنظيمية عمّن أجرى التغيير وبأي صلاحية. وعبارة «الذكاء الاصطناعي هو من فعل ذلك» ليست إجابة مقبولة.

لا يعني أيٌّ من ذلك تجنّب الوكلاء، بل يعني أن نموذج الحوكمة يجب أن ينتقل من مراجعة المخرجات إلى ضبط الإجراءات.

اعرفوا كل وكيل واربطوه بهوية

لا يمكنكم حوكمة ما لا ترونه. الضابط الأول هو سجل حيّ لجميع الوكلاء المستخدمين، سواء طُوّروا داخلياً، أو كانوا مدمجين في منصة مورّد، أو فعّلهم فريق أعمال داخل تطبيق قائم.

ينبغي أن يوثّق السجل لكل وكيل ما يلي على الأقل:

• الغرض والمالك. الغاية من الوكيل، ومالك الأعمال المسمّى المسؤول عن سلوكه.
• الأنظمة والبيانات. أنظمة السجلات التي يمكنه القراءة منها والكتابة فيها، وتصنيفات البيانات التي يتعامل معها.
• الإجراءات. العمليات المحددة التي يمكنه تنفيذها، مثل الإنشاء أو التحديث أو الحذف أو الاعتماد أو الإرسال أو الدفع.
• النماذج والمورّدون. النماذج التي يعتمد عليها والجهات التي توفرها.
• مستوى المخاطر. تصنيف قائم على أثر إجراءاته، يحدد بدوره جميع الضوابط الأخرى المذكورة أدناه.

تكتشف مؤسسات كثيرة أن وكلاء يعملون بالفعل داخل منصات مرخّصة لديها، فُعّلوا عبر إعداد في التهيئة لا عبر مشروع رسمي. لذا يكون الاستكشاف في الغالب الخطوة الأولى الأعلى قيمة.

بعد ذلك، ينبغي أن يعمل كل وكيل بهويته الخاصة، لا بحساب خدمة مشترك ولا ببيانات اعتماد الشخص الذي أعدّه. ويجب تسجيل هذه الهوية ضمن عمليات إدارة الهوية والوصول لديكم كأي مستخدم ذي صلاحيات مميزة.

ينبغي أن تتبع الصلاحيات مبدأ الحد الأدنى من الامتيازات على مستوى الكائنات والحقول والعمليات. فالوكيل الذي يحدّث حالة الطلب لا يحتاج إلى تعديل البيانات المصرفية للعميل، والوكيل الذي يصيغ تعليمات الدفع لا يحتاج إلى صلاحية إطلاقها. وحين يتصرف الوكيل نيابةً عن مستخدم محدد، يجب ألّا يرث صلاحيات تتجاوز صلاحيات ذلك المستخدم.

هذه أرضية مألوفة لكل من أجرى مراجعات الوصول على منصات CRM أو ERP. الفرق أن صلاحيات الوكلاء تُمنح عادةً بسرعة خلال مرحلة تجريبية ثم لا تُراجَع أبداً. أدرجوا هويات الوكلاء في المصادقة الدورية على صلاحيات الوصول منذ اليوم الأول.

حددوا عتبات الاعتماد وفق المخاطر لا وفق العادة

كثيراً ما يُعامَل مبدأ «الإنسان داخل الحلقة» كمفتاح واحد. أما في الواقع فينبغي أن يكون مجموعة من العتبات المرتبطة بمستوى مخاطر كل إجراء.

• مستقل. الإجراءات منخفضة الأثر وسهلة التراجع، مثل وسم طلب أو تحديث ملاحظة داخلية، يمكن تنفيذها دون مراجعة، مع خضوعها للرقابة.
• الإنسان على الحلقة. تُنفَّذ الإجراءات متوسطة الأثر تلقائياً، لكن شخصاً يراجع عينات أو استثناءات بعد التنفيذ ويستطيع التدخل.
• الإنسان داخل الحلقة. الإجراءات عالية الأثر، مثل تغيير البيانات المالية للعملاء أو قرارات الائتمان أو المدفوعات أو المراسلات الخارجية، تتطلب اعتماداً صريحاً قبل أن تسري.
• محظور. بعض الإجراءات لا ينبغي تفويضها إلى وكيل إطلاقاً، مهما كانت الضوابط.

ينبغي أن تراعي العتبات أيضاً الحجم والقيمة. فقد يُؤتمَن الوكيل على منح رصيد تعويضي صغير، لكن ليس على منح المئات منه في ساعة واحدة، أو على منح رصيد يتجاوز مبلغاً محدداً. ويحتاج المعتمِدون إلى سياق كافٍ لاتخاذ قرار حقيقي، وإلا تحولت خطوة الاعتماد إلى إجراء شكلي.

ادمجوا الضمانات والتسجيل والرقابة في التصميم

الضمانات هي القيود التقنية التي تظل سارية أياً كان ما يقرره النموذج. وتشمل تصفية المدخلات والمخرجات، وقواعد التحقق من السجلات التي يكتبها الوكيل، وحدود معدّل التنفيذ، وسقوف الإنفاق والقيمة، وقيود على الأدوات التي يمكن للوكيل استدعاؤها، والحماية من حقن التعليمات عبر محتوى غير موثوق مثل رسائل البريد الإلكتروني أو المستندات الواردة.

تسجيل النشاط هو ما يحوّل الوكيل من صندوق أسود إلى شيء يمكن تدقيقه. ولكل إجراء، ينبغي أن تتمكنوا من إعادة بناء ما يلي:

• أي وكيل تصرّف، وبأي هوية، ونيابةً عن من؛
• ما الذي أطلقه، وما المعلومات التي اعتمد عليها؛
• أي نموذج وأي إصدار من التهيئة كانا مستخدمَين؛
• ما الذي غيّره، مع القيم قبل التغيير وبعده؛
• من اعتمده، حيثما كان الاعتماد مطلوباً.

ينبغي أن تكون السجلات مقاومة للعبث، ومحفوظة وفق سياسات حفظ السجلات لديكم، ومرتبطة بمسار التدقيق في نظام السجلات نفسه، بحيث لا يختلف تغيير أجراه وكيل عن تغيير أجراه إنسان حين يتتبعه المدقق.

ثم تستخدم الرقابة هذه السجلات لرصد الانحراف وسوء الاستخدام: أحجام غير معتادة، أو إجراءات خارج ساعات العمل المعتادة، أو ارتفاع معدلات تجاوز البشر لقرارات الوكيل، أو نمط من التغييرات يتركز على عملاء أو حسابات بعينها. يتغير سلوك الوكلاء مع تغير البيانات والتعليمات والنماذج الأساسية، لذا يجب أن تكون الرقابة مستمرة لا اختباراً لمرة واحدة قبل الإطلاق.

خططوا للحوادث والتراجع قبل أن تحتاجوا إليهما

يحتاج كل وكيل يكتب في نظام سجلات أساسي إلى خطة للحوادث تُكتب وتُختبر قبل التشغيل الفعلي. وينبغي أن تغطي هذه الخطة على الأقل ما يلي:

• مفتاح إيقاف. وسيلة سريعة ومفهومة جيداً لتعليق عمل الوكيل أو سحب صلاحياته دون تعطيل المنصة بأكملها.
• تحليل نطاق الأثر. القدرة على تحديد كل سجل لمسه الوكيل خلال فترة معينة، باستخدام سجل النشاط.
• التراجع. طريقة مُختبَرة لإعادة السجلات المتأثرة إلى حالتها السابقة، وعملية واضحة للإجراءات التي لا يمكن التراجع عنها، مثل معالجة أوضاع العملاء المتضررين.
• التصعيد. مسارات محددة إلى عملياتكم القائمة للمخاطر التشغيلية وأمن المعلومات، وإلى عمليات الإبلاغ التنظيمي حيثما ينطبق ذلك.

الخبر الجيد أن معظم المؤسسات تملك هذه القدرات بالفعل لأنظمة أخرى. والمطلوب هو توسيعها لتشمل الوكلاء، والتأكد من أن القائمين عليها يدركون أن الوكلاء ضمن نطاقها.

من أين تبدأون

لا تتطلب حوكمة الوكلاء بيروقراطية جديدة، بل تتطلب تطبيق التخصصات القائمة، ومنها إدارة الهوية وضبط التغيير والمخاطر التشغيلية والتدقيق، بشكل مدروس على نوع جديد من الفاعلين. والتسلسل المنطقي للبدء هو حصر ما يعمل بالفعل، وتصنيفه حسب أثر إجراءاته، وتشديد الصلاحيات والاعتمادات على المستويات الأعلى، والتأكد من قدرتكم على تسجيل ما يفعله هؤلاء الوكلاء ومراقبته والتراجع عنه.

حين يُنفَّذ ذلك بإتقان، لا يبطئ التبنّي، بل يمنح قادة الأعمال وفرق المخاطر والجهات التنظيمية الثقة اللازمة للسماح للوكلاء بإنجاز المزيد.

هذا المقال معلومات عامة، ولا يُعد مشورة قانونية أو تنظيمية.