«الذكاء الاصطناعي الخفي» يختصر ساعات العمل.. ويفتح باباً لتسريب البيانات الحساسة

حذّر مختصان في العمل المؤسسي والقانون من انتشار ظاهرة «shadow AI» في بيئة العمل، إذ لم يعد الموظفون يكتفون بإحضار أجهزتهم الشخصية إلى المكاتب، بل باتوا يجلبون أدوات وتطبيقات الذكاء الاصطناعي الخاصة بهم إلى بيئة العمل من دون إذن مسبق.

وأكدا أنه رغم أن هذا التوجه الرقمي الجديد يختصر على الموظفين ساعات عمل طويلة، ويسرّع وتيرة الإنجاز، إلا أنه يضع المؤسسات أمام معضلة أمنية حقيقية تُعرف بـ«الذكاء الاصطناعي الخفي» (Shadow AI)، حيث قد تتحول هذه الأدوات غير الخاضعة للرقابة إلى نوافذ مشرعة لتسريب البيانات الحساسة.

وكشف مؤشر اتجاهات العمل الصادر عن Microsoft وLinkedIn، والذي استند إلى دراسة شملت 31 ألف شخص في 31 دولة، أن 78% من مستخدمي الذكاء الاصطناعي كانوا يجلبون أدوات الذكاء الاصطناعي الخاصة بهم إلى العمل، فيما يعرف بـBYOAI أو Bring Your Own AI.

وأكد موظفون لـ«الإمارات اليوم»، طلبوا عدم ذكر أسمائهم، أن تطبيقات الذكاء الاصطناعي أصبحت جزءاً رئيساً في إنجاز مهامهم اليومية، مشيرين إلى أنهم يستعينون بحساباتهم الشخصية على تلك التطبيقات لتسريع وتيرة العمل، ما يوفر عليهم الكثير من الوقت والجهد، ويضاعف من كفاءة إنتاجيتهم.

وذكروا أن أبرز أدوات الذكاء الاصطناعي الشخصية التي يعتمدون عليها تتنوع وظائفها بين كتابة النصوص، وتلخيص التقارير، والبرمجة، وتوليد العروض التقديمية، إضافة إلى تحليل البيانات، وصياغة العقود، ومعالجة المستندات الطويلة والمعقدة، فضلاً عن توليد الصور الاحترافية، لافتين إلى أن كلفة الاشتراكات المدفوعة لهذه التطبيقات تعد زهيدة مقارنة بفوائدها، حيث تراوح أسعارها بين 10 دولارات و20 دولاراً شهرياً.

وحسب دراسة أجرتها «KnowBe4» في الإمارات والسعودية، ونشرها موقع «بيزنس وير»، في يونيو الماضي، أفاد 41% من الموظفين بأنهم يلجأون عادةً إلى الحصول على أدوات الذكاء الاصطناعي ذاتية التشغيل (Agentic AI) بأنفسهم في الحالات التي تكون فيها الخيارات الرسمية غير متاحة أو مقيدة، ما يجعل المؤسسات عُرضة للهجمات السيبرانية.

وأفاد أكثر من نصف قادة الأمن السيبراني (54%) بأن الأخطاء المرتكبة أثناء العمل اليومي كان لها الأثر الأكبر على الأمن السيبراني لمؤسساتهم خلال الأشهر الـ12 الماضية، فيما أقر 44% من الموظفين بأن ضغوط الوقت والمشتتات في بيئة العمل تدفعهم فعلياً لارتكاب أخطاء أمنية جسيمة، حتى عندما يكونون على دراية بالبروتوكولات الأمنية السليمة.

من جهته، حذّر مجلس الأمن السيبراني لحكومة دولة الإمارات، من أدوات الذكاء الاصطناعي التي تظهر في نتائج البحث، إذ ليست كلها آمنة، ويكون هدف بعضها جمع بيانات ومعلومات المستخدمين.

وأكد أهمية استخدم أدوات الذكاء الاصطناعي من مصادر موثوقة فقط، وعدم منحها إذن الوصول إلى الكاميرا أو غيرها، والتحقق من موثوقية الموقع، ومراجعة الأذونات التي تطلبها قبل الموافقة عليها.

وقال مستشار الابتكار المؤسسي، أحمد شحروج، لـ«الإمارات اليوم»، إن مفهوم Shadow AI، أو ما يمكن أن نطلق عليه «الذكاء الاصطناعي خارج الحوكمة»، هو استخدام الموظفين لأدوات أو تطبيقات ذكاء اصطناعي في أداء أعمال المؤسسة من دون أن تكون هذه الأدوات معتمدة رسمياً، أو من دون أن يخضع استخدامها بصورة كاملة لضوابط المؤسسة المتعلقة بالبيانات والخصوصية والأمن وإدارة المخاطر.

ونبّه شحروج إلى خطورة هذا النوع من الاستخدام، إذ إنه في كثير من الأحيان لا يبدو خطراً، فالموظف لا يشعر بأنه يشارك بيانات المؤسسة مع طرف خارجي، فهو ببساطة يريد تلخيص تقرير، أو إعادة صياغة خطاب، أو تحليل ملف Excel، أو مراجعة عقد، أو إعداد عرض تقديمي، أو استخراج توصيات من وثيقة طويلة.

لكن من منظور حوكمة البيانات، فإن نسخ المعلومات إلى مربع محادثة أو رفع ملف إلى منصة خارجية هو في النهاية عملية مشاركة ومعالجة للبيانات، وهنا يبدأ التحدي عندما يسبق الموظفون سياسات المؤسسة.

وأشار إلى أن انتشار الذكاء الاصطناعي داخل أماكن العمل يجري بسرعة يصعب أحياناً على المؤسسات مواكبتها، وأن المؤشرات تشير إلى أن استخدام الذكاء الاصطناعي لم يعد دائماً قراراً مؤسسياً يبدأ من إدارة تقنية المعلومات، بل قد يبدأ من الموظف نفسه.

وقال: «موظف يكتشف أداة جديدة صباحاً، ينشئ حساباً شخصياً، وبعد ساعات تصبح الأداة جزءاً من طريقة إنجازه للعمل، ومن هنا يمكن أن ينشأ Shadow AI قبل أن تعرف المؤسسة أصلاً أن لديها Shadow AI».

ونبّه شحروج إلى أن المخاطر لا تقتصر على بيانات المتعاملين وأسمائهم وأرقامهم الشخصية، فقد تكون المعلومات التي يتم إدخالها عقداً لم يتم توقيعه بعد، أو عرضاً مالياً، أو بيانات موردين، أو دراسة جدوى، أو محضر اجتماع تنفيذي، أو فكرة ابتكارية لم يتم تسجيلها، أو شفرة برمجية، أو تفاصيل عن نقاط ضعف في أحد الأنظمة.

وتابع: «الذكاء الاصطناعي المفتوح المصدر ليس مرادفاً للذكاء الاصطناعي غير الآمن، فالمؤسسة قد تستخدم نموذجاً مفتوح المصدر وتشغله داخل بنيتها التقنية وتحت ضوابطها، بحيث تبقى البيانات داخل البيئة المؤسسية، وفي المقابل، قد يكون الخطر أكبر عند استخدام موظف لخدمة ذكاء اصطناعي عامة عبر الإنترنت أو حساب شخصي من دون معرفة كافية بكيفية معالجة البيانات أو تخزينها أو بالسياسات التي تحكم استخدامها وبالتالي فالقضية ليست: هل الأداة مجانية أم مدفوعة؟ ولا: هل النموذج مفتوح المصدر أم مغلق؟ القضية الأكثر أهمية هي: هل هذه الأداة معتمدة؟ وأين تعالج البيانات؟ وما الذي يسمح للمستخدم بإدخاله إليها؟ ومن يملك القدرة على مراقبة هذا الاستخدام وإدارته؟».

ونوه بأن هذه القضية تكتسب أهمية خاصة في دولة الإمارات، ليس بسبب التوسع في استخدام الذكاء الاصطناعي فقط، وإنما لأن الدولة دخلت بالفعل مرحلة أكثر تقدماً في توظيفه في العمل الحكومي.

وأشار شحروج إلى أنه عندما يصل الذكاء الاصطناعي إلى هذه الدرجة من الاندماج مع العمليات الحكومية، فإن حوكمة استخدامه تصبح جزءاً أساسياً من نجاح التحول نفسه، فالاستشراف الحقيقي للمستقبل لا يعني تبني التقنية فقط، وإنما استباق المخاطر الجديدة التي تنشأ معها، ولهذا لم تنتظر حكومة الإمارات وصول الذكاء الاصطناعي إلى هذه المرحلة حتى تبدأ التفكير في الحوكمة.

وفي مواجهة ظاهرة «Shadow AI» في جهات العمل، اعتبر شحروج أن أبسط الحلول قد يكون إصدار تعميم يقول: «يُمنع استخدام أدوات الذكاء الاصطناعي»، لكنه ليس بالضرورة الحل الأفضل، فمنع التكنولوجيا بالكامل قد يحرم المؤسسة من فرص حقيقية لرفع الإنتاجية، وتحسين التحليل، وتسريع إعداد التقارير، وتطوير الخدمات ودعم الابتكار، والأسوأ أن المنع من دون توفير بديل قد يدفع بعض الاستخدامات إلى أن تصبح أكثر خفاءً، لذلك فإن المؤسسة المبتكرة لا تحارب الذكاء الاصطناعي، وإنما تنقل استخدامه من الاجتهاد الفردي غير المحكوم إلى الاستخدام المؤسسي المسؤول.

واقترح أنه يمكن أن يبدأ ذلك بإنشاء ما يمكن تسميته «المنطقة الآمنة للذكاء الاصطناعي – AI Safe Zone»، وهي ليست بالضرورة منصة واحدة، وإنما منظومة مؤسسية تحدد الأدوات المعتمدة، والحسابات التي ينبغي استخدامها، وأنواع البيانات التي يسمح بإدخالها، وما يحظر مشاركته، ومتى يجب إخفاء هوية البيانات، وكيف يتم اعتماد أدوات جديدة، ومن المسؤول عن متابعة المخاطر.

وأشار إلى أن المؤسسة تحتاج أيضاً إلى تصنيف واضح للمعلومات، فالبيانات العامة ليست كالبيانات الداخلية، والمعلومات الداخلية ليست كالسرية أو شديدة الحساسية، وما يجوز إدخاله إلى نظام ما لا يعني بالضرورة أنه يجوز إدخاله إلى أي نظام آخر.

وتابع: «يمكن تلخيص ذلك بسؤال بسيط يستطيع أي موظف أن يسأله لنفسه قبل الضغط على زر إرسال: لو كان هناك شخص من خارج المؤسسة يجلس في الطرف الآخر، هل كنت سأعطيه هذه الوثيقة أو هذه المعلومات؟ إذا كانت الإجابة لا، فمن المنطقي ألا يتم إدخالها أيضاً إلى أداة ذكاء اصطناعي عامة غير معتمدة».

ونبّه شحروج إلى أن الخطر قد يأتي من أكثر الموظفين حرصاً على الإنجاز، وبمعنى آخر فإن المفارقة التي يجب ألا نغفلها أن الموظف الذي قد يعرّض المعلومات للخطر ليس بالضرورة موظفاً مهملاً، فقد يكون، على العكس، من أكثر الموظفين حرصاً على الإنجاز والابتكار ورفع الإنتاجية، لقد وجد أداة تختصر عليه ثلاث ساعات من العمل إلى 10 دقائق، فاستخدمها، وهنا لا ينبغي أن يكون السؤال: لماذا استخدمها؟ بل: لماذا لم نوفر له طريقة آمنة ومعتمدة لاستخدامها؟ وهنا تتحول القضية من مسؤولية فردية فقط إلى مسؤولية مؤسسية.

وأكد أن حوكمة الذكاء الاصطناعي لم تعد مهمة إدارة تقنية المعلومات أو الأمن السيبراني وحدهما، بل أصبحت بحاجة إلى مشاركة إدارة البيانات، والشؤون القانونية، والموارد البشرية، وإدارة المخاطر، والابتكار، والقيادات التنفيذية، لأن Shadow AI في جوهره ليس تحدياً تقنياً فقط، إنه تحدٍ في الثقافة المؤسسية، والسلوك، والحوكمة، وتصميم العمل نفسه.

من جهته، حذّر المستشار القانوني، الدكتور عمار علي، من المخاطر القانونية لاستخدام الموظفين لأدوات ذكاء اصطناعي غير معتمدة أو غير خاضعة للرقابة المؤسسية.

وأشار إلى أن الخطورة تظهر عندما يُدخل الموظف في حسابه الشخصي عقوداً، أو بيانات عملاء، أو تقارير مالية، أو ملفات صحية، أو مراسلات واجتماعات داخلية، معتقداً أنه يقوم فقط بـ«نسخ ولصق» المعلومات، بينما قد يشكل ذلك قانوناً عملية معالجة أو إفصاح عن البيانات لطرف خارج البيئة المؤسسية.

وأوضح أن المشرّع الإماراتي وضع سياجاً قانونياً واضحاً حول هذه الممارسات، فالمادة (5) من المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية تشترط أن تكون معالجة البيانات مشروعة ولغرض محدد، وأن تقتصر البيانات على القدر اللازم لذلك الغرض، وأن تحفظ بصورة آمنة وتحاط بتدابير تحميها من الاختراق أو المعالجة غير المشروعة أو غير المصرح بها، كما تلزم المادة (7) المتحكم باتخاذ التدابير التقنية والتنظيمية المناسبة لحماية سرية البيانات وخصوصيتها.

ومن ثم، فإن تحميل موظف بيانات عملاء أو موظفين على منصة ذكاء اصطناعي غير معتمدة قد لا يكون مجرد مخالفة داخلية، بل قد يضع المؤسسة أمام التزامات قانونية تتعلق بأمن البيانات، بل والإبلاغ عن اختراقها أو الإخلال بسرّيتها متى تحققت شروط المادة (9) من القانون، كما أجاز القانون توقيع جزاءات إدارية عند ثبوت مخالفة المتحكم أو المعالج لأحكامه.

وأشار عمار إلى قانون مكافحة الشائعات والجرائم الإلكترونية، فالمادة (45) من المرسوم بقانون اتحادي رقم 34 لسنة 2021 تجرّم إفشاء المعلومات السرية التي يحصل عليها الشخص بسبب عمله أو وظيفته أو مهنته، باستخدام إحدى وسائل تقنية المعلومات، من دون تصريح، وتقرر عقوبة تصل إلى الحبس مدة لا تقل عن ستة أشهر، والغرامة من 200 ألف إلى مليون درهم، أو إحدى هاتين العقوبتين، مع اعتبار استخدام المعلومات لتحقيق منفعة للفاعل أو للغير ظرفاً مشدداً.

وأوضح أنه إدخال أسرار العمل في منصة ذكاء اصطناعي خارجية يندرج تحت هذا النص متى توافرت أركان الجريمة وظروفها.

ولفت إلى أنه فيما يتعلق بعلاقة العمل، فقد ألزمت المادة 16 من المرسوم بقانون اتحادي رقم 33 لسنة 2021 بشأن تنظيم علاقات العمل العامل بالمحافظة على سرية المعلومات والبيانات التي يطلع عليها بحكم عمله، وعدم إفشاء أسرار العمل، وعدم الاحتفاظ شخصياً بنسخ ورقية أو إلكترونية مرتبطة بأسرار العمل من دون إذن صاحب العمل.

وأشار إلى أنه قد يصل الأمر إلى إنهاء الخدمة من دون إنذار، إذ تجيز المادة 44 ذلك، بعد استيفاء الإجراءات القانونية، إذا أفشى العامل سراً من أسرار العمل المتعلقة بالملكية الصناعية أو الفكرية، وترتب عليه ضرر لصاحب العمل أو ضياع فرصة أو تحقيق منفعة شخصية للعامل.

وأكد عمار أن المسؤولية لا ينبغي أن تلقى بالكامل على الموظف، فالمادة 13 من قانون العمل تلزم صاحب العمل بوضع لوائح تنظم تعليمات العمل والجزاءات وغيرها، بما يدعم ضرورة وجود سياسة مؤسسية واضحة لاستخدام الذكاء الاصطناعي، كما أن قانون حماية البيانات يلقي على المؤسسة، بوصفها متحكماً في البيانات متى انطبق عليها الوصف، مسؤولية اتخاذ التدابير التقنية والتنظيمية اللازمة لحمايتها.

وشدد على أن الحل ليس منع الذكاء الاصطناعي وإنما حوكمته، من خلال أدوات معتمدة، وتصنيف للمعلومات المحظور إدخالها، وضوابط للحسابات الشخصية، وتدريب الموظفين، ورقابة بشرية على المخرجات.

ضوابط وإرشادات

اعتمد مجلس الوزراء، في مايو 2024، دليلاً شاملاً لضوابط وإرشادات استخدام تقنيات الذكاء الاصطناعي التوليدي في حكومة الإمارات، بهدف توحيد أفضل الممارسات للاستخدام الأخلاقي والمسؤول والآمن للذكاء الاصطناعي، ويتناول الدليل بصورة واضحة حوكمة تطبيقات الذكاء الاصطناعي، والبيانات الحكومية، وبيانات التدريب، وحقوق المستخدمين، وإدارة المخاطر (UAE Cabinet).

كما أطلقت هيئة تنظيم الاتصالات والحكومة الرقمية TDRA، منذ 2023، واجهة مركزية موحدة لخدمات الذكاء الاصطناعي التوليدي للجهات الحكومية عبر الشبكة الرقمية الاتحادية FedNet، وتوفر الواجهة آلية معتمدة للجهات الحكومية للحصول على خدمات الذكاء الاصطناعي التوليدي، وتدعم استخدامها بما ينسجم مع اللوائح والسياسات الوطنية، وتحمي مصالح الجهات أثناء تعاملها مع هذه التقنيات.

الأمن السيبراني:

. يجب استخدام أدوات «AI» من مصادر موثوقة، والتحقق من موثوقية الموقع، ومراجعة الأذونات المطلوبة قبل الموافقة.