المحتويات
- 1. أبريل 2023 — Samsung حظرت الذكاء الاصطناعي خلال 20 يوماً
- 2. لماذا تحتاج إلى إرشادات الآن — ثلاث ضغوط
- 3. القالب المؤلَّف من سبعة بنود — املأها وتكون قد غطّيت كل شيء
- 4. خمس فئات من بيانات الإدخال المحظورة — مع أمثلة
- 5. EU AI Act — ما الذي يسري اليوم، وأي المواعيد تأجّلت
- 6. خارطة طريق التنفيذ ذات الخمس مراحل
- 7. ثلاث مزالق يجب تجنّبها
- الخلاصة
- الأسئلة الشائعة
في أبريل 2023، سرّبت Samsung Electronics بيانات سرية عبر ChatGPT ثلاث مرات خلال 20 يوماً — شيفرة مصدر لأشباه الموصلات، وشيفرة إصلاح لمعدات معطوبة، ونص محضر اجتماع داخلي كامل — جميعها أُرسِلت إلى خوادم OpenAI في اللحظة التي ألصقها الموظفون فيها، دون أي إمكانية لاسترجاعها. على الفور، حظرت Samsung ChatGPT وBing وBard على مستوى الشركة بأكملها. وأطلقت JPMorgan وGoldman Sachs وCiti وBank of America وWells Fargo حظراً مماثلاً في النافذة الزمنية نفسها.
بعد ثلاث سنوات، «احظره» لم يعد يعمل في 2026. يستخدم الموظفون ChatGPT على هواتفهم، ويكتب المهندسون عبر Claude Code، وتبني التسويق شرائحها في Gemini — فإذا حظرت، فإنك فقط تربّي الذكاء الاصطناعي الخفي (الاستخدام غير المصرّح به). علاوة على ذلك، أصبحت بقية أحكام EU AI Act سارية بشكل عام في 2 أغسطس 2026، وبدأ سريان الالتزام بوسم المحتوى المولَّد بالذكاء الاصطناعي (المادة 50) في اليوم نفسه (مع فترة انتقالية حتى 2 ديسمبر 2026 لوضع العلامات المقروءة آلياً في الأنظمة المطروحة مسبقاً). أما الالتزامات عالية المخاطر التي تغطّي التوظيف والتصنيف الائتماني وما شابههما فقد تأجّلت إلى 2 ديسمبر 2027 — لكن المهلة لا تعني «لا حاجة إلى الاستعداد». لا يمكنك أن تحظر، ولا يمكنك أن تتجاهل. الطريق الوحيد المتبقي هو «ضع إطاراً عبر الإرشادات ومكّن الاستخدام الآمن بشكل فعّال».
موقفي مقدماً. «لا أحد يقرأ ملف PDF سميكاً للإرشادات» يبدو صحيحاً لكنه استنتاج خاطئ. الغرض من الإرشادات ليس أن تُقرأ — بل أن تجعل المساءلة صريحة عند وقوع حادث، وأن تحفر الحدود الدنيا غير القابلة للتفاوض في أذهان الموظفين. يغطّي هذا المقال البنود السبعة المطلوبة، والفئات الخمس لبيانات الإدخال المحظورة، والموعد النهائي لـ EU AI Act، وخارطة طريق التنفيذ ذات الخمس مراحل، والمزالق — كل ذلك بالتفاصيل العملية التي ستحتاجها اعتباراً من مايو 2026.
الحظر أو التجاهل — كلاهما يخسر. الإرشادات هي الطريق الثالث
— منع التسريبات × تعزيز الإنتاجية × الالتزام التنظيمي
نموذج 2023: «حظر على مستوى الشركة» لتفادي المخاطر ←
نموذج 2026: «تشغيل آمن داخل إطار» لمنع التسريب + الإنتاجية + الالتزام، الثلاثة معاً.
لا تحتاج إلى PDF سميك. صفحتان من حجم A4 إضافة إلى قائمة معتمدة تكفي.
1. أبريل 2023 — Samsung حظرت الذكاء الاصطناعي خلال 20 يوماً
التسلسل بسيط. في مارس، اعتمد قسم أشباه الموصلات في Samsung الاستخدام الداخلي لـ ChatGPT. وعلى مدى الـ 20 يوماً التالية في أبريل، وقعت ثلاث تسريبات سرية على التوالي. ① ألصق الموظف أ شيفرة مصدر كاملة لقاعدة بيانات أشباه موصلات معطوبة في ChatGPT وطلب الإصلاح. ② فعل الموظف ب الشيء نفسه مع شيفرة إصلاح لمعدات تصنيع معطوبة. ③ ألصق الموظف ج محضر اجتماع داخلي كاملاً وطلب صياغة الملخص. الثلاثة جميعاً، في تلك اللحظة، وصلت إلى خوادم OpenAI وربما استُخدمت كبيانات تدريب.
على الفور، حجبت Samsung ChatGPT وBing وBard على جميع الأجهزة المملوكة للشركة، وعلى الأجهزة الشخصية عند الاتصال بشبكة الشركة. وفي الفترة نفسها تقريباً، أصدرت كبرى شركات المال — JPMorgan وGoldman Sachs وCiti وBank of America وWells Fargo وDeutsche Bank — حظراً مماثلاً. كانت هذه اللحظة التي انطلق فيها اتجاه «الشركات تحظر الذكاء الاصطناعي».
اعتباراً من 2026، لا تزال Samsung تحظر ChatGPT وقد بنت نموذج LLM داخلي خاص بها يُدعى «Samsung Gauss». هذا طريق مشروع، لكن حجم الاستثمار كبير جداً بحيث لا يمكن نسخه للشركات المتوسطة فما دون. لبقية الجميع، الطريق الوحيد هو «استخدام خدمات الذكاء الاصطناعي التجارية بأمان داخل إطار من الإرشادات».
2. لماذا تحتاج إلى إرشادات الآن — ثلاث ضغوط
من بين الثلاثة، الذكاء الاصطناعي الخفي هو في الواقع الأكثر خطورة، من وجهة نظري. كانت Samsung محظوظة تقريباً بأن «التسريب وقع على قناة معتمدة من الشركة، فاستطاعوا رؤيته». في معظم الشركات، إلصاق موظف لملاحظات اجتماع تحمل اسم عميل في ChatGPT على هاتفه لا يُسجّل أبداً. «عدم القدرة على الرؤية» هو أسوأ أنواع المخاطر، والطريقة الوحيدة لإصلاحه هي بناء قناة رسمية تستطيع الشركة مراقبتها — أي الإرشادات.
3. القالب المؤلَّف من سبعة بنود — املأها وتكون قد غطّيت كل شيء
ليس PDF سميكاً — بل قالباً من سبعة بنود يتسع في صفحتين A4. الهدف مستوى تفصيل يمكنك البدء به اليوم وتوزيعه بنهاية الأسبوع.
من بين هذه، «② البيانات المحظورة» و«⑤ الإبلاغ عن الحوادث» هما البندان اللذان يقرران ما إذا كانت الإرشادات تعمل فعلاً. ①③④⑥⑦ أشياء يستطيع أي صائغ معقول ملؤها. لكن كتابة «ما لا يمكنك إدخاله» بأمثلة ملموسة، والتصريح كتابياً «لن نعاقب على الإدخالات العرضية» — هذه تتطلب عزماً. اختر ثقافة العقاب يغطّي الموظفون الأشياء، فلن تستطيع رؤية التسريبات على الإطلاق.
4. خمس فئات من بيانات الإدخال المحظورة — مع أمثلة
«لا تُدخل المعلومات السرية» مبهم جداً ولا يصل. اكتب خمس فئات، كل منها مع أمثلة.
| الفئة | أمثلة (لا تُدخل) | البديل |
|---|---|---|
| ① PII | الأسماء، العناوين، الهواتف، البريد الإلكتروني، أرقام الموظفين، الأرقام الوطنية | استبدل بـ «العميل أ»، «المستخدم ب» قبل الإدخال |
| ② المعلومات السرية | البيانات المالية غير المُعلنة، الاستراتيجية، M&A، بيانات الموارد البشرية | جرّد الأرقام («الإيرادات ارتفعت XX% على أساس سنوي»، إلخ) |
| ③ المقيّد بـ NDA | بيانات العملاء الخاضعة لـ NDA، مفاتيح API، بيانات اعتماد SSO | لا تُدخلها مطلقاً. استخدم LLM داخلي أو API أعمال بعقد No-train |
| ④ الملكية الفكرية | شيفرة المصدر غير المُصدرة، تصاميم براءات قبل التسجيل، خوارزميات احتكارية | درس Samsung: جرّد الأجزاء ذات الصلة، أو اقصرها على LLM داخلي |
| ⑤ الخاضع للتنظيم | البيانات الطبية القابلة للتعرف، تفاصيل المعاملات المالية، بيانات الأبحاث غير المنشورة | استخدم ذكاءً اصطناعياً on-prem خاصاً بالقطاع (متوافق مع HIPAA/GxP) |
التفصيل الحاسم هو أن تقرن دائماً «البدائل» مع المحظورات. اكتب «لا تُدخل» فقط، فيقرر الموظفون «لا أستطيع إنجاز عملي بالذكاء الاصطناعي»، ثم يبدؤون باستخدامه في الخفاء. وفّر بديلاً مثل «استبدل الأسماء الشخصية بـ ’العميل أ‘ وتستطيع إدخاله» فيستخدمون المسار المعتمد. هذه الرافعة العملية لكبح الذكاء الاصطناعي الخفي.
5. EU AI Act — ما الذي يسري اليوم، وأي المواعيد تأجّلت
ينظّم EU AI Act أنظمة الذكاء الاصطناعي عبر أربعة مستويات للمخاطر. أصبحت بقية أحكامه سارية بشكل عام في 2 أغسطس 2026، لكن ⚠️ أي شرح يقول إن قواعد عالي المخاطر دخلت حيّز التنفيذ الكامل في ذلك التاريخ فهو قديم. فقد أجّلت تعديلات Digital Omnibus التزامات عالي المخاطر إلى 2 ديسمبر 2027 بالنسبة إلى Annex III، وإلى 2 أغسطس 2028 بالنسبة إلى Annex I (الذكاء الاصطناعي المدمج في الأجهزة الطبية والآلات والمركبات وما شابهها). أما ما يسري فعلياً الآن فهو التزامات الشفافية وقواعد الذكاء الاصطناعي للأغراض العامة (GPAI)، والموعد التالي هو 2 ديسمبر 2026.
| مستوى المخاطر | الأمثلة | الالتزامات | العقوبة |
|---|---|---|---|
| محظور | التقييم الاجتماعي، التلاعب اللاواعي، التعرّف على العواطف في مكان العمل | الاستخدام محظور | حتى 35 مليون يورو أو 7% من الإيرادات |
| عالي المخاطر | قرارات التوظيف، التصنيف الائتماني، تقييم التعليم، التشخيص الطبي، الأحكام القضائية | التوثيق التقني، إدارة المخاطر، الإشراف البشري، حفظ السجلات (Art. 9/11/12) | حتى 15 مليون يورو أو 3% من الإيرادات |
| مخاطر محدودة | روبوتات المحادثة، التزييف العميق | التزام الشفافية (الإفصاح عن التوليد بالذكاء الاصطناعي) | حتى 15 مليون يورو أو 3% من الإيرادات |
| مخاطر دنيا | مرشّحات البريد المزعج، شخصيات NPC في ألعاب الذكاء الاصطناعي | لا شيء (أفضل ممارسات موصى بها) | — |
متى يحلّ كل التزام — المواعيد الأربعة
قبل مستويات المخاطر، ما تريد معرفته على الأرجح هو متى يقع الالتزام فعلياً على شركتك. بعض هذه المواعيد تأخّرت عن الجدول الأصلي، لذا يستحق هذا الجزء تحديداً أن تضبطه بدقة.
أصبحت بقية الأحكام سارية بشكل عام. وبدأ إنفاذ التزامات الشفافية وقواعد الذكاء الاصطناعي للأغراض العامة (GPAI).
تنتهي الفترة الانتقالية لـوضع العلامات القابلة للقراءة آلياً (المادة 50(2)) في أنظمة الذكاء الاصطناعي التوليدي المطروحة في السوق قبل 2 أغسطس، ويبدأ تطبيق حظر الذكاء الاصطناعي الذي يولّد مقاطع تزييف عميق جنسية دون موافقة أو مواد اعتداء جنسي على الأطفال. هذا هو الموعد الذي يجب التحرّك من أجله الآن.
عالي المخاطر ضمن Annex III (التوظيف، والتصنيف الائتماني، والتعليم، وإنفاذ القانون وما شابهها). كان الموعد الأصلي 2 أغسطس 2026.
عالي المخاطر المدمج ضمن Annex I (الأجهزة الطبية، والآلات، والمركبات وما شابهها). كان الموعد الأصلي 2 أغسطس 2027.
المصادر: الجدول الزمني لتنفيذ EU AI Act / مكتب خدمة AI Act لدى المفوضية الأوروبية
وتجدر الإشارة إلى أن التزام الإفصاح عن المحتوى المولَّد بالذكاء الاصطناعي (المادة 50)، الساري منذ 2 أغسطس 2026، يصل إلى من ينشرون المحتوى قبل أن يصل إلى اللوائح الداخلية. أما مَن يقع عليه الالتزام تحديداً، فهو يختلف بين المزوِّد والمُشغِّل، وأما هل تُعفي المراجعة البشرية منه، فهذه مسائل عملية تناولناها على حدة في قراءة عملية في المادة 50.
سوء فهم شائع: حتى من دون وجود في الاتحاد الأوروبي، فأنت ضمن النطاق إذا طرحت أنظمة ذكاء اصطناعي في سوق الاتحاد أو استُخدمت مخرجات نظامك داخل الاتحاد (المادة 2). والمعيار ليس معالجة بيانات مواطنين أوروبيين (فذلك من شأن اللائحة العامة لحماية البيانات GDPR). وعلى الشركة اليابانية التي تقدّم خدمات قائمة على الذكاء الاصطناعي لعملاء أوروبيين، أو تستخدم مخرجات الذكاء الاصطناعي في أوروبا، الامتثال لـ EU AI Act. من ناحية أخرى، «موظف يستخدم ChatGPT للترجمة» مخاطر دنيا بوضوح ولا التزامات معينة. «قرارات التوظيف الآلية لمواد التقديم» أو «اتخاذ قرارات الموافقة على القروض تلقائياً بالذكاء الاصطناعي» عالية المخاطر بلا لبس، لكن التوثيق التقني والإشراف البشري وحفظ السجلات لا تصبح التزامات قانونية إلا اعتباراً من 2 ديسمبر 2027 (Annex III). وهذا لا يعني أن لا شيء عليك فعله اليوم — إذا كان لديك عمل كهذا، أضف إلى الإرشادات الداخلية: «أي استخدام عالي المخاطر يتطلب موافقة قانونية قبل النشر».
6. خارطة طريق التنفيذ ذات الخمس مراحل
صياغة الإرشادات ليست النهاية. خارطة طريق تستغرق 2–3 أشهر لشركة متوسطة الحجم (حتى 200 موظف) وحوالي 6 أشهر لمؤسسة كبيرة.
ضمن هذا، المرحلة 1 (الاستبيان) تأتي بالتأكيد أولاً. ابنِ إرشادات على افتراض «احظره ولن يستخدمه أحد» فينتهي بك الأمر بشيء منفصل عن الواقع. شغّل استبياناً مجهولاً يسأل «أي خدمات ذكاء اصطناعي استخدمت في الشهر الماضي؟ أي أنواع بيانات أدخلت من أجل العمل؟» وسيتبين أن الذكاء الاصطناعي الخفي أوسع انتشارًا بكثير مما توقعت. معرفة الواقع قبل كتابة القواعد هو الترتيب الصحيح للعمليات.
7. ثلاث مزالق يجب تجنّبها
المزلق ①: الذهاب إلى حظر على مستوى الشركة
لأي شركة ليست Samsung، يكاد هذا دائماً يسبب انفجاراً في الذكاء الاصطناعي الخفي. يستخدم الموظفون ChatGPT Personal على هواتفهم، لا رؤية للشركة، وعند حدوث تسريب لا أحد يبلغ. التكلفة الحقيقية للحظر هي «فقدان الرؤية». استطاعت Samsung بناء Samsung Gauss داخلياً لأن لديها قوة احتياطية لشركة أشباه موصلات من الدرجة الأولى. للشركات المتوسطة فما دون، «وفّر قناة معتمدة عبر الإرشادات» هو الجواب العملي.
المزلق ②: التصميم حول العقوبة
«أي موظف يُدخل بيانات سرية يواجه تأديباً» يعني أن أي موظف يُدخل بيانات سرية بالخطأ يغطّيها. التسريب يحدث، الشركة لا تعرف، بيانات العملاء تنتهي في الخارج، العميل يبلّغ، وتنهار سمعتك — المسار الأسوأ. اكتب صراحةً: «مخالفات الإرشادات لا يُعاقَب عليها إذا أُبلِغ عنها». ثم اجعل «فقط عدم الإبلاغ سبب للتأديب»، ويبدأ الإبلاغ عن الحوادث في العمل، بشكل غريب.
المزلق ③: كتابته مرة والمشي بعيداً
صناعة الذكاء الاصطناعي تغيّر افتراضاتها كل ستة أشهر. إرشادات 2024 التي تقول «استخدام ChatGPT محظور» تترك المهندسين الذين يشغّلون Claude Code يستنتجون «هذا ليس ChatGPT، فلا بأس». المنتجات والنماذج المسمّاة يجب مراجعتها كل 6 إلى 12 شهراً. ما إذا كانت خدمة جديدة (Cursor / Perplexity / Notion AI) معتمدة أو محظورة يجب أن يكون صريحاً حتى لا يخمّن الموظفون. شاملاً قضية Wayfair من المقال السابق (077)، تعامل مع «الإرشادات كوثيقة حيّة».
الخلاصة
بعد ثلاث سنوات من تسريبات Samsung في 2023، انتقل استخدام الذكاء الاصطناعي في الشركات من ثنائية «الحظر أو السماح» إلى مرحلة تنفيذ «كيفية وضع إطار والعمل داخله». محاصراً من ثلاث جهات بالمخاطر القانونية (EU AI Act)، ومخاطر التسريب (درس Samsung)، والمخاطر التنافسية (فجوة إنتاجية 30–50%)، لا وقت لكتابة PDF سميك، و«لا إرشادات على الإطلاق» لا يعمل أيضاً. سيمكّن قالب البنود السبعة إضافة إلى خارطة الطريق ذات الخمس مراحل في هذا المقال شركة متوسطة الحجم من النشر في 2–3 أشهر. «الحد الأقصى من العمليات الآمنة بالحد الأدنى من الإطار» — هذا جواب حوكمة الذكاء الاصطناعي العملي لعام 2026. وبما أن تعليق حساب العمل بسبب مخالفة شروط الخدمة ضرر حقيقي لا يقل عن التسريب، يُستحسن مشاركة كيفية تجنّب حظر الحساب داخلياً إلى جانب الإرشادات.
الأسئلة الشائعة
هل ينبغي أن نحظر الذكاء الاصطناعي داخل الشركة؟
افتراضياً، لا، ينبغي ألا تحظره. ما لم تكن شركة من فئة Samsung تستطيع بناء LLM داخلي خاص بها، فإن الحظر فقط يزيد حجم الذكاء الاصطناعي الخفي (الموظفون يستخدمونه بأنفسهم)، وترتفع مخاطر التسريب نتيجة لذلك. وضع إطار بإرشادات وتوفير خطط أعمال (Team/Enterprise) بعقد للشركة هو الجواب العملي.
هل ينطبق EU AI Act على الشركات اليابانية؟
نعم، حتى للشركات خارج الاتحاد الأوروبي، إذا طرحت أنظمة ذكاء اصطناعي في سوق الاتحاد أو استُخدمت مخرجات ذكائها الاصطناعي داخله (المادة 2)؛ والمعيار ليس معالجة بيانات مواطنين أوروبيين. العمل المحتوى بالكامل داخل اليابان (مثل الترجمة للموظفين الداخليين فقط) هو مخاطر دنيا ويحمل التزامات تكاد تكون معدومة. أما إذا كنت تشغّل الموافقات على القروض أو قرارات التوظيف للعملاء الأوروبيين عبر الذكاء الاصطناعي، فيصبح التوثيق التقني والإشراف البشري وحفظ السجلات التزامات قانونية اعتباراً من 2 ديسمبر 2027 (Annex III)، ومن 2 أغسطس 2028 (Annex I) للذكاء الاصطناعي المدمج في أجهزة مثل المعدات الطبية. كان الموعد الأصلي 2 أغسطس 2026، لكن تعديلات Digital Omnibus أجّلته. أما الالتزام بالإفصاح عن أن المحتوى مولَّد بالذكاء الاصطناعي (المادة 50) فساري منذ 2 أغسطس 2026، مع فترة انتقالية حتى 2 ديسمبر 2026 لوضع العلامات القابلة للقراءة آلياً في الأنظمة المطروحة في السوق قبل ذلك. تصل العقوبات إلى 35 مليون يورو أو 7% من الإيرادات العالمية للممارسات المحظورة، وإلى 15 مليون يورو أو 3% لمخالفات التزامات عالي المخاطر والشفافية.
كم صفحة ينبغي أن تكون الإرشادات؟
صفحتان A4 للمتن إضافة إلى بضع صفحات من الملاحق (قائمة معتمدة، أمثلة على البيانات المحظورة) يعمل جيداً. «لا أحد يقرأ PDF سميكاً» صحيح، فحافظ على المتن كملخص وادفع التفاصيل إلى الملاحق لتقليل عبء القارئ. الشيء المهم ليس عدد الصفحات — بل أن تكون «② البيانات المحظورة» و«⑤ الإبلاغ عن الحوادث» ملموسة وآمنة نفسياً.
ما الفرق بين الخطط الشخصية وخطط الأعمال؟
خطط الأعمال (ChatGPT Team / Claude Enterprise / Microsoft Copilot Business وغيرها) تتعاقد افتراضياً على عدم استخدام بيانات إدخالك لتدريب النموذج (No-train). يمكن استخدام الخطط الشخصية (ChatGPT Plus وأمثاله) للتدريب. حدّد في الإرشادات «استخدام الأعمال مقتصر على خطط الأعمال فقط» وتقلّل بشكل حاد مخاطر التسريب على غرار Samsung. التسعير حوالي 20–60 دولاراً لكل مستخدم في الشهر.
فعلاً — عدم معاقبة الإدخالات العرضية شيء صحيح؟
نعم، هذا جوهر الأمر. عاقب فيغطّي الموظفون، تفقد الشركة الرؤية، ويُطلق ذلك التسريب غير المرئي أسوأ النتائج (بلاغات العملاء، تسريبات وسائل التواصل، تدخل المنظِّمين). صمّم الأمر كـ«أبلِغ ولن تُعاقَب؛ التغطية تُؤدَّب» وبشكل غريب، يرتفع الإبلاغ عن الحوادث وتستطيع التدخل مبكراً. هذا نفس منطق ثقافة السلامة في الطيران.
هل تحتاج شركة ناشئة صغيرة إلى واحدة أيضاً؟
نعم. ينبغي للشركات الصغيرة في الواقع أن تفعل ذلك مبكراً — مدمجاً في الثقافة من البداية يثبت بشكل أفضل من شيء يُلصَق لاحقاً. عند 10–30 موظفاً يمكنك أخذ قالب البنود السبعة في هذا المقال كما هو وصياغة المتن في يوم، وإنهاء النشر في أسبوع. «إرشادات استخدام الذكاء الاصطناعي مطبَّقة» تصبح أيضاً بنداً أساسياً في قائمة التحقق ضمن العناية الواجبة عند التوقيع مع المستثمرين أو كبار العملاء (خاصة العملاء الأوروبيين).
