قائمة التحقق من الامتثال لأمن الذكاء الاصطناعي في الاتحاد الأوروبي (2026)

يُعد قانون الذكاء الاصطناعي للاتحاد الأوروبي أول قانون شامل للذكاء الاصطناعي في العالم. اعتبارًا من سبتمبر 2026، أصبحت أحكامه العامة وقواعد الشفافية الخاصة به سارية المفعول بالفعل، وقد أدت حزمة التبسيط “AI Omnibus” لعام 2026 إلى تأجيل الموعد النهائي للامتثال لمعظم الأنظمة عالية المخاطر إلى 2 ديسمبر 2027. بالنسبة لأي منظمة تقوم بتطوير أو نشر أنظمة الذكاء الاصطناعي، أو تُستخدم مخرجات الذكاء الاصطناعي الخاصة بها في الاتحاد الأوروبي، فإن هذا التمديد هو سبب للاستعداد الآن، وليس سببًا للانتظار. يفرض القانون التزامات ملزمة، مع عقوبات عدم الامتثال التي تصل إلى 35 مليون يورو أو 7% من إجمالي حجم الأعمال السنوي العالمي.

هذا ليس مجرد عقبة امتثال أخرى؛ إنه تحول جوهري في كيفية بناء الأنظمة الذكية وتأمينها. بالنسبة لمحترفي الذكاء الاصطناعي والأمن السيبراني العاملين، فإن فهم هذه القواعد الجديدة ليس خيارًا. يقدم هذا الدليل قائمة تحقق عملية وقابلة للتنفيذ للتنقل في متطلبات الأمن السيبراني لقانون الذكاء الاصطناعي في الاتحاد الأوروبي، مع التركيز على ما يهم أكثر اعتبارًا من سبتمبر 2026.

كيف قمنا بتقييم هذه المتطلبات

تراجع ZEKAI جميع أطر الامتثال والأدوات بشكل مستقل. تستند توصياتنا إلى النص الرسمي للائحة (الاتحاد الأوروبي) 2024/1689، والإرشادات المرتبطة بها من المفوضية الأوروبية، وتحليلنا للأدوات التي يمكن أن تساعد في تلبية هذه الالتزامات. نحن لا نقبل أي مدفوعات مقابل التضمين التحريري. هدفنا هو توفير مسار واضح وقابل للتنفيذ للامتثال بناءً على حقائق قابلة للتحقق.

ما هو قانون الذكاء الاصطناعي في الاتحاد الأوروبي؟ نظرة عامة تركز على الأمن السيبراني

يعتمد قانون الذكاء الاصطناعي نهجًا قائمًا على المخاطر، حيث يصنف أنظمة الذكاء الاصطناعي إلى أربع فئات. يعد فهم الفئة التي يندرج نظامك ضمنها الخطوة الأولى والأكثر أهمية.

• مخاطر غير مقبولة: تُحظر هذه الأنظمة بشكل كامل. يشمل ذلك الذكاء الاصطناعي للتصنيف الاجتماعي من قبل السلطات العامة، والتعرف البيومتري عن بعد في الوقت الفعلي في الأماكن العامة (مع استثناءات ضيقة)، والذكاء الاصطناعي التلاعبي الذي يستغل نقاط الضعف.
• مخاطر عالية: هذه هي الفئة الأكثر تنظيمًا وهي محور هذا الدليل. هذه الأنظمة ليست محظورة ولكن يجب أن تفي بمتطلبات صارمة قبل وبعد طرحها في السوق. تندرج عمومًا في مجموعتين:
• أنظمة الذكاء الاصطناعي المستخدمة كمكونات أمان في المنتجات التي تغطيها تشريعات السلامة الحالية للاتحاد الأوروبي (مثل الأجهزة الطبية، السيارات، الألعاب).
• أنظمة الذكاء الاصطناعي المستخدمة في ثمانية مجالات محددة مدرجة في الملحق الثالث، بما في ذلك إدارة البنية التحتية الحيوية، التعليم، التوظيف، الوصول إلى الخدمات الأساسية، إنفاذ القانون، وإدارة العدالة.
• مخاطر محدودة: تخضع هذه الأنظمة لالتزامات الشفافية. على سبيل المثال، يجب إبلاغ المستخدمين عندما يتفاعلون مع روبوت محادثة أو أن المحتوى تم إنشاؤه بواسطة الذكاء الاصطناعي (“تزييف عميق”).
• مخاطر ضئيلة أو معدومة: تندرج الغالبية العظمى من أنظمة الذكاء الاصطناعي، مثل ألعاب الفيديو المدعومة بالذكاء الاصطناعي أو مرشحات البريد العشوائي، ضمن هذه الفئة ولا تخضع لالتزامات قانونية جديدة.

يمكن أن تصل الغرامة القصوى لانتهاك قواعد قانون الذكاء الاصطناعي في الاتحاد الأوروبي بشأن ممارسات الذكاء الاصطناعي المحظورة إلى 35 مليون يورو أو 7% من إجمالي حجم الأعمال السنوي العالمي للشركة، أيهما أعلى.

المتطلبات الأساسية للأمن السيبراني للذكاء الاصطناعي عالي المخاطر (المادة 15)

بالنسبة لمحترفي الأمن السيبراني، تعد المادة 15 من قانون الذكاء الاصطناعي القسم الأكثر أهمية. فهي تفرض تصميم وتطوير أنظمة الذكاء الاصطناعي عالية المخاطر لتحقيق مستوى مناسب من “الدقة والمتانة والأمن السيبراني” طوال دورة حياتها. هذا ليس مجرد اقتراح غامض؛ بل هو مجموعة من الالتزامات الفنية والتنظيمية الملموسة.

فيما يلي الركائز الأساسية للمادة 15:

• الدقة: يجب على المزودين تحديد وإعلان مستويات دقة النظام والمقاييس المحددة المستخدمة لقياسها في تعليمات الاستخدام. يتيح ذلك للمستخدمين والجهات التنظيمية التحقق من الأداء مقابل معيار واضح.
• المتانة: يجب أن تكون الأنظمة مرنة في مواجهة الأخطاء أو الأعطال أو التناقضات. يشمل ذلك وجود تكرار تقني، مثل خطط النسخ الاحتياطي أو خطط الأمان من الفشل، ومعالجة المخاطر الناتجة عن التفاعلات مع الأشخاص أو الأنظمة الأخرى. بالنسبة للأنظمة التي تتعلم بعد النشر، يجب على المزودين التخفيف من مخاطر حلقات التغذية الراجعة المتحيزة.
• الأمن السيبراني: يجب أن تكون الأنظمة مرنة في مواجهة محاولات الأطراف الثالثة غير المصرح لها لاستغلال نقاط الضعف. يجب أن تكون الحلول التقنية مناسبة للمخاطر وأن تعالج بشكل خاص نقاط الضعف في الذكاء الاصطناعي مثل تسميم البيانات، وتسميم النماذج، والهجمات العدائية.

تنطبق هذه المتطلبات على نظام الذكاء الاصطناعي ككل، وليس فقط على النموذج الأساسي. وهذا يعني أن البنية التحتية بأكملها، وخطوط أنابيب البيانات، وواجهات برمجة التطبيقات المتصلة بالنظام تقع ضمن النطاق.

قائمة تحقق عملية للامتثال للأمن السيبراني

الامتثال ليس مهمة لمرة واحدة بل عملية مستمرة. فيما يلي قائمة تحقق خطوة بخطوة لتوجيه جهودكم.

1. تصنيف نظام الذكاء الاصطناعي الخاص بك: أولاً، حدد ما إذا كان أي نظام ذكاء اصطناعي تقدمه أو تنشره يندرج ضمن فئة “عالية المخاطر” بناءً على المعايير الواردة في المادة 6 والملحقين الأول والثالث. وقد نشرت المفوضية الأوروبية إرشادات تتضمن أمثلة عملية للمساعدة في هذا التصنيف.
2. إنشاء نظام لإدارة المخاطر (المادة 9): قم بتنفيذ وتوثيق نظام لإدارة المخاطر يعمل طوال دورة حياة نظام الذكاء الاصطناعي بأكملها. يجب أن تحدد هذه العملية المخاطر المتوقعة على الصحة والسلامة والحقوق الأساسية وتقديرها وتقييمها، ثم اعتماد تدابير لإدارتها.
3. ضمان حوكمة البيانات (المادة 10): بالنسبة لأي بيانات تُستخدم لتدريب النظام عالي المخاطر والتحقق منه واختباره، يجب التأكد من أنها ذات صلة وتمثيلية وخالية من الأخطاء وكاملة قدر الإمكان. يشمل ذلك فحص وتخفيف التحيزات المحتملة في مجموعات البيانات.
4. تطبيق المتانة والأمن السيبراني (المادة 15):
5. إجراء تقييم للمخاطر الأمنية لنظام الذكاء الاصطناعي بأكمله.
6. تطبيق تدابير تقنية لضمان المرونة ضد الهجمات العدائية، وتسميم البيانات، ونقاط الضعف الأخرى الخاصة بالذكاء الاصطناعي.
7. تطوير خطط أمان من الفشل وتكرارات تقنية للتعامل مع الأخطاء والأعطال.
8. بالنسبة لأنظمة التعلم، تطبيق تدابير لمعالجة وتخفيف حلقات التغذية الراجعة.
9. تمكين الإشراف البشري (المادة 14): تصميم النظام للسماح بإشراف بشري فعال. يشمل ذلك توفير واجهات واضحة تسمح للمشرف البشري بفهم قدرات النظام وقيوده واتخاذ قرار بشأن متى يتدخل أو يتجاهل مخرجات النظام.
10. الحفاظ على الوثائق الفنية والسجلات (المواد 11، 12، 19): قبل طرح النظام في السوق، قم بإنشاء وثائق فنية مفصلة توضح الامتثال. يجب أن يكون النظام قادرًا أيضًا على تسجيل الأحداث تلقائيًا (“السجلات”) أثناء تشغيله لضمان مستوى من إمكانية تتبع عمل النظام.
11. إجراء تقييم المطابقة والتسجيل: بالنسبة لمعظم الأنظمة عالية المخاطر، يجب على المزودين إجراء تقييم ذاتي للمطابقة. بمجرد إعلان المطابقة، يجب تسجيل النظام في قاعدة بيانات الاتحاد الأوروبي العامة التي تديرها المفوضية.

أدوات للمساعدة في أتمتة وإدارة الامتثال

لا يمكن لأي أداة واحدة أن تضمن الامتثال، ولكن منصات الأمان الحديثة يمكن أن توفر قدرات حاسمة لتلبية المتطلبات الفنية لقانون الذكاء الاصطناعي. المفتاح هو الاستفادة من الأدوات التي توفر الرؤية والمراقبة والحماية عبر نظام الذكاء الاصطناعي بأكمله وبيئته.

مرر الجدول جانبًا ←

ما وراء قانون الذكاء الاصطناعي: إطار عمل NIST لإدارة مخاطر الذكاء الاصطناعي (AI RMF) وأهم 10 مخاطر لـ OWASP لنماذج اللغة الكبيرة (LLM Top 10)

لا يحدث الامتثال لقانون الذكاء الاصطناعي في فراغ. هناك إطاران آخران حاسمان لأي محترف في الأمن السيبراني يعمل مع الذكاء الاصطناعي:

• إطار عمل NIST لإدارة مخاطر الذكاء الاصطناعي (AI RMF): يوفر هذا الإطار الطوعي من المعهد الوطني الأمريكي للمعايير والتكنولوجيا عملية منظمة لحوكمة، رسم خرائط، قياس، وإدارة مخاطر الذكاء الاصطناعي. بينما قانون الذكاء الاصطناعي في الاتحاد الأوروبي هو قانون ملزم وإطار عمل NIST AI RMF هو إرشادات طوعية، إلا أن أهدافهما متوافقة. يمكن أن يوفر استخدام AI RMF مخططًا عمليًا وتشغيليًا لتنفيذ نظام إدارة المخاطر المطلوب بموجب المادة 9 من قانون الذكاء الاصطناعي.
• أهم 10 مخاطر لـ OWASP لنماذج اللغة الكبيرة (LLM Top 10): يسرد هذا المشروع من مشروع أمان تطبيقات الويب المفتوح (OWASP) أهم نقاط الضعف الأمنية الحرجة في التطبيقات التي تستخدم نماذج اللغة الكبيرة. يشمل ذلك مخاطر خاصة بالذكاء الاصطناعي مثل حقن الأوامر (Prompt Injection)، وتسميم بيانات التدريب (Training Data Poisoning)، والكشف عن المعلومات الحساسة (Sensitive Information Disclosure). يعد مواءمة اختبار الأمان الخاص بك مع OWASP LLM Top 10 طريقة ملموسة لمعالجة تهديدات الأمن السيبراني الخاصة بالذكاء الاصطناعي المذكورة في المادة 15 من قانون الذكاء الاصطناعي.

يؤدي دمج هذه الأطر في استراتيجية الامتثال الخاصة بكم إلى توفير نهج شامل ومتعمق للدفاع يلبي المتطلبات القانونية ويبني أنظمة ذكاء اصطناعي جديرة بالثقة حقًا. بينما تستعدون لعصر جديد من تنظيم الذكاء الاصطناعي، تذكروا أن الهدف ليس مجرد وضع علامة في مربع، بل بناء ثقافة مستدامة لأمن وحوكمة الذكاء الاصطناعي. لمزيد من الموارد، زوروا مركزنا لمحترفي الذكاء الاصطناعي والأمن السيبراني.