شرح ISO/IEC 42001

ISO/IEC 42001:2023 هو أول معيار دولي لنظام إدارة الذكاء الاصطناعي (AIMS): السياسات والأدوار وعمليات المخاطر والضوابط التي تستخدمها المؤسسة لتطوير الذكاء الاصطناعي أو تقديمه أو استخدامه بمسؤولية. نُشر في ديسمبر 2023، وهو طوعي لا قانون، ولا تشترطه أي جهة تنظيمية صراحة. لكنه يصبح المرجع الذي يشير إليه المورّدون والجهات التنظيمية والمشترون المؤسسيون حين يسألون «كيف تحكمون الذكاء الاصطناعي»، ويمكن اعتماد المؤسسات وفقه باستقلالية. لا يحل محل قانون الاتحاد الأوروبي للذكاء الاصطناعي، ولا يستوفيه الاعتماد تلقائيًا؛ فالاثنان مترابطان لكنهما متمايزان.

ما ISO/IEC 42001؟

ISO/IEC 42001:2023، وعنوانه الرسمي Information technology — Artificial intelligence — Management system، هو أول معيار دولي يحدد متطلبات نظام إدارة الذكاء الاصطناعي. نُشر في ديسمبر 2023 من اللجنة ISO/IEC JTC 1/SC 42، اللجنة الفنية المشتركة التي تطوّر معايير الذكاء الاصطناعي لمنظمة ISO واللجنة الكهروتقنية الدولية.

نظام إدارة الذكاء الاصطناعي، بتعبير المعيار نفسه، هو مجموعة السياسات والأدوار والعمليات والضوابط والأدلة الموثّقة التي تستخدمها المؤسسة لحوكمة كيفية تطويرها للذكاء الاصطناعي أو تقديمه أو استخدامه. يتبع ISO 42001 البنية المنسّقة نفسها لمعايير أنظمة الإدارة المعروفة من ISO، كـISO 27001 لأمن المعلومات وISO 9001 للجودة، حيث تغطي البنود 4 إلى 10 السياق والقيادة والتخطيط والدعم والتشغيل وتقييم الأداء والتحسين. تجد المؤسسات الحاصلة على ISO 27001 بنود نظام الإدارة مألوفة عادة؛ والفارق هو ضوابط الملحق A الخاصة بالذكاء الاصطناعي وعملية تقييم أثر الذكاء الاصطناعي التي يتطلبها المعيار.

ينطبق المعيار عبر القطاعات وأنواع أنظمة الذكاء الاصطناعي، من تعلّم الآلة التنبؤي إلى الذكاء الاصطناعي التوليدي والأنظمة الوكيلة، وعلى المؤسسات التي تقدم منتجات ذكاء اصطناعي، أو تنشر أنظمته في عملياتها، أو تستخدم أنظمة يوفرها غيرها.

هل ISO 42001 إلزامي؟

لا. ISO 42001 معيار دولي طوعي. لا تشترط أي حكومة الاعتماد وفقه بالقانون، وهو ليس تنظيمًا بحد ذاته.

ما يتغير هو الضغط العملي لامتلاكه على أي حال. يطلبه المشترون المؤسسيون من المورّدين بشكل متزايد في استبيانات العناية الواجبة وطلبات العروض، كما أصبح ISO 27001 شرطًا فعليًا لشراء البرمجيات المؤسسية. وبدأت الجهات التنظيمية والمحاكم تعامل نظام إدارة ذكاء اصطناعي معتمدًا كدليل على عملية حوكمة موثّقة وقابلة للتدقيق؛ وهو مفيد وإن لم يكن كافيًا إن اضطرت مؤسسة لإثبات أنها أخذت مخاطر الذكاء الاصطناعي على محمل الجد. وهو مصمم صراحة ليكون مكمّلًا للتنظيم الملزم لا بديلًا عنه: فقانون الاتحاد الأوروبي للذكاء الاصطناعي، الذي بلغ موعد امتثاله الرئيسي لالتزامات الأنظمة عالية المخاطر في 2 أغسطس 2026، لا يعامل اعتماد ISO 42001 كدليل تلقائي على الامتثال. يمكن أن تكون المؤسسة معتمدة وفق ISO 42001 ولا تزال عليها التزامات بموجب القانون تستوفيها على حدة، والعكس صحيح.

من يحتاجه؟

كُتب المعيار بما يكفي من الاتساع ليغطي ثلاث علاقات مختلفة بالذكاء الاصطناعي، وتقع معظم المؤسسات التي تفعل شيئًا جادًا به في واحدة منها على الأقل.

• المزوّدون — المؤسسات التي تبني منتجات أو نماذج ذكاء اصطناعي وتبيعها. الاعتماد إشارة سوقية: يقول إن فريق العناية الواجبة لدى المشتري ليس عليه أن يأخذ ادعاءات المورّد في الحوكمة على الثقة.
• الناشرون — المؤسسات التي تدمج الذكاء الاصطناعي في منتجاتها أو مسارات عملها الداخلية. يُظهر الاعتماد هنا أن المؤسسة تحكم ما تبنيه، لا ما تشتريه فحسب.
• المستخدمون — المؤسسات التي تستهلك أنظمة ذكاء اصطناعي يوفرها غيرها داخل عملياتها، دون أن تبني شيئًا بنفسها. لا يزال نظام إدارة أخف وزنًا ينطبق: الرقابة على المورّدين، وتقييم مخاطر حالات الاستخدام، والمراقبة كلها ضمن النطاق.

عمليًا، القطاعات التي تتحرك أولًا هي المعتادة بالفعل على اعتماد أنظمة الإدارة والحاملة لأكبر تعرض تنظيمي أو سمعي من أخطاء الذكاء الاصطناعي: الخدمات المالية، والرعاية الصحية، والدفاع وتقنية القطاع العام، وأي مورّد برمجيات للشركات يبيع لتلك القطاعات.

ما داخل المعيار

جزءان يقومان بالعمل: بنود نظام الإدارة التي تؤسس النظام نفسه، والملحق A، كتالوج الضوابط الخاصة بالذكاء الاصطناعي الذي تستقي منه؛ وهو ليس قائمة تحقق تطبّقها من أعلى إلى أسفل.

بنود نظام الإدارة (4–10)

سياق المؤسسة، والقيادة وسياسة الذكاء الاصطناعي، والتخطيط وتقييم المخاطر، والدعم (الموارد والكفاءة والوعي)، والتشغيل (بما فيه تقييم أثر الذكاء الاصطناعي)، وتقييم الأداء، والتحسين المستمر. هذا هو الهيكل نفسه الذي يستخدمه ISO 27001 وISO 9001، ولهذا يتكامل بسلاسة في مؤسسة تشغّل أحد هذين النظامين بالفعل.

الملحق A — 38 ضابطًا و9 أهداف

تُوثَّق الضوابط المنطبقة على مؤسسة معينة في بيان الانطباق، مبرَّرة بتقييمات المخاطر والأثر الخاصة بتلك المؤسسة؛ فليس كل ضابط ينطبق على كل مؤسسة بالتساوي.

هل يمكن اعتماد الشركات وفق ISO 42001؟

نعم. تجري جهات اعتماد مستقلة ومعتمدة الاعتماد، بالنموذج نفسه المستخدم لـISO 27001 وISO 9001، لا منظمة ISO نفسها.

تجري العملية عبر تدقيق المرحلة الأولى (مراجعة التوثيق: هل صُمم نظام الإدارة بشكل صحيح) يليه تدقيق المرحلة الثانية (هل يعمل فعلًا بهذه الطريقة عمليًا)، وتكون الشهادة، بعد إصدارها، صالحة لثلاث سنوات مع تدقيقات مراقبة سنوية لإبقائها سارية. تمتد الجداول الزمنية النموذجية من أربعة إلى تسعة أشهر، وأقصر للمؤسسات الحاصلة على ISO 27001 بالفعل، لأن بنود نظام الإدارة تنتقل مباشرة. تتفاوت التكلفة بحجم المؤسسة ونطاقها لكنها تقع عادة في عشرات آلاف الدولارات عند احتساب رسوم التدقيق والجهد الداخلي لبناء نظام الإدارة.

تفصيل غيّر السوق أكثر مما لاحظت معظم فرق التطبيق: ISO/IEC 42006:2025، المنشور في يوليو 2025، يحكم جهات الاعتماد نفسها. قبل وجوده، كانت تدقيقات نظام الإدارة تجري وفق القواعد العامة لجهات اعتماد أنظمة الإدارة، بلا متطلب كفاءة خاص بالذكاء الاصطناعي للمدققين. يضيف ISO 42006 حدًا أدنى من الكفاءة لمن يجرون تلك التدقيقات وقواعد لكيفية توثيق جهات الاعتماد للشهادة والوقوف خلفها؛ ويستحق التحقق عند اختيار جهة اعتماد، إذ لم تكن كل جهة معتمدة مبنية بالضرورة لتدقيقات خاصة بالذكاء الاصطناعي قبل 2025.

من ينبغي أن يملك التطبيق؟

يُساء تصنيف ISO 42001 أكثر من أي معيار آخر تقريبًا في هذه القائمة. يبدو كوثيقة امتثال، فيقع غالبًا على القانونية أو أمن المعلومات أو فريق إدارة جودة يشغّل ISO 27001 بالفعل؛ ويفوّت كل من هؤلاء المالكين شيئًا يتطلبه المعيار فعليًا.

تفهم القانونية والامتثال التعرض التنظيمي لكنهما نادرًا ما تريان كيف يتصرف نموذج فعليًا في الإنتاج. وتفهم فرق أمن المعلومات الضوابط والتدقيقات لكن ليس تقييم مخاطر الذكاء الاصطناعي أو أثر النماذج تحديدًا. ويعامله مالك من إدارة الجودة وحدها كأوراق لا كنظام حوكمة حي مرتبط بمبادرات ذكاء اصطناعي فعلية. تتطلب سياسة الذكاء الاصطناعي وتقييمات الأثر وضوابط دورة الحياة في الملحق A جميعها شخصًا يفهم محفظة المؤسسة في الذكاء الاصطناعي وتعرضها للمخاطر معًا؛ وهذا بالضبط تفويض كبير مسؤولي الذكاء الاصطناعي، الجالس عبر المبادرات التي تجعل متطلبات المعيار ملموسة لا مجردة. وحيث لا يوجد كبير مسؤولي ذكاء اصطناعي بعد، ينبغي أن تقع الملكية على من يرأس حوكمة الذكاء الاصطناعي عبر الوظائف، مع القانونية والأمن والهندسة كمساهمين مسمّين لا كمالك وحيد.

كيف يرتبط ISO 42001 بحوكمة الذكاء الاصطناعي على نطاق أوسع

ISO 42001 قطعة واحدة من مشهد أوسع لحوكمة الذكاء الاصطناعي، لا كله. إنه معيار نظام الإدارة القابل للاعتماد؛ أما الأخرى أدناه فإما قانون ملزم أو إطار طوعي أو معايير تقنية داعمة يستند إليها.

تتطابق وظائف NIST الأربع مع متطلبات ISO 42001 بما يكفي لينتقل العمل المنجز لإطار إلى تدقيق الآخر؛ فهما متكاملان لا متنافسان. القراءة العملية للتنفيذي: يمنحك ISO 42001 هيكل الحوكمة القابل للتدقيق؛ ويبقى قانون الاتحاد الأوروبي للذكاء الاصطناعي وأي تنظيم ملزم آخر تخضع له التزامات قانونية منفصلة تعلوه.

البدء

• أحصِ ما تملكه بالفعل. إن كنت حاصلًا على ISO 27001، فمعظم البنود 4–10 قائمة بالفعل؛ والفجوة هي الملحق A وعملية تقييم أثر الذكاء الاصطناعي.
• سمِّ مالكًا. كبير مسؤولي ذكاء اصطناعي أو قائد حوكمة ذكاء اصطناعي عابر للوظائف، لا فريق امتثال يعمل وحده.
• أجرِ تقييم أثر الذكاء الاصطناعي على مبادراتك الفعلية في الذكاء الاصطناعي؛ فهذا ما يحوّل المعيار من أوراق إلى نظام حوكمة حي.
• صِغ بيان الانطباق مقابل ضوابط الملحق A الثمانية والثلاثين، مبرَّرًا بتقييم الأثر ذاك.
• اختر جهة اعتماد معتمدة بموجب ISO/IEC 42006، وخصص من أربعة إلى تسعة أشهر لتدقيقي المرحلتين الأولى والثانية.

شهادة على الجدار لا تحكم شيئًا. تقييم أثر الذكاء الاصطناعي، المُجرى على مبادرات حقيقية، هو ما يجعل ISO 42001 نظامًا عاملًا لا مجلدًا.

بناء نظام إدارة الذكاء الاصطناعي بشكل صحيح من المرة الأولى، بالسياسة وعملية تقييم الأثر وبيان الانطباق والأدلة التي ستقبلها جهة الاعتماد فعلًا، هو بالضبط نوع عمل المبادرات الخاضعة للحوكمة المغطى في برنامج مستشار الذكاء الاصطناعي المعتمد في الجامعة العالمية للذكاء الاصطناعي، الذي يطبّق منهجية كاملة للتحول بالذكاء الاصطناعي، بما فيها تصميم الحوكمة والمخاطر، على مبادرة عميل حقيقية تحت مراجعة الخبراء.

على التنفيذيين الذين يبنون هذا في محفظة مؤسستهم من الداخل، لا ينصحون به من الخارج، الاطلاع على برنامج كبير مسؤولي الذكاء الاصطناعي، الذي يغطي تصميم الحوكمة والمخاطر كوحدة واحدة ضمن منهجية أوسع للمبادرات.

الأسئلة الشائعة