إطار NIST لإدارة مخاطر الذكاء الاصطناعي (AI RMF) إطار أمريكي طوعي، نشره المعهد الوطني للمعايير والتقنية في يناير 2023، يمنح المؤسسات منهجية ومفردات مشتركة لإدارة مخاطر الذكاء الاصطناعي. ينتظم حول أربع وظائف، الحوكمة والرسم والقياس والإدارة، ولا يعتمد شيئًا: لا تدقيق، ولا شهادة، ولا جهة تنظيمية تفرضه. ما يمنحه للتنفيذيين هو هيكل مشترك لبرنامج حوكمة ذكاء اصطناعي، يتطابق بسلاسة مع ISO/IEC 42001 للمؤسسات التي تريد أيضًا نظام إدارة قابلًا للاعتماد.
ما إطار NIST لإدارة مخاطر الذكاء الاصطناعي؟
إطار NIST AI RMF إطار طوعي، طوّره المعهد الوطني للمعايير والتقنية عبر عملية علنية قائمة على التوافق، لمساعدة المؤسسات على إدارة مخاطر تصميم أنظمة الذكاء الاصطناعي وتطويرها ونشرها واستخدامها. نشر المعهد الإصدار 1.0 (NIST AI 100-1) في 26 يناير 2023، تنفيذًا لتكليف في قانون المبادرة الوطنية للذكاء الاصطناعي لعام 2020.
يأتي في جزأين. الإطار نفسه وثيقة مكثفة، نحو 40 صفحة، تعرض الوظائف الأساسية الأربع والمبادئ وراءها. أما دليل AI RMF التطبيقي المصاحب فهو النصف التشغيلي: أكثر من 140 صفحة من الإجراءات المقترحة وأسئلة الشفافية والمواد المرجعية مربوطة بكل فئة فرعية في الإطار. اقرأ الإطار وحده تحصل على البنية؛ أما الدليل التطبيقي فهو حيث تقيم قائمة المهام الفعلية.
بنى المعهد الإطار حول سبع خصائص للذكاء الاصطناعي الجدير بالثقة: صحيح وموثوق، وآمن، ومؤمَّن ومرن، وخاضع للمساءلة وشفاف، وقابل للتفسير والتأويل، ومعزِّز للخصوصية، وعادل مع إدارة التحيز الضار. وترتبط كل وظيفة وفئة فرعية بجعل نظام الذكاء الاصطناعي أقوى في واحدة أو أكثر من هذه.
ما الحوكمة والرسم والقياس والإدارة؟
تقف الحوكمة بمعزل عن الثلاث الأخرى: فهي الوظيفة العرضية التي يجب أن تكون قائمة قبل أن تعمل البقية، لا خطوة تنهيها وتتجاوزها. ثم تجري الرسم والقياس والإدارة كحلقة مستمرة، تتكرر لكل نظام ذكاء اصطناعي أو حالة استخدام في محفظة المؤسسة.
تتفرع كل وظيفة إلى فئات وفئات فرعية مع إجراءات مقترحة محددة في الدليل التطبيقي. بعضها، على سبيل التوضيح: GOVERN 1.1 تدعو إلى سجل بكل نظام ذكاء اصطناعي مستخدم، بما فيه الأدوات التي تبنّاها الموظفون بأنفسهم، لا المصرّح بها فحسب. MAP 2.2 تطلب من المؤسسة تحديد الأضرار المحتملة على الناس والمجتمع قبل إطلاق النظام. MEASURE 2.1 تدعو إلى توثيق نتائج الاختبار ونتائج التقييم وأي مواد تقييم يوفرها المورّد. MANAGE 2.2 تدعو إلى توثيق قرار معالجة المخاطر والتعليل وراء قبول أي مخاطر متبقية.
هل إطار NIST AI RMF إلزامي؟
لا، ليس للقطاع الخاص. إنه طوعي. لا يلزم أي قانون أمريكي شركة خاصة بتبنّيه، ولا تدقق أي جهة تنظيمية وفقه، ولا عقوبة على تجاهله.
المكان الوحيد الذي يعمل فيه بما يقرب من الشرط هو داخل الحكومة الفيدرالية الأمريكية. توجّه مذكرة مكتب الإدارة والميزانية M-25-21، الصادرة في 2025، الوكالات الفيدرالية إلى إدارة مخاطر استخدامها للذكاء الاصطناعي بما يتسق مع إطار NIST، خاصة للاستخدامات المصنفة عالية الأثر. يجعل ذلك الإطار الممارسة المرجعية للوكالات الفيدرالية تحديدًا، ولا يمد ذلك الشرط إلى القطاع الخاص. خارج الحكومة، يدفع التبنّي التوقع لا القانون: يسأل العملاء المؤسسيون وشركات التأمين ومجالس الإدارة بشكل متزايد هل يتبع برنامج الذكاء الاصطناعي هيكلًا معترفًا به لإدارة المخاطر، والإطار هو الإجابة الأمريكية الأكثر شيوعًا عن ذلك السؤال.
من ينبغي أن يستخدمه؟
كتب المعهد الإطار ليكون محايدًا تجاه القطاع والتقنية عن قصد، فينطبق على نطاق واسع لا على فئة واحدة من الشركات.
- أي مؤسسة تبني أنظمة ذكاء اصطناعي — كُتبت وظيفتا الرسم والقياس من منظور من يصمم نظامًا ويختبره قبل إطلاقه.
- أي مؤسسة تنشر الذكاء الاصطناعي في عملياتها — تنطبق الحوكمة والإدارة بالقدر نفسه من المباشرة على شركة تستخدم نموذج طرف ثالث داخل عملية تجارية.
- أي مؤسسة تشتري الذكاء الاصطناعي من مورّدين — يمنح الإطار مفردات للعناية الواجبة لأسئلة تطرحها على مورّد عن كيفية إدارته للمخاطر من جانبه.
- الوكالات الفيدرالية الأمريكية، حيث تجعله إرشادات مكتب الإدارة والميزانية الممارسة المرجعية لا الاختيارية.
ولأنه طوعي وغير قابل للاعتماد، أصبح العمود الفقري المشترك لحوارات حوكمة الذكاء الاصطناعي المؤسسي عمومًا، في الولايات المتحدة وخارجها بشكل متزايد، تحديدًا لأنه لا يطلب من أحد إثبات شيء لطرف ثالث؛ إنه فقط يمنح الجميع الكلمات الأربع نفسها لتنظيم العمل حولها.
ملف الذكاء الاصطناعي التوليدي
يوسّع المعهد الإطار الأساسي عبر «ملفات» لا أرقام إصدارات جديدة؛ فالوظائف الأربع نفسها لم تتغير منذ 2023. والأهم الآن هو ملف الذكاء الاصطناعي التوليدي (NIST AI 600-1)، المنشور في 26 يوليو 2024 استجابة للأمر التنفيذي لعام 2023 بشأن الذكاء الاصطناعي الآمن والمأمون والجدير بالثقة. يطبّق الحوكمة والرسم والقياس والإدارة تحديدًا على النماذج اللغوية الكبيرة وأنظمة تحويل النص إلى صورة والتطبيقات الأخرى القائمة على النماذج الأساسية، ويسمّي اثنتي عشرة فئة مخاطر خاصة بالذكاء الاصطناعي التوليدي أو يضاعفها، منها الاختلاق (ما يُسمّى عادة الهلوسة)، وتسرّب خصوصية البيانات، والتحيز الضار والتجانس، والاستخدام المزدوج أو الخبيث.
لأي مؤسسة تنشر روبوتات محادثة بنماذج لغوية كبيرة أو مساعدي برمجة أو أنظمة معززة بالاسترجاع أو مسارات عمل وكيلة، هذا الملف، لا الإطار الأساسي وحده، هو الوثيقة ذات الصلة. وتبعته في أبريل 2026 مذكرة مفاهيمية منفصلة لملف الذكاء الاصطناعي الجدير بالثقة في البنية التحتية الحيوية، تمد الوظائف الأربع نفسها إلى مشغّلي البنية التحتية الحيوية.
كيف يختلف إطار NIST AI RMF عن ISO/IEC 42001
يُخلط بين هذين باستمرار، والالتباس مفهوم؛ فهما يغطيان أرضًا متداخلة. الفرق في ماهية كل منهما فعليًا.
| NIST AI RMF | ISO/IEC 42001 | |
|---|---|---|
| ما هو | منهجية طوعية لإدارة المخاطر ومفردات مشتركة | معيار دولي لنظام إدارة قابل للاعتماد |
| المنشأ | الحكومة الأمريكية (NIST)، يناير 2023 | دولي (ISO/IEC JTC 1/SC 42)، ديسمبر 2023 |
| قابل للاعتماد؟ | لا — إقرار ذاتي فقط | نعم — تدققه جهات اعتماد معتمدة |
| البنية | 4 وظائف: الحوكمة والرسم والقياس والإدارة | البنود 4–10 مع 38 ضابطًا في الملحق A عبر 9 أهداف |
| يُقرأ على أفضل وجه بوصفه | منهجية هندسية وحوكمية | نظام قابل للتدقيق، مبني على منهجية أساسية مشابهة |
عمليًا هما متكاملان لا متنافسان. تتطابق وظائف NIST الأربع مع بنود ISO 42001 وضوابطه بما يكفي لينتقل عمل إدارة المخاطر المنجز لأحدهما مباشرة إلى الآخر؛ فالمؤسسة التي بنت برنامج حوكمة حقيقيًا قائمًا على AI RMF أنجزت بالفعل معظم العمل الجوهري الذي سيبحث عنه مدقق ISO 42001. للتفصيل الكامل لما يتطلبه ISO 42001 نفسه وكيف يعمل الاعتماد، انظر شرح ISO/IEC 42001.
كيف ينبغي للتنفيذيين تطبيقه
الإطار مجرد عن قصد؛ وتحويله إلى برنامج عامل هو حيث يأتي الحكم التنفيذي. تسلسل قابل للتطبيق:
- أعدّ سجلًا بكل نظام ذكاء اصطناعي مستخدم — بما فيه الأدوات التي تبنّتها الفرق بنفسها، لا تلك التي صرّحت بها تقنية المعلومات فحسب. لا يمكنك حوكمة ما لا تراه.
- حدّد تحمّل المؤسسة للمخاطر قبل النشر، لا بعد أن يسوء شيء. هذا قرار من وظيفة الحوكمة، ومكانه عند تنفيذي مسمّى، لا لجنة تجتمع ربع سنويًا.
- طبّق الرسم على كل نظام قبل إطلاقه): سياق الاستخدام، والمستخدمون المقصودون، والقرارات التي يوجهها الذكاء الاصطناعي أو يتخذها، والأضرار المحتملة.
- طبّق القياس بأدلة حقيقية — نتائج الاختبار، ونتائج التقييم، ومواد التقييم من المورّد؛ لا قائمة تحقق لمرة واحدة.
- طبّق الإدارة كسجل قرارات مستمر): التخفيف أو النقل أو التجنب أو القبول، مع تسجيل التعليل لا النتيجة فحسب.
- حدّد إيقاع المراجعة): مراجعة سجل الحوادث وسجل المخاطر ربع سنويًا؛ وتحديث الأدوات وتقييمات المورّدين والتدريب سنويًا؛ وإطلاع القيادة العليا على ملف المخاطر وفق جدول ثابت، لا حين يتعطل شيء فحسب.
اقرأ إطار NIST AI RMF كمنهجية هندسية لا وثيقة امتثال. الكلمات الأربع بسيطة. أما تطبيقها على كل مبادرة حقيقية في المحفظة، بإيقاع منتظم، فهو العمل الفعلي.
هذا بالضبط نوع تصميم الحوكمة الذي ينتمي إلى داخل مبادرة حقيقية لا بجانبها؛ ولهذا يبني إطار التحول بالذكاء الاصطناعي™ الحوكمة والمخاطر مباشرة في التسلسل نفسه مع الفرصة ودراسة الجدوى والتنفيذ، بدلًا من معاملتها كمسار امتثال منفصل.
مسرّع من 6 أسابيع. تأتي بتحدٍّ تجاري حقيقي واحد، وتغادر بمبادرة ذكاء اصطناعي خاضعة للحوكمة.
استكشف برنامج كبير مسؤولي الذكاء الاصطناعيعلى المستشارين الذين يبنون هذا في مشاريع العملاء، بما فيها مرحلة تصميم الحوكمة والمخاطر في التحول بالذكاء الاصطناعي، الاطلاع على برنامج مستشار الذكاء الاصطناعي المعتمد.
الأسئلة الشائعة
هل يوجد إصدار 2.0 من NIST AI RMF؟
لا، حتى 2026. قال المعهد إن الإطار قيد المراجعة، لكن الإصدار الحالي لا يزال AI RMF 1.0 من يناير 2023. يوسّع المعهد الإطار عبر ملفات، مثل ملف الذكاء الاصطناعي التوليدي، لا أرقام إصدارات جديدة؛ والوظائف الأساسية الأربع لم تتغير.
هل يمكننا الاعتماد وفق NIST AI RMF؟
لا. إنه غير قابل للاعتماد صراحة؛ تستطيع المؤسسات فقط الإقرار ذاتيًا بالتوافق. وISO/IEC 42001 هو النظير القابل للاعتماد للمؤسسات التي تحتاج إلى ادعاء مدقَّق.
هل يستوفي NIST AI RMF التزامات قانون الاتحاد الأوروبي للذكاء الاصطناعي؟
لا، ليس تلقائيًا. يوجد تداخل كبير بينهما، ويدعم العمل المنجز وفق الإطار عمل الامتثال للقانون، لكن التزامات القانون متطلبات قانونية ملزمة منفصلة يجب استيفاؤها بشروطها الخاصة.
هل تحتاج الشركات الصغيرة إلى الاهتمام به؟
لا توجد عتبة حجم في الإطار. تستطيع شركة صغيرة تستخدم حفنة من أدوات الذكاء الاصطناعي من أطراف ثالثة تطبيق نسخة خفيفة من الحوكمة والرسم والقياس والإدارة، بسجل وتحمّل معلن للمخاطر وإيقاع مراجعة أساسي، دون الحاجة إلى الجهاز الكامل الذي تبنيه مؤسسة كبيرة.