من يراجع الذكاء الاصطناعي؟

عندما كان الذكاء الاصطناعي مجرد أداة تقترح نصًا أو تلخص مستندًا، كان الخطأ غالبًا ينتهي بإجابة غير صحيحة يمكن للموظف مراجعتها.

لكن ماذا يحدث عندما يصبح الذكاء الاصطناعي قادرًا على الدخول إلى أنظمة الشركة، واستدعاء البرامج، والتعامل مع البيانات، وتنفيذ مهام فعلية؟

هنا يتغير السؤال من:

هل النموذج جيد؟

إلى:

هل نستطيع الوثوق به داخل بيئة العمل؟

ولهذا أعلنت AICPA وشركة Artificial Intelligence Underwriting Company عن تعاون لتطوير عملية ضمان تجمع بين تقرير SOC 2 وشهادة AIUC-1، بهدف توفير مراجعة مستقلة للمخاطر المرتبطة بأنظمة ووكلاء الذكاء الاصطناعي. ومن المخطط إطلاقها بصورة أوسع بعد اكتمال المشاركات الأولية في أوائل 2027.

ما معنى Assurance أصلًا؟

في عالم الأعمال، هناك فرق بين أن تقول الشركة:

«نظامنا آمن»

وأن يأتي طرف مستقل ويفحص الأدلة ثم يقدم مستوى من الضمان حول الضوابط الموجودة.

هذه هي الفكرة الأساسية وراء خدمات التأكيد أو Assurance.

فتقرير SOC 2، مثلًا، يفحصه محاسب قانوني مرخص وفق معايير AICPA، ويركز على ضوابط مرتبطة بمجالات مثل الأمن، وتوافر الأنظمة، وسلامة المعالجة، والسرية والخصوصية.

لكن الذكاء الاصطناعي أضاف مشكلة جديدة:

قد تكون البنية التقنية للشركة محمية جيدًا، لكن ماذا عن سلوك الوكيل نفسه؟

السياسات لا تخبرنا دائمًا بما سيفعله الوكيل

يمكن للشركة كتابة سياسة ممتازة تقول إن الوكيل لا يجب أن يكشف بيانات العملاء.

لكن الاختبار الحقيقي هو:

ماذا يحدث إذا حاول أحد المستخدمين خداعه للكشف عنها؟

وماذا لو تلقى تعليمات خبيثة داخل ملف قرأه؟

وهل يستطيع شخص إقناعه بتجاوز الصلاحيات الممنوحة له؟

هنا يأتي الجزء المختلف في AIUC-1، الذي لا يعتمد فقط على مراجعة السياسات والضوابط، بل يتضمن اختبارات تقنية فعلية لسلوك الوكلاء عبر سيناريوهات تشمل تسرب البيانات، والهلوسة، والطلبات التلاعبية، وهجمات Prompt Injection. وتقول AIUC إن الاختبارات النموذجية قد تغطي آلاف السيناريوهات.

وهذا يشبه الفرق بين مراجعة تعليمات السلامة في مصنع، وبين تشغيل الآلات فعليًا واختبار ما إذا كانت أنظمة الحماية تعمل عند وقوع المشكلة.

لماذا أصبح هذا أكثر أهمية مع الوكلاء؟

البرنامج التقليدي ينفذ غالبًا قواعد محددة مسبقًا.

أما وكيل الذكاء الاصطناعي فيستطيع التعامل مع تعليمات جديدة، واستخدام أدوات مختلفة، واتخاذ سلسلة من الخطوات للوصول إلى هدف.

هذه المرونة هي ما يجعله مفيدًا.

لكنها أيضًا ما يجعل سلوكه أصعب في التنبؤ.

إذا امتلك الوكيل بيانات دخول، واستطاع الاتصال بأنظمة أخرى أو تنفيذ أوامر، فإن خطأه لا يعود مجرد إجابة خاطئة؛ فقد يصبح حدثًا تشغيليًا أو أمنيًا حقيقيًا.

ولهذا تصف AICPA القضية بأنها تتعلق بضمان سلامة الوكيل وكذلك الأنظمة التي يتعامل معها.

هل الشهادة تعني أن الذكاء الاصطناعي لن يخطئ؟

لا.

وهذه نقطة مهمة.

المراجعة والاختبار لا يستطيعان ضمان أن النظام لن يفشل أبدًا.

وظيفتهما هي إعطاء الأطراف الخارجية أدلة أكثر موثوقية على أن الشركة تملك ضوابط مناسبة، وأن بعض المخاطر تم اختبارها بطريقة منظمة ومستقلة.

ولأن نماذج الذكاء الاصطناعي والهجمات تتغير بسرعة، لا تكفي مراجعة واحدة إلى الأبد.

فالبرنامج المشترك يتطلب تجديد SOC 2 وAIUC-1 سنويًا، إضافة إلى إعادة الاختبارات التقنية لـAIUC-1 كل ثلاثة أشهر.

من مراجعة الأرقام إلى مراجعة الخوارزميات

قد يكون الأهم في هذه الخطوة هو ما تقوله عن مستقبل مهنة التدقيق نفسها.

فالمراجع اعتاد بناء الثقة حول القوائم المالية والأنظمة والضوابط الداخلية.

لكن إذا أصبحت قرارات وأعمال أكثر داخل الشركات تنفذها أنظمة ذكاء اصطناعي، فإن بناء الثقة قد يحتاج أيضًا إلى التأكد من طريقة تصرف هذه الأنظمة.

وهنا تتوسع فكرة المراجعة:

ليس فقط: هل الرقم صحيح؟

بل أيضًا:

هل النظام الذي أنتج القرار مضبوط؟
هل البيانات محمية؟
هل الوكيل يلتزم بصلاحياته؟
وماذا يفعل عندما يتعرض لمحاولة خداع؟

فكلما منحنا الذكاء الاصطناعي قدرة أكبر على العمل بدلًا من الاكتفاء بالمساعدة، زادت أهمية وجود طرف مستقل يسأل السؤال الذي اعتادت مهنة التدقيق طرحه منذ سنوات:

هل نستطيع الاعتماد على هذا النظام؟