من يدقّق على مدققي الذكاء الاصطناعي؟ ما الذي يغيّره معيار ISO/IEC 42006 في شهادات 42001

أصبحت شهادة ISO/IEC 42001 تدريجياً الجواب الجاهز عن سؤال يتكرر في المشتريات: كيف نعرف أن هذا المورّد يحكم استخدامه للذكاء الاصطناعي بمسؤولية؟ غير أن قيمة الشهادة لا تتجاوز جودة التدقيق الذي قامت عليه، وإلى وقت قريب لم يكن هناك معيار خاص بالذكاء الاصطناعي ينظّم عمل الجهات التي تجري هذا التدقيق. جاء معيار ISO/IEC 42006، الذي نُشر في يوليو 2025، ليسدّ هذه الفجوة.

ما هو معيار ISO/IEC 42006؟

المعيار 42001 هو معيار نظام الإدارة الذي تُمنح المؤسسة الشهادة وفقاً له. أما 42006 فيخاطب طرفاً آخر: جهات منح الشهادات التي تدقّق أنظمة إدارة الذكاء الاصطناعي وتعتمدها. وهو يكمّل المعيار ISO/IEC 17021-1، المعيار العام لجهات منح شهادات أنظمة الإدارة، بقواعد خاصة بالذكاء الاصطناعي. فإذا كان 42001 يصف ما يبدو عليه نظام إدارة جيد، فإن 42006 يصف ما ينبغي أن تكون عليه الجهة الموثوقة التي تدقّقه.

ثلاثة متطلبات تستحق الانتباه

الكفاءة. يجب أن يغطي فريق التدقيق مجتمعاً مجالات الذكاء الاصطناعي وأنظمة الإدارة والتدقيق وحوكمة الذكاء الاصطناعي والأنشطة التقنية ضمن نطاق الشهادة. فريق قادر على تدقيق نظام إدارة أمن المعلومات ليس بالضرورة قادراً على الحكم على مصدر بيانات التدريب أو مراقبة النماذج أو تقييم الأثر.

زمن التدقيق. يقدّم المعيار منهجية منظّمة لحساب مدة التدقيق تأخذ في الاعتبار عوامل منها الأنظمة التنظيمية المنطبقة وعدد أنظمة الذكاء الاصطناعي والتطبيقات عالية المخاطر وعلاقات الأطراف الثالثة. وينص كذلك على أن التخطيط وكتابة التقرير لا ينبغي عادةً أن يخفضا زمن التدقيق المباشر مع العميل عن 70% من المدة المحسوبة، وأن تدقيق إعادة الاعتماد ينبغي ألا يقل عن ثلثي زمن التدقيق الأولي.

لا اعتماد تلقائي. لا يجعل المعيار كل شهادة 42001 شهادة معتمدة. فهيئات الاعتماد تقيّم الجهات المانحة بصورة منفصلة، ولذلك قد تستند شهادتان تحملان رقم المعيار نفسه إلى مستويين مختلفين جداً من الضمان.

لماذا يهم ذلك المشترين ومجالس الإدارة؟

اعتدنا التعامل مع الشهادات كدليل ثنائي: موجودة أو غير موجودة. وهذه العادة محفوفة بالمخاطر هنا. نطاق شهادة يشمل روبوت محادثة داخلياً واحداً لا يقول الكثير عن النموذج المدمج في مسار خدمة عملائك، وشهادة صادرة عن جهة بلا كفاءة في الذكاء الاصطناعي لا تقول شيئاً يُعتدّ به. تكمن قيمة الضمان في ثلاثة تفاصيل نادراً ما ترد في استبيانات الموردين: ما الذي يشمله النطاق، ومن الجهة التي أصدرت الشهادة، وهل هي معتمدة لهذا المعيار.

خطوات عملية

إذا كنت تشتري خدمات ذكاء اصطناعي، فاطلب الشهادة وبيان النطاق وحالة اعتماد الجهة المانحة، وتحقق من أن النطاق المعتمد يغطي النظام الذي تعتمد عليه فعلاً. وإذا كنت تسعى إلى الحصول على الشهادة، فاسأل الجهات المرشحة كيف تشكّل فرق التدقيق وكيف تحسب زمنه؛ فالتدقيق القصير جداً والرخيص جداً إشارة تحذير وليس صفقة جيدة.

وإذا كنت عضواً في مجلس إدارة أو لجنة مخاطر، فتعامل مع شهادة 42001 بوصفها مدخلاً واحداً ضمن ضمان الموردين لا بديلاً عنه. فهي تخبرك بأن نظام إدارة قائم وقد جرى فحصه، ولا تخبرك بأن النماذج آمنة أو عادلة أو ممتثلة لقانون بعينه، ولا تغني عن اختباراتك الخاصة وضوابطك التعاقدية ومراقبتك.

القراءة من منظور الحوكمة

تنضج منظومات الضمان على طبقات: معيار للممارسة، ومعيار للمقيّمين، واعتماد لمن يقيّم المقيّمين. ويوفّر ISO/IEC 42006 الطبقة الوسطى للذكاء الاصطناعي. لن يقضي على التدقيق الضعيف، لكنه يمنح المشترين والجهات التنظيمية مرجعاً يحاسبون به الجهات المانحة. والسؤال الذي ينبغي أن نبدأ بطرحه لم يعد فقط: هل المورّد حاصل على الشهادة؟ بل: من منحه إياها، وعلى أي نطاق، وبأي كفاءة؟