وكلاء الذكاء الاصطناعي، القادرون على اتخاذ المبادرات داخل نظام المعلومات في الشركات، يهزون نماذج الحوكمة القائمة. أصبحت الهوية، والتحكم في الوصول، وإمكانية التتبع، والإشراف البشري عناصر أساسية للتوفيق بين الاستقلالية والأمان، في وقت يدخل فيه الـ AI Act حيز التنفيذ تدريجياً.
يعتمد نموذج الحوكمة التقليدي على مبدأ بسيط: شخص واحد يقابله هوية واحدة، وحقوق محددة، ومسؤول واضح. مع وكلاء الذكاء الاصطناعي، يتزعزع هذا المنطق. يمكن إنشاء هذه البرامج بسرعة، وتتطور مع الوقت، وقد تتسع صلاحيات الوصول الخاصة بها وفقاً لمهامها. عند نشرها خارج العمليات المعتادة، قد تفقد الشركة القدرة على تتبع عدد الوكلاء النشطين، ومسؤوليهم، وما هو مسموح لهم به فعلياً.
وفقاً لتقرير Okta Global CISO Insights 2026، فإن 81% من مسؤولي الأمن الذين تم استطلاع رأيهم أعربوا عن قلقهم بشأن الصلاحيات المفرطة الممنوحة للذكاء الاصطناعي، بينما قال 47% فقط إنهم قادرون على تحديد جميع وكلاء الذكاء الاصطناعي الموجودين في بيئتهم. لا ينظم الـ AI Act «وكلاء الذكاء الاصطناعي» كفئة مستقلة. ولكنه يفرض، بالنسبة لأنظمة معينة ومستويات مخاطر محددة، قدرة متزايدة على تحديد، وتنظيم، ومراقبة، والتحكم في الأنظمة المنشورة. وبالتالي، لم يعد السؤال هو ما إذا كانت الشركة تستخدم الذكاء الاصطناعي فحسب، بل ما الذي يُسمح له بالتصرف نيابة عنها.
بالنسبة للأنظمة عالية الخطورة، يفرض التنظيم متطلبات في إدارة المخاطر، وإمكانية التتبع، والمراقبة، والتحكم البشري. قبل السماح لوكيل بالتدخل في عملية حرجة، يجب معرفة البيانات التي يمكنه الوصول إليها، والتطبيقات التي يمكنه استخدامها، والإجراءات التي يمكنه تنفيذها، ومن المسؤول عنه، وكيفية تعليق صلاحياته إذا لزم الأمر. كما أن النص يندرج ضمن حركة أوسع، تشمل على سبيل المثال DORA وNIS2، والتي تتجه نحو متطلب واحد: تحديد الموارد، وفهم صلاحيات الوصول، والقدرة على إثبات ما حدث.
الهوية، أساس سلسلة المسؤولية
يجب أن يكون من الممكن تحديد كل وكيل، وربطه بفريق أو مسؤول، وأن يكون لديه نطاق وصول محدد، وأن تخضع صلاحياته لإعادة تقييم دورية. الوكيل ليس موظفاً، ولا يجب إدارته كموظف. التحدي يكمن في القدرة على إعادة بناء سلسلة المسؤولية عندما يتصرف، أي ربط الإجراء الآلي بترخيص ومسؤول. يمكن أتمتة بعض المهام بالكامل، بينما يجب أن تخضع مهام أخرى للموافقة البشرية أو أن تكون قابلة للتوقف عندما تشكل خطراً خاصاً.
أربع خطوات لاستعادة السيطرة
رسم خريطة للوضع الحالي. الخطوة الأولى هي حصر الأدوات والوكلاء المستخدمة، وصولها إلى البيانات، والأشخاص الذين يتحكمون فيها. يجب أن يشمل هذا الحصر أيضاً الوكلاء المنشأة في بيئات التطوير وسير العمل الآلية التي تتجاوز عمليات تكنولوجيا المعلومات التقليدية.
منح هوية ونطاق. يجب أن يكون للوكيل مالك محدد وصلاحيات تتوافق مع مهمته، وفقاً لمبادئ الامتيازات الدنيا، والوصول المحدود زمنياً، وفصل المسؤوليات. لا يجب أن تؤدي طبيعته الآلية إلى منحه ثقة أكبر من المستخدم البشري.
إبقاء العنصر البشري في الحلقة. بالنسبة للإجراءات الحساسة، يجب على الشركة تحديد متى تكون التدخل البشري ضرورياً، سواء كان ذلك موافقة قبل التنفيذ أو القدرة على إيقاف وكيل بسرعة عندما يتجاوز نطاقه.
التحقق من القيمة التجارية. يمكن للمشاريع المستقلة التي تُطلق دون هدف محدد أو إشراف أن تضاعف المخاطر دون إثبات فائدتها. لذلك، من المناسب تحديد المشكلة المراد حلها، والقيمة المتوقعة، وكيفية قياس النتائج، مما يسمح أيضاً بتحديد مستوى الاستقلالية المطلوب.
بالنسبة لأنظمة الذكاء الاصطناعي عالية الخطورة الخاضعة للملحق الثالث، ستدخل القواعد حيز التنفيذ اعتباراً من 2 ديسمبر 2027. ومع ذلك، تذكر المصدر أن حوكمة الوكيل تُبنى في اللحظة التي تمنح فيها الشركة له الحق في التصرف، وليس في الموعد النهائي التنظيمي. من خلال معالجة هذه الوكلاء كقضية هوية، وليس فقط امتثال أو تكنولوجيا، يمكن للمنظمات الانتقال من منطق «الذكاء الاصطناعي الخفي» إلى ذكاء اصطناعي محكوم.
