حظر بيانات الصحة بالذكاء الاصطناعي: ما الذي ينبغي على المؤسسات المغربية مراقبته

أهم النقاط

• اقتراح أمريكي سيحظر على شركات الذكاء الاصطناعي بيع بيانات الصحة والموقع الحساسة.

• الدرس المستفاد للمغرب عملي: تشديد الموافقة، والاحتفاظ، وضوابط الموردين.

• يمكن لأنظمة الذكاء الاصطناعي وخدمات الدردشة الآلية أن تخلق مخاطر جديدة تتعلق بالخصوصية والأمن السيبراني.

• ينبغي للفرق المغربية مراجعة تدفقات البيانات، وشروط الشراء، وضوابط الوصول.

• قد يجعل تداخل اللغات والمهارات والبنية التحتية الحوكمة أصعب، لا أسهل.

ما الذي يقوله الاقتراح

يصف المصدر مشروع قانون أمريكيًا مخططًا له لعصر الذكاء الاصطناعي. وسيحدّث قانون حماية بيانات الصحة والموقع. والهدف هو منع الشركات، بما في ذلك أنظمة الذكاء الاصطناعي وخدمات الدردشة الآلية، من بيع بيانات الصحة والموقع الحساسة إلى وسطاء البيانات.

ويذكر الاقتراح أيضًا وضع قواعد من قبل لجنة التجارة الفيدرالية، وصلاحيات إنفاذ، وميزانية قدرها مليار دولار على مدى 10 سنوات. وتكتسب هذه التفاصيل أهمية لأنها تُظهر نموذج إنفاذ أقوى. وبالنسبة للقراء المغاربة، فالمهم ليس المسار الأمريكي نفسه، بل الاتجاه العام في الخصوصية وحوكمة الذكاء الاصطناعي.

لماذا يهم هذا المغرب

قد لا تواجه المؤسسات المغربية هذا المشروع بعينه. ومع ذلك، فإن المنطق الذي يستند إليه يظل ذا صلة. غالبًا ما تعمل أدوات الذكاء الاصطناعي فوق مسارات بيانات ضخمة. وإذا تضمنت هذه المسارات بيانات صحية أو بيانات موقع، فإن مستوى المخاطر يرتفع بسرعة.

وبالنسبة لصناع السياسات وقادة الأعمال في المغرب، فهذا تذكير بضرورة التعامل مع البيانات الحساسة بحذر. يجب أن تكون الموافقة واضحة. ويجب أن يكون الاحتفاظ محدودًا. ويجب أن يكون وصول الموردين ضيقًا. هذه الضوابط أساسية، لكنها غالبًا أول ما يضعف عندما تتحرك الفرق بسرعة.

السياق المغربي: أين تكمن نقاط الضغط

من المرجح أن يعتمد تبني الذكاء الاصطناعي في المغرب على جودة البيانات، وانضباط الشراء، والثقة. وهذا يخلق تحديًا عمليًا. فقد تنتقل البيانات الحساسة بين الفرق الداخلية، وأدوات السحابة، والموردين الخارجيين قبل أن يرسم أي شخص مسارها بالكامل.

ويضيف تداخل اللغات طبقة أخرى. فقد تعمل المؤسسات المغربية بالعربية والفرنسية وأحيانًا بالإنجليزية. وهذا قد يعقّد صياغة السياسات، وإشعارات المستخدمين، وتدريب الموظفين. وإذا كان نص الموافقة غير واضح بلغة واحدة، فقد تضعف العملية بأكملها.

وتُعد البنية التحتية والمهارات أمرًا مهمًا أيضًا. فقد لا تمتلك بعض الفرق فهارس بيانات ناضجة، أو سجلات، أو مراقبة أمنية متقدمة. وقد تعتمد فرق أخرى على حسابات مشتركة أو ممارسات وصول غير رسمية. وفي مثل هذه البيئة، يمكن للذكاء الاصطناعي أن يضخم نقاط الضعف القائمة بدلًا من إصلاحها.

حالات الاستخدام في المغرب: أين يلزم الحذر

يمكن أن تكون حالات الاستخدام المرتبطة بالصحة مفيدة، لكنها تحتاج إلى ضوابط قوية. فقد يتعامل روبوت دردشة يساعد في المواعيد أو الفرز الأولي أو دعم المرضى مع معلومات حساسة. وإذا أُعيد استخدام تلك البيانات لتدريب النماذج أو التحليلات أو مشاركتها مع مورد، فعلى المؤسسة أن تطرح أسئلة صعبة.

كما يمكن أن تكون بيانات الموقع حساسة عمليًا. فقد تكشف عن الروتين، وأنماط العمل، أو العادات الشخصية. وبالنسبة للمؤسسات المغربية، يعني ذلك ألا تُعامل بيانات الموقع على أنها مجرد بيانات وصفية غير ضارة. فقد تصبح بيانات شخصية بسرعة كبيرة عندما تُدمج مع سجلات أخرى.

ويُعد الشراء نقطة ضغط أخرى. فقد يعد المورد بالسهولة، لكن يجب أن يحدد العقد ما البيانات التي تُجمع، وأين تُخزن، ومن يمكنه الوصول إليها. كما ينبغي للمشترين المغاربة أن يسألوا عمّا إذا كان المورد قادرًا على حذف البيانات عند الطلب، وما إذا كانت هناك جهات متعاقدة من الباطن. وإذا كانت الإجابة غير واضحة، فالمخاطر كذلك.

المخاطر والحوكمة

أكبر خطر ليس بيع البيانات فقط، بل إعادة الاستخدام غير المنضبط. فقد تستوعب أنظمة الذكاء الاصطناعي البيانات لغرض واحد ثم تعرضها لغرض آخر. وهذا قد يخلق في الوقت نفسه مشكلات تتعلق بالخصوصية والامتثال والأمن السيبراني.

ويُعد الاحتفاظ نقطة ضعف شائعة. فإذا احتُفظ بالبيانات مدة أطول من اللازم، اتسعت نافذة التعرض. وينبغي للمؤسسات المغربية وضع قواعد للاحتفاظ قبل النشر، لا بعد وقوع حادث. كما ينبغي لها اختبار ما إذا كان الحذف يعمل فعليًا عبر النسخ الاحتياطية والسجلات وأنظمة الموردين.

كما أن التحكم في الوصول مهم أيضًا. يجب أن تقتصر البيانات الحساسة على الأشخاص الذين يحتاجون إليها. فالحسابات المشتركة، والصلاحيات الواسعة، ومسارات التدقيق الضعيفة تجعل إثبات المعالجة المسؤولة أصعب. وبالنسبة للفرق المغربية، يكتسب هذا أهمية خاصة عندما يكون الموظفون موزعين بين إدارات متعددة أو مزودي خدمات خارجيين.

وينبغي التعامل مع الامتثال بوصفه مسألة تصميم، لا مجرد فكرة قانونية لاحقة. وحتى عندما لا ينطبق مشروع قانون أجنبي في المغرب، فقد يظل اتجاهه مؤثرًا في التوقعات. وقد تجد المؤسسات التي تستعد مبكرًا أنه من الأسهل التكيف مع القواعد المستقبلية أو متطلبات العملاء أو فحوصات الشراء.

ما الذي ينبغي على المؤسسات المغربية فعله بعد ذلك

ابدأوا بخريطة للبيانات. حدّدوا أين تدخل بيانات الصحة والموقع إلى المؤسسة، وأين تُخزن، وأي الموردين يمكنهم رؤيتها. فإذا كانت الخريطة غير مكتملة، فسيكون نموذج الحوكمة غير مكتمل أيضًا.

ثم راجعوا لغة الموافقة وجداول الاحتفاظ. اجعلوها قصيرة وواضحة. وإذا كانت المؤسسة تخدم مجموعات لغوية متعددة، فاختبروا الصياغة في كل منها. فالهدف ليس التغطية القانونية فقط، بل الفهم الحقيقي من قبل المستخدم.

بعد ذلك، شددوا ضوابط الموردين. اطلبوا إجابات واضحة بشأن استخدام البيانات في التدريب، ومشاركتها، وحذفها، والجهات المتعاقدة من الباطن. وأدرجوا هذه الإجابات في العقود حيثما أمكن. وإذا لم يستطع المورد شرح كيفية تعامله مع البيانات، فينبغي للمشترين المغاربة اعتبار ذلك علامة تحذير.

وأخيرًا، عززوا أساسيات الأمن السيبراني. استخدموا التسجيل، ومراجعات الوصول، وخطط الاستجابة للحوادث. وتأكدوا من أن الموظفين يعرفون كيفية الإبلاغ عن أي تسرب مشتبه به. تعمل حوكمة الذكاء الاصطناعي على أفضل وجه عندما تتحرك الخصوصية والأمن والشراء معًا.

الخلاصة

هذا الاقتراح قصة أمريكية، لكن الدرس أوسع من ذلك. فالذكاء الاصطناعي يجعل البيانات الحساسة أسهل في النقل وأصعب في التتبع. وبالنسبة للمغرب، يعني ذلك أن المؤسسات لا ينبغي أن تنتظر أزمة محلية قبل تحسين الضوابط.

والنهج الأكثر أمانًا بسيط. اجمعوا أقل. واحتفظوا به لمدة أقل. وشاركونه مع أطراف أقل. وتأكدوا من أن كل مورد للذكاء الاصطناعي يستطيع شرح كيفية التعامل مع البيانات الحساسة بدقة.