الذكاء الاصطناعي الخفي (Shadow AI): مخاطر استخدام أدوات الذكاء الاصطناعي غير المعتمدة في المؤسسات

أصبح استخدام أدوات الذكاء الاصطناعي التوليدي جزءاً من العمل اليومي في إعداد التقارير، وتحليل البيانات، وصياغة المراسلات، وتلخيص المستندات. لكن بعض الموظفين يستخدمون هذه الأدوات عبر حساباتهم الشخصية أو خدمات لم تعتمدها المؤسسة. هنا يظهر ما يُعرف باسم الذكاء الاصطناعي الخفي (Shadow AI): استخدام حلول الذكاء الاصطناعي في العمل خارج نطاق الموافقة والرقابة المؤسسية. لا يُعد كل استخدام غير معتمد حادثاً أمنياً، لكنه قد يُنشئ مخاطر لا تستطيع المؤسسة اكتشافها أو إدارتها في الوقت المناسب.

ما المقصود بالذكاء الاصطناعي الخفي (Shadow AI)؟

يشير المصطلح إلى استخدام الموظفين أدوات أو إضافات أو خدمات ذكاء اصطناعي لأغراض العمل دون موافقة الجهة المسؤولة عن التقنية والأمن والحوكمة. وقد يحدث ذلك باستخدام روبوت محادثة عام لتلخيص عقد، أو إضافة متصفح لتحليل بيانات العملاء، أو وكيل ذكاء اصطناعي متصل بالبريد الإلكتروني والملفات. وهو مفهوم قريب من Shadow IT، لكنه يضيف مخاطر تتعلق بطبيعة البيانات المُدخلة، والمخرجات غير الدقيقة، والصلاحيات التي تحصل عليها الأدوات الذكية.

لماذا يمثل Shadow AI تحدياً للمؤسسات؟

تكمن المشكلة في غياب الرؤية والضوابط، وليس في استخدام الذكاء الاصطناعي بحد ذاته. فقد يتعامل الموظف مع خدمة ذات شروط احتفاظ بالبيانات أو آليات معالجة لا تتناسب مع سياسات المؤسسة، أو يمنح إضافة خارجية صلاحية الوصول إلى مستندات حساسة. كما قد يعتمد على مخرجات غير صحيحة في قرار مالي أو قانوني أو تشغيلي. تشير دراسة Microsoft Data Security Index 2026 إلى أهمية التعامل مع استخدام أدوات الذكاء الاصطناعي من منظور حماية البيانات والحوكمة، لا باعتباره مجرد قضية إنتاجية.

أبرز مخاطر الذكاء الاصطناعي الخفي

سيناريوهات شائعة في بيئة العمل

1. تلخيص مستندات الموارد البشرية

يستخدم موظف خدمة ذكاء اصطناعي شخصية لتلخيص ملفات تتضمن بيانات العاملين. حتى عندما تكون النية تحسين الكفاءة، قد لا تكون ضوابط الخدمة مناسبة لطبيعة البيانات. الحل هو استخدام أداة مؤسسية معتمدة وسياسات واضحة لإخفاء المعلومات الحساسة.

2. تحليل بيانات العملاء والمبيعات

ترفع إدارة تجارية قاعدة بيانات إلى منصة خارجية لإعداد تقرير فوري. المشكلة ليست في إعداد التقرير، بل في معرفة مكان معالجة البيانات، ومن يستطيع الوصول إليها، وهل تسمح العقود والأنظمة بذلك.

3. وكلاء الذكاء الاصطناعي المتصلون بالأنظمة

قد يمتلك الوكيل الذكي إمكانية قراءة الرسائل أو إنشاء الملفات أو تنفيذ مهام نيابةً عن المستخدم. وهنا يصبح ضبط الصلاحيات والمراجعة البشرية أكثر أهمية، خصوصاً في العمليات الحساسة. تؤكد إرشادات تبنّي خدمات الذكاء الاصطناعي الوكيلية الصادرة عن جهات أمن سيبراني حكومية في مايو 2026 ضرورة تقييم المخاطر وحدود الاستقلالية ومراقبة التكاملات.

كيف تكتشف المؤسسات استخدام أدوات AI غير المعتمدة؟

تبدأ المؤسسة بفهم الاحتياجات الفعلية للموظفين، ثم بجرد التطبيقات والإضافات والتكاملات المستخدمة ضمن الحدود النظامية وسياسات الخصوصية. ويمكن مراجعة طلبات الوصول إلى الخدمات الخارجية، وسجلات الأدوات المعتمدة، ونتائج تقييمات الموردين، وتقارير الموظفين عن احتياجاتهم. ولا ينبغي تحويل الرقابة إلى مراقبة شاملة وغير متناسبة لسلوك الأفراد؛ فوضوح السياسة والثقة ووجود بدائل آمنة عناصر ضرورية لنجاح الحوكمة.

خطة عملية لإدارة مخاطر Shadow AI

هل حظر أدوات الذكاء الاصطناعي هو الحل؟

الحظر الشامل ليس بالضرورة الخيار الأكثر فاعلية؛ فقد يدفع بعض الاستخدام إلى قنوات أقل وضوحاً. والأفضل هو نهج قائم على المخاطر: تحديد حالات الاستخدام المسموحة، وتوفير خدمات مؤسسية مناسبة، ومراجعة الموردين، وتحديد أنواع البيانات التي لا يجوز إدخالها، مع ضوابط إضافية للاستخدامات عالية التأثير. وتؤكد إرشادات NIST AI Risk Management Framework أهمية الحوكمة والتقييم والقياس والإدارة المستمرة لمخاطر الذكاء الاصطناعي.

مسؤوليات القيادات والمديرين

لا يمكن لفرق الأمن السيبراني معالجة مخاطر Shadow AI وحدها. على الإدارة العليا اعتماد سياسة واضحة وتوفير الموارد، وعلى المديرين شرح الاستخدامات المقبولة ومراجعة القرارات الحساسة، وعلى الموارد البشرية تضمين قواعد الاستخدام في التدريب والتوعية. أما فرق التقنية والأمن والحوكمة فتتولى تقييم الأدوات وإدارة الوصول وحماية البيانات والاستجابة للمخاطر.

الأسئلة الشائعة عن Shadow AI

ما الفرق بين Shadow AI وShadow IT؟

يشير Shadow IT إلى استخدام تطبيقات وخدمات تقنية غير معتمدة، بينما يركز Shadow AI على استخدام حلول الذكاء الاصطناعي غير الخاضعة للحوكمة، بما يشمل مخاطر البيانات والمخرجات والتكاملات الذكية.

هل جميع أدوات الذكاء الاصطناعي العامة غير آمنة؟

لا. يعتمد مستوى الخطر على إعدادات الخدمة وسياسة التعامل مع البيانات وطبيعة المعلومات والاستخدام والضوابط التعاقدية والتقنية.

هل يمكن أن يسبب Shadow AI تسرباً للبيانات؟

نعم، إذا أُدخلت معلومات حساسة إلى خدمة غير مناسبة أو مُنحت أداة خارجية صلاحيات وصول غير ضرورية.

ما أول خطوة للحد من المخاطر؟

حصر الاستخدامات الحالية، وتحديد الاحتياجات المهنية، وتوفير بدائل معتمدة، ونشر قواعد واضحة بشأن البيانات والصلاحيات.

ما دور المديرين في إدارة مخاطر Shadow AI؟

تحديد الاستخدامات المقبولة داخل فرقهم، وتعزيز الإبلاغ المبكر، ومراجعة المخرجات المؤثرة، والتعاون مع فرق الأمن والحوكمة.

الخلاصة

لا يكمن الخطر في استخدام الذكاء الاصطناعي، بل في استخدامه دون معرفة كافية بالبيانات والصلاحيات والآثار المحتملة. تستطيع المؤسسات الاستفادة من الإنتاجية التي توفرها الأدوات الذكية عندما تجمع بين سياسات عملية، وأدوات معتمدة، وتوعية مناسبة، وضوابط أمنية قابلة للقياس. والهدف هو تمكين الاستخدام الآمن، لا تعطيل الابتكار.

دورات تدريبية ذات صلة من EuroMaTech

يمكن تطوير المعرفة التطبيقية وحوكمة الاستخدام الآمن من خلال قسم دورات الأمن السيبراني وتكنولوجيا المعلومات، وقسم دورات الذكاء الاصطناعي والتحول الرقمي. ومن البرامج المرتبطة مباشرة بالموضوع الذكاء الاصطناعي الهجومي والدفاع السيبراني المتقدم، وقيادة الأمن السيبراني وإدارة مخاطر الذكاء الاصطناعي والحوسبة السحابية.

عن يوروماتيك: يمكن التعرف على يوروماتيك للتدريب والاستشارات واستعراض البرامج والدورات التدريبية المتخصصة المرتبطة بتطوير الكفاءات المؤسسية.

المصادر والمراجع

• Microsoft – Data Security Index.
• NCSC and international partners – Careful Adoption of Agentic AI Services.
• NIST – AI Risk Management Framework.
• CISA – Guidance on Adopting Agentic AI Services.