سياسة التحكم في استخدام الذكاء الاصطناعي لا تستحق الكتابة إلا إذا كان كل بند فيها مرتبطًا بإعداد يستطيع مسؤول النظام تشغيله أو إيقافه ويستطيع المدقق التحقق منه. على بيئة ويندوز في الكويت أو الخليج — Entra ID وIntune وMicrosoft 365 وأجهزة Windows 11 — يضيّق ذلك المستند إلى أربعة نطاقات قابلة للتنفيذ، ويستبعد معظم ما يُوقَّع عادة.

ما تغطيه السياسة فعليًا

السياسة القابلة للاستخدام تغطي أربعة نطاقات ولا شيء غيرها: من يُسمح له باستخدام Microsoft 365 Copilot وأدوات المحادثة العامة، وما البيانات التي يُسمح بخروجها من الجهاز عبر اللصق أو الرفع، وأي تطبيقات ذكاء اصطناعي يُسمح بتشغيلها أصلًا، وما السجل الذي يبقى بعد ذلك. كل ما يخرج عن هذه النطاقات هو توجيه إرشادي لا تحكم فعلي، ويجب وصفه بذلك داخل المستند.

اكتبها بهذا الترتيب. السياسات التي تبدأ بالمبادئ — نستخدم الذكاء الاصطناعي بمسؤولية، وعلى الموظفين توخي الحكمة — تُوقَّع ثم تُهمل، لأن لا أحد يستطيع قياس الالتزام بها. أما السياسات التي تسمّي طبقة التحكم لكل بند فتبقى صامدة بعد تغيّر مدير تقنية المعلومات، لأن البند والإعداد صاروا شيئًا واحدًا.

أين يوجد كل عنصر تحكم

  • الوصول إلى Copilot. تخصيص التراخيص هو البوابة الأولى والأعرض، وإدارتها عبر مجموعات في Entra ID تجعل القرار قابلًا للتراجع. ثم أضف سياسات الوصول المشروط بحيث لا يكون Copilot متاحًا إلا من جهاز متوافق ومسجّل في Intune، وهذا يستبعد الأجهزة الشخصية دون نقاش.
  • الوصول إلى أدوات المحادثة العامة. ملفات تعريف Microsoft Edge المُدارة مع حماية الشبكة على الجهاز تتيح التعامل مع مواقع الذكاء الاصطناعي التوليدي كفئة واحدة: محجوبة، أو مسموحة مع تطبيق حماية البيانات. القرار يكون لكل مجموعة، لا لكل شخص.
  • منع تسريب البيانات عند اللصق والرفع. تصنيفات الحساسية تصنّف المحتوى، وقواعد منع تسريب البيانات على الأجهزة الطرفية تتصرف تجاهه، بما في ذلك حجب أو تحذير عند اللصق في المتصفح أو في تطبيق ذكاء اصطناعي. توثّق مايكروسوفت الإجراءات وحدودها في مرجع منع تسريب البيانات على الأجهزة الطرفية، والأسلوب نفسه معروف باسم منع تسريب البيانات.
  • قوائم السماح لكل تطبيق. AppLocker أو App Control for Business يمنع تشغيل تطبيقات الذكاء الاصطناعي غير المعتمدة والمساعدات المدمجة في المتصفحات ومشغّلات النماذج المحلية. هذا هو العنصر الذي تَعِد به معظم السياسات ولا ينفّذه أحد تقريبًا.
  • سجل التدقيق. تفاعلات Copilot تُسجَّل في سجل التدقيق الموحّد وفي مجلد مخفي داخل صندوق بريد المستخدم، ويمكن الوصول إليها عبر الاكتشاف الإلكتروني. حدّد مدة الاحتفاظ بوعي، فالقيمة الافتراضية نادرًا ما تكون الرقم الذي يختاره فريق الالتزام.

التسلسل الحقيقي

الترتيب أهم من الأدوات، لأن خطوتين منه تنتجان الأدلة التي تعتمد عليها بقية الخطوات.

  • الجرد أولًا. اسحب بيانات أسبوعين من الأجهزة والوكيل الشبكي: أي نطاقات ذكاء اصطناعي تستقبل حركة فعلية، ومن كم مستخدم، ومن يملك أي ترخيص. معظم البيئات تكتشف من ثلاث إلى ثماني أدوات مستخدمة فعليًا دون موافقة أحد.
  • أصلح الصلاحيات قبل تعميم Copilot. يرث Copilot صلاحيات الوصول القائمة، فتتحول عشر سنوات من مواقع SharePoint المفتوحة إلى واجهة بحث في ملفات الرواتب. معالجة المشاركة المفرطة هي العقبة الطويلة، لا إعدادات الذكاء الاصطناعي.
  • صنّف بحدود ضيقة. ثلاثة أو أربعة تصنيفات تغطي العقود والموارد البشرية والمالية وبيانات العملاء أفضل من تصنيف من خمسة عشر مستوى لا يطبّقه أحد.
  • شغّل القواعد وقوائم السماح في وضع التدقيق أولًا. اجمع شهرًا من أحداث الحجب المحتمل، واقرأها، ثم انتقل إلى التنفيذ. تجاوز هذه الخطوة هو ما يصنع طابور الدعم الفني وإلغاء السياسة.
  • ابدأ بتجربة لها مالك محدد ثم وسّع. إدارة واحدة، ومسؤول واحد بالاسم، ومراجعة شهرية.

لا يمكن لتقييم مدته 45 دقيقة أن يكمل هذا. ما يمكنه فعله هو حسم النطاق: أي من أسطح التحكم الأربعة مهيّأ جزئيًا بالفعل، وأي مستوى ترخيص تملكونه فعليًا، ومن يملك القرار، وأي خطوتين من أعلى يجب تنفيذهما قبل أن يصبح أي شيء قابلًا للتنفيذ. هذا اجتماع قرار، لا جلسة استكشاف.

ما الذي يتعطل

  • المتصفحات غير Edge والهواتف الشخصية. حماية البيانات على مستوى المتصفح تعتمد على ملف تعريف مُدار. متصفح Chrome غير المُدار وهاتف على شبكة الجوال مسارات مفتوحة؛ أقرّ بها كتابةً بدل الإيحاء بتغطية غير موجودة.
  • حجب كامل بلا مسار معتمد. احجب كل شيء فينتقل الاستخدام إلى الأجهزة الشخصية حيث لا رؤية لديك. اقرن كل حجب ببديل مُعتمد، واذكره في الفقرة نفسها من السياسة.
  • المحتوى العربي. المصنّفات التلقائية أضعف باستمرار مع العربية منها مع الإنجليزية، فتمر العقود والمراسلات العربية من تحت القواعد المعتمدة على المحتوى. عالج ذلك بتصنيفات على مستوى المواقع والمكتبات التي تحتوي المستندات العربية، مع تصنيف يدوي في تلك الفرق.
  • التعامل مع البيانات المنظّمة كبيانات عادية. مسارات المدفوعات وبيانات البطاقات تحتاج بندًا خاصًا وقاعدة خاصة، بنفس منطق الفصل الذي نشرحه في ربط بوابة الدفع كي-نت.
  • ميزات جديدة تظهر داخل أدوات تدفعون لها أصلًا. يظهر مساعد ذكي في منتج بعد تحديث، وقائمة السماح لا تعرف به. لهذا تحتاج السياسة بندًا للمراجعة الشهرية.

عقد حكومة شهري مقابل تقييم لمرة واحدة

التقييم لمرة واحدة محدد ومفيد فعلًا: خريطة للوضع الحالي لأسطح التحكم الأربعة، وسجل مخاطر مرتّب بالأولوية، وخطة إعداد ينفّذها فريقكم الداخلي، ونص سياسة جاهز للتعميم دون إعادة صياغة. وهو الخيار الصحيح إذا كان لديكم مسؤولو نظم أكفاء وتحتاجون اتجاهًا.

أما العقد الشهري فيغطي ما لا يستطيع التقييم تغطيته بنيويًا: مراجعة انحراف الإعدادات، وفرز ميزات الذكاء الاصطناعي التي ظهرت في المنتجات القائمة خلال الشهر، وضبط القواعد والتصنيفات بناءً على أحداث الشهر الماضي الفعلية، وسحب دوري لسجلات التدقيق لأغراض الالتزام، ومذكرة قصيرة يقرأها المجلس. وهو الخيار الصحيح إذا كانت البيئة تتغير أسرع من دورة مراجعة سنوية. شروطنا للخيارين موضحة في شروط ثابتة بلا عقود احتجاز، والجانب التشغيلي المتكرر مفصّل في التكاليف الشهرية لتشغيل الذكاء الاصطناعي.

في الحالتين، اختبار المستند واحد: أعطه لمسؤول نظم لم يحضر الاجتماع واطلب منه أن يشير إلى الإعداد الذي يقف خلف البند الرابع. إن استطاع، فلديكم تحكم. وإن لم يستطع، فلديكم إعلان نوايا. نحن نبني أنظمة يكون فيها كل إجراء منسوبًا إلى صاحبه بشكل افتراضي — ومنها منصة ساعات العمل والرواتب المؤسسية في دراسة حالة WCS — وبالتفكير نفسه نتعامل مع أعمال الذكاء الاصطناعي في خطيب ديزاينز.