استطلاع "ريد هات" يبرز أهمية تعزيز الشفافية في سلاسل توريد البرمجيات لدى المؤسسات بدولة الإمارات

أعلنت شركة «ريد هات» (Red Hat)، المزود الرائد عالمياً لحلول البرمجيات مفتوحة المصدر، نتائج استطلاع تناول تبني الذكاء الاصطناعي في المؤسسات وإدارة المخاطر المرتبطة به، وشمل 1,400 من مديري تكنولوجيا المعلومات في 14 دولة، من بينها دولة الإمارات العربية المتحدة.
وتشير نتائج الاستطلاع إلى تزايد اعتماد المؤسسات على وكلاء الذكاء الاصطناعي المستقلين في بيئات الإنتاج، إذ أفادت 94% من الشركات الألمانية التي شملها الاستطلاع بأنها تستخدم هؤلاء الوكلاء في بيئات الإنتاج، إلا أنَّ هذه الثقة في الحوكمة لا تعكس بالضرورة قدرة المؤسسات على تتبّع العمليات وفهم كيفية سيرها.
وأفاد 91% من مديري تكنولوجيا المعلومات في دولة الإمارات، ممن شملهم الاستطلاع، بأنهم يثقون بدرجة كبيرة في أن وكلاء الذكاء الاصطناعي لديهم يعملون بأمان ويمتثلون للأنظمة واللوائح، مستندين في ذلك إلى الضوابط الوقائية وآليات المراقبة. غير أن البيانات تشير إلى أن هذه الثقة قد لا تعكس فهماً متكاملاً للعمليات والقدرة على تتبّعها، إذ أظهرت النتائج ما يأتي:
• أفاد 42% من المشاركين بأن لديهم فهماً دقيقاً لتدفقات البيانات داخل مؤسساتهم، ومعرفة بمواقع تخزين البيانات ومعالجتها.
• يمتلك 33% تصوراً شاملاً لسلسلة توريد البرمجيات لديهم، بما يشمل التبعيات المباشرة وغير المباشرة.
• بلغت نسبة المشاركين الذين يقيمون باستمرار المخاطر التي يشكلها مزودو الذكاء الاصطناعي، حتى بعد مرحلة الإعداد والدمج الأولية وبدء الاستخدام، 36%، أي الثلث تقريباً.
وتشير هذه النتائج إلى أنه رغم اعتقاد المشاركين في الاستطلاع بأن أنظمة الذكاء الاصطناعي لديهم وبيئات تشغيلها تخضع لضوابط مناسبة للأمن وسيادة البيانات، فإن الأدلة القابلة للتدقيق التي تثبت فعالية هذه الضوابط في العمليات التشغيلية لا تزال غير كافية. ومع التطور المتسارع في مجال الذكاء الاصطناعي وتغيّر ظروف السوق، قد يصبح النظام الذي يتمتع بمستويات مرتفعة من الأمن والامتثال عند نشره عرضة لمخاطر جديدة خلال فترة وجيزة.
تعزيز القدرة على تتبّع العمليات يدعم حماية البيانات والحدّ من المخاطر
تُسرّع المؤسسات في دولة الإمارات وتيرة تبنّي الذكاء الاصطناعي. وفي هذا السياق، أفاد 38% من المشاركين بأنهم يستطيعون الاعتماد الكامل على ضوابط وقائية خضعت للاختبار، ومراقبة مستمرة، وآليات تدخّل مؤتمتة. كما أعربت 53% من الشركات التي شملها الاستطلاع في دولة الإمارات عن ثقتها إلى حدّ ما بقدرتها على ضمان الأمن والامتثال، مع الإشارة إلى الحاجة لتعزيز بعض جوانب الضوابط الوقائية وآليات المراقبة. غير أن عمليات تبادل البيانات غير الخاضعة للمراقبة بين منصات المؤسسات والخدمات السحابية ونماذج الذكاء الاصطناعي الخارجية على مخاطر أمنية في بيئات الإنتاج.
وأفادت 50% من الشركات الألمانية في دولة الإمارات بوجود بعض الجوانب غير الواضحة في تدفقات البيانات، في حين أقرت 7% منها بأنها أدخلت وظائف تعتمد على الذكاء الاصطناعي دون فهم تدفقات البيانات فهماً كاملاً. ولم يُشر أيّ من المشاركين إلى أن معرفته بأماكن معالجة البيانات وتخزينها ومشاركتها ضمن وظائف الذكاء الاصطناعي المدمجة كانت محدودة.
وبالنسبة إلى المؤسسات الإماراتية العاملة في ظل بيئة تنظيمية تشهد تطوراً مستمراً، بما يشمل متطلبات قانون حماية البيانات الشخصية الاتحادي لدولة الإمارات العربية المتحدة (PDPL)، تعد القدرة على تتبّع البيانات بصورة قابلة للتحقق طوال دورة حياتها ركيزةً أساسية لتعزيز حوكمة البيانات، ودعم الامتثال، والحد من مخاطر انكشاف البيانات.
تتبّع التبعيات غير المباشرة يعزّز أمن البرمجيات
أفادت 67% من الشركات الإماراتية التي شملها الاستطلاع بقدرتها على معالجة الثغرات الأمنية الحرجة في البرمجيات خلال 24 ساعة من إتاحة التصحيحات اللازمة، فيما تستغرق الشركات المتبقية بضعة أيام لإتمام المعالجة.
ومع ذلك، تفتقر غالبية الشركات إلى معرفة دقيقة بجميع مكوّنات البرمجيات التي تستخدمها؛ إذ تمتلك 33% منها فقط قائمة شاملة تُحدَّث باستمرار بجميع المكوّنات مفتوحة المصدر المستخدمة، بما يشمل مصادرها وأرقام إصداراتها وتبعياتها المباشرة وغير المباشرة. ويقلّ متوسط هذه النسبة قليلاً عن 33% على مستوى جميع الدول التي شملها الاستطلاع.
في حين تتمتع 51% من الشركات في دولة الإمارات برؤية واضحة وشاملة للمكونات وإصداراتها، إلا أنها تقر بحاجتها إلى معلومات أوضح عن مصادر هذه المكونات وتبعياتها غير المباشرة. وفي المقابل، تمتلك 16% من الشركات المشاركة في الاستطلاع رؤية شاملة لهذه الجوانب، ويُعزى ذلك جزئياً إلى تركيزها على المكونات المستخدمة في المشاريع الكبرى، أو إلى تفاوت مستوى وضوح الرؤية بحسب التطبيقات أو وحدات الأعمال التي تستخدمها. واللافت أن جميع المشاركين في الاستطلاع من دولة الإمارات أكدوا تتبع سلاسل توريد البرمجيات مفتوحة المصدر لديهم بدرجات متفاوتة، دون أن يشير أي منهم إلى غياب المراقبة المنهجية لهذه السلاسل بصورة كاملة.
وتعتمد العديد من مشاريع البرمجيات مفتوحة المصدر على مكتبات برمجية وأطر عمل ومكوّنات مستمدة من مشاريع أخرى، قد تعتمد بدورها على مكوّنات إضافية، وهو ما يُعرف بالتبعيات غير المباشرة. وقد تشكّل هذه المكوّنات مخاطر كبيرة على بيئة تقنية المعلومات في المؤسسات إذا لم تخضع لتقييم فعّال، وهو ما أشار إليه 67%² من المشاركين في الاستطلاع.
تقييم المخاطر: من إجراءٍ عابر إلى عملية متواصلة
أفادت 36% من الشركات في دولة الإمارات بأنها تتمتع بجاهزية عالية لتقييم المخاطر المرتبطة بمزوّدي تقنيات الذكاء الاصطناعي، مستندةً إلى معايير قابلة للقياس تخضع للمراقبة المستمرة ضمن عملياتها اليومية التي تعتمد على هذه التقنيات. وسجّلت الشركات المشاركة في الاستطلاع في المملكة العربية السعودية النسبة نفسها، إذ أكدت 36% منها أنها تراقب هذه المخاطر بصورة مستمرة. وتشير هذه النتائج إلى حاجة مشتركة لدى المؤسسات في البلدين لتعزيز الرقابة على امتداد دورة حياة تقنيات الذكاء الاصطناعي.
وتُجري 50% من الشركات التي شملها الاستطلاع في دولة الإمارات تقييماً للمخاطر قبل بدء استخدام تقنيات الذكاء الاصطناعي الجديدة، لكنها تواجه صعوبة في مواصلة رصد هذه المخاطر وتقييمها بعد ذلك. فيما تكتفي 10% أخرى بالتقييم الأولي، وهو نهج قد لا يواكب التطور المتسارع للذكاء الاصطناعي، مع تغيّر النماذج والبيانات والمتطلبات التنظيمية والتهديدات بوتيرة شبه يومية.
ويُدرك المشاركون في الاستطلاع أهمية مواجهة هذا التحدي من خلال آليات داخلية تديرها المؤسسات وتراقبها وفق معايير قابلة للقياس. وأظهرت النتائج أن 4% فقط من الشركات في دولة الإمارات تعتمد حصرياً على عمليات التدقيق الخارجي والشهادات المعتمدة والضمانات التعاقدية لتقييم المخاطر. ولم يُشر أيّ من المشاركين إلى الاعتماد أساساً على سمعة مزوّدي الخدمات أو خبراتهم أو العلاقات الراسخة معهم. كما أكد جميع المشاركين وجود نهج رسمي لتقييم المخاطر المرتبطة بمزوّدي تقنيات الذكاء الاصطناعي وإدارتها.
تصريحات داعمة
قال أدريان بيكرينغ، المدير العام لمنطقة الشرق الأوسط وشمال أفريقيا في شركة ريد هات: "لا تقتصر الحوكمة الفعّالة للذكاء الاصطناعي على السياسات وإجراءات التدقيق فحسب، بل تتطلب في المقام الأول رؤية شاملة وواضحة؛ إذ يتعين على الشركات الإلمام بكيفية تدفق البيانات، والمكونات البرمجية التي تستخدمها، والمخاطر المرتبطة بمزودي تقنيات الذكاء الاصطناعي، مع ضمان استمرارية هذه الرؤية طوال دورة حياة وكلاء الذكاء الاصطناعي. وقبل التوسع في استخدام تقنيات الذكاء الاصطناعي ووكلائه، ينبغي إرساء آليات للمراقبة والحوكمة تتيح الكشف المبكر عن المخاطر، لا سيما أن الذكاء الاصطناعي يُسهّل اكتشاف الثغرات الأمنية واستغلالها. وتسهم سلاسل توريد البرمجيات الموثوقة والمشاريع المجتمعية مفتوحة المصدر، التي تعمل على تطوير الإصلاحات بسرعة واختبارها بدقة وتوفيرها للإصدارات الأقدم، في الحد من المخاطر الأمنية والتشغيلية على حد سواء".
قال كريس ماكبراين، نائب الرئيس الأول والمدير العام لمنطقة أوروبا والشرق الأوسط وأفريقيا في ريد هات: "على الرغم من وجود تفاوت طفيف في نتائج التقييمات الذاتية للشركات عند مقارنتها على المستوى الدولي، فإن معظمها يُبدي ثقة كبيرة نسبيًا بقدرته على مراقبة وكلاء الذكاء الاصطناعي والتحكم بهم بفعالية. بيد أن هذه الثقة بالقدرات الذاتية لا تعكس دائماً فهماً متكاملاً وشفافية مستمرة بشأن تدفقات البيانات والتبعيات البرمجية والمخاطر المرتبطة بمزودي الخدمات، ولا توافر معلومات واضحة ومحدّثة باستمرار عن هذه الجوانب. ومع ذلك، يمكن للبنى التقنية المفتوحة المدعومة بأنظمة إدارة مركزية أن تساعد الشركات على التحكم في عملياتها، مع الحفاظ على المرونة اللازمة عند اختيار نماذج الذكاء الاصطناعي ومزودي خدماته".