Lifecycle stage — Govern
قانون الاتحاد الأوروبي للذكاء الاصطناعي أصبح قابلاً للإنفاذ، والعقوبات ليست رمزية. نشر نظام ذكاء اصطناعي محظور يحمل غرامات تصل إلى 35 مليون يورو أو 7% من الإيراد السنوي العالمي، أيهما أعلى. وعدم الامتثال على الأنظمة عالية المخاطر يصل إلى 15 مليون يورو أو 3% من الإيراد. يمتد النص القانوني على 144 مادة و13 ملحقاً، وكل مؤسسة أتحدث إليها قلّلت من تقدير واحد من ثلاثة أمور — أي من أنظمتها فعلياً داخل النطاق، أو كم من التوثيق الفني يتطلّبه الملحق الرابع فعلياً، أو كم يستغرق تقييم المطابقة حين تُرسل الجهة المُخطّرة أول قائمة من الاستيضاحات. هذه هي مرحلة GOVERN من DEPLOY Method مُطبّقة على أهم تنظيم للذكاء الاصطناعي في عقدنا. أعمل سفيراً للحكومة الفرنسية للذكاء الاصطناعي في التحول الرقمي للمالية والأعمال، ما يعني أنني قضيت السنوات الأخيرة داخل الجانب السياسي لهذا التنظيم تحديداً — لا أقرأ الملخّصات، بل أقرأ النص، مع الأشخاص الذين كتبوه. هذه هي الزاوية التي يُحضرها هذا الارتباط إلى برنامج الامتثال لديك.
You do not know which of your systems are in scope. The AI Act defines prohibited systems, high-risk systems, limited-risk systems, and minimal-risk systems, and the classification turns on the use case — not the technology. A recommendation model in marketing is probably limited-risk; the same model class used for credit scoring is high-risk. A biometric categorization system used in retail may be prohibited outright. Most organizations have no written inventory of their AI systems keyed to the AI Act's risk classes, which means every enforcement question starts with discovery work that should already have been done.
Your conformity assessment timeline is wrong. Teams scope it as an audit — a few weeks of paperwork. In practice, a Title III conformity assessment for a high-risk system is a months-long engagement involving a notified body, a full risk management system, data governance documentation, technical documentation per Annex IV, post-market monitoring plans, human oversight design, and remediation of every gap surfaced during review. The first formal submission is rarely the last. Teams that planned for eight weeks find themselves eight months in and still negotiating remediations.
The Annex IV technical documentation is genuinely harder than it looks. It requires a general description of the system, detailed design, training methodology, data governance, evaluation metrics, known limitations, risk management measures, human oversight measures, accuracy specifications, and the changes log. Most internal engineering documentation does not survive contact with Annex IV — it answers different questions, at a different level of rigor, for a different audience. Rewriting to the Annex IV standard is not a formatting exercise. It is an engineering documentation exercise your team has not done before.
Post-market monitoring is almost always the gap. The Act requires a written post-market monitoring plan, active monitoring in production, and reporting of serious incidents within tight deadlines. Most organizations have reactive incident response, not a proactive AI-specific monitoring program. The first serious incident after enforcement begins exposes the absence, and the regulatory response is structurally unforgiving of organizations that did not plan for this. Post-market monitoring is the difference between a compliant program and a program on paper.
يعتمد نطاق الارتباط على حجم بصمة الذكاء الاصطناعي لديك وعدد الأنظمة عالية المخاطر في النطاق. اثنا عشر أسبوعاً يُغطّي نظاماً واحداً عالي المخاطر؛ أربعة وعشرون أسبوعاً تُغطّي محفظة من ثلاثة إلى خمسة أنظمة ببنية حوكمة مشتركة. أعمل مدمجاً مع فرقك القانونية وفرق الامتثال والهندسة — فرقك تقوم بالعمل، أنا أُحضر القراءة التنظيمية وتمييز الأنماط من الجانب السياسي.
نبني جرداً مكتوباً لكل نظام ذكاء اصطناعي في مؤسستك — إنتاج، تجريبي، نموذج أوّلي — مع تصنيف كل منها وفق فئات مخاطر قانون الذكاء الاصطناعي. محظور، عالي المخاطر وفق الملحق الثالث، محدود المخاطر مع التزامات الشفافية، أو بحدّ أدنى من المخاطر. يُوثَّق التصنيف بالاستدلال ومرجعيات المواد. الأنظمة التي نُشرت دون تصنيف تحصل على مراجعة بأثر رجعي. بنهاية الأسبوع الرابع لديك الوثيقة الواحدة التي يُرجع إليها كل قرار امتثال لاحق.
لكل نظام عالي المخاطر نبني أدوات الامتثال بالتوازي: نظام إدارة المخاطر، توثيق حوكمة البيانات، التوثيق الفني وفق الملحق الرابع، تصميم الإشراف البشري، مواصفات الدقة والمتانة. هذه هي المرحلة الأثقل، وحيث تُقلّل معظم البرامج من تقدير الجهد. أعمل مع فرقك الهندسية لإعادة كتابة التوثيق الداخلي إلى معيار الملحق الرابع، لا لاختراعه من العدم. للأنظمة التي تتطلّب جهة مُخطّرة، نُعدّ حزمة التقديم وكتاب الاستجابة للاستيضاحات التي ستتبع.
نُقيم برنامج المراقبة بعد طرح السوق — الخطة المكتوبة، والمراقبة الفعّالة في الإنتاج، ومعايير تصنيف الحوادث، وسير عمل الإبلاغ بالامتثال الزمني الذي يتطلّبه التنظيم. تتكامل المراقبة مع منظومة الملاحظة التي لديك بالفعل، موسَّعة لتلتقط الإشارات الخاصة بالذكاء الاصطناعي التي تهم: انحراف الدقة، وانحراف الأداء الديموغرافي، ومراقبة الأثر السلبي، وإشارات ضرر المستخدم. تُكتب كتب الاستجابة للحوادث لتطابق مواعيد الإخطار التي يفرضها التنظيم، لا لتُخمَّن عند وقوع أول حادثة.
نبني بنية الحوكمة للمدى الطويل — ميثاق لجنة حوكمة الذكاء الاصطناعي، عملية استقبال الأنظمة الجديدة، دورة المراجعة المتكرّرة، برنامج التدريب للموظفين الذين يتفاعلون مع الأنظمة عالية المخاطر، ونهج إدارة الموردين لمكوّنات الذكاء الاصطناعي من أطراف ثالثة. يجب أن يعمل البرنامج دوني بمجرد انتهاء الارتباط. أُنتج كتب التشغيل والقوالب وسجل القرارات حتى يسير نظامك عالي المخاطر التالي عبر عملية قابلة للتكرار بدلاً من إعادة عمل الاكتشاف من الأسبوع الأول.
المؤسسات التي تعمل داخل الاتحاد الأوروبي أو معه ولديها أنظمة ذكاء اصطناعي عالية المخاطر كما عرّفها الملحق الثالث — التقييم الائتماني، والتوظيف، والتعليم، والخدمات الأساسية، وإنفاذ القانون، والهجرة، وإقامة العدل، والفئات الأخرى التي يُسمّيها التنظيم تحديداً. المنظمات التي تكون بصمة الذكاء الاصطناعي لديها كبيرة بما يكفي لأن يكون التصنيف وحده تمرين اكتشاف يمتد عدة أسابيع. مشترو القطاع العام والمُنشرون الذين ستُدقّق فيهم هيئاتهم الرقابية الخاصة إلى جانب الجهة التنظيمية. هذا ليس للمنظمات التي يقع استخدامها للذكاء الاصطناعي بالكامل خارج نطاق الملحق الثالث — التزام شفافية محدود المخاطر ارتباط أصغر بكثير من تقييم مطابقة كامل. وهو ليس بديلاً عن مستشار قانوني خارجي في الاستراتيجية التنظيمية؛ أنا أُهندس برنامج الامتثال، ومستشارك العام أو المكتب الخارجي يتولى الموقف القانوني.
مكتبك القانوني يُخبرك بما يتطلّبه التنظيم؛ أنا أبني البرنامج الذي يُنفّذه. هذان عنصران متكاملان، لا متنافسان. معظم المنظمات تجد أن المشورة القانونية واضحة وفجوة التنفيذ هائلة — المكتب القانوني لا يستطيع كتابة توثيقك الفني وفق الملحق الرابع، أو تصميم ضوابط الإشراف البشري، أو إقامة خط أنابيب المراقبة بعد طرح السوق. هذا عمل هندسي وإدارة برامج، وهو ما يُقدّمه هذا الارتباط. أعمل جنباً إلى جنب مع المستشار الخارجي؛ هم يملكون الاستراتيجية القانونية، وأنا أملك البرنامج التشغيلي.
الجدول الزمني التدريجي للإنفاذ مُشرَّع. المحظورات قابلة للإنفاذ منذ فبراير 2025، وقواعد الذكاء الاصطناعي للأغراض العامة منذ أغسطس 2025، والتزامات المخاطر العالية تبدأ في أغسطس 2026 مع بقية الأحكام في 2027. التوجيه المحدّد من الجهات المُخطّرة ومكتب الذكاء الاصطناعي الأوروبي يستمر في التطور، ما يؤثر على تفاصيل كيفية إثبات المطابقة — لا على ما إذا كانت مطلوبة. أي برنامج مُحدّد نطاقه لموعد المخاطر العالية في 2026 يجب أن يكون في التنفيذ الآن، لا في التخطيط، لأن جداول تقييم المطابقة نفسها تمتد لأشهر بمجرد إشراك جهة مُخطّرة.
وثّق منطق التصنيف وقت اتخاذ القرار، مستنداً إلى مرجعيات المواد، وكن مستعداً للدفاع عنه. تصنيف محدود المخاطر قابل للدفاع عنه بمنطق مكتوب موقفٌ أقوى بكثير من نظام مُصنَّف بصورة غير رسمية أو غير مُصنَّف على الإطلاق. حيث يكون التصنيف غامضاً فعلياً، نُصنّف بتحفّظ — تكلفة إعداد نظام عالي المخاطر يتبيّن أنه محدود المخاطر صغيرة؛ تكلفة نشر تصنيف محدود المخاطر على نظام عالي المخاطر هي العقوبات المذكورة في العنوان الفرعي. أُصرّح بهذه المقايضة في وثيقة الجرد، لا أخفيها في جدول بيانات.
إذا كان مخرج نظام الذكاء الاصطناعي لديك يُستخدم في الاتحاد الأوروبي، فنعم، ينطبق عليك التنظيم بوصفك مزوّداً أو مُنشراً بصرف النظر عن مكان تأسيسك. يلحق ذلك بمعظم شركات SaaS الأمريكية التي لها عملاء أوروبيون، وهو غالباً اكتشاف غير سار. الإجابة العملية هي تحديد نطاق البرنامج للأنظمة ذات التعرّض الأوروبي وإجراء عمل الامتثال مقابلها — ما قد يكون بصمة أصغر من محفظة الذكاء الاصطناعي الكاملة لديك، ما يُقلّل الجدول الزمني والتكلفة بشكل كبير مقارنة بطرح برنامج كامل.
يُغطّي GDPR معالجة البيانات الشخصية؛ يُغطّي قانون الذكاء الاصطناعي سلامة أنظمة الذكاء الاصطناعي والشفافية وإدارة المخاطر. يتداخلان في قسم حوكمة البيانات — توثيق حوكمة البيانات وفق قانون الذكاء الاصطناعي سيُرجع ويُوسّع تقييمات الأثر على حماية البيانات وفق GDPR حيث تُتضمَّن البيانات الشخصية. عملياً، ينبغي أن يتشارك البرنامجان نفس جرد البيانات ونفس لجنة الحوكمة، لأن نفس الأنظمة الهندسية في النطاق بموجب كلا التنظيمين. برنامج امتثال يُشغّل GDPR وقانون الذكاء الاصطناعي كصوامع موازية يُكرّر العمل ويُنتج تناقضات يلاحظها المدقّقون.
استكشف خدمات أخرى تُكمّل هذا العرض
٣٠ دقيقة. أشخّص وضعك وأخبرك بصراحة ما إذا كانت هذه الخدمة مناسبة — وإن لم تكن، فأيها مناسب.