أزمة الرؤية: اكتشاف Shadow AI وتأمينه داخل مؤسستكم

By Mirko Peters · 2026-08-13

أهلًا بكم مجددًا في تعمّقنا المستمر في تقنيات بيئة العمل الحديثة والأمن واستراتيجية المؤسسات. إذا كنتم تديرون قسم تقنية المعلومات أو مركز عمليات الأمن أو الفريق المالي، فمن المرجح أنكم تلمسون تحولًا عميقًا في طريقة دخول البرمجيات إلى مؤسستكم وعملها فيها…

Automatically translated with AI from the original post. Read the English original

أهلًا بكم مجددًا في تعمّقنا المستمر في تقنيات بيئة العمل الحديثة والأمن واستراتيجية المؤسسات. إذا كنتم تديرون قسم تقنية المعلومات أو مركز عمليات الأمن أو الفريق المالي، فمن المرجح أنكم تلمسون تحولًا عميقًا في طريقة دخول البرمجيات إلى مؤسستكم وعملها فيها. ولّت الأيام التي كان فيها كل برنامج يتطلب طلبًا رسميًا إلى مكتب المشتريات، ومراجعة أمنية دقيقة، وتذكرة توفير تُعالجها مكتبة الدعم المركزية. اليوم، يستطيع أي شخص يملك متصفحًا أو بطاقة ائتمان للشركة أو وصولًا إلى أدوات التطوير منخفض الشيفرة أن يُشغّل قدرات برمجية قوية في دقائق. ولا يصدق هذا في أي مجال أكثر منه في مجال الذكاء الاصطناعي، ولا يكون الخطر فيه أكبر منه هناك.

تعمل مؤسسات كثيرة اليوم في ظل وهمٍ خطير. فهي تعتقد أنها تملك السيطرة الكاملة على حضورها في مجال الذكاء الاصطناعي لأنها اعتمدت منصة مؤسسية محددة، سواء كانت Microsoft 365 أو Google Workspace أو نظامًا سحابيًا آخر. تنظر إلى لوحات التراخيص المركزية، وتحصي مقاعد Copilot أو مساعدي الذكاء الاصطناعي النشطة، وتفترض أنها تعرف حجم نشاطها التشغيلي. لكن في وحدات الأعمال، بعيدًا عن أعين الإدارة المركزية لتقنية المعلومات، تجري ثورة هادئة. فقادة الأقسام، وقد ضاقوا ذرعًا بعوائق تسليم البرمجيات، يبنون حلولهم الخاصة. يربطون مصادر البيانات، ويُشغّلون وكلاء مستقلين، وينسّقون سير عمل معقدًا باستخدام منصات منخفضة الشيفرة وأدوات سحابية أصلية. والنتيجة منظومة واسعة ومتشعبة من وكلاء الذكاء الاصطناعي غير الخاضعين للإدارة، تعمل أمام أعينكم تمامًا. هذه هي أزمة الرؤية، وما لم تتعلم مؤسستكم رسم خريطة لحضور Shadow AI فيها، فأنتم تحلّقون في الظلام.

مقدمة في أزمة الرؤية وظاهرة Shadow AI

ليست Shadow IT ظاهرة جديدة. فمنذ عقود، تستخدم فرق التسويق أدوات SaaS غير معتمدة، وتحتفظ أقسام المالية بماكروهات Excel غير رسمية تعمل كمحركات مالية حيوية. غير أن Shadow AI يمثل فارقًا جوهريًا في الحجم من حيث المخاطر والقدرات والتعقيد. فقد كانت Shadow IT التقليدية غالبًا برمجيات سلبية: قواعد بيانات تخزن المعلومات، وأدوات تصور تعرض البيانات، أو تطبيقات تعاون تشارك الملفات. كانت هذه الأدوات تنتظر إدخال الإنسان وفعله.

أما Shadow AI فعلى النقيض من ذلك، فهو نشط ومستقل وقادر على تنفيذ سير عمل معقد بسرعة الآلة. فعندما يُشغّل قسم ما وكيلًا غير مُدار للذكاء الاصطناعي عبر أدوات مثل Copilot Studio أو Power Automate أو تكاملات واجهات برمجة التطبيقات التابعة لجهات خارجية، فإنه لا يكتفي بتثبيت برنامج، بل ينشر عاملًا رقميًا مستقلًا. يستطيع هذا العامل قراءة مستندات حساسة، وتحليل بيانات غير منظمة، والتواصل مع العملاء، وتنفيذ معاملات مالية، وتحديث سجلات المؤسسة. ولأن هذه الوكلاء تُنشر خارج إطار الحوكمة الرسمي، فإن فرق تقنية المعلومات والأمن المركزية لا تملك جردًا لمواقعها، ولا للبيانات التي تستهلكها، ولا للإجراءات التي تتخذها. ويُسمّى غياب هذه المعرفة الأساسية أزمة الرؤية. فمن دون معرفة ما هو موجود، لا يمكنكم تأمينه، ولا تدقيقه، ولا تخصيص ميزانية له.

الكشف عن الحجم الحقيقي لوكلاء الذكاء الاصطناعي غير الخاضعين للإدارة

لفهم الحجم الحقيقي للمشكلة، ينبغي النظر إلى طريقة تصميم منصات المؤسسات الحديثة. فهذه المنصات مصممة لإتاحة التطوير للجميع، وتمكّن المطورين المواطنين، أي خبراء المجالات دون خلفية رسمية في علوم الحاسوب، من بناء أتمتة متقدمة. ورغم أن هذا التعميم يعزز مرونة الأعمال بشكل لافت، فإنه يُوزّع الضبط التقني أيضًا. فيستطيع مدير الموارد البشرية بناء وكيل للتهيئة يصل إلى تقييمات أداء الموظفين، ويستطيع أخصائي عمليات المبيعات بناء وكيل لتقييم العملاء المحتملين يسحب بيانات التسعير الخاصة من SharePoint، ويستطيع منسق المشتريات نشر وكيل لتحليل عقود الموردين.

للوهلة الأولى، تبدو هذه المبادرات الفردية داخل الأقسام تحسيناً بسيطاً للإنتاجية لا ضرر منه. لكن مجتمعةً، تشكّل اقتصاداً موازياً غير خاضع للإدارة للذكاء الاصطناعي. وتكتشف معظم المؤسسات حجم هذا الأثر بعد وقوع حادثة، مثل تسريب بيانات، أو رسالة غير مصرّح بها أُرسلت إلى عميل خارجي، أو ارتفاع غير متوقع في الفواتير. ولكشف الحجم الحقيقي، يلزم اعتماد تقنيات اكتشاف استباقية. ينبغي لفرق الأمن أن تتجاوز مراقبة الشبكة البسيطة، وأن تدقّق سجلات المنصات، وبوابات واجهات برمجة التطبيقات، ومقاييس إنشاء بيئات التطوير منخفض الشيفرة. وعليكم أن تطرحوا أسئلة صعبة: من يملك صلاحية إنشاء البيئات؟ كم عدد الموصّلات المخصّصة النشطة؟ ما مصادر البيانات المؤسسية التي تستعلم عنها تطبيقات غير قياسية؟ وما لم تُجرَ عملية اكتشاف شاملة، سيظل تقييم المخاطر المؤسسية نظرياً بالكامل.

رسم خريطة لبصمة الأتمتة المؤسسية

بمجرد أن تدرك وجود الذكاء الاصطناعي غير الخاضع للإدارة في مؤسستك، تصبح الخطوة التالية رسم خريطة لبصمة الأتمتة المؤسسية. وتتطلب عملية الرسم هذه منهجية منظمة تتجاوز الحدود التقليدية للأقسام. فلا يمكنك الاعتماد على فريق تقنية المعلومات وحده للعثور على هذه الأصول، بل عليك إشراك قادة وحدات الأعمال، وموظفي الامتثال، ومالكي البيانات.

ابدأ بتدقيق المستأجرات السحابية بحثاً عن البيئات اليتيمة أو غير المراقبة. وركّز على المنصات التي يستطيع فيها المستخدمون إنشاء روبوتات وسير عمل ومهام مؤتمتة دون تدخل من تقنية المعلومات. وافحص استخدام الموصّلات المخصّصة التي تربط بيئتك المؤسسية الآمنة بواجهات برمجة التطبيقات الخارجية، ونماذج اللغة الكبيرة العامة، وتطبيقات SaaS التابعة لجهات خارجية. فكل موصّل يمثّل نقطة محتملة لتسريب البيانات أو مدخلاً لدخول الذكاء الاصطناعي غير الخاضع للإدارة. وارسم خريطة لمستودعات البيانات التي تصل إليها سير العمل المؤتمتة، مثل مواقع SharePoint ومجلدات OneDrive وقواعد بيانات SQL وأنظمة إدارة علاقات العملاء. فمن خلال تمثيل الروابط بين مصادر البيانات والهويات والوكلاء المستقلين بصرياً، تبدأ في رؤية البنية الحقيقية لمنظومة الأتمتة لديك. وتصبح هذه الخريطة المخطط الأساسي لكل مبادرة لاحقة في الأمن والامتثال وتحسين التكاليف.

الأثر المالي لأحمال الذكاء الاصطناعي الخفية

بينما تستحوذ المخاطر الأمنية غالباً على العناوين، فإن الأثر المالي لأحمال الذكاء الاصطناعي الخفية لا يقل إثارة للقلق، وهو أشد إلحاحاً بكثير على أقسام المالية في معظم الشركات. فقد اتّبعت برمجيات المؤسسات تقليدياً نموذجاً مالياً قابلاً للتنبؤ يقوم على تراخيص المستخدمين. كنتم تشترون خمسين ترخيصاً، وتدفعون رسماً سنوياً ثابتاً، وتُحدَّد ميزانيتكم للعام كله. ويغيّر الذكاء الاصطناعي هذا النموذج تماماً، إذ ينتقل من الترخيص الثابت إلى اقتصاد قائم على الاستهلاك.

تستهلك منصات الذكاء الاصطناعي الحديثة الموارد وفق تعقيد الاستدلال، ومدة التشغيل، وحجم نافذة السياق، واستخدام الأدوات، واختيار النموذج. فكلما شغّل وكيل مستقل دورة استدلال، أو استعلم عن قاعدة بيانات، أو نسّق مهمة متعددة الخطوات، استهلك أرصدة. وعندما تنشر الأقسام وكلاء ذكاء اصطناعي خفية تعمل باستمرار في الخلفية، مثل معالجة رسائل البريد ومراقبة التغذيات وتنفيذ المهام الروتينية، فإنها تستنزف أرصدة الاستهلاك بمعدل غير مسبوق. ويجد فريق المالية نفسه فجأة أمام فواتير سحابية غير متوقعة لا تتسق مع نماذج التنبؤ التقليدية. وقد تتحول قرارات صغيرة ومحلية لأتمتة سير عمل بسيط إلى نفقات تشغيلية ضخمة، لأن الاستهلاك ينمو بصورة أسية مع سلوك الوكلاء ومع اتساع تبنّيهم في المؤسسة. وإن لم تقم برسم خريطة لبصمة الذكاء الاصطناعي الخفية لديك وحوكمتها، فستستمر في هدر الموارد على أحمال أتمتة خفية لا تحقق أي عائد استثمار مثبت.

التخفيف من تضخيم الأذونات والمخاطر الأمنية

من أخطر مخاطر وكلاء الذكاء الاصطناعي غير الخاضعين للإدارة تضخيم الأذونات. ففي كثير من المؤسسات، أدّت سنوات من إعادة الهيكلة التنظيمية والاندماجات والاستحواذات وضعف ممارسات النظافة التقنية إلى تراكم الأذونات بصورة خطيرة في البيئات الرقمية. ويحصل المستخدمون غالباً على وصول إلى بيانات تفوق بكثير ما يحتاجونه فعلياً لأداء مهامهم. فعندما ينشئ مستخدم وكيلاً للذكاء الاصطناعي، أو عندما يُمنح سير عمل مؤتمت صلاحية الوصول بموجب هوية مستخدم، يرث ذلك الوكيل كل إذن مرتبط بهذا المستخدم دون استثناء.

إذا منح موظف حسن النية أذونات قراءة على جداول البيانات المالية الحساسة وسجلات الموارد البشرية السرية وخرائط طريق المنتجات الخاصة، فإن وكيل الذكاء الاصطناعي غير المعتمد الذي ينشره يحصل هو الآخر على الوصول إلى تلك المستودعات الحساسة. غير أن الوكلاء، على خلاف البشر، لا يتصفحون البيانات بسرعة الإنسان، فهم قادرون على فحص مئات الجيجابايت من الملفات الحساسة ومعالجتها في ثوانٍ. وإذا كان هذا الوكيل مرتبطاً بخدمة خارجية أو بخطاف ويب (webhook) ضعيف التأمين، فقد تُسرَّب بيانات المؤسسة السرية فوراً. فالذكاء الاصطناعي لا يخلق في جوهره مشكلات الحوكمة هذه، بل يعمل كعدسة عالية السرعة تضخّم نقاط الضعف القائمة في الأذونات إلى حد كارثي. ولتأمين منظومة الأتمتة لديك، يلزم تطبيق مبدأ أقل الامتيازات بصرامة لا هوادة فيها قبل السماح لأي وكيل مستقل بلمس بيانات المؤسسة.

إرساء خطوط الأساس لحوكمة مستدامة للذكاء الاصطناعي

للانتقال من إدارة الأزمات إلى التحكم التشغيلي المستدام، يجب على المؤسسات إرساء خطوط أساس واضحة للحوكمة. لا يمكن أن تقتصر الحوكمة في المؤسسة المدفوعة بالذكاء الاصطناعي على وثائق نهج ثابتة مركونة في صفحة على الإنترانت، بل يجب أن تكون قدرةً تشغيلية نشطة ومؤتمتة.

يبدأ إرساء هذه الخطوط الأساسية بإدارة الهويات. لا ينبغي للوكلاء المستقلين أبداً أن تعمل بأوراق اعتماد مستخدم مشتركة أو بحسابات موظفين أفراد. يحتاج كل وكيل إلى هوية مُدارة مخصصة، بأذونات محددة النطاق بدقة، وسجل تدقيق مستقل، ودورة حياة معرّفة. علاوة على ذلك، يجب على المؤسسات إدخال بوابات موافقة برمجية وتصنيفات للمخاطر لعمليات الأتمتة. فليست كل أحمال الذكاء الاصطناعي تحمل المستوى نفسه من المخاطر؛ فالوكيل الذي يصوغ ملخصات النشرات الداخلية يتطلب إشرافاً يختلف جذرياً عن وكيل يتعامل مباشرة مع السجلات المالية للعملاء أو يتخذ قرارات موارد بشرية آلية. وبتصنيف سير العمل حسب مستوى المخاطر، يمكنك تطبيق الضوابط المناسبة، مثل التحقق البشري الإلزامي، وحدود الإنفاق، والمراقبة المستمرة، دون عرقلة الابتكار المشروع في الأعمال.

خطوات قابلة للتنفيذ لتأمين منظومة الأتمتة لديك

إن معرفة أزمة الرؤية ليست سوى نصف المعركة. يتطلب تأمين مؤسستك خارطة طريق حاسمة وقابلة للتنفيذ تُخرج الذكاء الاصطناعي غير المعتمد من الظلام وتضعه ضمن إطار مُدار. إليك الخطوات العملية التي يجب على مؤسستك اتخاذها الآن:

• إجراء مسح شامل للاكتشاف: استخدم أدوات حوكمة المنصات وسجلات الأمان وأدوات مراقبة بوابات واجهات البرمجة لتحديد كل روبوت نشط وكل سير عمل مؤتمت وكل تكامل ذكاء اصطناعي مخصص عبر جميع وحدات الأعمال.
• فرض هويات وكلاء مخصصة: أوقف السماح للوكلاء المستقلين بالعمل بأوراق اعتماد المستخدمين البشريين. وفّر هويات خدمة منفصلة بحقوق وصول محددة النطاق وفق مبدأ أقل الامتيازات، لكل عملية أتمتة معتمدة.
• تدقيق الأذونات وتنظيفها: عالج تراكم الأذونات القديمة فوراً. قلّل مخاطر تعرض البيانات بحيث يبقى نطاق الضرر، إذا نُشر وكيل ما، عند الحد الأدنى المطلق الضروري لوظيفته المحددة.
• تطبيق تتبع الاستهلاك وإدارة التكاليف المالية (FinOps): اعمل بالشراكة مع فريق المالية لإنشاء مراقبة لاستهلاك الأرصدة وتكاليف تشغيل الذكاء الاصطناعي. أعدّ تنبيهات لارتفاعات الاستهلاك غير المتوقعة المرتبطة بسير العمل الخارجة عن السيطرة في الأقسام.
• إرساء سير عمل حوكمة قائم على المخاطر: أنشئ عملية مراجعة رسمية لمشاريع الأتمتة الجديدة. طبّق بوابات موافقة بشرية، وقواعد تصعيد، وفحوصات امتثال، لا سيما لحالات الاستخدام عالية المخاطر المتأثرة باللوائح الناشئة مثل EU AI Act.

يمثل الانتقال من تراخيص البرمجيات الثابتة إلى اقتصاديات الذكاء الاصطناعي المستقل التحول التقني المحدد لعقدنا. ويجلب فرصاً هائلة للإنتاجية والتحول في الأعمال، لكنه يُدخل كذلك تقلبات مالية عميقة وثغرات أمنية جسيمة إن تُرك دون ضبط. فالمؤسسات التي تنجح في رسم خريطة بصمة الذكاء الاصطناعي غير المعتمد لديها، وترسيخ ضوابط هوية صارمة، ومواءمة توقعاتها المالية مع النماذج القائمة على الاستهلاك، ستزدهر في هذا العصر الجديد. أما التي تظل عمياء عن منظومة الأتمتة غير المعتمدة لديها، فستجد نفسها تكافح لاحتواء التكاليف المتصاعدة والاختراقات الأمنية المتراكمة.

لاستكشاف هذا الموضوع بعمق ومعرفة كيف تؤثر تغيّرات النماذج الاقتصادية على استراتيجية مؤسستك، تأكد من الاستماع إلى الحلقة ذات الصلة لدينا، The Copilot Credit Trap- Why Your AI Economy is Already Broken. في تلك الحلقة، نحلل سبب فشل ميزانيات تكنولوجيا المعلومات التقليدية، وكيف تعيد أرصدة الذكاء الاصطناعي القائمة على الاستهلاك كتابة قواعد التمويل المؤسسي، وما الذي يجب عليك فعله الآن لاستعادة السيطرة على بيئة عملك الرقمية.