يتبقى أسبوعان على الموعد النهائي للتدقيق الداخلي، وأنت بصفتك مسؤول حماية البيانات (DPO) تقوم بتجميع الأدلة اللازمة لتقييم الجاهزية للامتثال للائحة العامة لحماية البيانات (GDPR) لأحد خطوط الأعمال. تمتلك المؤسسة مسودة لسجل أنشطة المعالجة (وفقاً للمادة 30)، ومجموعة من السياسات، وملفاً مستخرجاً من نظام التذاكر يضم طلبات أصحاب البيانات. عند إدخال هذه البيانات في أداة داخلية، تحصل على قائمة بالفجوات (أعدّها الذكاء الاصطناعي) توضح أغراض المعالجة المفقودة، وفئات المستلمين غير المكتملة، وفترات الاحتفاظ غير الواضحة. وتكمن فائدة هذه المخرجات في أنها تحوّل عملية البحث عن المستندات إلى قائمة مهام محددة النطاق للتحقق والمراجعة، مما يتيح لك تعيين المهام وتتبعها.
مقتطف من قائمة الفجوات الناتجة عن الذكاء الاصطناعي (مرحلة أولية، لم يتم التحقق منها بعد)
- سجل المادة 30 يفتقر إلى الأساس القانوني لعدة أنشطة معالجة
- فترات الاحتفاظ غير محددة أو غير متسقة عبر الأنظمة
- فئات المستلمين غير مكتملة فيما يتعلق بالإفصاحات للموردين
- فقدان الرابط الخاص باتفاقية معالجة البيانات (DPA) لأحد معالجي البيانات
- عدم تحديد مالك (مسؤول) لنشاطين من أنشطة المعالجة
المعايير المهنية التي تحكم عملك
- واجب الكفاءة: يجب أن تفهم مخرجات الذكاء الاصطناعي فهماً كافياً لتقييمها، كما أنك تتحمل المسؤولية عن موقف الامتثال النهائي الذي يتم عرضه على إدارة الأعمال أو المدققين.
- واجب السرية: يجب عليك حماية البيانات الشخصية وبيانات الأعمال السرية؛ إذ قد يؤدي اختيار أداة معينة أو ارتكاب خطأ في التعامل مع البيانات إلى كشف المعلومات أو استوجاب التزامات بالإبلاغ.
- واجب الإشراف: يجب عليك الإشراف على العمل المفوّض، بما في ذلك أدوات الموردين والمراجعين المبتدئين الذين يستخدمون مخرجات الذكاء الاصطناعي، حيث تظل المسؤولية عن الأخطاء تقع على عاتق البرنامج أو العملية التي اعتمدت عليها.
في مرحلة التحقق من الجاهزية هذه، لا يتمحور السؤال العملي حول “هل نستخدم الذكاء الاصطناعي أم لا؟”، بل حول تحديد الحالات التي تدعم فيها مخرجات الذكاء الاصطناعي اتخاذ القرار، والحالات التي تدعم توفير الأدلة، والحالات التي لا يكون الاعتماد عليها آمناً دون إجراء خطوة تحقق مضبوطة. في هذه الدورة التدريبية، نتعامل مع قائمة الفجوات الناتجة عن الذكاء الاصطناعي كأداة أولية للفرز والتصنيف تسرّع وتيرة عملك الحالي، ثم نضيف حولها طبقة تحقق موثوقة وقابلة للدفاع عنها قبل أن تتحول إلى ادعاء أو نتيجة قابلة للإبلاغ. دعونا نلقي نظرة على قائمة مختصرة للفجوات التي رصدها الذكاء الاصطناعي ونحدد العناصر التي يجب التحقق منها قبل اعتمادها رسمياً.
في سير عمل عمليات الامتثال الفعّال، تتنقل بين المتطلبات، وضوابط التحكم، والأدلة، والاستثناءات. يبرز دور الذكاء الاصطناعي في المهام التي تتطلب تصنيفاً لكميات كبيرة من البيانات، أو إجراء مطابقة أولية، أو تلخيص المعلومات للمساعدة في تحديد الخطوة التالية للفحص. وتتسم هذه الآلية الأساسية بالاتساق عبر مختلف الأطر التنظيمية، مثل اللائحة العامة لحماية البيانات (GDPR) ونظيرتها في المملكة المتحدة (UK GDPR)، وقانون خصوصية المستهلك في كاليفورنيا وقانون حقوق الخصوصية في كاليفورنيا (CCPA/CPRA)، وقانون قابلية نقل التأمين الصحي والمساءلة (HIPAA)، وقانون الممارسات الأجنبية الفاسدة (FCPA). يقوم الذكاء الاصطناعي بإعداد مسودة للمطابقة أو تحديد مؤشرات المخاطر، ثم يتولى المسؤول عن الامتثال تأكيد ما إذا كان الأمر يمثل التزاماً فعلياً بموجب اللائحة المحددة، وما إذا كانت الأدلة المتاحة تفي بهذا الالتزام.
لكل مخرج من هذه المخرجات حدود محددة فيما يتعلق بالموثوقية؛ فعلى سبيل المثال، يمكن لخريطة الربط بين السياسات والمتطلبات أن تساعدك في تحديد الجوانب التي تغفلها السياسة، لكنها لا تستطيع إثبات الامتثال رسمياً. كما يمكن لعملية تصنيف التنبيهات تقليل “الضجيج” (كثرة التنبيهات غير الهامة)، لكنها لا تستطيع تحديد مستوى الأهمية الجوهرية للمخاطر. كذلك، يمكن لمسودة وصف الضبط الرقابي تسريع عملية التوثيق، لكنها لا تغني عن ضرورة تأكيد المسؤول عن العملية لصحة المعلومات. وفيما يلي، سنقارن بين هذه المقايضات في سياق الفرق الصغيرة مقابل برامج الامتثال المؤسسية الكبيرة.