الإجابة السريعة: يعني تقييم موردي الذكاء الاصطناعي طلب أدلة بدلاً من الوعود. قبل التوقيع، تريد أربعة أشياء مكتوبة: نتائج اختبار مستقلة يمكنك التحقق منها، شروط واضحة حول كيفية استخدام بيانات الشركة والاحتفاظ بها، التزام بمراقبة النظام بعد التشغيل، وطريقة للتحقق من كل مطالبة سلامة يقدمها الموردون دون الاعتماد على كلامهم. يحول باقي هذا الدليل ذلك إلى عملية عملية وقائمة أسئلة يمكنك إرسالها إلى الموردين وشروط العقود التي تجعل الإجابات ملزمة.

تختلف العناية الواجبة لنظم الذكاء الاصطناعي عن مراجعة البرامج العادية لأن نظام الذكاء الاصطناعي يمكن أن ينتج إجابة خاطئة بثقة، أو يتم إقناعه بالخروج عن قواعده الخاصة، أو تسريب البيانات، أو تغيير السلوك بعد تحديث النموذج الذي يدفعه الموردون يوم الثلاثاء. تجد هذه المخاطر من خلال اختبار السلوك، وتتحكم فيها بشروط العقود التي تقول ما يحدث عندما ينحرف السلوك.

لماذا أصبحت العناية الواجبة لموردي الذكاء الاصطناعي توقعاً رسمياً الآن

اعتادت عملية شراء الذكاء الاصطناعي على أن تعامل كعملية شراء برامج مع فقرة إضافية عن البيانات. غير المشترين العموميين والمشرعون على جانبي المحيط الأطلسي ذلك.

المشترون الفيدراليون الأمريكيون: مذكرة OMB M-25-22

في 3 أبريل 2025، أصدرت مكتب الإدارة والموازنة بالبيت الأبيض مذكرة M-25-22، دعم المشتريات الفعالة للذكاء الاصطناعي في الحكومة. تنطبق على العقود الممنوحة بموجب الاستقصاءات الصادرة قبل 180 يوماً أو أكثر من المذكرة، وخيارات التجديد التي يتم ممارستها بعد هذه النقطة. تقول المادة 4(د) أن الوكالات "يجب أن تتضمن شروطاً تعالج" قائمة الموضوعات في العقود الخاصة بأنظمة وخدمات الذكاء الاصطناعي. من بينها:

• مراقبة الأداء المستمرة. يجب أن تسمح العقود للوكالة بمراقبة وتقييم أداء النظام والمخاطر والفعالية بشكل منتظم، مع أمثلة على الاستعراضات ربع السنوية أو النصف السنوية.
• الاختبار المستقل. يجب على الوكالات الاختبار باستخدام مجموعات البيانات الخاصة بها التي "يجب أن لا تكون متاحة للموردين"، ويجب على الموردين توفير "الوصول والوقت اللازمين لإكمال الوكالات للتقييم المستقل"، ويجب أن تكون نتائج الاختبار "مفصلة بما يكفي لكي يكون الاختبار قابلاً للتحقق المستقل أو الاستنساخ، إن أمكن."
• الحماية من الحبس. يمكن أن تتضمن الشروط نقل المعرفة و"قابلية نقل البيانات والنموذج" والشفافية في الترخيص والتسعير.
• حدود التدريب ببيانات الشركة. تتطلب المادة 3(هـ) العقود لـ "حظر دائم لاستخدام بيانات الوكالة غير العامة المدخلة والنتائج المخرجة" لمزيد من تدريب نظم الذكاء الاصطناعي المتاحة للجمهور أو تجاريًا، ما لم توافق الوكالة بشكل صريح.
• إشعار قبل إجراء التغييرات. يجب على الوكالات أن تنظر في مطالبة البائعين بإخطارها قبل دمج تحسينات ذكاء اصطناعي جديدة، وتُشجّع على مطالبة البائعين بتحقيق معايير الأداء قبل نشر الإصدارات الجديدة والعودة إلى الإصدار السابق عند الحاجة.

مذكرة ثانية، OMB M-26-04 من 11 ديسمبر 2025، تقول إنها "تكمل" M-25-22. بالنسبة لعقود نماذج اللغات الكبيرة، فإنها تسرد المعلومات التي يجب على الوكالات طلبها من البائعين: سياسة الاستخدام المقبول، وبطاقات النموذج أو النظام أو البيانات، وموارد المستخدم النهائي، وآلية لملاحظات المستخدم النهائي. كما تسمح للوكالات بطلب المزيد، مثل نتائج التقييم.

تلزم هذه المذكرات الوكالات الفيدرالية فقط، وليس الشركات الخاصة. وهي تظل البيان العام الأكثر تفصيلاً لما يطلبه مشتر ذكاء اصطناعي متطور، ويمكن لفريق المشتريات الخاص أن يستعير هيكلها مباشرة.

موزعو الاتحاد الأوروبي: ما يطلبه قانون الذكاء الاصطناعي من المشتري

قانون الذكاء الاصطناعي بالاتحاد الأوروبي، اللائحة (EU) 2024/1689، يطلق على المنظمة التي تستخدم نظام ذكاء اصطناعي تحت سلطتها الخاصة اسم "الموزع". إذا اشتريت نظام ذكاء اصطناعي عالي المخاطر وأدرجته في الاستخدام، فإن المادة 26 تفرض عليك واجبات منفصلة عن واجبات البائع. في النص الموحد المنشور على مكتب خدمة قانون الذكاء الاصطناعي بالمفوضية الأوروبية، تقول المادة 26:

• يجب على الموزعين "اتخاذ تدابير تقنية وتنظيمية مناسبة لضمان استخدامهم لمثل هذه الأنظمة وفقاً للتعليمات المرفقة بالأنظمة" (المادة 26(1)).
• يجب على الموزعين "تعيين إشراف بشري إلى الأشخاص الطبيعيين الذين لديهم الكفاءة والتدريب والسلطة اللازمة" (المادة 26(2)).
• يجب على الموزعين "مراقبة تشغيل نظام الذكاء الاصطناعي عالي المخاطر على أساس التعليمات المرفقة"، وإذا كان لديهم سبب للاعتقاد بأن النظام يشكل خطراً، يجب عليهم إخطار المزود أو الموزع والسلطة المختصة بمراقبة السوق وإيقاف الاستخدام (المادة 26(5)).
• يجب على الموزعين "الاحتفاظ بالسجلات التي ينتجها تلقائياً نظام الذكاء الاصطناعي عالي المخاطر" بقدر ما تكون هذه السجلات تحت سيطرتهم، لمدة ستة أشهر على الأقل ما لم تنص قوانين أخرى على خلاف ذلك (المادة 26(6)).
• يجب على موزعي أنظمة الملحق الثالث التي تتخذ قرارات تتعلق بالأشخاص أو تساعد في اتخاذها "إخطار الأشخاص الطبيعيين بأنهم يخضعون لاستخدام نظام الذكاء الاصطناعي عالي المخاطر" (المادة 26(11)).

يعتمد كل واحد من تلك الواجبات على شيء يمكنك الحصول عليه فقط من البائع. لا يمكنك اتباع تعليمات لم تتلقها، أو الاحتفاظ بسجلات لا ينتجها النظام، أو مراقبة السلوك الذي ليس لديك طريقة لقياسه. المادة 13 هي الجانب الخاص بالبائع من نفس الاتفاق: يجب أن تأتي الأنظمة عالية المخاطر مع تعليمات للاستخدام تتضمن، من بين أمور أخرى، "مستوى الدقة، بما في ذلك مؤشراته، والمتانة والأمان السيبراني" (المادة 13(3)(b)(ii)). العناية الواجبة هي حيث تؤكد أن هذه المواد موجودة وجيدة بما يكفي لتتمكن من أداء دورك.

التوقيت مهم. بموجب تعديلات القانون الرقمي الشامل، المادة 113 تطبق الآن قواعد المخاطرة العالية من 2 ديسمبر 2027 للأنظمة المستقلة المدرجة في الملحق الثالث ومن 2 أغسطس 2028 لنظم الذكاء الاصطناعي المدمجة في المنتجات المغطاة بالملحق الأول. غالباً ما ستظل العقود التي توقعها اليوم تعمل في تلك التواريخ، لذا من المنطقي إدراج الالتزامات الآن. بشكل منفصل، المادة 4 تطلب من موفري ومستخدمي أنظمة الذكاء الاصطناعي بشكل عام، وليس فقط تلك عالية المخاطر، "اتخاذ تدابير لدعم تطوير محو الأمية في الذكاء الاصطناعي" لدى الموظفين الذين يشغلونها ويستخدمونها. للحصول على الصورة القانونية الأوسع، انظر دليلنا الشامل لقانون الذكاء الاصطناعي بالاتحاد الأوروبي وقوانين الذكاء الاصطناعي في الولايات المتحدة.

الأطر الطوعية تشير إلى نفس الاتجاه

يعطي إطار إدارة مخاطر الذكاء الاصطناعي NIST لذكاء الاصطناعي من جهات خارجية فئته الخاصة. GOVERN 6.1 يقرأ "السياسات والإجراءات موجودة تتعامل مع مخاطر الذكاء الاصطناعي المرتبطة بالجهات الخارجية"، GOVERN 6.2 يقرأ "عمليات الطوارئ موجودة للتعامل مع الفشل أو الحوادث في بيانات أو أنظمة ذكاء اصطناعي من جهات خارجية تُعتبر عالية المخاطر"، و MANAGE 3.1 يقول أن المخاطر من الموارد من جهات خارجية يجب أن تكون "مراقبة بشكل منتظم، وتطبيق ضوابط المخاطر وتوثيقها." إذا كانت منظمتك تتوافق بالفعل مع NIST AI RMF أو تدير نظام ISO/IEC 42001 للإدارة، فإن العناية الواجبة بشأن البائع هي كيفية استيفائك لتلك التوقعات بشأن الذكاء الاصطناعي الذي تشتريه. دليلنا لـ NIST AI RMF و ISO/IEC 42001 والمعايير ذات الصلة يغطي كيفية تناسب الأطر معاً.

المجالات الستة للتقييم

يأتي كل فحص بائع ذكاء اصطناعي إلى ستة مجالات.

1. ما هو النظام وما هو الغرض منه

ابدأ بالنطاق. أي نماذج تكمن تحتها المنتج، وهل البائع هو مطورها أم أنه وسيط يغلف نموذج شخص آخر؟ ما هو الغرض المقصود الذي يوثقه البائع، وهل ينقسم استخدامك المخطط له ضمنه؟ بموجب قانون الذكاء الاصطناعي بالاتحاد الأوروبي، يعتبر الغرض المقصود العنصر الأول الذي يجب أن تذكره تعليمات الاستخدام، واستخدام النظام خارجه يعني تحمل المخاطر التي لم يختبرها البائع.

2. أدلة على السلوك الآمن

هذا هو المجال الذي يتعامل معه معظم المشترين بشكل سيء، لأنه من الصعب جداً السؤال عنه في استبيان. الجميع يجيب "نعم" على سؤال "هل تختبرون التحيز؟". أسئلة أفضل تطلب الطريقة والنتيجة: ماذا تم اختباره، مقابل أي سيناريوهات، بأي معدل نجاح، من قبل من، وعندما. المخاطر السلوكية التي تستحق التغطية تتوافق مع الأعمدة السبعة لإطار A.E.G.I.S.™:

• Hallucination Integrity: هل يذكر النظام الأكاذيب كحقائق، خاصة تحت الضغط أو الغموض أو الأسئلة المتخصصة؟
• Guardrail Resistance: هل يمكن التلاعب به للدخول في سلوك غير آمن من خلال محاولات كسر الحماية أو حقن الطلبات؟
• Data Handling & Privacy: ماذا يجمع ويحتفظ ويسرب، بما في ذلك البيانات الشخصية؟
• Ethical Alignment: هل يتصرف بشكل مناسب مع المستخدمين الضعفاء والموضوعات الحساسة؟
• Autonomy & Control: إلى أي مدى يمكنه التصرف بمفرده، وهل يمكن لإنسان إيقافه؟
• Adversarial Robustness: كيف يتحمل أمام محاول هجوم متحفز؟
• Explainability and Transparency: هل يمكن فهم سلوكه والتحقق منه لاحقاً؟

لمعرفة كيفية اختبار كل منها فعلياً، راجع كيفية اختبار أنظمة الذكاء الاصطناعي من حيث الأمان. التمييز الأساسي للمشتري هو بين النتائج التي أنتجها البائع عن نفسه والنتائج التي أنتجها طرف مستقل. للاختبار الداخلي قيمة، لكنه البائع يصحح واجباته بنفسه. يطرح M-25-22 الملاحظة ذاتها من جانب المشتري عندما يطلب اختباراً مفصلاً بما يكفي لـ "التحقق المستقل أو إعادة الإنتاج."

3. معالجة البيانات

اسأل أين تذهب بياناتك، ومدة بقاؤها، ومن يمكنه الوصول إليها، وما إذا كانت تدرب أي شيء. المعيار الاتحادي في M-25-22 هو معيار مفيد: قد يجمع البائعون والبيانات ذات الصلة ويحتفظون بها فقط عندما تكون "ضرورية بشكل معقول" للعقد، وقد لا تُستخدم المدخلات والمخرجات غير العلنية لتدريب النماذج العامة أو التجارية بدون موافقة. اسأل أيضاً ما إذا كانت سجلات النظام متاحة لك، لأن منفذي الاتحاد الأوروبي للأنظمة عالية المخاطر يجب أن يحتفظوا بالسجلات تحت سيطرتهم.

4. الإشراف والتحكم

تعرف على ما يمكن لشخص ما أن يفعله عندما يكون النظام خاطئاً. هل يمكن لمشغل أن يراجع أو يتجاوز المخرجات، أو إيقاف النظام؟ تفترض المادة 26(2) أنك ستعين أشخاصاً مختصين للإشراف؛ يجب على البائع أن يعطيهم شيئاً للعمل معه.

5. إدارة التغيير والمراقبة

منتجات الذكاء الاصطناعي تتغير تحتك: نموذج أساسي جديد أو إعادة تدريب، والسلوك الذي وافقت عليه لم يعد السلوك في الإنتاج. اسأل عن كيفية إخبار البائع بالتغييرات الجوهرية، وما إذا كان يمكنك الاختبار قبل وصول إصدار جديد إلى مستخدميك، وما إذا كان يمكن استرجاع إصدار سابق. يطلب M-25-22 من الوكالات النظر في كل ثلاثة أو طلبها. ثم اسأل عن المراقبة بعد الإطلاق، وما إذا كانت النتائج تُشارك معك.

6. الحوادث والمساءلة

اطلب عملية استجابة الحوادث من البائع لحالات فشل خاصة بالذكاء الاصطناعي مثل مخرج ضار أو كسر أمان ناجح. يجب على منفذي الاتحاد الأوروبي للأنظمة عالية المخاطر إخطار المزود وسلطة مراقبة السوق عندما يعتقدون أن النظام يشكل خطراً، لذا يجب أن يتأكد عقدك من أن البائع سيعمل معك عند حدوث ذلك. يوضح دليلنا إلى الحوادث الموثقة للذكاء الاصطناعي والاختبارات التي تكتشفها أنماط الفشل التي تستحق التخطيط لها.

قائمة أسئلة يمكنك إرسالها إلى بائعي الذكاء الاصطناعي

انسخ هذه في طلبك للحصول على الاقتراحات. يطلب كل منها شيئاً يمكنك التحقق منه.

النطاق والغرض

1. أي نماذج تقوي المنتج، من يطور كل واحد منها، وأي إصدارات موجودة في الإنتاج اليوم؟
2. ما هو الغرض الموثق المقصود، وهل هناك استخدامات تنصح ضدها؟ يرجى مشاركة تعليمات الاستخدام أو الوثائق المعادلة.
3. هل تنشرون بطاقات نموذج أو نظام أو بيانات للمنتج؟ يرجى إرفاقها.
4. ما هي سياسة الاستخدام المقبول للمستخدمين النهائيين؟

الاختبار والأدلة

5. ما مخاطر الأمان التي اختبرت المنتج ضدها (على سبيل المثال، الهلوسة وكسر جدران الحماية وحقن الطلب وتسرب الخصوصية والسلوك مع المستخدمين الضعفاء وحدود الاستقلالية والهجوم الخصومي والوضوح)؟ لكل منها، ما الطريقة والنتيجة؟
6. هل أجرى أي من تلك الاختبارات طرف مستقل؟ من، ومتى، وضد أي إصدار، وهل يمكننا التحقق من النتيجة بأنفسنا؟
7. هل ستعطينا الوصول والوقت لإجراء تقييمنا الخاص، باستخدام بيانات اختبار لا ترونها؟
8. ما هي مستويات الدقة والمتانة والأمان السيبراني الموثقة، وكيف تم قياسها؟

البيانات

9. ما البيانات من استخدامك التي تجمعونها وتحتفظون بها، ولمدة كم من الوقت، ولماذا كل عنصر ضروري؟
10. هل سيتم استخدام مدخلاتنا أو مخرجاتنا لتدريب أو تحسين أي نموذج، الخاص بكم أو بطرف ثالث؟ هل يمكن منع ذلك بموجب العقد؟
11. ما المعالجات الفرعية، بما فيها مزودو النماذج، التي تتلقى بيانتنا؟
12. ما السجلات التي ينتجها النظام، وهل يمكننا تصديرها والاحتفاظ بها؟

التحكم والتغيير والحوادث

13. ما أدوات الإشراف البشري والتجاوز المتاحة لمشغلينا؟
14. كيف وفي أي وقت ستخطرونا قبل إجراء تغيير جوهري على النموذج أو سلوكه؟ هل يمكننا اختبار نسخة جديدة قبل وصولها إلى مستخدمينا، وهل يمكننا التراجع؟
15. كيف تراقبون المنتج بعد النشر، وهل ستشاركون نتائج المراقبة معنا؟
16. ما عملية الاستجابة للحوادث الخاصة بك للإخفاقات المتعلقة بالذكاء الاصطناعي، وما التزامات الإخطار لديك تجاهنا؟
17. إذا غادرنا، كيف نحصل على بيانتنا وأي تخصيصات، وبأي صيغة؟

تحويل الإجابات إلى شروط عقدية

إجابات الاستبيان هي تأكيدات. العقد هو حيث تصبح التزامات. M-25-22 يقدم قالباً للمواضيع، والمشترون الخاصون يمكنهم تكييفه دون تغيير كبير.

• التزامات الأداء والسلامة. ضع السلوك المختبر في الاتفاقية: مستويات الدقة والسلامة الموثقة، جدول مراجعة دوري، وما يحدث إذا انخفضت النتائج عنها.
• الحق في التقييم. احتفظ بالحق في إجراء الاختبار الخاص بك، أو السماح لطرف مستقل بالاختبار، مع الحصول على الوصول والوقت من المزود.
• حدود استخدام البيانات. منع التدريب على مدخلاتك ومخرجاتك دون موافقة خطية، تحديد الاحتفاظ بما هو ضروري فقط، وتحديد المعالجات الفرعية.
• إخطار التغيير. تطلب إشعاراً مسبقاً بتغييرات النموذج الجوهرية ونافذة اختبار قبل وصولها للإنتاج، مع خيار التراجع.
• تسجيل السجلات والسجلات. تطلب من النظام إنشاء وتصدير السجلات التي تحتاجها، وحدد مدة احتفاظ المزود بسجلاته الخاصة.
• التعاون في الحوادث. حدد الجداول الزمنية للإخطار بحوادث الذكاء الاصطناعي والتزاماً بمساعدتك على تلبية أي واجب إبلاغ لديك.
• قابلية النقل. غطي نقل البيانات والنماذج ونقل المعرفة والترخيص الشفاف حتى تتمكن من المغادرة إذا احتجت.

M-26-04 يضيف تقنية صياغة مفيدة: يطلب من الوكالات تحديد متطلبات معينة باعتبارها "ذات أهمية لأهلية الدفع والسداد بموجب العقد." جعل شروط السلامة والشفافية ذات أهمية يعطيها قوة، لأن انتهاك أحكامها يصبح أساساً للتعويضات بدلاً من كونها ملاحظة هامشية.

حيث ينهار العناية الواجبة عادة

معظم فحوصات مزود الذكاء الاصطناعي الفاشلة تفشل بإحدى الطرق المتوقعة.

الاستبيان عبارة عن نموذج أمان مع أسئلة الذكاء الاصطناعي مضافة. تقرير SOC 2، وفقاً لوصف AICPA الخاص به، هو فحص للضوابط في منظمة خدمات تتعلق بالأمان والتوفر وسلامة المعالجة والسرية أو الخصوصية. هذا قيّم، ويجيب على سؤال مختلف عما إذا كان يمكن اختراق النموذج أو عدد مرات اختراعه للحقائق. احتفظ بأمان المعلومات وسلوك الذكاء الاصطناعي كأقسام منفصلة مع أدلة منفصلة.

كل إجابة ذاتية التقرير. المراجع ليس لديه طريقة للتحقق من النموذج أو السياسة المرفقة، لذلك إما يقبل المشتري مطالبات لا يمكنه التحقق منها أو يكلف اختباراً خاص به.

المصادقة تعامل كدائمة. ستة أشهر بعد الشراء، قام المزود بتغيير النموذج ولم يتحقق أحد. كل من M-25-22 و NIST AI RMF يعاملان المراقبة كمستمرة لهذا السبب بالذات.

الأدلة غير قابلة للمقارنة عبر المزودين. ثلاثة مزودين يصفون اختبارهم بثلاث طرق مختلفة، لذا يقرر السعر والميزات بشكل افتراضي.

لماذا يقصر التصنيف المستقل القابل للتحقق العملية

المشكلتان الأخيرتان هما الأكثر تكلفة. عندما يتم تقييم نظام ذكاء اصطناعي من قبل طرف مستقل وفقاً لإطار عمل معياري، تتغير ثلاثة أمور بالنسبة للمشتري.

أولاً، الأدلة مستقلة. RateAI ليس لديها مصلحة في تصنيف النظام وتُحتسب رسومها وفقاً لمعالم التقييم وليس النتائج. يمكن لنظام أن يفشل في الحصول على الشهادة؛ وعند حدوث ذلك، يتلقى المطور تقرير النتائج التفصيلي ومسار المعالجة، ويمكنه إعادة دخول التقييم بعد إصلاح المشاكل.

ثانياً، الأدلة قابلة للمقارنة. يقيّم كل تقييم A.E.G.I.S.™ نفس الأعمدة السبعة، وتُحدد معاملات التصحيح بواسطة حقبة تصحيح معينة بحيث تظل التقييمات قابلة للمقارنة عبر الزمن. تتلقى الأنظمة المعتمدة بطاقة نقاط A.E.G.I.S.™ تحتوي على تصنيف الأمان الإجمالي من A (الحد الأقصى للأمان) إلى F (خطر)، وتقدير لكل عمود، وختم شهادة من A-5 Guardian إلى A-1 Unrestricted. يمكن لفريق المراجعة لديك أن يرى في مكان واحد نقاط قوة النظام والمجالات التي تتطلب الحذر، ومقارنة شركتي بيع على نفس المقياس.

ثالثاً، الأدلة قابلة للتحقق وحالية. كل حالة استفسار، وتصويت المدقق وقرار الشهادة يتم ربطها برمز SHA-256 في مسار تدقيق غير قابل للتعديل، بحيث لا يمكن تغيير السجلات أو إعادة تاريخها. يمكن لأي شخص التحقق من شهادة RateAI في سجل الأمان العام دون تسجيل الدخول، والتأكد من أنها حالية ولم يتم تخفيض تصنيفها. تحمل الشهادات أيضاً دورة إعادة شهادة، والتغييرات الجوهرية على النظام تؤدي إلى إعادة تقييم، مما يتعلق مباشرة بمشكلة إدارة التغيير المذكورة أعلاه.

التصنيف لا يحل محل العناية الواجبة لديك. لا تزال بحاجة إلى إجابات حول النطاق وشروط العقد وتدفقات البيانات والملاءمة لحالة الاستخدام لديك، وشهادة RateAI ليست تحديداً قانونياً: فهي تدعم عمل الامتثال لديك، والقرارات التنظيمية تبقى مع السلطات ذات الصلة. تتضمن المستويات Pro و Enterprise من RateAI تعيين الامتثال بموجب EU AI Act و NIST AI RMF و ISO 42001. ما يفعله التصنيف القابل للتحقق هو الإجابة على أسئلة الأدلة، من الأسئلة 5 إلى 8 من القائمة أعلاه، بشيء يمكن لفريقك التحقق منه بدلاً من الاعتماد على الثقة. للحصول على نظرة أعمق حول كيفية عمل شهادة الطرف الثالث، اقرأ ما هي شهادة سلامة الذكاء الاصطناعي وكيف تعمل.

سير عمل عناية واجبة عملي

1. صنف حالة الاستخدام. من يتأثر بالنظام، هل يمكنه التصرف بشكل مستقل، وهل قد يكون عالي الخطورة بموجب EU AI Act؟ الرهانات الأعلى تعني مراجعة أعمق.
2. أرسل قائمة الأسئلة مبكراً. أدرجها في طلب العرض حتى تنسحب الشركات المصنعة التي لا تستطيع الإجابة قبل أن تستثمر الوقت في العروض التوضيحية.
3. تحقق من وجود أدلة مستقلة. ابحث عن منتج البائع في أي سجل مستقل يدعي أنه مدرج فيه، وأكد أن التصنيف والتاريخ والإصدار يطابقان ما تشتريه.
4. اختبر ما تبقى. حيث تكون الأدلة المستقلة مفقودة أو لا تغطي حالة الاستخدام لديك، قم بإجراء تقييمك الخاص على البيانات التي لم يرها البائع، أو استأجر متخصصاً للقيام بذلك.
5. تفاوض على الشروط. حول الإجابات إلى التزامات عقدية: الأداء وحقوق الاختبار واستخدام البيانات والإشعار المسبق والتسجيل والحوادث والقابلية للنقل.
6. حدد تكرار المراقبة. وافق على عدد المرات التي ستراجع فيها الأداء وما الذي يؤدي إلى إعادة المراجعة، مثل تغيير نموذج أو حادثة معلنة.
7. سجل القرار. احتفظ بالأدلة ونقاطك وأسباب الموافقة.

إذا كنت على جانب البائع من هذه العملية، فإن نفس القائمة تخبرك بما سيسأله المشترون. وجود أدلة مستقلة جاهزة قبل وصول الاستبيان يقصر كل دورة مبيعات تتبعها. تصف مستويات الشهادة والمراقبة من RateAI كيف يتم تحديد نطاق الارتباط، وتتوفر معيارية أمان مجانية لوكيل ذكاء اصطناعي واحد كنقطة انطلاق.

الأسئلة المتكررة

ما هي العناية الواجبة لبائعي الذكاء الاصطناعي؟

هي عملية التحقق من نظام بائع الذكاء الاصطناعي وممارسات البيانات والضوابط قبل الشراء، والحفاظ على هذه الفحوصات حالية لاحقاً. مقارنة بمراجعة البرامج العادية، فإنها تضيف اختبار سلوك النظام، مثل الهلوسة ومقاومة كسر الحماية والتسرب الخصوصي.

هل تقرير SOC 2 كافٍ لموافقة بائع الذكاء الاصطناعي؟

عادة ليس بمفرده. يفحص تقرير SOC 2 ضوابط منظمة الخدمات ذات الصلة بالأمان والتوفر وسلامة المعالجة والسرية أو الخصوصية، لذا لا تزال بحاجة إلى أدلة منفصلة حول كيفية تصرف نموذج الذكاء الاصطناعي، مثل الإجابات الخاطئة والتلاعب وتسرب البيانات من خلال المخرجات.

ماذا يتطلب EU AI Act من الشركات التي تشتري الذكاء الاصطناعي؟

المنظمات التي تستخدم أنظمة الذكاء الاصطناعي عالية الخطورة هي "مستخدمات" بموجب المادة 26، وتجب عليها استخدام النظام وفقاً لتعليماته، وتعيين إشراف بشري مختص، ومراقبة تشغيله، والاحتفاظ بالسجلات تحت سيطرتها، وإبلاغ الأشخاص المتأثرين في بعض الحالات. تنطبق تلك القواعد عالية الخطورة اعتباراً من 2 ديسمبر 2027 لأنظمة الملحق III و 2 أغسطس 2028 للذكاء الاصطناعي المضمن في المنتجات التي يغطيها الملحق I.

ما شروط العقد التي يجب أن تتضمنها عملية شراء الذكاء الاصطناعي؟

كحد أدنى: التزامات الأداء والأمان، والحق في الاختبار المستقل، وحدود استخدام بيانات التدريب، والإشعار المسبق واختبار تغييرات النموذج، وإمكانية الوصول إلى السجلات، والتعاون في الحوادث والقابلية للنقل. يسرد مذكرة OMB M-25-22 معظم هذه المتطلبات كموضوعات مطلوبة لعقود الذكاء الاصطناعي الفيدرالية الأمريكية.

كيف يساعد التصنيف المستقل لسلامة الذكاء الاصطناعي الشراء؟

يحل محل الادعاءات ذاتية الإبلاغ بنتائج موحدة أنتجتها جهة ثالثة ويمكنك التحقق منها. تقيّم درجة A.E.G.I.S.™ النظام على نفس الأعمدة السبعة كما هو الحال مع كل نظام آخر مقيّم، بحيث يمكنك مقارنة البائعين والتحقق من أن الشهادة حالية في سجل السلامة العام.

هل تجعل شهادة RateAI نظام الذكاء الاصطناعي متوافقاً قانونياً؟

لا يمكن لأي شهادة أن تتخذ هذا التحديد؛ تبقى القرارات التنظيمية الرسمية مع السلطات ذات الصلة. توفر شهادة RateAI الدعم لأعمال الامتثال، وتتضمن المستويات Pro و Enterprise خريطة توافق مع EU AI Act و NIST AI RMF و ISO 42001.

تحقق من تقييم البائع قبل التوقيع

أسرع سؤال للعناية الواجبة هو ما إذا كان النظام قد تم تقييمه بالفعل بشكل مستقل. ابحث في سجل RateAI Safety Registry لترى كيفية إدراج أنظمة الذكاء الاصطناعي المعتمدة، مع درجة A.E.G.I.S.™ وحالة الشهادة، واسأل بائعيك ما إذا كان منتجهم مدرجاً فيه.