أطر الامتثال / NIST AI Risk Management Framework
إطار إدارة مخاطر الذكاء الاصطناعي من NIST (NIST AI Risk Management Framework) 1.0 — مطابقة المواءمة
هذه الصفحة مولَّدة من جدول المتطلبات الذي يشحنه محرّك AiSSAY لهذا الإطار. وحين يُنتج المحرّك حزمة أدلة، يحصل كل صف أدناه على حالة تُحسب من سجلات المشغّل نفسه في تلك اللحظة. هذه الصفحة تعرض الجدول، لا نتائج أيّ أحد.
اقرأ هذا أولًا
مطابقة لأغراض المعلومات فقط، أعدّتها أدوات المشغّل نفسه. ليست رأيًا قانونيًا، ولا اعتمادًا، ولا بديلًا عن مشورة المستشار القانوني. إنها تنظّم سجلات المشغّل مقابل المتطلبات المذكورة؛ أما ما إذا كانت تلك السجلات تستوفي المتطلبات فأمرٌ يقرّره المشغّل والمستشار القانوني والفاحص.
عن هذا الإطار
NIST AI RMF إطار طوعي. ولا توجد شهادة من NIST، ولا يمكن ادّعاء شهادة كهذه؛ والبيان العلني الدقيق هو أن المشغّل يتواءم مع الإطار، بتقييم ذاتي، وأن هذه المطابقة يمكن إعادة توليدها من مخزن الأدلة في أيّ وقت.
جدول المتطلبات
11 صفًّا: آلية 7، تنظيمي 3، فجوة مسمّاة 1
| المتطلّب | الآلية أو الواجب أو الفجوة | النوع |
|---|---|---|
| GOVERN 1.1–1.4 — توثيق السياسات وهياكل المساءلة وتحمّل المخاطر عبر دورة حياة الذكاء الاصطناعي | تنظيمي: سياسة مكتوبة لحوكمة الذكاء الاصطناعي تسمّي سجلات AiSSAY آليةً للأدلة | تنظيمي |
| GOVERN 2.1 — تحديد الأدوار والمسؤوليات المتعلّقة بمخاطر الذكاء الاصطناعي | جزئي، وليس عبر البرمجيات. تسمّي السجلات مراجعًا حيث وقّع أحدهم، وتسمّي البوابة من يجوز له الإفراج عن إجراء موقوف — لكن النظام لا يملك أدوارًا ولا أذونات ولا أيّ تصوّر لمن يحقّ له فعل ماذا. وتحديد المساءلة فعل تنظيمي؛ والمخزن لا يستطيع إلا أن يسجّله بعد وقوعه. | تنظيمي |
| GOVERN 4.3 — مشاركة الحوادث والأخطاء وتوثيقها | سجلات مختومة للإخفاقات، وسجلات فجوات الالتقاط، وآلية التفرّع المُقرّ به: تصبح الحوادث مُدخلات في السلسلة، لا رسائل بريد إلكتروني أبدًا | آلية |
| MAP 1.1/2.3 — توثيق سياق استخدام الذكاء الاصطناعي وغرضه وافتراضاته | كل سجلّ يحمل تكليف المهمة، وافتراضات الوكيل المعلنة، وحالات الغموض، وشروط الصلاحية | آلية |
| MEASURE 2.5 — مراقبة أداء نظام الذكاء الاصطناعي بالمقاييس | نتائج المطابقة، وتغطية المُخرَجات، وتحليل الانحراف لكل نمط مهمة، محسوبة لكل عملية تشغيل | آلية |
| MEASURE 2.7(a) — التقييم العدائي لنظام الذكاء الاصطناعي | مصائد العسل (honeypots)، وتحدّيات السجلات المزوّرة، وفحص الحقن، والتحكيم بين النماذج، تُجرى على كل عملية تشغيل مقيسة | آلية |
| MEASURE 2.7(b) — أمان النظام المنشور ومرونته | مُنفَّذ جزئيًا، والأجزاء مسمّاة. الاختبار العدائي هنا يقيّم رواية الذكاء الاصطناعي عن عمله، لا أمان البرمجيات التي تحملها. أما على صعيد البرمجيات: فالتبعيات تُفحص عند الإصدار مع فحص للعمر، وتعمل أداة فحص ساكن محدودة على هذه الشجرة، وتخضع المحلّلات التي تقرأ مُدخلات خارجية لاختبار التشويش (fuzzing) — وكلٌّ منها مُثبَت مقابل عيب مزروع بدلًا من الوثوق به. ولا يوجد حتى الآن اختبار اختراق ولا مراجعة من طرف ثالث للتشفير. | فجوة مسمّاة |
| MEASURE 2.8 — الحفاظ على سجلات الشفافية والمساءلة | سلسلة تجزئة لا تقبل إلا الإضافة، وسجلّ وصول كامل، وتثبيت خارجي | آلية |
| MEASURE 3.1–3.3 — تتبّع المخاطر عبر الزمن؛ وتقييم القياس نفسه | ملف تعريف الأداة: سجلّ موقَّع ومُرقَّم الإصدارات لما تعلّمته أداة الفحص، مطبوع على كل سجلّ حكمت عليه | آلية |
| MANAGE 2.3/2.4 — آليات الاستجابة للحوادث والتعافي منها | جزئي. استعادة السجلّ، وتشخيص التفرّع، وختم فجوات الالتقاط، وأمر الحفظ القانوني، آليات للتعافي وهي تعمل؛ أما من يُستدعى، وخلال أيّ مدة، ومن يقرّر تفعيلها، فإجراء للاستجابة للحوادث لا توفّره أيّ برمجيات. | تنظيمي |
| MANAGE 4.1 — المراقبة بعد النشر مع إشراف بشري | تعليم «يحتاج إلى مراجعة»، وتوقيعات المراجعين التي تغذّي المعايرة، وإحاطات ما قبل التشغيل المستمدّة من تصحيحات مُتحقَّق منها | آلية |
كيف تُكتسب الحالة
- مُثبَت بالأدلة
- أُجري فحص حتمي على سجلاتك والأعداد تدعم الصف. والمخزن الذي لا يحتوي على سجلات ذات صلة يظهر «غير مُثبَت بالأدلة» — وهي عبارة صحيحة، لا عبارة نجاح. والفراغ لا يُحتسب أبدًا سلامةً.
- مُفوَّض
- الآلية يفرضها نظام تثق به أصلًا — فالمخزن المختوم بمدير المفاتيح الخاص بك يفوّض إليه التحكم في الوصول، وتقول الحزمة إن السجلّ الذي يفرض ذلك هو سجلّ مدير مفاتيحك، لا سجلّنا. وتسمّي الحزمة نقطة الاتصال التي جرى الوصول إلى مدير المفاتيح عبرها. ونقطة اتصال AWS غير نقطة الاتصال الافتراضية الخاصة بـ AWS للمنطقة تظهر «مُفوَّض» إلى تلك النقطة، مع طلب أن تؤكّد أنها خدمة إدارة المفاتيح الخاصة بك. وهناك واجهة خلفية واحدة — AWS KMS — جرى تشغيلها على خدمة AWS KMS الحقيقية؛ ولم تُشغَّل أيّ واجهة خلفية أخرى كذلك.
- نقطة وصل اختبارية
- مختوم بواجهة خلفية اختبارية داخل العملية — بديل وهمي (stub)، أو بديل لعميل AWS — والحالة تسمّي أيّهما. لا يفرض أيّ مدير مفاتيح التحكم في الوصول. نقطة الوصل مبنية ومختبَرة، والحزمة ترفض أن تسمّي ذلك تفويضًا.
- مُثبَت جزئيًا
- الآلية مبنية وبعض عمليات التشغيل لديك تحمل أدلتها، لا كلها — عادةً لأنها خُتمت قبل وجود الآلية. وتقول الحزمة كم عملية تشغيل في كل مجموعة، ولا تحتسب الناقصة أبدًا ناجحة.
- تنظيمي
- المتطلّب إجراء لا يستطيع أداءه إلا البشر. والحزمة تسمّيه مسؤوليتك بدلًا من أن تُلبس سياسةً ثوب آلية.
- فجوة مسمّاة
- لا تستطيع الحزمة إثباته بالأدلة — إمّا لأن الآلية غير مبنية، أو لأن أيّ برمجيات لا تستطيع توفيره — وهي تقول أيّهما. والفجوة مطبوعة، لأن المراجع ينبغي أن يقرأها هنا لا أن يكتشفها.
لا تُكتب أيّ حالة يدويًا: كل حالة يُعاد حسابها من المخزن في كل مرة تُنتَج فيها حزمة، ونصوص المتطلبات والآليات تُكتب وتُراجع بوصفها جزءًا من المحرّك، وأدلة التبعيات تأتي من فحص الإصدار لدينا. ولا يمكن أبدًا أن تُقرأ آلية فاشلة دليلًا على أن الضابط يعمل.