دخل EU AI Act حيّز التنفيذ في الأول من أغسطس 2024 مع فترة انتقالية مدتها 24 شهراً لقواعده الخاصة بالمخاطر العالية، ما جعل الموعد المعلن هو الثاني من أغسطس 2026. غير أنّ هذا الموعد لم يعد محسوماً. ففي عام 2026 توصّلت مؤسسات الاتحاد الأوروبي إلى اتفاق مبدئي بشأن Digital Omnibus يؤجّل الالتزامات الخاصة بالمخاطر العالية لأنظمة Annex III القائمة بذاتها، ومن بينها التقييم الائتماني، إلى الثاني من ديسمبر 2027، ويعود ذلك في معظمه إلى أنّ المعايير المنسّقة اللازمة لتقييم المطابقة لم تكن جاهزة في الوقت المناسب. ولا يزال هذا التأجيل بحاجة إلى اعتماد رسمي، لذا تعامَل مع الجدول الزمني باعتباره مشروطاً لا نهائياً.
ما لا يتغيّر هو الجوهر. فسواء أصبحت هذه الالتزامات ملزِمة في أغسطس 2026 أو ديسمبر 2027، فإنها التزامات تتعلق بكيفية بناء النظام وتشغيله، والأدلة التي تستوجبها يجب أن تُنتَج أثناء البناء، لا أن تُجمَّع بعده. المهلة الإضافية سببٌ للقيام بالهندسة على الوجه الصحيح، لا ذريعة للانتظار.
هذا المقال ليس استشارة قانونية، بل قراءة للإطار التنظيمي بوصفه مسألة هندسية، لأن هناك يقع جلّ العمل في الواقع.
أيّ الأنظمة المالية تقع ضمن النطاق
تشمل فئة المخاطر العالية في قانون EU AI Act للخدمات المالية تلك الاستخدامات التي تحسم أمراً جوهرياً يخصّ شخصاً ما. وعملياً يعني ذلك:
- تقييم الجدارة الائتمانية والتقييم الائتماني للأشخاص الطبيعيين
- تقييم المخاطر والتسعير في التأمين على الحياة والتأمين الصحي
- أنظمة مكافحة غسل الأموال (AML) والكشف عن الاحتيال
إذا كان نموذجك يسند درجة تتحكّم في منح قرض، أو يحدّد قسط تأمين، أو يضع علامة على معاملة للمراجعة، فافترِض أنه ذكاء اصطناعي عالي المخاطر وخطّط على هذا الأساس. التفاصيل مهمة، والخط الفاصل بين المُعفى والمشمول هو بالضبط نوع المسألة التي تُحال إلى المستشار القانوني. أما من حيث البناء، فعامِل هذه الأنظمة باعتبارها مشمولة، واعمل بالاتجاه العكسي انطلاقاً من الموعد النهائي الذي ينطبق عليك في نهاية المطاف.
جانب المزوّد: المطابقة قبل النشر
إذا كنت تبني أحد هذه الأنظمة أو تُجري عليه تعديلاً جوهرياً، فأنت مزوّد، وعليك قبل النشر أن تُجري تقييم مطابقة للذكاء الاصطناعي، وأن تُعدّ الوثائق الفنية، وأن تضع علامة CE حيثما لزم، وأن تسجّل النظام في قاعدة بيانات الاتحاد الأوروبي. ولهذا التسلسل تبعات مباشرة على قاعدة الشيفرة.
تقييم المطابقة ادّعاء عن النظام لا بد أن يصمد أمام التدقيق، ما يعني أن الأدلة الداعمة له يجب أن تكون موجودة أثناء البناء لا أن تُحرَّر في النهاية. وتمتدّ إدارة المخاطر على امتداد دورة الحياة، لذا تحتاج الضوابط ومبرراتها إلى أثرٍ موثّق، تماماً كما تتوقّع وظيفة التحقّق من النماذج سجلاً لما جرى اختباره ولماذا.
بيانات التدريب هي حيث يصبح امتثال التقييم الائتماني ملموساً. فالقانون يتوقّع بيانات ممثِّلة وموثّقة. وبالنسبة إلى نموذج تسجيل ائتماني يعني ذلك معرفة المجتمع الذي تعلّم منه كل خاصية، والتقاط الأخطاء الزمنية حتى لا يُدرَّب النموذج على معلومات لم تكن موجودة وقت اتخاذ القرار. التطلّع إلى المستقبل (lookahead) في الاختبار الرجعي خللٌ منهجي، وفي نظام عالي المخاطر هو أيضاً ثغرة توثيقية ستضطر إلى تفسيرها.
التمييز بالوكالة هو الشاغل التالي. فالنموذج قادر على إعادة بناء خاصية محمية انطلاقاً من الرمز البريدي أو المهنة أو أنماط المعاملات من دون أن يرى السمة مباشرةً قط. ومن ثَمّ يجب أن تبحث فحوص التحيّز عن هذه الوسائط، لا أن تكتفي بالتأكّد من حذف الحقل المحمي. وهذه مسألة تقييم (eval): مجموعات اختبار محتجَزة مقسّمة بحسب الخصائص التي يُحظَر عليك التمييز على أساسها، تُشغَّل وفق جدول منتظم، وتُحفَظ نتائجها بدل النظر إليها مرور الكرام.
جانب المُشغِّل: رقابة فعّالة حقاً
إذا كنت تُشغّل نظاماً يخصّ جهة أخرى، فأنت تحمل التزامات أيضاً: رقابة بشرية ذات معنى، وفحوص لحوكمة البيانات، ومراقبة أثناء التشغيل، وتدريب للموظفين، والإبلاغ عن الحوادث الجسيمة.
والعبارة التي تحمل الثقل هنا هي «الرقابة البشرية». فالمراجِع الذي يختم درجةً بلا تمحيص تحت ضغط الوقت لا يمارس رقابة فعلية، والجهة التنظيمية تدرك الفرق. الرقابة يجب أن تُصمَّم منذ البداية: تُظهِر الواجهة للمراجِع ما الذي قاد القرار، ويترك حجم العمل متسعاً للنظر فعلاً، ويكون مسار التجاوز (override) حقيقياً. والمراقبة أثناء التشغيل ليست سوى كشف الانجراف (drift detection) باسم آخر. فنموذج التسجيل الائتماني يتدهور مع تحوّل المجتمع، وأنت تريد التنبيه قبل أن تأتي الخسارة.
والتسجيل (logging) هو ما يربط الجانبين معاً. إذ يعتمد الإبلاغ عن الحوادث الجسيمة وأيّ مراجعة لاحقة على أثر تدقيقي يعيد بناء ما رآه النظام وما قرّره. وإن أُلحِق هذا التسجيل متأخراً، فإنه يميل إلى إغفال المدخلات التي كانت مهمة.
والعقوبات هي ما يمنح الجدول الزمني وزنه. فمقابل مخالفات التزامات المخاطر العالية، يبلغ السقف حتى 15 مليون يورو أو 3% من إجمالي رقم الأعمال السنوي العالمي، أي الشريحة الأدنى من سقف 35 مليون يورو / 7% المخصّص للممارسات المحظورة بموجب المادة الخامسة. ولست بحاجة إلى هذا الرقم لتبرير العمل، وإن كان يميل بالفعل إلى شدّ الانتباه.
والخلاصة العملية هي ذاتها التي نطبّقها على أيّ نظام مالي: تتبّع الأصل (lineage)، وبيانات تدريب ممثِّلة، وتقييم يمكنك الدفاع عنه، وتسجيل تدقيقي موجود منذ أول commit، هي ما يجعل النظام قادراً على الصمود أمام المراجِع. والموعد النهائي الأبعد لا يغيّر هذا العمل، بل يمنحك فقط الوقت للقيام به من دون أخذ مسالك مختصرة، وهذا هو السبب الأوجه للبدء الآن.