أمضت دول الخليج سنوات في بناء مؤسّسات قادرة على التعامل مع الأزمات السيبرانية. أمّا الاختبار المقبل فهو ما إذا كانت هذه المؤسّسات تستطيع التعامل مع حادثة مرتبطة بالذكاء الاصطناعي لا تتوقّف عند حدود شركة واحدة أو قطاع واحد أو حتى دولة واحدة.
لنتخيّل أن نظاماً للذكاء الاصطناعي في مصرف بالدوحة يرصد نشاطاً مشبوهاً، فيجمّد المصرف عدداً من الحسابات. وفي الوقت نفسه، يرصد مزوّد لخدمة سحابية استخداماً غير معتاد للهويات الرقمية نفسها، ويلاحظ مشغّل اتصالات حركة غير طبيعية على الشبكة، فيما تفقد شركة لوجستية فجأة إمكانية الوصول إلى خدمة تعتمد عليها. قد يتصرف كلّ طرف بمسؤولية، لكن لا أحد منهم يرى الحادثة كاملة.
المشكلة هنا ليست برمجية في الأساس، بل تتعلق بالتنسيق: من يقود الاستجابة؟ وما المعلومات التي يمكن مشاركتها؟ ومن يقرّر متى يصبح من الآمن إعادة الخدمات المتضررة إلى العمل؟
اليوم، هو الوقت مناسب لأن تضع دول الخليج إجابات واضحة عن هذه الأسئلة. ففي أغسطس، استضافت الدوحة ورشة لمجلس التعاون الخليجي حول ورشة إعداد الاستراتيجية الخليجية لمكافحة الجرائم الإلكترونية وجرائم الذكاء الاصطناعي، تناولت أيضاً تبادل الأدلة الرقمية عبر الحدود. وفي الشهر نفسه، أشار الأمين العام للمجلس إلى منصّة المنطقة لتبادل معلومات التهديدات السيبرانية وإلى التدريبات السيبرانية المشتركة التي تُجرى سنوياً، بوصفها جزءاً من منظومة أمنية تتجه نحو مزيد من التكامل.
الأساس موجود بالفعل
يسير العمل الجاري على السياسات في الاتجاه نفسه في قطر. فمسودة السياسة الوطنية للذكاء الاصطناعي تضع القدرات المؤسّسية وحوكمة الذكاء الاصطناعي إلى جانب البنية التحتية والبيانات والمهارات. وتدعو الاستراتيجية الوطنية للأمن السيبراني 2024-2030 إلى توزيع واضح للأدوار في إدارة الأزمات على المستوى الوطني، والإبلاغ عن الحوادث، وإنشاء قنوات لتبادل المعلومات، وتنسيق التعافي بين المؤسّسات العامّة والخاصّة.
أما على المستوى الإقليمي، فقد قطع مجلس التعاون شوطاً أبعد. فلديه استراتيجية للأمن السيبراني للفترة 2024-2028 وخطّة تنفيذية لها، إضافة إلى منصّة لتبادل معلومات التهديدات تخضع لقواعد حوكمة وتدريبات مشتركة دورية. لذلك لا يحتاج الخليج إلى إنشاء جهاز بيروقراطي جديد لحوادث الذكاء الاصطناعي، بل إلى تكييف المؤسّسات الموجودة أصلاً.
وما ينقص هو دليل إجراءات بسيط للحوادث التي تنتقل من مؤسسة إلى أخرى.
أولاً: من يستطيع التحرّك؟
عندما تتداخل مؤسّسات عدّة في حادثة واحدة، يكون السؤال الأوّل غالباً: من تسبّب في المشكلة؟ سيأتي وقت لهذا السؤال، لكنه ليس السؤال الأوّل في حادثة تتطوّر بسرعة. الأولوية هي معرفة من يستطيع تغيير الوضع الذي ينشأ منه الخطر.
يمكن للمصرف أن يوقف عملية دفع، ولمشغّل الاتصالات أن يقيّد اتصالاً على الشبكة، ولمزوّد الخدمات السحابية أن يعطّل حساباً. وقد تلاحظ هيئة وطنية للأمن السيبراني أن حوادث تبدو منفصلة ترتبط في الواقع ببعضها، فيما قد تضطر الجهة الناظمة لقطاع ما إلى تقدير ما إذا كان إجراء وقائي يخلق بدوره خطراً على خدمات أساسية.
لذلك ينبغي أن تُبنى المسؤولية أولاً على من يملك القدرة على التحكّم في الوضع، لا على تحديد من سيقع عليه اللوم. وعلى كلّ مؤسّسة أن تعرف القرارات التي تدخل ضمن صلاحياتها، والقرارات التي تعود إلى جهات أخرى، ومتى ينبغي إخراج إدارة الحادثة من نطاق مؤسّسة واحدة إلى مستوى أوسع.
ثانياً: صورة مشتركة، لا كل التفاصيل التقنية
التنسيق عبر الحدود لا يقتضي أن تكشف كلّ مؤسّسة كامل سجّلاتها أو بيانات عملائها أو تقنياتها الخاصة. فهذا ليس ضرورياً، وقد يكون مخالفاً للقانون أو غير آمن. ما تحتاجه الجهة التي ستتعامل مع الحادثة بعد ذلك هو إحاطة قصيرة وموثوقة: ماذا حدث؟ وما الذي تأكّد؟ وما الذي لا يزال غير محسوم؟ وما المؤسّسات التي قد تكون متأثّرة؟ وما الإجراء الوقائي الذي اتُّخذ؟ وما القرار المطلوب الآن؟
وهنا يصبح الفصل بين الوقائع والفرضيات أساسياً. فإذا قالت مؤسْسة إن مورّداً مشتركاً تعرّض للاختراق، فيما لا تعرف مؤسّسة أخرى إلا أن خدمة ما لا تعمل على نحو طبيعي، فلا ينبغي دمج المعلومتين في استنتاج واحد. التنسيق الجيّد لا يمحو مساحة عدم اليقين، بل يبقيها واضحة.
ويمكن استخدام آليات تبادل المعلومات القائمة في مجلس التعاون لتطوير نموذج موحّد لهذا النوع من الإحاطات. المطلوب هو الحدّ الأدنى الضروري من المعلومات مع مصدر واضح، لا أكبر قدر ممكن من تبادل البيانات.
ثالثاً: تنسيق العودة إلى العمل
قد تصبح الحادثة خطرة مرّة أخرى في مرحلة التعافي نفسها. فقد يصلح مصرف نظامه المحلّي ويستعد لإعادة الاتصال. لكن إذا كانت المشكلة الأصلية قد أصابت أيضاً هوية سحابية أو وصلة اتصالات أو مورّداً تستخدمه جهات أخرى، فقد تؤدّي إعادة تشغيل خدمة واحدة إلى تعريض مؤسّسة أخرى للخطر.
ذلك لا يعني أن تملك كلّ مؤسّسة حقّ تعطيل عودة المؤسسات الأخرى إلى العمل. المطلوب هو إجراء مراجعة مشتركة قبل إعادة تشغيل خدمة أو مكوّن تعتمد عليه جهات عدّة: ما الذي تعطل؟ وما الذي أُصلح؟ وما الذي لا يزال غير محسوم؟ وهل ستغيّر إعادة وصل خدمة ما مستوى الخطر الذي يواجهه طرف آخر؟
هذه قاعدة حوكمة، وليست مواصفة تقنية. فهي تبقي قرار كلّ مؤسّسة بيدها، لكنها تمنع أن يتحول تعافي جهة ما إلى تعريض جهة أخرى للخطر من جديد.
يمكن لمجلس التعاون أن يتدّرب على ذلك قبل وقوع أزمة حقيقية
أكثر الخطوات العملية الآن هو إجراء تدريب. يمكن أن يبدأ تدريب سيبراني مقبل لمجلس التعاون بحادثة مرتبطة باستخدام الذكاء الاصطناعي داخل شركة خاصة، ثم يتسع السيناريو ليشمل خدمة سحابية وقطاعاً خاضعاً للتنظيم ودولة خليجية ثانية. ولن يكون الهدف معرفة أي دولة تملك أفضل البرمجيات، بل اختبار ما إذا كانت المؤسّسات تدرك أنها تتعامل مع الحادثة نفسها.
ويمكن قياس الأداء بأسئلة بسيطة: كم استغرق ربط الحوادث ببعضها؟ وهل تولّت الجهة المناسبة القيادة في كلّ مرحلة؟ وهل حافظت المعلومات المتبادلة على الفصل بين ما هو معلوم وما هو غير معلوم؟ وهل أدّى إجراء وقائي اتخذته مؤسّسة إلى تعطيل غير ضروري لدى جهة أخرى؟ وهل عادت الخدمات المتضرّرة إلى العمل من دون أن تعيد المشكلة الأصلية إلى الظهور؟
هذه أسئلة عن أداء المؤسسات وقدرة المنطقة على الصمود، لكنها تزداد أهمّية أيضاً في السياسة الاقتصادية. فدول الخليج تستثمر بكثافة في الذكاء الاصطناعي والبنية التحتية السحابية والتمويل الرقمي والخدمات العابرة للحدود. وكلّما زاد ترابط هذه الأنظمة، صار من الأصعب افتراض أن حادثة خطيرة ستتوقّف عند حدود مؤسّسة أو دولة.
حوكمة الذكاء الاصطناعي: التنسيق هو المستوى التالي
يركّز جانب كبير من النقاش حول حوكمة الذكاء الاصطناعي على ما إذا كان النموذج آمناً ودقيقاً ويخضع لإشراف مناسب داخل مؤسّسة واحدة. وتبقى هذه الأسئلة مهمّة، لكن التحدّي المقبل أمام دول الخليج يقع بين المؤسسات لا داخلها.
تملك قطر وشركاؤها في مجلس التعاون الأسس اللازمة بالفعل: آليات وطنية لإدارة الأزمات السيبرانية، ونظم للإبلاغ على مستوى القطاعات، وتبادل للمعلومات الاستخباراتية، وتدريبات مشتركة، وأطراً ناشئة لحوكمة الذكاء الاصطناعي. والخطوة التالية هي ربط هذه العناصر بقاعدة تحدّد من يقود، وكيف تُشارك المعلومات، وكيف يجري التعافي عندما تصبح الحادثة الواحدة مسؤولية أكثر من مؤسّسة في الوقت نفسه.
قد تعبر الحادثة الكبرى المقبلة المرتبطة بالذكاء الاصطناعي حدود دولة خلال ثوانٍ. ولا ينبغي للمؤسّسات المسؤولة عن إدارتها أن تضطر، تحت ضغط الأزمة، إلى ابتكار طريقة لتسليم المسؤولية من جهة إلى أخرى.
