الوضع الفعلي: عقد واحد، سلسلة غير مرئية
عندما توقّع مؤسسة سعودية عقداً مع مزود ذكاء اصطناعي، فإنها غالباً تتعامل مع واجهة واحدة: شركة لها اسم ومندوب مبيعات واتفاقية مستوى خدمة. لكن خلف هذه الواجهة توجد طبقات متعددة قلّما تُراجع: مزود النموذج اللغوي الأساسي، مزود الحوسبة السحابية الذي يستضيف الأحمال، شركات معالجة البيانات المساعدة، وأحياناً مزودون فرعيون لخدمات الأمن أو المراقبة. كل طبقة من هذه الطبقات تحمل شروطها الخاصة، وقوانينها الخاصة، ومخاطر انقطاعها الخاصة.
المشكلة ليست في وجود هذه الطبقات، فهذا واقع تقني طبيعي في أي نظام ذكاء اصطناعي حديث. المشكلة أن معظم المؤسسات السعودية توقّع العقد بناءً على تقييم المزود الظاهر فقط، دون طلب خريطة واضحة لمن يقف خلفه. هذا يعني أن القرار التعاقدي يُبنى على معلومات جزئية، بينما المخاطر الفعلية - التشغيلية والقانونية وأحياناً السيادية - موزعة على أطراف لم تتم مراجعتها إطلاقاً.
هذا النمط ليس حكراً على القطاع الخاص. حتى في المبادرات الحكومية والشبه حكومية التي تتعامل مع بيانات حساسة، يحدث أحياناً أن يُعتمد مزود بناءً على عرضه التقني وسعره، بينما تبقى أسئلة مثل أين تُستضاف البيانات فعلياً، ومن يملك حق الوصول إليها عبر الطبقات الفرعية، بلا إجابة موثقة. الفجوة هنا ليست فجوة تقنية بل فجوة حوكمة في عملية الشراء نفسها.
كلفة التجاهل: ليست نظرية، بل تشغيلية وتعاقدية
حين ينقطع مزود فرعي عن الخدمة، أو يغيّر شروط استخدامه، أو يتعرض لحادثة أمنية، فإن الأثر يصل إلى المؤسسة السعودية بسرعة، لكن دون أن تملك هي أي علاقة تعاقدية مباشرة مع ذلك المزود الفرعي لحل المشكلة أو حتى فهم تفاصيلها. المؤسسة تجد نفسها في موقف تفاوضي ضعيف: تطالب مزودها الرئيسي بإجابات، بينما هو نفسه ينتظر إجابات من طرف ثالث لا سلطة له عليه بشكل كامل.
الكلفة الأخرى أقل وضوحاً لكنها أكثر خطورة على المدى المتوسط: استمرارية الأعمال. إذا كان أداء نظام الذكاء الاصطناعي بالكامل مرتبطاً بمزود بنية تحتية واحد لم تتم مراجعته، فإن أي تغيير في سياساته التجارية، أو أسعاره، أو حتى وجوده في السوق، يصبح خطراً مباشراً على استمرارية عملية مؤسسية ربما أصبحت تعتمد عليها بشكل يومي. هذا النوع من التركز الخفي لا يظهر في أي تقرير أداء، لأنه ببساطة لم يُقيَّم من الأساس.
على الصعيد التعاقدي، كثير من اتفاقيات مستوى الخدمة التي توقعها المؤسسات لا تنص بوضوح على من يتحمل المسؤولية عند فشل ناتج عن طرف فرعي. هذا الغموض لا يظهر أثره إلا عند وقوع الحادثة، وعندها يكون التفاوض على المسؤولية متأخراً جداً ومكلفاً من حيث الوقت والعلاقة المؤسسية، وليس فقط من حيث التعويض المالي.
معايير القرار: أسئلة يجب طرحها قبل التوقيع أو التجديد
أول سؤال جوهري هو: هل يملك المزود خريطة مكتوبة وواضحة لجميع الأطراف التي تشارك في تقديم الخدمة، بما في ذلك مزود النموذج، مزود الاستضافة، وأي معالج بيانات ثانوي؟ إذا كانت الإجابة غامضة أو تحتاج إلى وقت طويل للحصول عليها، فهذا بحد ذاته مؤشر على نضج حوكمي منخفض لدى المزود، بصرف النظر عن جودة منتجه التقني.
السؤال الثاني يتعلق بموقع البيانات وسيادتها الفعلية عبر كل طبقة من السلسلة، وليس فقط عند المزود الرئيسي. من المهم معرفة ما إذا كانت البيانات تُنقل أو تُعالج خارج النطاق المتفق عليه تعاقدياً عبر أي من المزودين الفرعيين، وما هي الآلية الفعلية للتحقق من ذلك دورياً وليس مرة واحدة عند التوقيع.
السؤال الثالث عملي بحت: ماذا يحدث فعلياً عند فشل أحد المزودين الفرعيين؟ هل توجد خطة بديلة موثقة، أم أن استمرارية الخدمة بأكملها معلّقة على افتراض أن الطرف الفرعي لن يفشل؟ والسؤال الرابع يخص المسؤولية التعاقدية: هل تنص الاتفاقية بوضوح على من يتحمل الالتزام القانوني والتشغيلي عند وقوع حادثة ناتجة عن طبقة لم تتعاقد معها المؤسسة مباشرة؟ هذه الأسئلة الأربعة ليست تفصيلية، بل هي جوهر تقييم جاهزية أي مزود ذكاء اصطناعي للعمل داخل بيئة مؤسسية سعودية حساسة.
ما يتطلبه حل جاد: من المراجعة إلى الحوكمة المستمرة
الحل الجاد لا يبدأ بأداة تقنية، بل بعملية حوكمية واضحة تُدمج في دورة الشراء والتعاقد منذ البداية، وليس كخطوة لاحقة. هذا يعني إلزام كل مزود مرشح بتقديم خريطة مكتوبة لسلسلة التوريد الخاصة به، ومراجعة هذه الخريطة بنفس الجدية التي تُراجع بها العروض الفنية والمالية، بدلاً من الاكتفاء بالثقة في سمعة المزود الظاهر.
الخطوة الثانية هي بناء مصفوفة تصنيف للمخاطر تربط كل طبقة فرعية بمستوى حساسية البيانات التي تمر عبرها، بحيث تُعامل الأنظمة التي تتعامل مع بيانات حساسة أو تشغيلية حرجة بمستوى تدقيق أعلى من الأنظمة ذات المخاطر المحدودة. هذا التمييز يمنع المؤسسة من إنفاق جهد تدقيق مبالغ فيه على أنظمة منخفضة المخاطر، بينما تترك أنظمة حرجة دون مراجعة كافية.
الخطوة الثالثة، وهي الأهم غالباً، أن تكون المراجعة مستمرة وليست حدثاً لمرة واحدة. سلاسل التوريد التقنية تتغير: مزود يضيف طبقة جديدة، أو يغيّر مزود استضافته، أو يوسّع نطاق معالجة البيانات. دون آلية دورية لإعادة التحقق، فإن أي تقييم أولي جيد يفقد قيمته خلال أشهر قليلة، ويعود الوضع إلى نقطة الغموض الأصلية التي بدأت منها المؤسسة.
هل هذا يخصك؟ وما الخطوة التالية المنطقية
هذا الإطار يخص تحديداً المؤسسات التي وقّعت أو تخطط لتوقيع عقود ذكاء اصطناعي تتعامل مع بيانات تشغيلية أو عملاء أو بيانات تنظيمية حساسة، خصوصاً إذا كان القرار الأصلي قد اعتمد بشكل رئيسي على تقييم الواجهة الظاهرة للمزود دون خريطة موثقة لما خلفها. إذا كانت مؤسستك قد طلبت بالفعل هذه الخريطة وحصلت على إجابات واضحة وموثقة، فأنت على الأرجح في موقع جيد، وما تحتاجه هو تحديث دوري وليس مراجعة جذرية.
أما إذا كانت الإجابة على سؤال بسيط مثل من يستضيف بياناتنا فعلياً عبر كل طبقة من طبقات هذا النظام غير واضحة اليوم، فهذه فجوة تستحق المعالجة قبل التجديد القادم للعقد، وليس بعد وقوع حادثة. التكلفة الحقيقية لتجاهل هذا السؤال ليست كارثة مفاجئة بالضرورة، بل تآكل تدريجي في القدرة على التفاوض، وفي وضوح المسؤولية، وفي ثقة الجهات الرقابية الداخلية والخارجية بجاهزية المؤسسة.
الخطوة المنطقية التالية ليست مشروعاً ضخماً، بل جلسة تقييم مركزة مع فريق الحوكمة والمخاطر في ASLS.AI، تهدف إلى مراجعة عقد أو مزود واحد محدد لديك اليوم، وكشف خريطة التبعيات الفعلية خلفه، وتزويدك بقائمة أسئلة ونقاط تفاوض واضحة يمكن استخدامها فوراً مع مزودك الحالي أو في أي تعاقد قادم. هذه بداية عملية ومحدودة النطاق، مصممة لإنتاج وضوح قابل للتنفيذ، لا تقريراً نظرياً يضاف إلى الأرشيف.
