الأدلة الإرشادية
NIST AI RMF والمبدأ التوجيهي OSFI E-23
ما الأدلة التي يسجّلها Oloproof في اتجاه وظيفة Measure في NIST AI RMF وفي اتجاه المبدأ التوجيهي E-23 الصادر عن OSFI، بندًا بندًا، وما الذي لا يسجّله. والإصداران المعتمدان هما NIST AI Risk Management Framework 1.0 (NIST AI 100-1، يناير 2023) والمبدأ التوجيهي Guideline E-23، Model Risk Management (النسخة النهائية في 11 سبتمبر 2025، ويسري اعتبارًا من 1 مايو 2027 على المؤسسات المالية الخاضعة للتنظيم الاتحادي في كندا).
هذا ليس شهادة، ولا تقييمًا لامتثالك، ولا استشارة قانونية. فالإطار يطلب ممارسات على مستوى المؤسسة كلها؛ أما Oloproof فينتج أدلة عن أنظمة الذكاء الاصطناعي، وهي جزء واحد من تلك الممارسات. وقد أعلنت NIST أن AI RMF 1.0 قيد التحديث، فتحقّق من الإصدار الذي تُطالَب بالالتزام به.
كيف تُقرأ الجداول
- مُسجَّل: يسجّل Oloproof أدلة على البند كما هو مكتوب، في كل تشغيل أو سجل يسمّيه.
- جزئيًا: يسجّل Oloproof جزءًا مما يطلبه البند؛ ويُذكر الباقي إلى جانبه.
- غير مشمول: يطلب البند شيئًا لا يفعله Oloproof.
البنود معاد صياغتها. اقرأ نص الإطار نفسه قبل الاعتماد على أي صف.
NIST AI RMF 1.0: وظيفة Measure
| البند | ما يطلبه، باختصار | ما يسجّله Oloproof | الحالة |
|---|---|---|---|
| MEASURE 1.1 | مقاييس مختارة للمخاطر التي وجدتها وظيفة Map | مواصفات المقاييس والقواعد وسياسة الإصدار لكل تشغيل، ببصمتها. واختيارها من شأنك | جزئيًا |
| MEASURE 1.2 | إعادة تقييم المقاييس وضوابط الرقابة بمرور الوقت | علامات على مسار الاتجاه حيث تغيّر الحَكَم أو الحالات؛ ويذكر القرار متى تصبح أدلته متقادمة (تطبيق البوابة في CI) | جزئيًا |
| MEASURE 1.3 | تقييم يجريه أشخاص لم يبنوا النظام | مساحة عمل تحسم على أدلتها هي، وواسِمون يُعدّون بحسب الحساب، وسجل قرار يفحصه طرف ثانٍ دون اتصال. ومن يكون هؤلاء الأشخاص أمرٌ ترتّبه أنت | جزئيًا |
| MEASURE 2.1 | توثيق مجموعات الاختبار والمقاييس والأدوات | كل تشغيل يسمّي مجموعة اختباره ونُسخ نظامه ومُقيِّماته ومقاييسه وطرائقه بعنوان المحتوى، ونسخة التحليل | مُسجَّل |
| MEASURE 2.2 | حماية الأشخاص الخاضعين للدراسة | لا شيء | غير مشمول |
| MEASURE 2.3 | قياس الأداء وإثباته | كل قاعدة تُحسم على فترة: PASS أو FAIL أو INSUFFICIENT_EVIDENCE أو MANUAL_REVIEW. أما هل تشبه مجموعة الاختبار بيئة النشر فمن شأنك | جزئيًا |
| MEASURE 2.4 | مراقبة السلوك في الإنتاج | يراجع أشخاص عينة تسحبها مساحة العمل من حركة المرور الحقيقية (تقييم الإنتاج) | جزئيًا |
| MEASURE 2.5 | إثبات الصلاحية والموثوقية | فترات مع مقاماتها، وحُكّام يُقاسون مقابل الأشخاص قبل أن يُسمح لهم بالحسم (الحُكّام) | جزئيًا |
| MEASURE 2.6 | تقييم مخاطر السلامة بانتظام | سقوف على ما يقع من أخطاء، تُحسم على حالاتك، وتقييمات أداة للفريق الأحمر تُقرأ حين تتوفر لديك (سقوف المخاطر). ولا يكتب Oloproof أي هجمات | جزئيًا |
| MEASURE 2.7 | تقييم الأمن والصمود | فقط عبر سقوف على حالات تكتبها أو تستوردها | جزئيًا |
| MEASURE 2.8 | فحص الشفافية والمساءلة | اعتمادات وموافقات من شخصين مسمَّيين، محفوظة في سلسلة ومحمولة في سجل القرار | جزئيًا |
| MEASURE 2.9 | شرح النموذج وتفسير مُخرَجه | تسمّي التشخيصات بالتدخل الجزءَ المتورط في الإخفاقات؛ ولا تشرح أي نموذج | جزئيًا |
| MEASURE 2.10 | فحص مخاطر الخصوصية | تُبقي سياسة الخروج (egress) المحتوى في جانبك؛ ولا تُقيَّم أي مخاطر للخصوصية | غير مشمول |
| MEASURE 2.11 | تقييم الإنصاف والتحيّز | شرائح مُعلَنة تُقاس مع ضبط التعددية؛ أما ما يجعل الشريحة منصفة فمن شأنك | جزئيًا |
| MEASURE 2.12 | تقييم الأثر البيئي | تُسجَّل التكلفة؛ ولا تُسجَّل الطاقة | غير مشمول |
| MEASURE 2.13 | تقييم القياس نفسه | حُكّام يُتحقَّق من صلاحيتهم مقابل وسوم الأشخاص، وكل طريقة إحصائية تُقبَل بمذكرة وشبكة تغطية وتدقيق | جزئيًا |
| MEASURE 3.1 | تتبّع المخاطر بمرور الوقت | الاتجاه، وحداثة الأدلة، ومراجعة الإنتاج | جزئيًا |
| MEASURE 3.2 | المخاطر التي يصعب قياسها | القاعدة التي لا تستطيع الأدلة حسمها تقول ذلك (INSUFFICIENT_EVIDENCE، MANUAL_REVIEW)، والفترة غير المحسومة تقول كم حالة أخرى تلزم لحسمها | جزئيًا |
| MEASURE 3.3 | الملاحظات من المستخدمين النهائيين | لا شيء | غير مشمول |
| MEASURE 4.1 | ربط القياس بسياق النشر | وسوم من مراجِعيك أنت؛ أما السياق فمن شأنك | جزئيًا |
| MEASURE 4.2 | نتائج يُسهم فيها خبراء المجال | وسوم المراجِعين تحسم قيمة الحَكَم | جزئيًا |
| MEASURE 4.3 | توثيق التحسّنات والتراجعات | مقارنات للتغيير بما هو قيد التشغيل الفعلي، مزدوجة، مع فترات (المقارنة) | مُسجَّل |
المبدأ التوجيهي E-23 من OSFI (2027)
| المبدأ | ما يطلبه، باختصار | ما يسجّله Oloproof | الحالة |
|---|---|---|---|
| 1.1 إلى 1.3 | خطوط الإبلاغ، وإطار لمخاطر النماذج، ونماذج ملائمة لغرضها | أدلة على الملاءمة لغرض واحد: قواعد سياسة إصدار تُحسم على فترات. أما الإطار وحوكمته فمن شأنك | جزئيًا |
| 2.1 | جرد للنماذج المستخدمة | نُسخ النظام في كل مشروع، كما سجّلتها عمليات التشغيل التي قيّمتها. وليس جردًا على مستوى المؤسسة | جزئيًا |
| 2.2 | تصنيف لمخاطر النموذج | لا شيء | غير مشمول |
| 2.3 | جهد يتناسب مع المخاطر | سياسة لكل مشروع: عتباتها، ومستوى ثقتها، وهل يحتاج الإصدار الناجح إلى موافقة شخصين | جزئيًا |
| 3.1 | سياسات دورة الحياة، موثَّقة | سياسة الإصدار ملف، يُسجَّل ببصمته مع كل بوابة تُحسم بموجبه | جزئيًا |
| 3.2 | بيانات ملائمة لاستخدامها | مجموعات اختبار ذات نُسخ بحسب المحتوى؛ أما هل تلائم الاستخدام فمن شأنك | جزئيًا |
| 3.3 | معايير تطوير للأداء والتوثيق | قواعد بعتبات، وسجل كل تشغيل | جزئيًا |
| 3.4 | مراجعة مستقلة للسلامة المنهجية والأداء | بوابة لمساحة العمل تحسم على أدلة تحقّقت منها بنفسها، وعمليات تشغيل يوقّعها مشغِّل (runner) يسجّله فريق المنصة لديك، وسجل قرار يفحصه مراجِع دون اتصال. أما وظيفة المراجعة فمن شأنك | جزئيًا |
| 3.5 | نشر مع ضبط الجودة وضبط التغيير | لا شيء: التشغيل الموقَّع يشهد بما نفّذه المشغِّل، لا بما يخدم الإنتاج | غير مشمول |
| 3.6 | المراقبة والإخراج من الخدمة | مراجعة الإنتاج وحداثة الأدلة للمراقبة؛ أما الإخراج من الخدمة فغير مشمول | جزئيًا |
| الموافقة | موافقة قبل الاستخدام، مع إقرار المخاطر المتبقية | يمكن للإصدار الناجح أن ينتظر موافقة شخصين مسمَّيين، تُسجَّل وتُربط في سلسلة (تطبيق البوابة في CI) | جزئيًا |
إلى أين بعد ذلك
- تطبيق البوابة في CI: سياسة الإصدار، والموافقات، وسجل القرار.
- سقوف المخاطر: ما يحسمه السقف وما لا يقوله.
- ما الذي يعمل اليوم: كل ما بُني، وما لم يُبنَ.