لا تستطيع سوى 29% من فرق الأمن إعداد تقارير دورية عن البيانات الحساسة التي يرسلها الموظفون إلى أدوات الذكاء الاصطناعي

تستند هذه المقالة إلى نتائج تقرير Cloud Security Alliance’s (CSA) الصادر عام 2026 عن استطلاعها، منع تسرب البيانات في عصر الذكاء الاصطناعي، الذي كلّفت Jazz بإعداده.

في يونيو ويوليو، سألت CSA 433 متخصصًا في تقنية المعلومات والأمن عما إذا كان فريقهم قادرًا على إعداد تقرير يبيّن عدد المرات التي أُرسلت فيها بيانات حساسة إلى أدوات الذكاء الاصطناعي التوليدي خلال الأيام الثلاثين الماضية. وقال 29% إنهم يستطيعون إعداد هذا التقرير بانتظام.

لما كان لهذا الرقم القدر نفسه من الأهمية لو أن المشاركين اعتبروا الذكاء الاصطناعي التوليدي قناة ثانوية. فقد صنّفوه على أنه أكبر مخاطر تسريب البيانات، إذ أدرجه 48% ضمن أكبر ثلاثة مخاطر لديهم.

أقود فريق الهندسة في شركة تطوّر حلولًا لمنع تسرب البيانات، ويتمحور معظم عملي حول تحديد مواضع ظهور الأدلة على انتقال البيانات داخل النظام، وفهم أسباب نشوء المخاطر المرتبطة بها. ومن هذا المنظور، فإن الفجوة بين ما تعتقد الفرق أنها تستطيع رؤيته وما يمكنها إثباته تنبع مباشرةً من طريقة تصميم ضوابط الذكاء الاصطناعي التوليدي.

الثقة بوضوح الرؤية في الذكاء الاصطناعي التوليدي تفوق كثيرًا ما تستطيع الفرق إثباته

قيّم ما يزيد قليلًا على نصف المشاركين مستوى وضوح رؤيتهم لاستخدام الذكاء الاصطناعي التوليدي بـ4 أو 5 من 5. ومع ذلك، لم يستطع سوى 29% دعم هذا التقييم بانتظام بتقرير يقتصر على إحصاء عدد المرات التي أُرسلت فيها بيانات حساسة إلى أداة ذكاء اصطناعي.

المصدر: Cloud Security Alliance، منع تسرب البيانات في عصر الذكاء الاصطناعي (2026)، n=433. أُعيد إعداد الرسمين استنادًا إلى مخططات التقرير في الصفحتين 22 و23.

يتبع تطبيق الضوابط النمط نفسه. لا يحظر سوى 22% من المشاركين البيانات الحساسة حظرًا صارمًا عبر قناة الذكاء الاصطناعي التوليدي. أما وسائط التخزين القابلة للإزالة، التي صنّفها المشاركون على أنها الأقل خطورةً من حيث تسريب البيانات، فتسجل أعلى معدل للحظر الصارم، عند 31%. ويتركز الحظر الصارم في القنوات التي تستخدم أقدم الأدوات.

المصدر: Cloud Security Alliance، منع تسرب البيانات في عصر الذكاء الاصطناعي (2026)، n=433. أُعيد إعداد المخططات استنادًا إلى مخططات التقرير في الصفحتين 23 و26؛ ووُحّدت أطوال الأعمدة لتساوي 100% عندما أدّى التقريب إلى ظهور قيمة الصف عند 99% أو 101%.

كما نشرت Jazz بيانات القياس عن بُعد من بيئات عملائها إلى جانب نتائج الاستطلاع. وبلغ متوسط عدد أدوات الذكاء الاصطناعي المختلفة المستخدمة في المؤسسة الواحدة ضمن هذه البيانات 169.5 أداة، لم يُعتمد منها سوى 9.8 أدوات، ما يعني أن 94.2% منها خارج القائمة المعتمدة.

لماذا توجد هذه الفجوة؟ قائمة الأدوات لا تسجل أي أحداث

تتمثل الاستجابة المعتادة لمخاطر الذكاء الاصطناعي التوليدي في اعتماد عدد محدود من خدمات الذكاء الاصطناعي بموجب اتفاقيات مؤسسية، مع تثبيط استخدام الخدمات الأخرى أو حظره. ويُظهر رقم 94.2% مدى تأخر تلك القائمة عن واقع الاستخدام. فالمهندس الذي يعمل ضمن موعد نهائي سيستخدم أي أداة تحل مشكلة اليوم، لأن إجراءات شراء الأداة المعتمدة تستغرق أسابيع.

لكن حتى القائمة الكاملة لن توفر التقرير الذي طلبته CSA. فسيسأل فريق الاستجابة للحوادث لديك، أو أحد المدققين، عن حادثة محددة غادرت فيها البيانات المؤسسة، وقائمة الأدوات لا تسجل أي حوادث.

ولإظهار ما حدث في تلك الحادثة، تحتاج إلى معرفة أربع حقائق: ما البيانات الحساسة المعنية، والأداة التي تلقتها، والحساب الذي أُرسلت من خلاله، وسبب إرسال الشخص لها.

الحساب هو أول ما تنهار عنده حوكمة الأدوات. فالموقع الإلكتروني نفسه يخدم حساب شركتك المؤسسي، بما يتضمنه من إعدادات للاحتفاظ بالبيانات وشروط تعاقدية، كما يخدم الحساب الشخصي المجاني لأحد الموظفين، الذي لا يتضمن أيًا من ذلك. واستخدام أداة معتمدة عبر تسجيل دخول شخصي لا يمنحك أدلة أكثر مما يمنحك استخدام أداة غير معتمدة.

يصعب تحديد الغرض، لكنه هو ما يحسم ما إذا كان هناك خطأ من الأساس. فمحللة مالية تلصق نموذجًا للإيرادات في روبوت محادثة لإصلاح صيغة معطوبة تؤدي عملها. أما إذا فعلت الشيء نفسه موظفة قدّمت استقالتها يوم الجمعة، فسيكون الموقف جديرًا بنقاش مختلف تمامًا. وما يميز الحالتين هو السياق المحيط بالشخص، وهو ما لا يظهر أبدًا في البيانات المرسلة.

كلٌّ من الضوابط المستخدمة يراقب موضعًا واحدًا

لم يجد الاستطلاع نهجًا مهيمنًا للتحكم في البيانات الحساسة المرسلة إلى أدوات الذكاء الاصطناعي. فقد تراوحت نسبة الاعتماد على حظر نطاقات الذكاء الاصطناعي على مستوى الشبكة، وفحص المحتوى عبر المتصفح، والاكتفاء بسياسة الاستخدام المقبول بين 21% و23% لكل منها، فيما بلغت نسبة الاعتماد على منصات الذكاء الاصطناعي المؤسسية المزودة بآليات مدمجة لمنع تسرب البيانات 10%.

صُمم كل واحد من هذه الضوابط حول نقطة تفتيش واحدة. فحظر النطاق يسمح بالاتصال أو يوقفه، ويسجل الموقع الذي اتصل به المستخدم. أما إضافة المتصفح فترى ما يُكتب فيه، لكنها لا ترصد أي شيء يُرسل من تطبيق سطح مكتب، أو مساعد برمجي داخل محرر للرموز البرمجية، أو أداة لسطر الأوامر. وترصد آلية منع تسرب البيانات المدمجة في منصة الذكاء الاصطناعي المؤسسية ما يدخل إلى تلك المنصة. يختار كل واحد من هذه الضوابط موضعًا واحدًا للمراقبة، على أمل أن تكون البيانات قد أُرسلت من خلاله.

تفسر نقطة التفتيش الواحدة أيضًا أرقام تطبيق الضوابط. فإذا عجز أحد الضوابط عن التمييز بين حساب مؤسسي وآخر شخصي، أو بين لصق اعتيادي وآخر ينطوي على مخاطر، فلن يكون أمامه سوى حظر الحالتين أو عدم حظر أي منهما. وعندئذٍ يوقف الحظر الصارم الأعمال المشروعة إلى جانب الأعمال المحفوفة بالمخاطر. وعندما سُئل المشاركون عن السبب الرئيسي وراء عدم تشديدهم إجراءات الحظر النشط، أشار 46% إلى خشيتهم من تعطيل سير العمل في المؤسسة، وأشار 39% إلى عدم ثقتهم بما يكفي في دقة آليات منع تسرب البيانات.

تحفظات يجدر أخذها في الحسبان

تستند أرقام الاستطلاع إلى إفادات المشاركين، ولم يقارن الاستطلاع تقييمات مستوى الرؤية بالتغطية الفعلية. وينتمي معظم المشاركين إلى الأمريكتين (80%) وإلى مؤسسات يقل عدد موظفيها عن 5,000 (67%)، لذا قد لا تنطبق النتائج بالقدر نفسه على المؤسسات العالمية الكبرى. وتأتي بيانات القياس عن بُعد من مؤسسات اختارت نشر هذا النوع من أدوات الرؤية، ما قد يرجّح كفة المؤسسات التي تشعر بالقلق أصلًا من انتشار استخدام الذكاء الاصطناعي.

الأدوات والوكلاء المعتمدون سيجعلون القائمة أضعف من ذلك

مع إضافة منتجات البرمجيات كخدمة المعتمدة مساعدات الذكاء الاصطناعي، غالبًا ما يكون للسؤال عن الأداة التي تلقت البيانات إجابتان: التطبيق الذي فتحه الموظف، ومزوّد نموذج الذكاء الاصطناعي الذي يقف وراءه. وتزيد وكلاء الذكاء الاصطناعي الأمر تعقيدًا. فعندما يستخرج وكيل ملفًا ويرسله إلى جهة ما نيابةً عن موظف، يصبح تحديد من قام بذلك ولماذا مسؤوليةً تقع جزئيًا على عاتق البرمجيات. وكما جاء في مقال حديث لـ Unite.AI عن حقن المطالبات في وكلاء بيئات الإنتاج، يمكن توجيه الوكيل عبر المحتوى الذي يقرؤه، لذا لا يمكن اعتبار روايته لما فعله دليلًا على الغرض منه.

اختبار يمكنك إجراؤه هذا الشهر

حدّد أكثر البيانات حساسية التي تعتقد أنها وصلت إلى إحدى أدوات الذكاء الاصطناعي خلال الأيام الثلاثين الماضية. ثم تحقق مما إذا كان فريقك يستطيع تقديم المعلومات التالية دون إعدادها يدويًا:

• ما البيانات، ومن أين أتت
• الأداة التي تلقتها، بما في ذلك الأدوات غير المدرجة في قائمتك المعتمدة
• ما إذا كانت قد مرّت عبر حساب مؤسسي أم شخصي
• ما الذي كان الشخص يعمل عليه عندما أرسلها

إذا أمكن الحصول على إجابة السؤالين الأولين بسرعة، بينما يتطلب السؤالان الأخيران إجراء مقابلة مع الموظف، فإن حوكمتك لا تغطي سوى قائمة أدواتك، ولا تكاد تغطي بياناتك.