سياسة استخدام الذكاء الاصطناعي

الغرض والنطاق

بصفتها شركة خدمات مهنية، تتولى شركة Tkxel مسؤولية حماية الملكية الفكرية لعملائها. وبينما يوفر الذكاء الاصطناعي فرصًا كبيرة لتعزيز الإنتاجية وجودة البرمجيات، فإنه ينطوي أيضًا على مخاطر تتعلق بخصوصية البيانات، وتسريب الملكية الفكرية، والأمن السيبراني.

تحدد هذه السياسة المعايير الإلزامية لاستخدام أدوات الذكاء الاصطناعي التوليدي في شركة Tkxel. وهي متوافقة مع معايير ISO 42001 لأنظمة إدارة الذكاء الاصطناعي، مع إعطاء الأولوية لإدارة المخاطر والشفافية والمساءلة.

المبادئ الأساسية

1. ثقة العميل أولاً: لا نضحي أبدًا بسرية عملائنا من أجل الراحة.
2. المساءلة الإنسانية: الذكاء الاصطناعي أداة، وليس بديلاً. يتحمل المستخدم المسؤولية الكاملة عن المخرجات الناتجة.
3. الوضع الافتراضي للاحتفاظ بالبيانات: نفترض أن جميع المدخلات لنماذج الذكاء الاصطناعي المتاحة مجاناً تصبح بيانات عامة؛ لذلك، فإن المدخلات الحساسة محظورة.

الأدوات المصرح بها والاستخدام الشخصي

لضمان الأمن والامتثال، تُطبق القواعد التالية على اختيار الأدوات:

• الأدوات المعتمدة فقط: لا يجوز للموظفين استخدام أدوات الذكاء الاصطناعي إلا إذا تم فحصها والموافقة عليها صراحة من قبل مكتب تكنولوجيا المعلومات والأمن في Tkxel (مثل GitHub Copilot Enterprise و ChatGPT Enterprise).
• حظر النماذج "المجانية/العامة": إن استخدام نماذج الذكاء الاصطناعي المجانية والمتاحة للجمهور (مثل ChatGPT المجاني، وGemini للمستهلكين، وClaude العام) لأغراض العمل هو يمنع منعا باتا. غالباً ما يتم تدريب هذه النماذج على بيانات المستخدم، مما يؤدي إلى تسريب البيانات على الفور.
• ممنوع إنشاء حسابات شخصية: يُمنع استخدام عناوين البريد الإلكتروني الشخصية للتسجيل في أدوات الذكاء الاصطناعي أو الوصول إليها لأغراض العمل. يجب توفير جميع صلاحيات الوصول عبر نظام تسجيل الدخول الموحد (SSO) من Tkxel.
• قيود الجهاز: لا يجوز تثبيت أدوات الذكاء الاصطناعي الشخصية أو ملحقات المتصفح على الأجهزة التي توفرها الشركة.
• ضوابط التكلفة: عند توفير نماذج الذكاء الاصطناعي من جهات خارجية (على سبيل المثال، عبر واجهة برمجة التطبيقات للتطوير)، يجب تكوين ضوابط الفوترة المناسبة وحدود الميزانية الصارمة لتجنب مفاجآت التكلفة أو الحلقات الجامحة.

خصوصية البيانات وحماية الملكية الفكرية (معيار ISO 42001)

تتحمل شركة Tkxel مسؤولية كاملة عن بيانات العملاء، وهذه مسؤولية مشتركة بين أعضاء الفريق الذين يستخدمون أدوات الذكاء الاصطناعي، وخاصةً قائد فريق التسليم. يجب عدم إدخال أنواع البيانات التالية مطلقًا في أي نافذة إدخال بيانات خاصة بالذكاء الاصطناعي، بغض النظر عن إعدادات الأمان أو نوع النموذج الخاص بالأداة:

1. معلومات التعريف الشخصية (PII): أسماء وعناوين وبريد إلكتروني وبطاقات هوية حكومية للموظفين أو المستخدمين من العملاء.
2. المعلومات الصحية المحمية (PHI): أي بيانات طبية أو متعلقة بالصحة.
3. بيانات اعتماد العميل: كلمات المرور، أو رموز API، أو مفاتيح موفر الخدمة السحابية، أو مفاتيح التشفير.
4. منطق أعمال خاص: خوارزميات أو أسرار تجارية شديدة التخصص تشكل القيمة الأساسية لأعمال العميل.

عواقب الاختراق: يعتبر إدخال بيانات العملاء الحساسة في نموذج الذكاء الاصطناعي العام انتهاكًا أمنيًا خطيرًا وسيؤدي إلى اتخاذ إجراءات تأديبية، تصل إلى حد الفصل من العمل.

إرشادات الهندسة والتطوير

ينطبق هذا القسم تحديداً على مهندسي البرمجيات، ومهندسي DevOps، وموظفي ضمان الجودة.

تحسين السياق وكفاءة الرموز المميزة

لمنع التكرار، وإهدار الموارد، وتسريب البيانات المحتمل من خلال مشاركة السياق المفرطة:

• تحميل السياق المنظم: لا تقم بلصق ملفات التعليمات البرمجية الخام بشكل متكرر في سياق المحادثة.
• نهج "اقرأني أولاً": يجب على المهندسين التأكد من احتواء المستودعات على ملفات README.md و ARCHITECTURE.md قوية. ينبغي تمرير هذه الملفات إلى الذكاء الاصطناعي. مرة لتحديد السياق.
• التوجيه المعياري: ركز على توجيهات محددة حول وظائف أو وحدات معينة بدلاً من قواعد البيانات البرمجية بأكملها.

إدارة الأسرار والتعقيم

لا تحترم أدوات الذكاء الاصطناعي قواعد gitignore إذا قمت بنسخ ولصق التعليمات البرمجية يدويًا.

• قاعدة ".env": يجب تنظيف الكود المُقدّم إلى الذكاء الاصطناعي تنظيفاً دقيقاً. تأكد من عدم وجود أي أسرار مُضمّنة في الكود.
• عملية الاستعراض: قبل لصق أي جزء من التعليمات البرمجية في أداة الذكاء الاصطناعي، يجب على المهندس التحقق من أن المقتطف لا يحتوي على ما يلي:
  • مفاتيح واجهة برمجة التطبيقات (طرف أول أو طرف ثالث)
  • سلاسل اتصال قاعدة البيانات
  • شهادات خاصة
• عزل ملفات البيئة: يجب أن تبقى ملفات .env وملفات التكوين الأخرى التي تحتوي على معلومات سرية في ملف .gitignore ويجب أبدا يمكن مشاركتها مع نافذة سياق الذكاء الاصطناعي.
• التناوب الإلزامي للمفاتيح: للتخفيف من المخاطر المرتبطة بالتسريب المحتمل، يجب أن تكون جميع مفاتيح وأسرار واجهة برمجة التطبيقات المستخدمة في المشاريع المدعومة بالذكاء الاصطناعي قصيرة الأجل ويتم استبدالها كل لمدة 3 أشهرينطبق هذا الشرط على كل من بيئات Sandbox/Dev وبيئات الإنتاج.

صلاحية الكود وأمانه

• ممنوع النسخ واللصق العشوائي: إن التعليمات البرمجية التي يتم إنشاؤها بواسطة الذكاء الاصطناعي عرضة لـ "الهلوسة" والثغرات الأمنية (على سبيل المثال، استيراد حزم غير موجودة أو ضارة).
• المراجعة إلزامية: يجب مراجعة جميع التعليمات البرمجية التي تم إنشاؤها بواسطة الذكاء الاصطناعي سطرًا بسطر، وفهمها، واختبارها من قبل المهندس قبل اعتمادها.
• الملكية الكاملة وسهولة الصيانة: يجب أن يمتلك الفريق فهمًا كاملًا لجميع التعليمات البرمجية المُولَّدة بواسطة الذكاء الاصطناعي، وأن يتعامل معها تمامًا كما لو كانت مكتوبة يدويًا. يتحمل الفريق الحالي المسؤولية الكاملة عن جميع طلبات التغيير المستقبلية، وتصحيح الأخطاء، ومشاكل الصيانة؛ ولا يُقبل إرجاع التعقيد أو الأخطاء إلى "التوليد بواسطة الذكاء الاصطناعي".
• الاختبارات الإلزامية التي تخضع لفحص بشري: يجب أن تكون جميع المنطق المُولّد بواسطة الذكاء الاصطناعي مصحوبة بحالات اختبار شاملة للوحدات. يجب كتابة هذه الاختبارات أو مراجعتها بدقة من قِبل مهندس بشري لضمان أنها تُؤكد صحة منطق العمل بدقة، وليست مجرد اختبارات وهمية تُجرى على شفرة وهمية.
• الامتثال لشروط ترخيص المكتبة: كثيراً ما تقترح تقنيات الذكاء الاصطناعي مكتبات خارجية. يجب أن تحمل جميع هذه المكتبات تراخيص معتمدة (مثل ترخيص MIT أو Apache 2.0). يُحظر منعاً باتاً تضمين المكتبات ذات التراخيص المقيدة (مثل GPL أو AGPL) التي تحظر الاستخدام التجاري، وتقع مسؤولية أي انتهاك على عاتق الجهة المسؤولة عن التوزيع مباشرةً.
• تحليل ثابت: يخضع الكود الذي تم إنشاؤه بواسطة الذكاء الاصطناعي لنفس بوابات التكامل المستمر/التسليم المستمر، وعمليات فحص SonarQube، والمراجعات الأمنية التي يخضع لها الكود المكتوب بواسطة البشر.

إدارة الفريق والإشراف عليه

• مسؤوليات قائد فريق التسليم: يُعدّ قادة التسليم بمثابة حلقة الوصل البشرية الإلزامية لضمان سير العمل بسلاسة. وهم مسؤولون عن:
  1. التحقق من صحة حالة الاستخدام المحددة لأدوات الذكاء الاصطناعي لفرقهم المعنية.
  2. الحصول على الموافقات اللازمة قبل السماح باستخدام أدوات الذكاء الاصطناعي داخل الفريق.
  3. المساءلة عن الترخيص: ضمان امتثال جميع المكتبات المقترحة بواسطة الذكاء الاصطناعي لمعايير الترخيص التجاري. يتحمل قائد التسليم المسؤولية الكاملة عن أي انتهاك لحقوق الملكية الفكرية أو مخالفات للترخيص ناتجة عن التبعيات التي أدخلها الذكاء الاصطناعي.
  4. فريق المراقبة يلتزم بهذه السياسة.

موافقة العميل والشفافية

بصفتنا مزود خدمة، لا يمكننا أن نقرر من جانب واحد معالجة الملكية الفكرية للعميل باستخدام معالجات الذكاء الاصطناعي التابعة لجهات خارجية.

• الموافقة الإلزامية: لا يجوز استخدام أدوات الذكاء الاصطناعي في أي مشروع دون موافقة صريحة وكتابية من صاحب المصلحة من العميل.
• تنويه: يجب علينا الكشف عن الأدوات المستخدمة وكيفية التعامل مع بياناتها (على سبيل المثال، "نحن نستخدم GitHub Copilot لإكمال التعليمات البرمجية، والذي يحتفظ بالبيانات لمدة 0 يومًا").
• مواصفات المشروع: إذا قام العميل بحظر استخدام الذكاء الاصطناعي، فيجب على مدير المشروع تكوين إعدادات المستودع لتعطيل عمليات دمج أدوات الذكاء الاصطناعي لهذا المشروع المحدد.

المسؤولية والمساءلة

بما يتماشى مع ضوابط المخاطر الخاصة بمعيار ISO 42001:

• مسؤولية المستخدم: يتحمل الموظف المسؤولية الكاملة عن أي حادث أمني، أو خرق للملكية الفكرية، أو انقطاع في الإنتاج ناتج عن استخدام اقتراحات الذكاء الاصطناعي دون التحقق من صحتها. ولا يُعدّ قول "الذكاء الاصطناعي هو من كتبها" دفاعًا مقبولًا.
• التعويض: إن استخدام أدوات الذكاء الاصطناعي غير المصرح بها ينقل مسؤولية اختراقات البيانات مباشرة إلى المستخدم.
• الإبلاغ عن الحوادث: إذا كنت تشك في أنك قمت عن طريق الخطأ بلصق بيانات حساسة في نموذج ذكاء اصطناعي عام، فيجب عليك إبلاغ فريق الأمن على الفور (في غضون ساعة واحدة) للتخفيف من الأضرار.

إدارة دورة حياة الحساب

لتحسين استخدام الموارد والحفاظ على محيط آمن، فإن فريق مركز عمليات الشبكة (NOC) مسؤول عن ما يلي:

• إجراءات التوظيف الموحدة: لا يُمنح الوصول إلى أدوات الذكاء الاصطناعي إلا من خلال طلب رسمي من مسؤول التسليم. سيقوم فريق مركز عمليات الشبكة بتوفير الحسابات باستخدام نظام تسجيل الدخول الموحد للشركة، والتأكد من إضافة المستخدم إلى مجموعة الفوترة الصحيحة.
• التعطيل الفوري: عند خروج الموظف أو نقله من مشروع يتطلب أدوات الذكاء الاصطناعي، يجب على فريق مركز عمليات الشبكة (NOC) إلغاء تنشيط حسابات الذكاء الاصطناعي الخاصة بالشخص في غضون 24 ساعة.
• تدقيق الموارد: سيُجري فريق مركز عمليات الشبكة تدقيقًا شهريًا لنشاط حسابات الذكاء الاصطناعي. وسيتم وضع علامة على الحسابات غير النشطة (التي لم يتم تسجيل الدخول إليها لمدة 30 يومًا) تمهيدًا لتعطيلها، وذلك لمنع هدر موارد الشركة.

إقرار بالسياسة

أقر بأنني قد قرأت وفهمت سياسة الاستخدام المقبول لـ Tkxel AI. أوافق على الالتزام بهذه الإرشادات وأدرك أن المخالفات قد تؤدي إلى إجراءات تأديبية.