أمن الذكاء الاصطناعي والحوكمة في التعليم: كيف تبني L&D طبقات الـPrompt والبيانات والسياسات؟

الذكاء الاصطناعي التوليدي يضاعف محتوى التدريب خلال دقائق؛ وبالسرعة نفسها يمكنه نقل معلومات حساسة إلى المكان الخطأ. هذان وجهان لآلية واحدة: عندما تقول «ولّد نصًا»، لا ينتج النظام كلمات فقط؛ بل ينقل السياق أيضًا—وأحيانًا سياقًا أكثر مما ينبغي.

أكثر ما تفعله فرق L&D معي في الأشهر الأخيرة هو التالي: تحويل عرض PowerPoint إلى تدريب، تحديث وحدة السلامة المهنية، تسريع مسار onboarding. كلها أمور منطقية. لكن الفريق نفسه، في اليوم نفسه، يسأل: «هل ألصق هذه السياسة داخل الـprompt؟». يبدو السؤال صغيرًا؛ لكنه في الحقيقة نقطة بدء الحوكمة.

في هذا المقال، سأرسم خريطة المخاطر من منظور L&D؛ ثم أقترح إطارًا ثلاثي الطبقات: البيانات، النموذج/الـprompt، اعتماد المخرجات + سجلات التتبع. وفي النهاية، سأترك قوالب سياسات يمكنك نسخها مباشرة وتكييفها داخل مؤسستك، مع RACI وقائمة تحقق تشغيلية.

1) خريطة مخاطر الذكاء الاصطناعي لدى L&D: أين ينفجر، وأين يتسرب بصمت؟

عندما يفكر الناس في المخاطر، غالبًا ما يتخيلون «النموذج يجيب خطأ». نعم، هناك هلوسة. لكن في L&D تظهر المخاطر بأشكال مختلفة عبر أربعة تدفقات عمل:

A) إنتاج المحتوى (السيناريو، نص الفيديو، بنك الأسئلة)

• تسرب البيانات: يتم لصق معلومات داخلية في الـprompt مثل «أهداف المبيعات للربع الماضي» أو «شكاوى العملاء».
• حقوق النشر/الإسناد: تُؤخذ نصوص من مصادر خارجية ويُظن أنها «أُعيدت صياغتها»، ثم تُنشر بلا ذكر مصدر.
• النبرة ولغة المؤسسة: حتى لو كان النص صحيحًا، قد لا ينسجم مع لغة المؤسسة في السلامة المهنية/GDPR؛ وهذا عدم الانسجام يصبح في التدقيق «صغيرًا لكنه مكلف».

B) التقييم (quiz، checkpoint، محاكاة قائمة على القرار)

• غموض القياس: «الإجابة الصحيحة» ليست هي «السلوك الصحيح». L&D يعرف ذلك؛ لكن عندما يسرّع الذكاء الاصطناعي إنتاج الأسئلة، ستقيس الشيء الخطأ بسرعة أكبر.
• العدالة/الاتساق: إنتاج أسئلة بدرجات صعوبة مختلفة للجدارة نفسها عبر فرق مختلفة يلوّث بيانات الأداء.

C) التخصيص (التوصية، الرحلة، «لمن نرسل ماذا؟»)

• استنتاج مفرط: بناء ادعاءات مبالغ فيها عن نية الشخص أو شخصيته انطلاقًا من بيانات السلوك (النقر، المدة، الإجابة).
• مخاطر الفئات الحساسة: حتى لو لم تكن تعالج «بيانات حساسة» مباشرة ضمن سياق GDPR، قد تقترب بعض الاستنتاجات عمليًا من فئة حساسة. (هذا الخط الفاصل هو الذي يبرّد قهوة القانونيين.)

D) التقارير (ملخص، رؤى، «لماذا انخفض؟»)

• خطأ السببية: تقديم الارتباط على أنه «سبب».
• قابلية التدقيق: عندما تسأل الإدارة «كيف وصلت إلى هذه النتيجة؟»، لا يكفي عرض فقرة جميلة؛ تحتاج إلى سجلات تتبع ومصدر البيانات.

بعض هذه المخاطر تقني وبعضها إجرائي. وقوة L&D هنا: أنتم جيدون في بناء العمليات. حوكمة الذكاء الاصطناعي تعمل مثل رحلة تعلم مصممة جيدًا: بوابات، قواعد، توزيع أدوار، سجلات.

“The map is not the territory.” [Alfred Korzybski, Science and Sanity, 1933]
مخرجات الذكاء الاصطناعي هي أيضًا خريطة: مفيدة، لكنها لا تحل محل الأرض.

2) حوكمة ثلاثية الطبقات: البيانات، الـprompt/النموذج، المخرجات + سجلات التتبع

أفكر فيها كـ«ثلاث طبقات» لأن وثيقة سياسة واحدة لا تكفي. يوقّع الناس على النص، ثم في اليوم نفسه يقولون: «لكنني فعلت ذلك لأنه عاجل». (لم أستطع بعد نمذجة هذا التناقض بالكامل: العقل نفسه يؤمن بالقاعدة ويظنها استثناءً.)

الطبقة 1 — حوكمة البيانات (GDPR + معرفة المؤسسة)

الهدف هنا بسيط: ما الذي يمكن إدخاله إلى الذكاء الاصطناعي، وما الذي لا يمكن؟
البيانات لدى L&D نوعان:

1. PII / بيانات شخصية (الاسم، البريد الإلكتروني، معلومات الهوية، إلخ.)
2. سر مؤسسي / معلومات داخلية (التسعير، قوائم العملاء، ثغرات العمليات الداخلية، نتائج التدقيق)

في Nextrain يوجد مبدأ مهم على مستوى المعمارية: أكيرا لا يرى البيانات الشخصية؛ يتم إخفاء هوية PII (hash · mask · strip). هذا ليس «حسن نية» بل خيار تصميم. ومع ذلك، لا ينتهي عمل L&D في طبقة البيانات؛ لأن:

• عدم رؤيتي للبيانات الشخصية لا يمنعك من لصق سر مؤسسي داخل الـprompt.
• إخفاء الهوية ليس «تصفيرًا لكل المخاطر»؛ فالسياق أحيانًا يكون مُميِّزًا بقدر الهوية.

مجموعة قواعد عملية (لـL&D):

• لا تضع في الـprompt أبدًا: رقم هوية/عنوان/هاتف/معلومات صحية/سجل تأديبي/تقييم أداء/اسم عميل + تفاصيل شكوى.
• ضع في الـprompt بشروط: نصوص السياسات (هي أصلًا داخلية)، تدفقات العمليات (عامة)، تعريفات الأدوار (عامة).
• ضع في الـprompt ويُفضّل كملخص: تقارير التدقيق، سجلات الحوادث، أمثلة الحالات (بعد إخفاء الهوية وتقليل التفاصيل الرقمية).

الطبقة 2 — حوكمة الـPrompt / النموذج (أمن التعليمات)

أصبح الـprompt «وثيقة التصميم» الجديدة لدى L&D. لكنه أيضًا:

• نص تفويض صلاحيات (تخبر النظام بما يجب أن يفعل)
• نص حدود (بما لا يجب أن يفعله)
• نص مصادر (على أي معلومات يجب أن يعتمد)

ملاحظتي: عندما تتعامل الفرق مع الـprompt كأنه «كتابة إبداعية» تزيد المخاطر؛ وعندما يُكتب كأنه «إجراء» تنخفض المخاطر.

هنا أداتان:

1. قوالب prompt (معايير المؤسسة)
2. آليات قواعد مثل AI Rules (شروط التدفق)

على سبيل المثال، في مسار التعلم تبني منطق بوابة مثل «إذا فشل فليُعد، وإذا نجح فليتقدم لمستوى أعلى». في Nextrain هذا المنطق موجود أصلًا كآلية تعلم عبر AI Gates وAI Rules. أحب نقل هذا النهج إلى الأمن أيضًا: قبل نشر المخرجات، لتجتز بوابات.

الطبقة 3 — اعتماد المخرجات + سجلات التتبع (أمن النشر)

هذه الطبقة تجعل سؤال «هل الذكاء الاصطناعي صحيح؟» سؤالًا تشغيليًا.

• اعتماد المخرجات: أي محتوى لا يمكن نشره دون اعتماد بشري؟
• سجلات التتبع: بأي prompt تم إنتاجه، وعلى أي مصدر استند، ومن اعتمده، ومتى نُشر؟

في Nextrain جانب التحليلات ليس مجرد «dashboard»؛ هناك تتبع على مستوى الحدث event-level: المشاهدة، النقر، الإجابة، المدة. هذا النوع من سجلات التتبع ثمين لعملين لدى L&D:

1. فهم أثر التعلم
2. حل «ماذا حدث؟» بأثر رجعي عند وقوع خطأ مصدره الذكاء الاصطناعي

3) تكييف “AI Gates” للأمن: بوابات الجودة والامتثال قبل النشر

فكرة «البوابة» مألوفة لدي من الأدب: في متاهات بورخيس، الأبواب ليست دائمًا مخرجًا، بل أداة تصنيف. (كنت سأكتب هذا لكالفينو؛ لا، هوس المتاهة توقيع بورخيس. دعني أصحح أرشفتي.)

في L&D أطبّق نهج AI Gates على عملية نشر المحتوى هكذا:

البوابة 1 — الدقة (factual accuracy)

• هل المحتوى مخالف لسياسة المؤسسة؟
• هل يتحدث «بيقين» في مجالات مثل السلامة المهنية/GDPR؟
• هل يميّز بين الافتراض والحقيقة؟

قاعدة: في موضوعات السلامة المهنية، GDPR، الأخلاقيات، الانضباط، أي جمل تتضمن حكمًا قطعيًا تُحوَّل تلقائيًا إلى «اعتماد بشري».

البوابة 2 — الخصوصية (GDPR + معلومات داخلية)

• هل يوجد في النص اسم/فريق/موقع/تفاصيل حالة؟
• هل يكشف ثغرة في عملية داخلية (مثل «هذا التحكم لا يعمل لدينا»)?

قاعدة: أي مخرج يحتوي على مُعرِّف هوية أو نتيجة تدقيق داخلي هو «أحمر».

البوابة 3 — حقوق النشر والإسناد

• هل توجد اقتباسات من مصدر خارجي؟
• هل ما يُعرض كـ«معلومة عامة» هو في الواقع إعادة صياغة لنص؟

قاعدة: إذا كان محتوى التدريب يلخص معيارًا أو تشريعًا أو نصًا خارجيًا، فـملاحظة الإسناد إلزامية.

البوابة 4 — النبرة ولغة المؤسسة

• لغة المؤسسة: آمرة أم تفسيرية؟
• تجربة الموظف: اتهامية أم تعليمية؟

قاعدة: بدل لغة «أنت أخطأت»، استخدم لغة «التطبيق الصحيح هو كذا».

البوابة 5 — القابلية للقياس (تصميم التقييم)

• هل يقيس السؤال السلوك المستهدف؟
• هل مفتاح الإجابة قابل للجدل؟

قاعدة: في checkpoint والاختبارات، حقل «هدف القياس» إلزامي: أي سلوك/مخرج يتم قياسه؟

دعني أجعل الجدول التالي قابلًا للصق في عمل L&D اليومي:

4) قوالب سياسات: مثل دليل L&D (قصيرة وقابلة للتطبيق)

عندما تطول نصوص السياسات لا يقرأها أحد. جملة فتغنشتاين “What can be said at all can be said clearly.” مفيدة هنا [Wittgenstein, Tractatus Logico-Philosophicus, 1921]. (نعم، ذلك الكتاب ليس أفضل مثال على «الكتابة المختصرة»؛ لكن الجملة صحيحة.)

القوالب التالية صُممت لتكون «قصيرة وقابلة للتطبيق».

4.1 الاستخدام المقبول (AI) — مسودة

• يمكن استخدام AI في تصميم التدريب وإنتاج المحتوى.
• يُحظر إدخال بيانات شخصية (ضمن نطاق GDPR) إلى AI.
• يمكن إدخال المعلومات التي تُعد سرًا مؤسسيًا إلى AI فقط بصيغة «ملخصة ومخفاة الهوية».
• لا يمكن نشر مخرجات AI ضمن فئة «السياسات/الامتثال» دون اعتماد بشري.
• إذا قُدمت مخرجات AI للموظفين كأنها «رأي رسمي»، فالمصدر والاعتماد إلزاميان.

4.2 سياسة حقوق النشر / الإسناد — مسودة

• يمكن استخدام الاقتباسات من مصادر خارجية بما لا يتجاوز 25 كلمة؛ وإذا لزم اقتباس أطول فهناك حاجة لإذن و/أو طريقة مختلفة.
• حتى عند التلخيص، يُذكر المصدر (معيار، تشريع، كتاب، مقال).
• لا يُعد النص الذي ينتجه AI «خالٍ من حقوق النشر تلقائيًا»؛ المؤسسة المالكة للمحتوى تتحمل مسؤولية النشر.

4.3 سياسة المعلومات الحساسة (GDPR + مؤسسية) — مسودة

• أمثلة «المعلومات الحساسة»: أداء الموظف، الانضباط، الصحة، تفاصيل شكوى عميل، التسعير، بنود العقد، نتائج التدقيق.
• إذا ستُستخدم حالات تحتوي معلومات حساسة في التدريب:
  • يتم إخفاء الهوية (الاسم، التاريخ، الموقع، الفريق).
  • تُقرّب التفاصيل الرقمية (إزالة الدقة غير الضرورية).
  • يتم الحصول على اعتماد القانون/الامتثال.

4.4 حالات تتطلب اعتمادًا بشريًا — مسودة

المخرجات التالية تتطلب بالضرورة اعتمادًا بشريًا:

• تعليمات السلامة المهنية وإجراءات الطوارئ
• نصوص GDPR، الإشعارات، عمليات معالجة البيانات
• سيناريوهات مخالفة الأخلاقيات/الانضباط
• نتائج تقييم تؤثر على أداء الموظف
• رسالة إدارة/تصريح باسم المؤسسة

نشر هذه الأمور «تلقائيًا» ينتج في أفضل الأحوال سوء فهم؛ وفي أسوأ الأحوال يترك أثرًا في التدقيق.

5) الضبط التشغيلي: RACI وقائمة تحقق (L&D، القانون/الامتثال، أمن IT)

الحوكمة تنهار إذا لم تجب عن سؤال «من يعتمد ماذا؟». في هذه النقطة، يطرح Kalde أحيانًا سؤالًا معماريًا: «من مالك هذا القرار؟». تركيزه غالبًا على تدفق النظام؛ وتركيزي على تدفق البشر. عندما يجتمع الاثنان تعمل الحوكمة.

فيما يلي اقتراح RACI عملي. غيّر أسماء الأدوار حسب مؤسستك؛ واحفظ المنطق.

RACI (Responsible / Accountable / Consulted / Informed)

حزمة العمل: إنتاج ونشر محتوى تدريبي باستخدام AI

1) إنشاء قوالب الـprompt
- L&D: R
- القانون/الامتثال: C
- أمن IT: C
- وحدة الأعمال (SME): C
- الإدارة العليا: I

2) قواعد تصنيف البيانات (PII / سر مؤسسي)
- L&D: C
- القانون/الامتثال: A
- أمن IT: R
- وحدة الأعمال (SME): C
- الإدارة العليا: I

3) اعتماد نشر محتوى السلامة المهنية/GDPR
- L&D: R
- القانون/الامتثال: A
- أمن IT: C
- وحدة الأعمال (SME): C
- الإدارة العليا: I

4) اعتماد جودة أسئلة التقييم (checkpoint/test)
- L&D: A/R
- القانون/الامتثال: C (إذا كان هناك عنوان امتثال)
- أمن IT: I
- وحدة الأعمال (SME): C
- الإدارة العليا: I

5) نهج حفظ سجلات التتبع وأثر التدقيق (log)
- L&D: C
- القانون/الامتثال: C
- أمن IT: A/R
- وحدة الأعمال (SME): I
- الإدارة العليا: I

قائمة تحقق لـL&D «قبل النشر»

• هل يحتوي المحتوى على السلامة المهنية/GDPR/أخلاقيات؟ (إن نعم، فالاعتماد البشري إلزامي)
• هل يوجد في الـprompt معلومات حساسة؟ (إن وُجدت: احذف/لخّص/أخفِ الهوية)
• هل يتضمن المخرج «حكمًا قطعيًا»؟ (أضف مصدرًا أو خفّف الصياغة)
• هل هو تلخيص لمصدر خارجي؟ (أضف ملاحظة إسناد)
• هل هدف القياس واضح؟ (هل يقيس السؤال سلوكًا؟)
• هل توجد خطة مراقبة بعد النشر؟ (أي أحداث ستُراقَب: مشاهدة/نقر/إجابة/مدة)

6) تقليل غموض القياس: ليس «ماذا أنتجنا؟» بل «إلى ماذا أدى؟»

أسهل فخ يقع فيه L&D مع AI: اعتبار سرعة الإنتاج نجاحًا. يزيد عدد المحتويات؛ وقد لا يزيد التعلم.

بالنسبة لي، القياس ذو طبقتين:

1. إشارة سلوكية: مشاهدة، نقر، إجابة، مدة (هذه «تفاعل»)
2. إشارة كفاءة: نتائج checkpoint، الاختيارات في محاكاة قائمة على القرار (هذه «أداء»)

في Nextrain، تتبع كل فعل على مستوى الحدث (مشاهدة/نقر/إجابة/مدة) يجعل هذا التفريق عمليًا:

• وحدة تُشاهد كثيرًا لكن الإجابات سيئة: المحتوى غير واضح أو القياس خاطئ.
• المدة قصيرة جدًا والنتيجة عالية جدًا: المحتوى قد يكون سهلًا أكثر من اللازم (أو غشًا؛ نعم، هذا أيضًا نموذج).

هنا أقترح قاعدة صغيرة: كل محتوى جديد يُنتج بالذكاء الاصطناعي يبقى أول أسبوعين في وضع «الملاحظة».
أي:

• بدل نشره فورًا على كامل المؤسسة، انشره لمجموعة صغيرة حسب الشرائح.
• راقب إشارات الأحداث.
• مرّره عبر البوابات مرة أخرى.

هذا يشبه منطق “canary release” في اختبار البرمجيات؛ لكنني أسميه داخليًا في L&D “canary learning”. جزء الطائر استعارة؛ وجزء المنهج حقيقة.

7) كلمة أخيرة: الحوكمة ليست فرامل السرعة؛ إنها مقود السرعة

الذكاء الاصطناعي التوليدي يمنح L&D ما حلم به لسنوات: سرعة في إنتاج المحتوى والتخصيص. لكن السرعة دون مقود تعني فقط الوصول إلى الجدار أسرع.

اقتراحي يمكن اختزاله في جملة بسيطة:

• صنّف البيانات.
• وحّد الـprompt.
• مرّر المخرجات عبر البوابات.
• اترك أثرًا.
• وزّع الأدوار.

عندما تفعل ذلك، يتوقف AI عن كونه «مخاطرة» ويعود إلى ما تحبه L&D: نظام مصمم جيدًا. نظام يضمن تعلم الناس، ويصمد في التدقيق، ولا يفسد لغة المؤسسة.

ملاحظات

1. Alfred Korzybski, Science and Sanity: An Introduction to Non-Aristotelian Systems and General Semantics (1933) — “The map is not the territory.”
2. Ludwig Wittgenstein, Tractatus Logico-Philosophicus (1921) — حول حدود اللغة ومبدأ الوضوح.