حاکمیت هوش مصنوعی، استاندارد ISO 42001 و اسناد ملی (AI Governance)

مبحث ۶: حاکمیت هوش مصنوعی، استانداردها و چارچوب‌های خط‌مشی‌گذاری

AI Governance, Policy Frameworks & International Standards

فصل ششم: اخلاق، حاکمیت، امنیت و مقررات در هوش مصنوعی

۱. راهنمای مطالعه و هدف آموزشی

حاکمیت هوش مصنوعی (AI Governance) سطح عالی مدیریت فناوری در سازمان‌ها و کشورهاست که وظیفه ایجاد تعادل ظریف میان «سرعت نوآوری و مزیت رقابتی» از یک‌سو، و «مهار ریسک‌های ایمنی، اخلاقی و حقوقی» از سوی دیگر را بر عهده دارد. داوطلبان رتبه مشاوره سازمان نظام صنفی رایانه‌ای (نصر) باید چارچوب‌های کلان سازمانی و استانداردهای بین‌المللی را به خوبی بشناسند. سرفصل‌های پربسامد تستی عبارتند از: - ساختار سه‌لایه حاکمیت: سطح بین‌المللی، سطح ملی و رگولاتوری، و سطح سازمانی - استاندارد مرجع سیستم مدیریت هوش مصنوعی: ISO/IEC 42001 (AIMS) - چارچوب‌های رگولاتوری پیشرو: EU AI Act ۲۰۲۴ و مقررات ویژه مدل‌های عمومی هوش مصنوعی با ریسک سیستمیک (GPAI / Frontier Models) - چارچوب ریسک NIST AI RMF 1.0 و نقش محوری کارکرد Govern به عنوان ستون فقرات مدیریتی - اسناد بالادستی و ساختار رگولاتوری بومی در ایران: سند ملی هوش مصنوعی، مصوبات شورای عالی فضای مجازی و نقش سازمان نصر - ابزارهای اجرایی حاکمیت: کمیته حاکمیت هوش مصنوعی، محیط آزمون تنظیم‌گری (Regulatory Sandbox)، شناسنامه مدل (Model Inventory) و ممیزی شخص ثالث.

۲. این مبحث درباره چیست؟

بدون یک ساختار حاکمیتی مقتدر، واحدهای مختلف یک سازمان ممکن است به صورت جزیره‌ای ده‌ها مدل یادگیری ماشین را بدون بررسی لایسنس، بدون پایش سوگیری و بدون تست‌های امنیتی در تعامل با مشتریان مستقر کنند. این هرج‌ومرج سازمانی می‌تواند منجر به نشت داده‌های محرمانه، دعاوی کیفری سنگین و سقوط ارزش سهام شود.
این مبحث به مشاوران یاد می‌دهد که چگونه سند خط‌مشی (Policy) تدوین کنند، کمیته حاکمیت هوش مصنوعی تشکیل دهند، مدل‌ها را در طول چرخه حیات ممیزی کرده و فرآیندهای سازمان را با استانداردهای ایزو و قوانین کشوری هم‌راستا سازند.

۳. تعریف ساده

تعریف ساده: حاکمیت هوش مصنوعی مثل فدراسیون و قوانین راهنمایی و رانندگی برای خودروهای خودران است! بدون پلیس، خط‌کشی خیابان، آزمون گواهینامه و بیمه (حاکمیت)، هر چقدر هم موتور ماشین‌ها قوی باشد، شهر به صحنه تصادف و هرج‌ومرج تبدیل می‌شود. حاکمیت جاده را امن می‌کند تا نوآوری با سرعت حرکت کند!

۴. تعریف تخصصی

تعریف تخصصی: نظام جامع ساختارها، سیاست‌ها، فرآیندها، نقش‌ها و کنترل‌های فنی-مدیریتی که جهت هدایت، نظارت و ارزیابی استراتژیک سرمایه‌گذاری‌ها و کاربردهای هوش مصنوعی در سرتاسر چرخه حیات سیستم مستقر می‌گردد. این نظام بر پایه استانداردهای جهانی (نظیر ISO/IEC 42001 و NIST AI RMF) با ایجاد تعادل پویا میان الزامات انطباق (Compliance) و شتاب نوآوری، هم‌راستایی فعالیت‌های داده‌محور با اهداف کلان سازمان و موازین قانونی کشور را تضمین می‌نماید.

۵. مفاهیم و ارکان کلیدی

۵.۱. سطوح سه‌گانه حاکمیت هوش مصنوعی 🔴

در آزمون نصر، تفکیک قلمروهای حاکمیتی همواره مطرح است:

+-------------------------------------------------------------------------------+
|                        سطوح سه‌گانه حاکمیت هوش مصنوعی                         |
+-------------------------------------------------------------------------------+
| ۱. سطح بین‌المللی: اسناد اجماع جهانی، استانداردها و معاهدات چندجانبه          |
|    - استاندارد ISO/IEC 42001، توصیه‌نامه یونسکو، اصول OECD                     |
|                                       |                                       |
|                                       v                                       |
| ۲. سطح ملی و رگولاتوری: قوانین آمره، اسناد بالادستی و چارچوب‌های کشوری        |
|    - قانون EU AI Act، چارچوب NIST آمریکا، سند ملی هوش مصنوعی و مصوبات شورای عالی|
|                                       |                                       |
|                                       v                                       |
| ۳. سطح سازمانی (Enterprise Governance): ساختار داخلی، کمیته‌ها و ممیزی مدل‌ها |
|    - کمیته حاکمیت هوش مصنوعی، MLOps، کاتالوگ مدل‌ها، و ممیزی مستقل شخص ثالث   |
+-------------------------------------------------------------------------------+

۵.۲. استاندارد بین‌المللی ISO/IEC 42001 (سیستم مدیریت هوش مصنوعی - AIMS) 🔴

• ماهیت استاندارد: اولین استاندارد مدیریت کیفیت قابل صدور گواهینامه (Certifiable Standard) در جهان ویژه سازمان‌های توسعه‌دهنده یا استفاده‌کننده از هوش مصنوعی (منتشرشده در دسامبر ۲۰۲۳).
• الگوی فرآیندی: مبتنی بر ساختار سطح بالای ISO (مشابه ISO 9001 و ISO 27001) و چرخه بهبود مستمر دمینگ (PDCA: Plan-Do-Check-Act).
• مفاد کلیدی:
• تعیین دامنه کاربرد و بستر سیستم مدیریت هوش مصنوعی در سازمان.
• تدوین سند خط‌مشی حاکمیت هوش مصنوعی (AI Policy) با تایید مدیرعامل.
• ارزیابی ریسک و تعیین کنترل‌های امنیتی و اخلاقی در ضمیمه A استاندارد.
• ممیزی داخلی دوره‌ای و بازنگری مدیریت.

۵.۳. قانون هوش مصنوعی اتحادیه اروپا و رگولاتوری مدل‌های پایه (GPAI) 🔴

علاوه بر هرم ریسک‌های چهارگانه (ممنوع، بالا، محدود، حداقل)، قانون EU AI Act الزامات ویژه‌ای برای مدل‌های هوش مصنوعی چندمنظوره (General Purpose AI - GPAI) و مدل‌های فرامرزی (Frontier Models) وضع کرده است:

+-------------------------------------------------------------------------------+
|                    دسته‌بندی مدل‌های عمومی هوش مصنوعی در EU AI Act            |
+-------------------------------------------------------------------------------+
| ۱. تمام مدل‌های GPAI:                                                         |
|    - شفافیت اسناد فنی، رعایت حق کپی‌رایت آموزش، و انتشار خلاصه داده‌های آموزش  |
|                                                                               |
| ۲. مدل‌های GPAI با ریسک سیستمیک (Systemic Risk):                              |
|    - معیار آستانه: توان محاسباتی آموزش بیش از ۱۰ به توان ۲۵ ممیز شناور (FLOPs)|
|    - الزامات مضاعف: تست‌های تیم قرمز (Red Teaming)، ارزیابی ریسک‌های امنیت ملی|
|      و گزارش‌دهی حوادث سایبری به کمیسیون اروپا                                |
+-------------------------------------------------------------------------------+

۵.۴. چارچوب حاکمیت سازمانی هوش مصنوعی (Enterprise AI Governance Framework) 🔴

برای پیاده‌سازی حاکمیت در شرکت‌ها و بانک‌ها، ۴ رکن زیر الزامی است:

1. کمیته حاکمیت هوش مصنوعی (AI Governance Committee):
2. شورای عالی تصمیم‌گیری با حضور نمایندگان حقوقی، مدیر ارشد فناوری (CTO)، مدیر ریسک (CRO)، مدیر داده (CDO) و نماینده کسب‌وکار؛ هیچ مدلی بدون امضای این کمیته اجازه ورود به پروداکشن ندارد.
3. شناسنامه و کاتالوگ جامع مدل‌ها (Model Inventory / Registry):
4. سامانه‌ای متمرکز که مشخصات تمام مدل‌های فعال، مالک هر مدل (Model Owner)، هدف تجاری، سطح ریسک، تاریخ بازآموزی بعدی و وضعیت انطباق را ثبت می‌کند.
5. محیط آزمون تنظیم‌گری (Regulatory Sandbox):
6. فضایی کنترل‌شده و آزمایشی که تحت نظارت رگولاتور به شرکت‌ها اجازه می‌دهد محصولات هوش مصنوعی نوآورانه خود را در مقیاس محدود روی کاربران واقعی تست کنند، بدون اینکه در صورت بروز خطاهای اولیه مشمول جریمه‌های سنگین شوند.
7. ممیزی الگوریتمی شخص ثالث (Third-Party Algorithmic Auditing):
8. دعوت از شرکت‌های مستقل مشاوره (دارای رتبه از سازمان نصر) برای ارزیابی بی‌طرفانه سوگیری، نفوذپذیری امنیتی و انطباق مستندات با استانداردهای ملی.

۵.۵. چارچوب و اسناد بالادستی حاکمیت هوش مصنوعی در ایران 🟠

• سند ملی هوش مصنوعی جمهوری اسلامی ایران: سند راهبردی مصوب برای دستیابی به جایگاه پیشرو در منطقه، بومی‌سازی زیرساخت‌های پردازشی و مدل‌های زبانی پایه، و تقویت اقتصاد دیجیتال.
• شورای عالی فضای مجازی: مرجع سیاست‌گذاری کلان خط‌مشی‌ها، مقررات حفاظت از داده‌های شخصی و حاکمیت پلتفرم‌های هوشمند.
• سازمان نظام صنفی رایانه‌ای کشور (نصر): بزرگ‌ترین نهاد مردم‌نهاد بخش خصوصی فناوری اطلاعات، متولی احراز صلاحیت حرفه‌ای مشاوران، سامان‌دهی بازار، تدوین قراردادهای تیپ و تعرفه‌های خدمات کارشناسی هوش مصنوعی.

۶. چگونه کار می‌کند؟ (چرخه حاکمیت هوش مصنوعی در سازمان بر پایه ISO/IEC 42001)

[۱. برنامه‌ریزی (PLAN)] ---> تدوین خط‌مشی حاکمیت هوش مصنوعی سازمانی و ساختار کمیته
                                       |
                                       v
[۲. اجرا (DO)]          ---> استقرار فرآیندهای MLOps، ثبت Model Cards و آزمون ODD
                                       |
                                       v
[۳. بررسی (CHECK)]      ---> ممیزی عملکرد، پایش Drift، ارزیابی سوگیری و ممیزی مستقل
                                       |
                                       v
[۴. اقدام اصلاحی (ACT)] ---> بازآموزی مدل، به‌روزرسانی پادمان‌ها و گزارش به هیئت‌مدیره
                                       |
                                       +--- بازگشت به گام اول جهت بهبود مستمر (PDCA)

۷. سناریوی واقعی سازمانی

بحران حاکمیت در یک هلدینگ بزرگ سرمایه‌گذاری چندرشته‌ای: - مسئله: یکی از شرکت‌های زیرمجموعه هلدینگ، برای تحلیل احساسات بازار سرمایه از یک مدل پایه آنلاین خارجی استفاده کرد و روزانه فایل‌های محرمانه صورت‌های مالی تلفیقی و تصمیمات محرمانه هیئت‌مدیره را برای خلاصه‌سازی به پرامپت چت‌بات عمومی ارسال می‌کرد. پس از مدتی اطلاعات محرمانه سودآوری شرکت در نتایج موتور جستجوی هوش مصنوعی فاش شد! - تحلیل مشاور رتبه یک نصر: 1. فقدان کامل حاکمیت سازمانی هوش مصنوعی (Governance Vacuum): سازمان فاقد کمیته تایید مدل و سند خط‌مشی استفاده مجاز از هوش مصنوعی (Acceptable Use Policy) بود. 2. نقض استانداردهای افشا و محرمانگی داده‌های بورسی. - برنامه استقرار حاکمیت توسط مشاور: 1. استقرار استاندارد ISO/IEC 42001: تدوین سند جامع استفاده مجاز از ابزارهای هوش مصنوعی و مسدودسازی دسترسی مستقیم به APIهای ناامن تجاری. 2. راه‌اندازی گیت‌وی امن داخلی (Internal Enterprise AI Gateway) با فیلترهای خودکار شناسایی و ماسک‌کردن داده‌های حساس مالی پیش از ارسال. 3. تشکیل کمیته حاکمیت هوش مصنوعی هلدینگ: الزام کلیه واحدهای تابعه به ثبت پروژه‌ها در کاتالوگ مدل‌ها و اخذ مجوز ممیزی امنیتی قبل از پیاده‌سازی.

۸. مثال خیلی ساده و شهودی

حاکمیت هوش مصنوعی در سازمان مثل قوانین استفاده از خودروهای اداری در یک شرکت بزرگ است: - بدون حاکمیت: هر کارمندی می‌تواند بدون گواهینامه سوار هر ماشینی شود، بنزین مصرف کند، تصادف کند و شرکت هم نداند ماشین‌ها الان کجای شهر هستند! - با حاکمیت هوش مصنوعی: - دفترچه ثبت خودروها کجاست؟ (Model Registry). - چه کسی راننده است و اجازه نشستن دارد؟ (کمیته حاکمیت و دسترسی‌ها). - معاینه فنی ماهانه (ممیزی Drift و سوگیری). - بیمه‌نامه بدنه و شخص ثالث (بیمه مسئولیت هوش مصنوعی).

۹. مقایسه عمیق مفاهیم مشابه

۱۰. مزایا و محدودیت‌ها

مزایا (✅)

1. کاهش هزینه‌های ناشی از بحران‌های حقوقی: پیشگیری از جریمه‌های رگولاتوری با رعایت پیش‌دستانه استانداردها.
2. سرعت‌بخشی به استقرار ایمن: با داشتن خط‌مشی شفاف، تیم‌های فنی به جای سردرگمی می‌دانند چه مسیری را باید طی کنند.
3. هم‌افزایی و حذف پروژه‌های تکراری: شناسنامه متمرکز مانع ساخت مدل‌های موازی در بخش‌های مختلف سازمان می‌شود.
4. تسهیل همکاری‌های بین‌المللی و جذب سرمایه: اخذ گواهی ISO 42001 اعتبار سازمان را در سطح بین‌المللی ارتقا می‌دهد.

محدودیت‌ها و مخاطرات (⛔)

1. خطر بروکراسی افراطی (Red Tape): اگر فرآیندهای حاکمیتی چابک نباشند، می‌توانند خلاقیت و نوآوری تیم‌های علم داده را خفه کنند.
2. هزینه‌های بالای استقرار ساختار و ممیزی: تشکیل کمیته‌ها و استخدام ممیزان مستقل برای استارتاپ‌های کوچک هزینه‌بر است.
3. تغییرات سریع قوانین: تغییر مداوم استانداردهای بین‌المللی نیازمند به‌روزرسانی مستمر سیاست‌های سازمانی است.

۱۱. کاربردهای کلیدی در ساختار حاکمیتی کشور و سازمان‌ها

+-------------------------------------------------------------------------------+
|                       کاربردهای پیاده‌سازی نظام حاکمیت هوش مصنوعی              |
+-------------------------------------------------------------------------------+
| ۱. تدوین آیین‌نامه‌های ممیزی الگوریتم‌ها در سازمان نظام صنفی رایانه‌ای (نصر)   |
| ۲. اخذ گواهینامه استاندارد بین‌المللی ISO/IEC 42001 توسط شرکت‌های نرم‌افزاری   |
| ۳. راه‌اندازی رگولاتوری سندباکس در فین‌تک و سلامت برای آزمون خدمات نوین      |
| ۴. راه‌اندازی کاتالوگ و اینونتوری مدل‌های سازمانی در بانک‌ها و هلدینگ‌ها       |
| ۵. پیاده‌سازی خط‌مشی‌های استفاده ایمن از مدل‌های هوش مصنوعی زبانی در شرکت‌ها  |
+-------------------------------------------------------------------------------+

۱۲. دیدگاه مشاوره‌ای (سناریوی آزمون نصر)

سناریوی آزمون نصر:

«یک شرکت ارائه‌دهنده خدمات پرداخت و کیف پول الکترونیک، پس از توسعه ۱۰ مدل یادگیری ماشین در بخش‌های کشف تقلب، اعتبارسنجی وام و پیشنهاد تخفیف، تصمیم به استقرار نظام حاکمیت هوش مصنوعی مطابق با استانداردهای نظام صنفی گرفته است. مدیران تیم‌های مختلف بر سر اینکه مسئولیت حاکمیت هوش مصنوعی باید زیر نظر مدیر امنیت اطلاعات (CISO)، مدیر ارشد فناوری (CTO) یا مدیر ارشد داده (CDO) باشد اختلاف نظر شدید دارند. شما به عنوان مشاور ارشد رتبه یک نصر، چه ساختار سازمانی و نقشه راهی برای استقرار حاکمیت پیشنهاد می‌دهید؟»

تحلیل مشاور ارشد هوش مصنوعی:

1. رد انتساب حاکمیت هوش مصنوعی به یک فرد یا واحد منفرد:
2. واگذاری حاکمیت صرفاً به واحد فنی (CTO) منجر به نادیده گرفتن ریسک‌های حقوقی و اخلاقی می‌شود.
3. واگذاری صرف به واحد امنیت (CISO) تمرکز را فقط بر هک می‌گذارد و سوگیری داده و ارزش تجاری را فراموش می‌کند.
4. واگذاری به واحد داده (CDO) بعد استقرار زیرساخت و تصمیم‌گیری نهایی را پوشش نمی‌دهد.

بسته ساختاری پیشنهادی مشاور:

1. تشکیل کمیته بین‌رشته‌ای حاکمیت هوش مصنوعی (AI Governance Board):
2. ریاست کمیته بر عهده معاونت ارشد ریسک و انطباق (Chief Risk & Compliance Officer) با عضویت CTO, CDO, CISO و مشاور حقوقی سازمان.
3. نقشه راه چهارمرحله‌ای استقرار:
4. فاز ۱ (Inventory & Mapping): تجمیع تمام مدل‌های فعال در سامانه متمرکز کاتالوگ مدل‌ها همراه با شناسنامه (Model Cards) و تعیین مالک تجاری (Model Owner).
5. فاز ۲ (Policy & Standards): تدوین آیین‌نامه داخلی حاکمیت بر اساس ساختار استاندارد ISO/IEC 42001 و چارچوب NIST AI RMF.
6. فاز ۳ (Gating & Controls): تعریف دروازه‌های ممیزی اجباری (Governance Gates) در پایپ‌لاین MLOps؛ هیچ مدلی بدون تاییدیه خودکار تست‌های انصاف و امنیت اجازه ورود به مرحله بعد را ندارد.
7. فاز ۴ (External Audit): انجام ممیزی سالانه توسط شرکت‌های عضو نظام صنفی رایانه‌ای و ارزیابی انطباق.

۱۳. قاعده تصمیم‌گیری مشاور (درخت تصمیم استقرار حاکمیت هوش مصنوعی)

                 سازمان در چه مرحله‌ای از به‌کارگیری هوش مصنوعی قرار دارد؟
                                       |
    +----------------------------------+----------------------------------+
    |                                                                     |
[فاز کشف و آزمایشی اولیه / چند مدل محدود]                       [مدل‌های متعدد در پروداکشن با اثر بر مشتریان]
    |                                                                     |
    v                                                                     v
[استقرار حاکمیت سبک و آزمایشی]                                آیا سازمان به دنبال اخذ گواهینامه معتبر است؟
- تشکیل کارگروه موقت هوش مصنوعی                                            |
- استفاده از Regulatory Sandbox                                          /   \
- مستندسازی اولیه با Model Cards                                       بله   خیر
                                                                       /       \
                                                        [استاندارد ISO 42001] [چارچوب NIST AI RMF]
                                                        - پیاده‌سازی چرخه PDCA - استقرار ۴ کارکرد
                                                        - ممیزی رسمی و سرتیفیکیت - تمرکز بر کارکرد Govern
                                                        - کمیته حاکمیت مدل‌ها   - ایجاد کاتالوگ مدل‌ها

۱۴. 🔴 نکات طلایی آزمون نصر (۱۰ نکته کنکوری)

1. استاندارد ISO/IEC 42001: اولین استاندارد بین‌المللی سیستم مدیریت هوش مصنوعی (AIMS) مبتنی بر چرخه بهبود مستمر PDCA.
2. ستون فقرات NIST AI RMF: کارکرد Govern (حکمرانی) به عنوان هسته بنیادین چارچوب که بدون آن سه کارکرد Map، Measure و Manage قابلیت اجرا ندارند.
3. تعریف مدل‌های GPAI در EU AI Act: مدل‌های هوش مصنوعی با کاربرد عمومی (نظیر LLMهای مرجع) که با رسیدن به آستانه محاسباتی $10^{25}$ FLOPs مشمول نظارت ریسک سیستمیک می‌شوند.
4. سندباکس تنظیم‌گری (Regulatory Sandbox): محیطی ایزوله و قانونی برای تست فناوری‌های نوآورانه با همکاری رگولاتور و بدون ریسک جریمه‌های اولیه.
5. ارکان کمیته حاکمیت هوش مصنوعی: ساختاری چندرشته‌ای شامل نمایندگان فنی، حقوقی، ریسک، حریم خصوصی و کسب‌وکار.
6. کاتالوگ متمرکز مدل‌ها (Model Inventory): منبع واحد حقیقت در سازمان برای ردیابی تمام مدل‌ها، نسخه‌ها، مالکین و وضعیت انطباق آن‌ها.
7. تفاوت حاکمیت داده و حاکمیت مدل: حاکمیت داده به سلامت و مالکیت دارایی‌های داده‌ای می‌پردازد؛ حاکمیت هوش مصنوعی رفتار، پیامدها و مخاطرات تصمیمات مدل‌ها را مهار می‌کند.
8. سند ملی هوش مصنوعی ایران: سند بالادستی کشور برای توسعه قابلیت‌های بومی، زیرساخت محاسباتی و خط‌مشی‌های کلان کاربرد.
9. ممیزی شخص ثالث (Third-Party Auditing): ارزیابی بی‌طرفانه سامانه‌ها توسط نهادها و مشاوران دارای رتبه از سازمان نظام صنفی رایانه‌ای.
10. تعادل نوآوری و تنظیم‌گری: هدف اصلی حاکمیت هوش مصنوعی ممانعت از فعالیت نیست، بلکه ریل‌گذاری برای رشد ایمن، مسئولانه و پایدار فناوری است.

۱۵. ⚠️ دام‌های رایج آزمون

دام ۱: «حاکمیت هوش مصنوعی همان انطباق با چک‌لیست‌های امنیتی واحد حراست است.»
❌ پاسخ دام‌شکن: امنیت تنها یک بعد از حاکمیت است. حاکمیت هوش مصنوعی ابعاد عدالت اجتماعی، شفافیت حقوقی، بازگشت سرمایه تجاری و چرخه عمر فنی را پوشش می‌دهد.

دام ۲: «استاندارد ISO/IEC 42001 فرمول‌های ریاضی شبکه‌های عصبی را بررسی می‌کند.»
❌ پاسخ دام‌شکن: این استاندارد یک استاندارد سیستم مدیریت (Management System) است؛ یعنی فرآیندها، سیاست‌ها، نقش‌ها، آموزش پرسنل و چرخه کنترل ریسک را ارزیابی می‌کند، نه کدهای خام برنامه‌نویسی را.

دام ۳: «سندباکس تنظیم‌گری یعنی شرکتی بتواند بدون هیچ قانونی هر خطایی خواست انجام دهد.»
❌ پاسخ دام‌شکن: سندباکس یک محیط کاملاً تحت نظارت با جامعه آماری محدود و معیارهای مشخص ایمنی است که صرفاً برای اعتبارسنجی نوآوری ایجاد می‌شود.

دام ۴: «قوانین هوش مصنوعی مانند EU AI Act شرکت‌های خارج از اروپا را شامل نمی‌شود.»
❌ پاسخ دام‌شکن: این قوانین دارای خاصیت برون‌مرزی (Extraterritorial Reach) هستند؛ هر شرکت در جهان که خروجی مدل هوش مصنوعی آن به شهروندان اتحادیه اروپا سرویس بدهد، مشمول این قوانین و جریمه‌ها خواهد بود.

۱۶. 🧠 خلاصه یک‌دقیقه‌ای

• حاکمیت هوش مصنوعی: ایجاد ساختار، خط‌مشی و نظارت در ۳ سطح بین‌المللی، ملی و سازمانی.
• استانداردها: ایزو ۴۲۰۰۱ برای مدیریت سازمانی و NIST AI RMF با محوریت کارکرد Govern.
• رگولاتوری: مقررات مبتنی بر ریسک EU AI Act و رده‌بندی مدل‌های بزرگ چندمنظوره (GPAI).
• سازوکار شرکتی: تشکیل کمیته بین‌رشته‌ای حاکمیت، اینونتوری مدل‌ها، ممیزی مستقل و استفاده از Regulatory Sandbox.

۱۷. نقشه ذهنی (ASCII Mind Map)

                            حاکمیت هوش مصنوعی و خط‌مشی‌گذاری
                                            |
    +--------------------+------------------+-------------------+--------------------+
    |                    |                                      |                    |
[سطوح سه‌گانه حاکمیت]    [استانداردهای بین‌المللی]              [رگولاتوری کلان]      [حاکمیت سازمانی]
    |                    |                                      |                    |
    |-- ۱. بین‌المللی    |-- ISO/IEC 42001 (سیستم AIMS)         |-- EU AI Act        |-- کمیته حاکمیت AI
    |-- ۲. ملی و رگولاتور|   (چرخه بهبود مستمر PDCA)            |   (ریسک سیستمیک)   |-- کاتالوگ مدل‌ها
    |-- ۳. سازمانی       |-- NIST AI RMF 1.0                    |-- سند ملی هوش      |-- سندباکس تنظیمی
                         |   (کارکرد محوری Govern)              |   مصنوعی ایران     |-- ممیزی مستقل نصر
                         |-- توصیه‌نامه اخلاقی یونسکو           |-- مصوبات شورای عالی|-- خط‌مشی استفاده مجاز

۱۸. ارتباط با سایر مباحث

• مبحث ۱ از همین فصل (AI Ethics): مبانی فلسفی و اخلاقی که ستون‌های خط‌مشی حاکمیت را شکل می‌دهند.
• مبحث ۵ از همین فصل (Accountability): تعیین سازوکار پاسخگویی و ثبت لاگ به عنوان الزام حاکمیتی.
• مبحث ۶ از فصل ۵ (MLOps): ابزار پیاده‌سازی کنترل‌های حاکمیتی در قالب پایپ‌لاین‌های خودکار نرم‌افزاری.
• مبحث ۶ از فصل ۲ (Data Governance): پیوند حاکمیت مدل با استانداردهای حاکمیت داده‌های ورودی.

۱۹. سؤالات احتمالی آزمون (۶ تست استاندارد نصر)

تست ۱ (🔴 — استانداردهای بین‌المللی سیستم‌های مدیریت)

کدام استاندارد بین‌المللی به عنوان نخستین چارچوب مدون و قابل اخذ گواهینامه رسمی در جهان برای پیاده‌سازی «سیستم مدیریت هوش مصنوعی» (Artificial Intelligence Management System - AIMS) شناخته می‌شود؟

الف) ISO 9001
ب) ISO/IEC 42001
ج) IEEE 802.11
د) PCI-DSS

کلید: ب
تحلیل تشریحی:
- رد الف: استاندارد ایزو ۹۰۰۱ یک چارچوب مدیریت کیفیت عمومی است.
- تأیید ب: استاندارد ISO/IEC 42001 که در اواخر سال ۲۰۲۳ منتشر شد، اولین استاندارد تخصصی جهانی است که الزامات برپایی، استقرار، نگهداری و بهبود مستمر سیستم مدیریت هوش مصنوعی را برای شرکت‌ها تعیین می‌کند و شرکت‌ها می‌توانند برای آن گواهی رسمی اخذ نمایند.
- رد ج و د: استانداردهای شبکه وای‌فای و امنیت کارت‌های بانکی هستند.

تست ۲ (🔴 — چارچوب‌های مدیریت ریسک دولتی)

در چارچوب مدیریت ریسک هوش مصنوعی موسسه ملی استاندارد آمریکا (NIST AI RMF 1.0)، کدام کارکرد به عنوان «ستون فقرات و پیش‌نیاز اساسی» شناخته می‌شود که بدون آن سایر کارکردها اثربخشی ندارند؟

الف) Measure
ب) Govern
ج) Map
د) Manage

کلید: ب
تحلیل تشریحی:
- تأیید ب: در مستندات رسمی NIST صراحتاً تأکید شده است که کارکرد حکمرانی (Govern) هسته مرکزی چارچوب است؛ زیرا تا زمانی که فرهنگ سازمانی، خط‌مشی‌ها، اختیارات، نقش‌ها و تعهد مدیریت ارشد مستقر نشود، فرآیندهای نقشه‌برداری (Map)، اندازه‌گیری (Measure) و مدیریت ریسک (Manage) قابل اجرا نخواهند بود.
- رد الف، ج، د: کارکردهای مهم دیگر هستند اما متکی بر لایه Govern می‌باشند.

تست ۳ (🔴 — رگولاتوری مدل‌های پایه و هوش مصنوعی مرزی)

در چارچوب قانون هوش مصنوعی اتحادیه اروپا (EU AI Act)، چه معیاری برای طبقه‌بندی یک مدل هوش مصنوعی چندمنظوره (GPAI) به عنوان مدل دارای «ریسک سیستمیک» (Systemic Risk) تعیین شده است؟

الف) استفاده از بیش از ۱۰۰ ترابایت حافظه رم
ب) استفاده از توان محاسباتی آموزش بیش از ۱۰ به توان ۲۵ عملیات ممیز شناور (Cumulative Training Compute > $10^{25}$ FLOPs)
ج) نوشته شدن کد مدل به زبان پایتون نسخه ۳.۱۲
د) داشتن بیش از یک میلیون کاربر فعال روزانه در شبکه‌های اجتماعی

کلید: ب
تحلیل تشریحی:
- تأیید ب: در قانون EU AI Act، معیار آستانه فنی برای مدل‌های بنیادین بسیار بزرگ که می‌توانند مخاطرات سیستمیک برای امنیت بین‌المللی ایجاد کنند، رسیدن توان محاسباتی تجمیعی آموزش به رقم $10^{25}$ FLOPs است؛ مدل‌های عبورکننده از این مرز مستلزم تست‌های تیم قرمز مستقل، پایش مصرف انرژی و گزارش حوادث سایبری هستند.
- رد الف، ج، د: موارد متفرقه و نامربوط به متن قانون هستند.

تست ۴ (🟠 — ابزارهای تنظیم‌گری نوآورانه)

مفهوم «سندباکس تنظیم‌گری» (Regulatory Sandbox) در اکوسیستم هوش مصنوعی چه هدفی را دنبال می‌کند؟

الف) محیطی امن برای حذف ویروس‌ها از سرورهای داده
ب) ایجاد یک محیط آزمایشی ایزوله و تحت نظارت مشترک رگولاتور و شرکت‌های نوآور که به آنها اجازه می‌دهد محصولات نوظهور را در مقیاس محدود روی جامعه آزمایش کنند بدون اینکه مشمول مجازات‌های عدم انطباق اولیه شوند
ج) مسدود کردن دسترسی شرکت‌های استارتاپی به بازارهای مالی
د) شبیه‌سازی بازی‌های کامپیوتری برای کودکان

کلید: ب
تحلیل تشریحی:
- تأیید ب: مفهوم Regulatory Sandbox ابزاری حاکمیتی برای حمایت از نوآوری است؛ شرکت‌ها در تعامل نزدیک با ناظران قانونی، محصولات پیشرفته (مانند تجهیزات خودران یا ابزارهای سلامت) را در محیطی محدود تست می‌کنند تا ضمن شناسایی خطرات، مقررات مناسب تدوین شود.
- رد الف، ج، د: تعاریف نامربوط و غلط هستند.

تست ۵ (🔴 — ساختار حاکمیت سازمانی)

وظیفه محوری «کاتالوگ جامع مدل‌های سازمانی» (Model Inventory / Registry) در ساختار حاکمیت هوش مصنوعی یک هلدینگ چیست؟

الف) محاسبه خودکار مالیات بر ارزش افزوده برای بخش حسابداری
ب) ثبت متمرکز و ردیابی شفاف تمام مدل‌های در حال توسعه و مستقر در سازمان به همراه مالکین تجاری، اهداف کاربرد، تاریخچه ممیزی و سطح ریسک آن‌ها
ج) ذخیره فایل‌های ویدیویی تبلیغاتی شرکت
د) ثبت حقوق و دستمزد پرسنل بخش هوش مصنوعی

کلید: ب
تحلیل تشریحی:
- تأیید ب: در حاکمیت سازمانی، داشتن یک اینونتوری متمرکز اولین قدم برای شفافیت است؛ کاتالوگ مدل‌ها مانع توسعه مدل‌های سایه (Shadow AI)، پیشگیری از پروژه‌های موازی و تضمین‌کننده پایش وضعیت ممیزی تک‌تک مدل‌هاست.
- رد الف، ج، د: گزینه‌های ساختگی و بی‌ارتباط هستند.

تست ۶ (🟠 — ساختار حاکمیتی بومی ایران)

در ساختار خط‌مشی‌گذاری و نظام حرفه‌ای هوش مصنوعی در جمهوری اسلامی ایران، کدام نهاد متولی احراز صلاحیت حرفه‌ای مشاوران، سامان‌دهی بازار خدمات تخصصی و صدور رتبه‌بندی شرکت‌های فعال در این حوزه است؟

الف) سازمان هواشناسی کشور
ب) سازمان نظام صنفی رایانه‌ای کشور (نصر)
ج) اتحادیه صنف تولیدکنندگان پوشاک
د) کانون وکلای دادگستری

کلید: ب
تحلیل تشریحی:
- تأیید ب: مطابق قانون حمایت از حقوق پدیدآورندگان نرم‌افزارهای رایانه‌ای و مصوبات هیئت وزیران، سازمان نظام صنفی رایانه‌ای (نصر) به عنوان بزرگ‌ترین تشکل مردم‌نهاد بخش خصوصی فاوا، متولی سامان‌دهی، صدور پروانه فعالیت، احراز صلاحیت مشاوران رسمی و رتبه‌بندی شرکت‌های ارائه‌دهنده خدمات هوش مصنوعی و نرم‌افزار در سراسر کشور است.
- رد الف، ج، د: نهادهای کاملاً نامربوط هستند.

۲۰. سطح‌بندی مطالب جهت مرور سریع