کارمندان شما همین حالا از ابزارهای هوش مصنوعی تأییدنشده استفاده می‌کنند

بر اساس جدیدترین گزارش OneTrust با عنوان «گزارش حاکمیت آماده برای هوش مصنوعی ۲۰۲۶»، حدود ۷۴ درصد از سازمان‌ها استفاده از هوش مصنوعی را در سطح تیم‌ها، واحدهای سازمانی، بخش‌های مختلف کسب‌وکار و فرایندهای عملیاتی خود آغاز کرده‌اند.

باقی پاسخ‌دهندگان نیز در مرحله برنامه‌ریزی، ارزیابی یا آزمایش راهکارهای هوش مصنوعی قرار دارند و تنها یک درصد اعلام کرده‌اند که در سازمانشان هیچ استفاده‌ای از هوش مصنوعی وجود ندارد.

این آمار نشان می‌دهد که هوش مصنوعی دیگر یک فناوری آزمایشی و محدود به تیم‌های فناوری اطلاعات نیست؛ بلکه به بخشی از فعالیت‌های روزمره سازمان‌ها تبدیل شده است. همین موضوع، حاکمیت، امنیت، مدیریت ریسک و کنترل استفاده از AI را به یک چالش جدی برای شرکت‌ها تبدیل کرده است.

حاکمیت هوش مصنوعی وارد مرحله عملیاتی شده است

گسترش استفاده از هوش مصنوعی باعث شده سازمان‌ها مجبور شوند سیاست‌ها، فرایندهای بررسی و کنترل‌های نظارتی خود را در شرایط واقعی به اجرا بگذارند. این کنترل‌ها باید بتوانند تصمیم‌گیری درباره استفاده از AI را در بخش‌های مختلف سازمان و در فرایندهای عملیاتی پشتیبانی کنند.

شرکت‌ها از نظر بلوغ حاکمیت هوش مصنوعی (AI Governance) در سطوح متفاوتی قرار دارند. برخی سازمان‌ها حاکمیت را از همان مرحله طراحی سیستم‌های هوش مصنوعی در نظر می‌گیرند، در حالی که برخی دیگر همچنان رویکردی واکنشی، پراکنده یا مبتنی بر فرایندهای دستی و زمان‌بر دارند.

این تفاوت‌ها نشان می‌دهد که بسیاری از سازمان‌ها همچنان با چالش‌هایی مانند سرعت پایین تصمیم‌گیری، نبود هماهنگی میان واحدها و دشواری اجرای کنترل‌های یکپارچه مواجه‌اند.

تنها ۱۷ درصد از شرکت‌ها اعلام کرده‌اند که حاکمیت هوش مصنوعی در بالاترین سطح بلوغ قرار دارد و به‌صورت پیش‌فرض در طراحی و توسعه سیستم‌ها لحاظ می‌شود؛ رویکردی که می‌تواند هم‌زمان از امنیت و نوآوری پشتیبانی کند.

رایج‌ترین اقدامات در حاکمیت AI

سازمان‌ها اقدامات مختلفی را برای مدیریت چرخه عمر هوش مصنوعی اجرا می‌کنند. رایج‌ترین اقدامات عبارت‌اند از:

• طبقه‌بندی ریسک سیستم‌های هوش مصنوعی
• ارزیابی تأثیر و پیامدهای AI
• کنترل نحوه استفاده کارکنان از ابزارهای هوش مصنوعی
• تدوین سیاست‌ها و مستندات حاکمیتی
• مدیریت و رسیدگی به رخدادهای مرتبط با AI
• مدیریت موجودی ابزارها و سیستم‌های هوش مصنوعی
• نظارت مستمر بر عملکرد سیستم‌ها
• ارزیابی ابزارها و ارائه‌دهندگان شخص ثالث
• جمع‌آوری مستندات و شواهد برای ممیزی

حدود سه‌چهارم پاسخ‌دهندگان اعلام کرده‌اند که در اجرای فعالیت‌های حاکمیتی بررسی‌شده در این مطالعه اعتماد بالایی دارند. با این حال، تنها ۲۹ تا ۳۳ درصد از آن‌ها بالاترین سطح اطمینان را گزارش کرده‌اند.

به عبارت دیگر، بسیاری از شرکت‌ها تیم‌های توانمند و فرایندهای مشخصی در اختیار دارند، اما میزان هماهنگی این فعالیت‌ها در سراسر چرخه عمر هوش مصنوعی هنوز یکسان نیست.

چرا قوانین سنتی دیگر برای AI کافی نیستند؟

به گفته بلِیک برانون، مدیر ارشد نوآوری OneTrust، حاکمیت فناوری در گذشته بر این فرض استوار بود که سازمان می‌تواند از قبل مشخص کند یک سیستم چه کاری انجام خواهد داد.

اما هوش مصنوعی شرایط متفاوتی ایجاد کرده است. سیستم‌های AI سریع‌تر هستند، تعداد آن‌ها بیشتر شده و یک درخواست مشابه ممکن است در یک محیط مفید و در محیطی دیگر خطرناک باشد.

در چنین شرایطی، قوانین ثابت و از پیش تعیین‌شده دیگر به‌تنهایی کافی نیستند. بخشی از تصمیم‌گیری و کنترل باید در لحظه اجرای فعالیت هوش مصنوعی انجام شود؛ یعنی سازمان بتواند هنگام اقدام یک سیستم یا عامل هوش مصنوعی، همان لحظه تصمیم بگیرد چه چیزی مجاز است، چه چیزی باید متوقف شود و چه چیزی نیاز به نظارت انسانی دارد.

رشد عامل‌های هوش مصنوعی از حاکمیت آن‌ها جلو زده است

یکی از مهم‌ترین یافته‌های این گزارش، سرعت بالای پذیرش عامل‌های هوش مصنوعی (AI Agents) است.

حدود ۸۷ درصد از پاسخ‌دهندگان اعلام کرده‌اند که سازمانشان استفاده از AI Agentها را تشویق می‌کند.

از این میان:

• ۴۷ درصد استفاده از عامل‌های هوش مصنوعی را در کنار چارچوب‌های مشخص حاکمیت، نظارت و کنترل تشویق می‌کنند.
• ۴۰ درصد دیگر نیز استفاده از این فناوری را تشویق می‌کنند، در حالی که سازوکارهای حاکمیتی و کنترلی آن‌ها هنوز در حال توسعه است.

این وضعیت می‌تواند یک شکاف جدی میان سرعت پذیرش هوش مصنوعی و توانایی سازمان برای کنترل آن ایجاد کند.

برخی سازمان‌ها می‌دانند که Agentها در بخش‌هایی از کسب‌وکار مورد استفاده قرار می‌گیرند، اما نظارت یکپارچه‌ای بر آن‌ها ندارند. در برخی موارد نیز سازمان اساساً نمی‌داند چه عامل‌هایی، در کجا و برای چه فعالیت‌هایی در حال استفاده هستند.

نزدیک به نیمی از سازمان‌ها با اقدام تأییدنشده AI مواجه شده‌اند

فرایندهای خودکار و Agentic از جمله پروژه‌های هوش مصنوعی هستند که بیشترین تأثیر را از الزامات حاکمیت، مدیریت ریسک و بررسی‌های امنیتی می‌پذیرند.

تقریباً نیمی از پاسخ‌دهندگان اعلام کرده‌اند که در یک سال گذشته دست‌کم یک مورد رخ داده که در آن یک سیستم هوش مصنوعی یا AI Agent اقدامی بدون مجوز انجام داده است.

در ارزیابی آمادگی سازمان‌ها برای مقابله با چنین رخدادهایی، یکپارچگی و صحت داده‌ها یکی از مهم‌ترین ریسک‌ها محسوب می‌شود.

شرکت‌ها بیشترین احتمال را برای مواجهه با مشکلاتی مانند از دست رفتن داده، خراب شدن داده‌ها یا طبقه‌بندی اشتباه آن‌ها گزارش کرده‌اند؛ در حالی که آمادگی آن‌ها برای مدیریت این مشکلات پایین‌تر است.

پس از آن نیز اقدامات خودکار تأییدنشده و فعالیت‌های Agentic به‌عنوان یکی از نگرانی‌های اصلی مطرح شده‌اند.

عامل‌های هوش مصنوعی در واقع کل مدل عملیاتی سازمان را به چالش می‌کشند. زمانی که یک Agent اقدامی انجام می‌دهد، موضوعاتی مانند اختیار، نظارت انسانی، کنترل دسترسی، مانیتورینگ و ثبت شواهد باید به شکل هماهنگ عمل کنند.

مشکل بزرگ‌تر: نبود هماهنگی در حاکمیت AI

با وجود آنکه شرکت‌ها به‌طور میانگین چهار فعالیت مختلف برای حاکمیت هوش مصنوعی انجام می‌دهند و اعتماد نسبتاً بالایی به توانایی‌های خود دارند، تنها ۵ درصد از سازمان‌ها اعلام کرده‌اند که هماهنگی و مسئولیت‌پذیری در سراسر چرخه عمر AI به‌صورت مشخص تعریف شده است.

این شکاف در سطح کارکنان نیز دیده می‌شود.

حدود ۳۳ درصد از پاسخ‌دهندگان اعلام کرده‌اند که کارکنان سازمانشان از ابزارهای هوش مصنوعی تأییدنشده استفاده کرده‌اند؛ دلیل اصلی نیز این بوده که ابزارها یا فرایندهای مورد تأیید سازمان به‌اندازه کافی سریع در دسترس نبوده‌اند.

این همان چیزی است که در بسیاری از سازمان‌ها با عنوان Shadow AI یا هوش مصنوعی سایه‌ای شناخته می‌شود.

وقتی کارمند برای انجام سریع‌تر کار خود نمی‌تواند از ابزار رسمی استفاده کند، احتمال دارد سراغ سرویس‌های عمومی هوش مصنوعی برود؛ بدون آنکه تیم فناوری اطلاعات یا امنیت سازمان از این استفاده مطلع باشد.

نتیجه می‌تواند کشف دیرهنگام ابزارها، افزایش ریسک افشای اطلاعات، دشوار شدن ممیزی و ایجاد مشکلات امنیتی و حریم خصوصی باشد.

۹۶ درصد پروژه‌های AI تحت تأثیر الزامات حاکمیتی قرار گرفته‌اند

حاکمیت هوش مصنوعی فقط یک موضوع امنیتی نیست؛ بلکه مستقیماً بر سرعت توسعه و اجرای پروژه‌های AI نیز تأثیر می‌گذارد.

بر اساس این گزارش، ۹۶ درصد از پاسخ‌دهندگان گفته‌اند که دست‌کم یکی از پروژه‌های هوش مصنوعی سازمانشان به دلیل الزامات حاکمیتی، مدیریت ریسک یا فرایندهای بررسی، کند، متوقف یا پیچیده‌تر شده است.

این تأثیر حوزه‌های مختلفی را شامل می‌شود، از جمله:

• تحلیل داده
• استفاده از ابزارهای هوش مصنوعی شخص ثالث
• گردش‌کارهای Agentic
• تجربه مشتری
• دستیارهای هوش مصنوعی کارکنان

از مهم‌ترین عوامل ایجاد تأخیر نیز می‌توان به کیفیت داده، دسترسی به داده، حریم خصوصی و امنیت اطلاعات اشاره کرد.

علاوه بر این، نبود دید کافی نسبت به ابزارهای AI شخص ثالث، مشخص نبودن مالکیت فرایندها و تحویل مسئولیت میان تیم‌ها و همچنین بررسی‌های دستی و ناهماهنگ، اجرای پروژه‌های هوش مصنوعی را دشوارتر می‌کند.

مدیریت AI شخص ثالث به یک بررسی اولیه محدود نمی‌شود

استفاده از ابزارهای هوش مصنوعی ارائه‌شده توسط شرکت‌های دیگر نیز نیازمند نظارت مستمر است.

سازمان‌ها باید بتوانند این ابزارها را در تمام طول دوره استفاده:

1. شناسایی کنند؛
2. ریسک آن‌ها را ارزیابی کنند؛
3. به‌صورت مستمر بر عملکردشان نظارت داشته باشند؛
4. و اطلاعات و مستندات مرتبط با آن‌ها را ثبت کنند.

بنابراین، ارزیابی یک ابزار AI در زمان خرید یا عقد قرارداد کافی نیست و باید یک فرایند مستمر مدیریت ریسک برای آن وجود داشته باشد.

بودجه حاکمیت هوش مصنوعی در حال افزایش است

با افزایش استفاده از AI، فشار کاری تیم‌های مسئول مدیریت ریسک نیز بیشتر شده است.

حدود ۸۰ درصد از پاسخ‌دهندگان گفته‌اند که واحد آن‌ها نسبت به ۱۲ ماه گذشته زمان بیشتری را صرف مدیریت ریسک‌های مرتبط با هوش مصنوعی می‌کند.

در سازمان‌هایی که دست‌کم یکی از انواع رخدادهای مرتبط با AI را تجربه کرده‌اند، آموزش کارکنان و افزایش سواد هوش مصنوعی مهم‌ترین اقدامات اصلاحی بوده‌اند.

پس از آموزش، ایجاد فرایندهای رسمی برای بررسی و تأیید استفاده از AI و همچنین توسعه سیستم‌های مانیتورینگ و کنترل‌های حاکمیتی در اولویت قرار دارند.

این روند نشان می‌دهد که آموزش کارکنان تنها یک اقدام جانبی نیست؛ بلکه یکی از مهم‌ترین ابزارهای مقابله با ریسک‌های ناشی از استفاده نادرست از هوش مصنوعی محسوب می‌شود.

در همین حال، ۹۸ درصد از پاسخ‌دهندگان اعلام کرده‌اند که در سال مالی آینده بودجه اختصاص‌یافته به فناوری‌های مورد استفاده برای حاکمیت هوش مصنوعی را افزایش خواهند داد.

جمع‌بندی؛ مسئله دیگر «استفاده از AI» نیست، بلکه «کنترل AI» است

یافته‌های این گزارش یک واقعیت مهم را نشان می‌دهد: هوش مصنوعی با سرعت زیادی در حال ورود به سازمان‌هاست، اما حاکمیت و کنترل آن با همان سرعت رشد نکرده است.

از یک طرف، کارکنان به ابزارهای AI دسترسی پیدا کرده‌اند و شرکت‌ها نیز استفاده از Agentها را تشویق می‌کنند. از طرف دیگر، تنها بخش کوچکی از سازمان‌ها توانسته‌اند مسئولیت‌پذیری و هماهنگی حاکمیتی را در سراسر چرخه عمر هوش مصنوعی به‌صورت کامل تعریف کنند.

استفاده از ابزارهای تأییدنشده، اقدامات خودکار بدون مجوز، ضعف در مدیریت داده و وابستگی به ابزارهای شخص ثالث، همگی نشان می‌دهند که سازمان‌ها باید از مدل‌های سنتی و واکنشی فاصله بگیرند.

حاکمیت هوش مصنوعی موفق یعنی سازمان بداند چه ابزارهایی در حال استفاده هستند، چه کسی از آن‌ها استفاده می‌کند، چه داده‌ای در اختیارشان قرار می‌گیرد، چه تصمیم‌هایی می‌گیرند و چگونه می‌توان عملکرد آن‌ها را در لحظه کنترل و ممیزی کرد.

با افزایش سرمایه‌گذاری سازمان‌ها در AI Governance، به نظر می‌رسد مرحله بعدی رقابت در حوزه هوش مصنوعی نه صرفاً توسعه مدل‌های قدرتمندتر، بلکه ایجاد زیرساخت‌هایی برای استفاده ایمن، شفاف و قابل‌کنترل از هوش مصنوعی خواهد بود.