كيف تستخدم الذكاء الاصطناعي في العمل دون تسريب البيانات الحساسة

في ربيع عام 2023، رفع مهندس في Samsung شيفرة مصدرية داخلية إلى ChatGPT للحصول على مساعدة في حل مشكلة. وفي غضون أسابيع، حظرت Samsung على موظفيها استخدام أدوات الذكاء الاصطناعي التوليدي. لم يكن أحد يحاول تسريب أي شيء. كان شخص ما يحاول إنجاز عمله بسرعة أكبر.

هكذا تحدث معظم حالات تسريب البيانات المرتبطة بالذكاء الاصطناعي. لا يتسبب بها مخترقون، بل أشخاص عاديون يلصقون المعلومات الخاطئة في الأداة المناسبة، أو المعلومات المناسبة في الأداة الخاطئة.

أنا من أشد المؤمنين باستخدام الذكاء الاصطناعي في العمل، ولا أعتقد أن الحظر هو الحل. الحل هو أن تعرف أين تذهب بياناتك وأن تكتسب بعض العادات التي تجعل التسريب مستبعدًا. وهذا ما يتناوله هذا الدليل. إنه يقدم إرشادات عملية، لا مشورة قانونية، وإذا كانت لدى شركتك سياسة للذكاء الاصطناعي بالفعل، فلها الأولوية.

أين تذهب بياناتك فعليًا

عندما تكتب شيئًا في أداة ذكاء اصطناعي أو ترفعه إليها، قد يصل إلى أماكن أبعد مما توحي به نافذة المحادثة. هناك أربعة مواضع ينبغي التفكير فيها.

خوادم مزود الخدمة

يحفظ مزود الخدمة محادثاتك وملفاتك عادةً، لبعض الوقت على الأقل، حتى تتمكن من الاطلاع على سجلك وحتى يتمكن المزود من التحقيق في إساءة الاستخدام. وتعتمد مدة الاحتفاظ بها ومن يمكنه الوصول إليها على المزود والخطة التي تستخدمها.

تدريب النموذج

قد تستخدم بعض الخدمات المحادثات لتحسين النماذج المستقبلية ما لم تختر عدم المشاركة. وتتعهد خطط الأعمال والمؤسسات عادةً بعدم التدريب على بيانات العملاء افتراضيًا، بينما تختلف الإعدادات الافتراضية للحسابات الشخصية غالبًا. لا تفترض شيئًا. تحقق من إعدادات وشروط الخطة المحددة التي سجلت الدخول باستخدامها.

ميزات المشاركة

قد تكشف روابط المشاركة والمحادثات المنشورة عن معلومات أكثر بكثير مما قصدت. في صيف عام 2025، اكتشف الناس أن آلاف محادثات ChatGPT المشتركة تظهر في نتائج بحث Google. وكان السبب مربع اختيار يجعل المحادثة قابلة للعثور عليها، وقد اختاره مستخدمون كثيرون دون إدراك معناه. أزالت OpenAI الخيار، وقال مسؤول أمن المعلومات فيها، Dane Stuckey، إنه أوجد فرصًا كثيرة جدًا لمشاركة أشياء لم يقصد الناس مشاركتها عن طريق الخطأ.

ظل الدرس قائمًا بعد اختفاء الميزة. تعامل مع زر المشاركة بالحذر نفسه الذي تتعامل به مع إعادة توجيه بريد إلكتروني.

عمليات التكامل والإضافات والوكلاء

يأتي أحدث خطر من الذكاء الاصطناعي المتصل بأدواتك الأخرى: مساعدون يقرؤون بريدك الإلكتروني ومحرك التخزين، وروبوتات اجتماعات تسجل المكالمات وتفرغها نصيًا، وإضافات متصفح ترى كل صفحة تفتحها، ووكلاء يستطيعون التصرف نيابةً عنك. توسّع كل وصلة نطاق ما يستطيع الذكاء الاصطناعي رؤيته، وما قد يحدث من أخطاء.

صنّف بياناتك في أربع فئات

يجعل التصنيف البسيط معظم القرارات واضحة.

الفئة	أمثلة	هل تُستخدم في أداة ذكاء اصطناعي؟
عامة	مقالات مدونات منشورة، وصفحات منتجات، وبيانات صحفية	لا بأس باستخدامها في أي أداة
داخلية	ملاحظات الاجتماعات، والعمليات الداخلية، والمسودات الأولية الخالية من التفاصيل الحساسة	في الأدوات المعتمدة من الشركة فقط
سرية	البيانات المالية غير المنشورة، والاستراتيجية، والشيفرة المصدرية، والعقود، والأسعار، وخطط الصفقات	في الأدوات المعتمدة فقط، وفقط إذا سمحت سياستك بذلك صراحةً
مقيّدة	كلمات المرور، ومفاتيح API، والبيانات الشخصية للعملاء، والمعلومات الصحية أو معلومات الدفع، وأي شيء يخضع لـ NDA أو للتنظيم	لا تدخلها، إلا إذا كان هناك نظام محدد ومعتمد مصمم لهذا الغرض بالضبط

عندما لا تكون متأكدًا، تعامل مع المعلومات كما لو كانت في فئة أشد حساسية بدرجة واحدة مما تعتقد. نادرًا ما ستندم على ذلك.

تحقق من إصدار الأداة الذي تستخدمه

قد يتعامل المنتج نفسه مع البيانات بطرق مختلفة جدًا بحسب الحساب الذي سجلت الدخول إليه. فقد يشترك حساب شخصي مجاني ومساحة عمل للأعمال تديرها الشركة في الشعار، ولا يشتركان في الكثير غيره.

قبل استخدام أداة ذكاء اصطناعي للعمل، اكتشف ما يلي:

• هل هذا هو الإصدار المعتمد من الشركة؟ تسجيل الدخول بحساب العمل عبر نظام الدخول الموحد للشركة علامة جيدة. أما استخدام حساب شخصي لمهمة عمل فليس كذلك.
• هل التدريب على بياناتك متوقف؟ راجع إعدادات الخصوصية أو التحكم في البيانات، وشروط الخطة.
• كم من الوقت تُحفظ المحادثات؟ تسمح لك بعض الأدوات بتقصير مدة الاحتفاظ أو استخدام محادثة مؤقتة لا تُحفظ في سجلك.
• من غيرك يستطيع رؤية ما تنشئه؟ تحقق من إعدادات المشاركة الافتراضية في مساحة العمل وممن يستطيع فتح الروابط المشتركة.
• أين تُعالج البيانات؟ يهم هذا الأمر إذا كانت لدى شركتك قواعد بشأن البلدان التي يمكن تخزين البيانات فيها.

إذا لم تستطع الإجابة عن هذه الأسئلة، فاسأل فريق تقنية المعلومات أو الأمن قبل استخدام الأداة لأي شيء يتجاوز المعلومات العامة. وإذا كنت أنت فريق تقنية المعلومات، كما يحدث غالبًا في الشركات الصغيرة، فدوّن الإجابات مرة واحدة حتى لا يضطر أحد إلى التخمين.

عادات تمنع معظم حالات التسريب

لا تستغرق أي منها أكثر من بضع ثوانٍ.

1. استخدم أسماء بديلة. استبدل الأسماء والمعرّفات ببدائل مثل «العميل أ» أو «المشروع س». ستكون النصيحة التي تحصل عليها جيدة بالقدر نفسه تقريبًا في معظم الأحيان.
2. صِف بدلًا من اللصق. إن قولك «ارتفع معدل فقدان العملاء لدينا من نحو 4% إلى 6% بعد تغيير السعر» يمنح النموذج ما يحتاج إليه دون جدول البيانات الذي يستند إليه الرقم.
3. شارك الحد الأدنى. الصق الفقرة المهمة، لا العقد كله. ارفع عشرين صفًا من العينة، لا قاعدة البيانات كلها.
4. لا تلصق الأسرار أبدًا. لا مكان لكلمات المرور ومفاتيح API ورموز الوصول في موجه الطلب. إذا احتجت إلى مساعدة بشأن ملف إعدادات، فأزل الأسرار منه أولًا.
5. انظر إلى لقطات الشاشة قبل إرسالها. من السهل قص الصورة حول رسالة الخطأ وتفويت قائمة العملاء في الشريط الجانبي أو أسماء علامات التبويب في الأعلى.
6. افحص الملفات بحثًا عن محتوى مخفي. قد تحمل المستندات تعليقات وتغييرات متعقبة وأوراقًا مخفية وبيانات وصفية نسيت وجودها.
7. فكّر مرتين قبل مشاركة محادثة. افترض أن الرابط المشترك يمكن أن ينتهي به المطاف في أي مكان.

الوكلاء والموصلات يزيدون المخاطر

المساعد الذي تلصق فيه نصًا لا يرى إلا ما تقدمه له. أما الوكيل المتصل بحساباتك فيستطيع رؤية كل ما تستطيع تلك الحسابات رؤيته، وقد يتصرف بناءً على ما يقرؤه.

ينشأ عن ذلك نوع جديد من المخاطر. يقرأ الوكلاء محتوى كتبه أشخاص آخرون: رسائل بريد إلكتروني وصفحات ويب ومستندات مشتركة. وقد يحمل بعض هذا المحتوى تعليمات مخفية مصممة للاستيلاء على الوكيل. يُسمى هذا حقن التوجيهات غير المباشر، ويضع OWASP Gen AI Security Project حقن التوجيهات في صدارة المخاطر الأمنية للتطبيقات المبنية على نماذج لغوية كبيرة. ومن حيث المبدأ، يمكن لرسالة بريد خبيثة واحدة أن توجّه وكيلًا مُنح ثقة مفرطة إلى إعادة توجيه ملفاتك إلى مكان ما.

تُحدث بعض وسائل الحماية فرقًا كبيرًا:

• امنح أقل قدر لازم من الوصول. صِل مجلدًا واحدًا، لا محرك التخزين كله. استخدم صلاحية القراءة فقط كلما أمكن.
• اشترط الموافقة على الإجراءات. يجب أن تنتظر عمليات الإرسال والمشاركة والحذف والشراء تأكيدك جميعًا.
• أبعد التجارب عن الحسابات المهمة. الجمع بين وكيل تجريبي وصندوق بريدك الرئيسي ينطوي على خطر.
• راجع اتصالاتك. كل بضعة أشهر، أزل عمليات التكامل وإضافات المتصفح التي لم تعد تستخدمها.

يشرح مقالنا عن ماهية وكيل الذكاء الاصطناعي كيفية عمل الوكلاء وكيفية تجربة أحدهم بأمان.

إذا كنت قد لصقت بالفعل شيئًا لم يكن ينبغي لصقه

قد يحدث ذلك. ما تفعله بعد ذلك أهم من الخطأ نفسه.

1. احذف المحادثة وأي روابط مشتركة إليها. لن يمحو ذلك بالضرورة كل نسخة، لكنه يحد من المزيد من الانكشاف.
2. استبدل أي بيانات اعتماد مكشوفة فورًا. افترض أن أي كلمة مرور أو مفتاح لصقته قد أصبح مخترقًا.
3. أبلغ فريق تقنية المعلومات أو الأمن. قد يحتاج الفريق إلى الاتصال بمزود الخدمة أو الوفاء بالتزامات الإبلاغ، والإشعار المبكر يجعل ذلك أسهل بكثير.
4. دوّن ما حدث ما دامت التفاصيل حاضرة في ذاكرتك: ما الذي شُورك، وفي أي أداة، وبأي حساب، ومتى.

أبلغ بسرعة. وبصفتي شخصًا يدير شركة، أفضل بكثير أن أسمع عن خطأ في يوم وقوعه على أن أكتشفه بعد أشهر.

سياسة ذكاء اصطناعي من صفحة واحدة للفرق الصغيرة

إذا لم تكن لدى مؤسستك سياسة بعد، فوجود سياسة قصيرة أفضل من عدم وجودها. ينبغي أن تشمل:

• الأدوات المعتمدة، بما في ذلك الخطط والحسابات المحددة التي يجب استخدامها.
• قواعد البيانات، باستخدام الفئات الأربع المذكورة أعلاه.
• المراجعة البشرية لكل ما يُنتج بمساعدة الذكاء الاصطناعي ويُرسل إلى العملاء أو الجمهور. يكفي معظم الفرق إجراء موجز مثل الوارد في دليلنا عن كيفية التحقق من صحة إجابة الذكاء الاصطناعي.
• الاتصالات والوكلاء: من يستطيع ربط أدوات الذكاء الاصطناعي بأنظمة الشركة، ومن يجب أن يوافق على ذلك. يساعد وضوح المسؤولية أيضًا على نقل مشاريع الوكلاء إلى ما بعد المرحلة التجريبية.
• الحوادث: من يجب إبلاغه، وبأي سرعة، عندما يحدث خطأ.

راجعها كل بضعة أشهر. تغيّر أدوات الذكاء الاصطناعي ميزاتها، وأحيانًا إعداداتها الافتراضية، أسرع من معظم البرامج. اختيار الأداة المناسبة جزء من العمل أيضًا، ويتضمن دليلنا عن كيفية اختيار نموذج ذكاء اصطناعي الأسئلة التي ينبغي طرحها عن الأماكن التي قد تصل إليها بياناتك.

المصادر

• Forbes Australia، Samsung bans ChatGPT among employees after sensitive code leak، 2 مايو 2023
• Engadget، OpenAI is removing ChatGPT conversations from Google، 1 أغسطس 2025
• OWASP Gen AI Security Project، LLM01:2025 Prompt Injection