تقرير IBM لخروقات البيانات 2026 وجد الذكاء الاصطناعي الخفي في 43٪ من الخروقات — أكثر من الضعف مقارنة بالعام الماضي، و68٪ من تلك الشركات لم تكن لديها أي سياسة له إطلاقاً

في مكانٍ ما داخل عملك الآن، يواجه أحدهم بريد عميل مضطرباً، أو عرضاً نصف مكتوب، أو تذكرة دعم تحتاج رداً خلال الدقائق الخمس القادمة — ويحلّ الأمر بلصق النص كاملاً في أيّ أداة ذكاء اصطناعي مفتوحة أصلاً في تبويب متصفّح آخر. لم يوافق أحد على تلك الأداة. لم يسجّل أحد ما دخل فيها. وبحلول لحظة إرسال الردّ، يكون اسم العميل وتاريخ طلباته وشكواه قد غادروا كل نظام يتحكم فيه العمل فعلياً، ووصلوا إلى مكانٍ لم يختره أحدٌ في الشركة.

هذه ليست مشكلة الظل التقنية القديمة — موظف يسجّل اشتراكاً برمجياً على بطاقته الشخصية، تاركاً على الأقل إيصالاً يمكن لتقنية المعلومات أن تجده يوماً ما. الذكاء الاصطناعي الخفي لا يترك إيصالاً. لا يتطلب شراءً، ولا مسار موافقة، وأحياناً لا حتى تبويب متصفّح جديد — فقط بريد إلكتروني وحساب مجاني. ولأن الاحتكاك الذي كان يوقف انتشار البرمجيات غير المصرّح بها اختفى، تكون فرق الأمن عادةً آخر من يعلم بما يحدث، لا أوّلهم.

تقرير IBM لتكلفة خرق البيانات 2026 وضع للتوّ رقماً على ما يكلّفه ذلك حين يسوء الأمر: نصيب الذكاء الاصطناعي الخفي من المؤسسات المخترقة أكثر من تضاعف خلال عامٍ واحد، وكانت الخروقات التي لمسها هي الأعلى تكلفة. هذا المقال عن لماذا لا تصمد مذكّرة منعٍ أمام كومة أعمال عصر يوم جمعة، وما الفارق الحقيقي بين حساب ذكاء اصطناعي مجاني وآخر تجاري، والبديل القائم على البناء الذي يتماشى مع سلوك الموظفين الفعلي بدل مواجهته.

ابدأ بما يجعل الذكاء الاصطناعي الخفي مختلفاً عن ظل تقنية المعلومات الذي تتعامل معه الشركات منذ عقد. النسخة القديمة كانت موظفاً يشترك في أداة لإدارة المشاريع أو مشاركة الملفات من دون المرور بالمشتريات — مزعج، لكنه يترك أثراً: كشف حساب بطاقة، تسجيل دخول يمكن لتقنية المعلومات اكتشافه يوماً ما، مورّداً له خط دعم. الذكاء الاصطناعي الخفي عادةً لا يترك شيئاً من هذا. الوصول إليه لا يتطلب أكثر من بريد إلكتروني، وبمجرد فتحه في تبويب يبدو ويعمل تماماً كالأدوات التي اعتمدتها الشركة فعلياً. لا فاتورة تلفت انتباه الأمن.

حجم الظاهرة صار مقاساً لا مُخمَّناً. تقرير IBM لتكلفة خرق البيانات 2026 — المبنيّ على 602 مؤسسة تعرّضت للاختراق بين مارس 2025 وفبراير 2026، مع بلوغ متوسط تكلفة الخرق العالمي 4.99 مليون دولار، ارتفاعاً بنسبة 12٪ عن العام السابق — وجد أن نصيب الذكاء الاصطناعي الخفي تحديداً من تلك الخروقات أكثر من تضاعف: من 20٪ من المؤسسات المخترقة في العام السابق إلى 43٪ هذا العام ^[1]. ولم يكن طريقاً أرخص للتعرّض للاختراق: حين كان الذكاء الاصطناعي الخفي متورطاً، ارتفع متوسط التكلفة إلى 5.39 مليون دولار — أعلى بوضوح من المتوسط العام القياسي أصلاً لهذا العام ^[1].

سبب كون التعرّض أسوأ مما يبدو يعود إلى تمييزٍ بين المستويات لا يفكر فيه أحدٌ تقريباً في مقعد دعمٍ أو مبيعات أو تشغيل حين يلصق شيئاً في صندوق محادثة. توثيق خصوصية المؤسسات الخاص بـOpenAI يذكر بوضوح أنه في المستوى المجاني الشخصي، تُستخدم المحادثات لتحسين نماذجها افتراضياً — على المستخدم أن يجد الإعداد بنفسه ويُعطّله. أما في منتجات Business وEnterprise وEdu وواجهة الـAPI، فالشركة نفسها لا تستخدم مدخلات العملاء للتدريب افتراضياً ^[3]. هذا هو الخط الدقيق الذي يعبره الموظف من دون أن يلاحظ: الوصول إلى تبويب الذكاء الاصطناعي المفتوح أصلاً، بدل تسجيل الدخول إلى ما رخّصته الشركة فعلياً — إن رخّصت شيئاً أصلاً — يُسلّم اسم عميل أو تاريخ طلباته أو بنود عقده إلى نظامٍ قد يحتفظ به ويتعلّم منه، من دون أي طريقة للشركة لاحقاً لإيجاده أو حذفه أو إثبات ما غادر.

هذا ليس تحايلاً نادراً من موظفٍ منفرد — إنه أقرب إلى الطريقة المعتادة لاستخدام الذكاء الاصطناعي داخل عملٍ متوسط الحجم اليوم. تقرير Netskope للذكاء الاصطناعي 2026 وجد أن 47٪ ممن يستخدمون الذكاء الاصطناعي التوليدي في العمل ما زالوا يفعلون ذلك عبر حسابات شخصية غير مُدارة بدل أي شيء أصدرته الشركة؛ 56٪ فقط يستخدمون حصرياً أدوات تديرها المؤسسة. التقرير نفسه يضع متوسط المؤسسة عند نحو 1,200 تطبيق ذكاء اصطناعي غير رسمي قيد الاستخدام الفعلي من الموظفين، ووجد أن 86٪ من المؤسسات ليس لديها أي رؤية إطلاقاً لما يدخل فعلياً في تلك الجلسات ^[2].

أحدّ نتائج تقرير IBM هي اتجاه الحركة: الحوكمة تتراجع بالضبط بينما يتصاعد الخطر. 68٪ من المؤسسات المخترقة لم تكن لديها أي سياسة حوكمة للذكاء الاصطناعي إطلاقاً، ونسبة من يشترطون موافقة تقنية المعلومات قبل نشر أداة ذكاء اصطناعي تراجعت فعلياً — من 45٪ في 2025 إلى 38٪ في 2026 ^[1]. التبنّي ارتفع في العام نفسه الذي تقلّصت فيه الرقابة. 19٪ فقط من المؤسسات المخترقة أفادت بأن فرق الحوكمة والأمن تعمل فعلياً معاً على المشكلة ^[1] — ما يعني أنه حتى حين توجد سياسة على الورق، غالباً ما لا يتحدث من كتبها مع من يُفترض أن يطبّقها.

بالنسبة لعمل يعمل من مصر، يتوقف هذا عن كونه مسألة نظافة إجرائية ويصبح مسألة ترخيص على جدولٍ زمني ثابت. المهلة الانتقالية لقانون حماية البيانات الشخصية، ومدتها عام، تنتهي في 31 أكتوبر 2026، وبعدها يصبح نقل بيانات شخصية عبر الحدود من دون موافقة، أو قرار كفاية، أو ضمانة تعاقدية موثّقة، مخالفة امتثال لا مجرد خطر ^[4]. موظف دعمٍ يلصق اسم عميل ورقم هاتفه في أداة ذكاء اصطناعي استهلاكية مستضافة في أمريكا هو نقلٌ عابر للحدود لبيانات شخصية بأي قراءةٍ معقولة لتلك القاعدة — إنه فقط نقلٌ لم يسجّله أو يرخّصه أو يوافق عليه أحد.