يتفق الجميع على أن للوكيل الذكي حدودا. ولم يكتبها أحد تقريبا، ما يعني أن الحدود هي ما خطر لمن كتب التعليمات في ذلك العصر، ولا أحد يستطيع لاحقا أن يقول هل فعل النظام ما كان مسموحا له.
وليست هذه حجة على وجود الحدود، فتلك مسألة محسومة وقد قلتها في موضع آخر. هذه هي الوثيقة نفسها: ماذا يدخل فيها، وكم طولها، ومن يوقعها، وما الذي يثبت أنها صمدت. صفحة واحدة، وخمسة أقسام، وساعتان من الكتابة.
ما هي هذه الوثيقة وما ليست
هي صفحة واحدة تجيب عن سؤال واحد: ما الذي يجوز لهذا النظام فعله دون أن يسأل إنسانا، وما الذي عليه أن يتوقف ويسأل عنه. وليست سياسة، ولا سجل مخاطر، ولا مواصفة تقنية. وهي مكتوبة بلغة عملكم لا بلغة البرمجيات، ليقرأها فعلا من سيوقعها.
وهي موجودة لأن الصلاحيات تعيش في ثلاثة أماكن تتباعد: نص التعليمات، وإعداد الأدوات، وما يفترضه الجميع. وحين تختلف الثلاثة، يتصرف الناس بحسب الافتراض ويعمل النظام بحسب الإعداد.
والصفحة لا تحل محل أي من الثلاثة، بل تجعلها قابلة للمقارنة. فحين توجد جملة واحدة مكتوبة عن حد ما، يصير سؤال «هل يطابق الإعداد ذلك» سؤالا يجاب عنه في دقائق بدل أن يكون نقاشا.
أولا: النطاق، مكتوبا أفعالا ومفعولات
اسردوا ما يستطيع النظام فعله أزواجا: فعلا، والشيء الذي يقع عليه. قراءة سجلات العملاء. إرسال عرض سعر. إصدار استرجاع. تغيير تاريخ تسليم. إنشاء تذكرة دعم. تحديث مخزون.
واكتبوا القائمة مع من يشغل العملية يوميا لا مع المورد وحده، لأن نصف الأفعال التي يفعلها النظام فعلا لن تخطر لمن كتب المواصفة.
ثم ضعوا أمام كل زوج: مسموح، أو مسموح دون حد، أو ممنوع. ومعظم الأنظمة تنتهي بأربعة أو خمسة أفعال مسموحة وقائمة ممنوعات أطول بكثير، وكتابة قائمة الممنوعات هي حيث تدور النقاشات المفيدة.
واكتبوا المفعولات بدقة، فهناك يتسع النطاق بهدوء. «قراءة سجلات العملاء» ليست الصلاحية نفسها التي هي «قراءة سجلات العملاء بما فيها تاريخ المدفوعات»، والنظام الممنوح الأولى يتصرف غير الممنوح الثانية. وإن لم تستطيعوا تحديد أيهما قصدتم، فالوثيقة استحقت عصرها أصلا.
وأقوى ضابط هنا ليس قاعدة بل صلاحية، وهي تفرض خارج النموذج. وتوثيق جوجل لتطوير الوكلاء يقولها صراحة: بمنح صلاحية قراءة فقط لمورد، ومهما قرر النموذج، تمنع الأداة من تنفيذ أي كتابة. وكل ما تستطيعون التعبير عنه بصلاحية بدل تعليمة فافعلوا، لأن الصلاحية لا يمكن إقناعها بالعدول عن موقفها والتعليمة يمكن.
ثانيا: جدول الحدود
كل «مسموح دون حد» يحتاج رقما، ومكان الرقم جدول لا فقرة. استرجاع حتى هذا المبلغ. خصم حتى هذه النسبة. إعادة جدولة خلال هذا العدد من الأيام. الإجابة دون تصعيد لهذا العدد من التبادلات.
ثلاثة أعمدة: الفعل، والحد، وما يحدث فوقه. والعمود الثالث هو الذي يتخطاه الناس وهو الذي يهم، لأن «صعد» ليست تعليمة ما لم تسم من يستقبل ومتى.
وأضيفوا عمودا رابعا إن كان العمل يجري خارج ساعات الدوام: من يستقبل التصعيد في الليل وفي العطلة. فأكثر ما تنكسر فيه هذه الجداول ليس الحد نفسه بل غياب من يرد بعد السادسة مساء.
واضبطوا الأرقام منخفضة عمدا في البداية. فالحد الذي لم يبلغ قط لا يعلمكم شيئا، والحد الذي يبلغ مرتين أسبوعيا ويوافق عليه دائما يقول لكم ارفعوه، وذلك نقاش أفضل بكثير من عكسه.
والتنظيم الأوروبي يبين إلى أي مدى يمكن أخذ هذا المبدأ حين تبرره المخاطر: ففي أشد فئات القرارات حساسية يشترط تحققا من شخصين طبيعيين على الأقل لديهما الكفاءة والتدريب والصلاحية اللازمة. وأنتم لا تحتاجون توقيعين على استرجاع بالتأكيد. والفكرة الجديرة بالاقتباس أن جسامة الفعل هي التي تقرر كم إنسانا يقف خلفه.
ثالثا: من يوقع، وما الذي يلزم لتغييرها
يوقع الصفحة شخص واحد بالاسم: مالك العملية، لا رئيس التقنية ولا المورد. وتوقيعه يعني أنه يقبل ما يجوز للنظام فعله باسمه.
وهذا ليس إجراء شكليا. فاللحظة التي يقرأ فيها المالك السطر «يجوز للنظام إصدار استرجاع حتى هذا المبلغ دون سؤال» هي اللحظة التي يعرف فيها فعلا ما اشترته الشركة، وكثيرا ما يخفض الرقم في تلك الجلسة.
ثم اكتبوا قاعدة التغيير في جملة: من يستطيع توسيع النطاق، ومن يجب إبلاغه، وأين تحفظ النسخة الجديدة. وبدون ذلك تكون الوثيقة دقيقة يوم كتابتها وخيالا بعد ثلاثة أشهر، لأن أحدهم سيرخي حدا لحل مشكلة عاجلة ولن يكتب ذلك أحد.
وليست هذه شكليات اخترعت لهذا الغرض. فالإطار الأمريكي لمخاطر الذكاء الاصطناعي يطلب تحديدا أن يوضح التوثيق الأدوار والمسؤوليات والصلاحيات المفوضة في المؤسسة. وميثاق الإمارات يجعل الإشراف مبدأ معلنا، إذ يؤكد القيمة التي لا تعوض للحكم البشري والإشراف البشري على الذكاء الاصطناعي، إلى جانب الحوكمة والمساءلة. والصفحة الموقعة هي كيف تفي شركة صغيرة بالاثنين بلا إدارة امتثال.
رابعا: السجل الذي يثبت صمود الحد
الحد الذي لا يستطيع أحد تدقيقه ادعاء لا ضابط. فالقسم الرابع يسمي ما يسجل وأين يحفظ: كل فعل نفذه النظام، والمدخل الذي أطلقه، والهوية التي تصرف بها، وكل مرة توقف فيها وصعد.
وهنا تظهر فائدة عملية غير متوقعة: السجل الجيد يقصر التحقيق في أي شكوى من ساعات إلى دقائق، وهو وحده قد يبرر العمل كله أمام من يسأل عن جدواه. ولاحظوا أن تسجيل التصعيدات لا يقل أهمية عن تسجيل الأفعال، لأن غياب التصعيد حيث كان يجب أن يقع هو الخطأ الذي لا يشتكي منه أحد ولا يراه أحد.
ومدة الحفظ قرار لا إعداد افتراضي. طويلة بما يكفي للتحقيق في شكوى عميل بعد ستة أسابيع، وقصيرة بما تسمح به التزاماتكم تجاه البيانات، وهناك تنطبق أسئلة حماية البيانات على السجلات كما تنطبق على كل شيء آخر.
وسبب وجود هذا القسم أصلا أن المنظمين صاروا يعدونه أساسيا. فقانون الذكاء الاصطناعي الأوروبي يشترط أن تتيح الأنظمة عالية المخاطر التسجيل التلقائي للأحداث طوال عمر النظام. وأنتم على الأرجح خارج نطاق ذلك القانون. لكن التوقع الهندسي الذي يرمزه صار عرفا، وشركاء عملائكم الأكبر سيبدأون بالسؤال.
خامسا: الإيقاف
القسم الأخير فقرة واحدة، وهو الذي يشكر الناس وجوده لاحقا. من يستطيع إطفاء هذا، وكيف، وماذا يفعل العمل في الأسبوع التالي بدونه.
والسؤال الثالث هو المهمل عادة. فإيقاف النظام سهل، والصعب أن يعرف اثنا عشر موظفا ماذا يفعلون صباح الغد، وذلك ما ينبغي أن يكون مكتوبا مسبقا في سطرين.
سموا شخصا وبديلا، وصفوا الآلية في جملة يتبعها مدير غير تقني، وقولوا ما البديل اليدوي. وتوجيه مايكروسوفت المعماري للأنظمة الوكيلة يطلب هذا الشكل من الضبط بالضبط، إذ يوصي بـقابلية تدقيق أنشطة الوكيل، والتحكم في الوصول بحسب الدور، وقاطع دارة يمنع النتائج الكارثية. والإطار المذكور أعلاه يقول الشيء نفسه من جهة الإدارة، إذ يشترط آليات لتجاوز نظام يتصرف خارج استعماله المقصود أو فصله أو تعطيله.
واختبروا الإيقاف مرة، في عصر هادئ، قبل أن تحتاجوه. والمفتاح غير المختبر اعتقاد. وقيسوا زمنه: إن استغرق الإطفاء أربع ساعات لأن شخصا واحدا يعرف كيف، فذلك هو الرقم الحقيقي، ومكانه الصفحة بجانب الآلية.
إبقاؤها صادقة مع الوقت
أعطوا الصفحة رقم إصدار وتاريخا، وراجعوها كلما تغير النطاق أو كل ربع سنة، أيهما أسبق. والصيغة الجديرة بالاقتباس هي سجل القرار المعماري، وتستعمله فرق الهندسة منذ زمن: قرار واحد لكل مدخل، ومعه سببه، فتتراكم في سجل قرارات. وتسجيل سبب وضع الحد هو ما يمنع من يأتي بعدكم من إزالته بهدوء.
ومكتوبة هكذا، تؤدي الوثيقة عملا لا يؤديه أي اجتماع: تجعل الحد قابلا للفحص من شخص لم يكن حاضرا. وذلك هو الفرق بين أن تكونوا قد قررتم شيئا وأن تستطيعوا إثباته. وهي تتبع طبيعيا الأسئلة الأربعة التي تحسم قبل ربط نموذج بنظام يعمل، وتقترن بـاختبار القبول، فذاك يثبت أن المساعد يتصرف حسنا وهذه تثبت أنه غير مسموح له بغير ذلك. وكلاهما جزء من عمل الذكاء الاصطناعي الذي أقدمه في الإمارات.
توثيق الصلاحية هو الخطوة الأولى. أما بناء وكيل يحترمها فهو الخطوة الثانية، وشركتي تقوم بها: وكلاء الذكاء الاصطناعي والأتمتة في توثيق.
أسئلة متكررة
هل تكفي صفحة واحدة فعلا؟
لنظام واحد يؤدي عملا محددا، نعم، والقيد متعمد. فالوثيقة التي تبلغ خمس عشرة صفحة لن يقرأها من يوقعها، والوثيقة غير المقروءة لا تقدم إشرافا أصلا. وإن كانت وثيقتكم لا تتسع في صفحة، فتلك علامة عادة على أن النظام أعطي أعمالا كثيرة غير مترابطة، وإصلاح ذلك أولى من إصلاح الورق.
موردنا يقول إن هذا معالج في تعليمات النظام.
التعليمة أمر موجه إلى نموذج، والتعليمات أضعف طبقة متاحة. وكل ما هو مهم ينبغي أن يكون أيضا صلاحية على مستوى الأداة أو بيانات الدخول، ليصمد مهما استنتج النموذج. اطلبوا رؤية الاثنين: نص التعليمات، والوصول الفعلي الممنوح للنظام. وحين يختلفان، فالثاني هو ما سيعيشه عملاؤكم.
من يوقع إن كان النظام يخدم عدة أقسام؟
يوقع شخص واحد مع ذلك، والصحيح هو من يجيب عن النتيجة حين يتأثر عميل. ويستشار الآخرون ويسمون بصفتهم تلك. والصفحة التي توقعها لجنة صفحة لا يملكها أحد، وغاية التمرين كلها أن تصير الصلاحية متتبعة إلى إنسان يستطيع تغييرها.
كيف تختلف هذه عن سياسة صلاحيات الوصول؟
سياسة الوصول تقول من يجوز له استعمال النظام. وهذه تقول ما الذي يجوز للنظام فعله من تلقاء نفسه، وهو سؤال لم يكن يطرح حين كان البرنامج لا يفعل إلا ما ينقره إنسان. والتداخل حقيقي ولا ينبغي أن تحفظوا وثيقتين متناقضتين، فإن كانت لديكم سياسة فأضيفوا هذه قسما فيها لا منافسا لها.
وإن لم نكن في قطاع منظم؟
فلن يطلب أحد رؤية هذه حتى يسوء شيء، وعندها ستتمنون وجودها. والحجة التجارية أقرب من الحجة التنظيمية: الصفحة هي ما يتيح لكم توسيع صلاحية النظام بثقة، لأنكم تعرفون بالضبط ما يفعله اليوم وتستطيعون إثباته. والشركات التي لا تملك واحدة تميل إلى إبقاء وكلائها أصغر مما تحتاج.