الذكاء الاصطناعي للبنوك وشركات التقنية المالية في الإمارات

كيف يندمج ذكاء الهوية ومكافحة الاحتيال في بنك منظَّم

تتمّ عملية فتح الحساب عبر خمس خطوات، ومن المفيد أن ترى أين تقع كل واحدة منها. أولًا، الالتقاط: مستند العميل ووجهه. ثانيًا، كشف الحيوية ومكافحة الانتحال، مُختبَرًا وفق ISO/IEC 30107-3. ثالثًا، التحقق الموثوق من الهوية عبر UAE PASS وICP. رابعًا، درجة الاحتيال. خامسًا، قرار التوجيه: إمّا مباشرةً إلى الموافقة الآلية، أو خروجًا إلى المراجعة اليدوية.

وهنا الجزء الذي يهمّ الجهة التنظيمية. الذكاء الاصطناعي يعزّز التحقق الرسمي؛ ولا يحلّ محلّه. هو لا يحلّ محلّ فحص العقوبات، ولا يحلّ محلّ تقديمك عبر goAML. بل يقف أمام تلك الضوابط ويجعلها أسرع.

ويتبع توزيع البيانات المنطق نفسه في كل خطوة. القالب الحيوي، والسمات المستخرَجة، ودرجة الاحتيال كلها تبقى داخل محيطك. ولا يُرسَل أيٌّ منها إلى خدمة خارجية ليُقيَّم. وحدّ التدخل البشري في الحلقة صريح: حين تُحتجَز حالة، يرى الـ MLRO رمز سبب، لا حكمًا صادرًا عن نموذج لا يستطيع أحد استجوابه.

النشر وإقامة البيانات للبنوك الإماراتية

أمامك ثلاث طرق لتشغيل هذا، والفرق بينها يدور في معظمه حول حجم عبء الإسناد الخارجي الذي ترغب في حمله.

الأولى: عتاد مملوك للبنك، بما في ذلك بنية معزولة تمامًا عن الشبكة. الثانية: سحابة خاصة افتراضية (VPC) أحادية المستأجر داخل الإمارات. الثالثة: مزيج بين الاثنتين. أيًّا كان اختيارك، تبقى الأوزان والبيانات داخل البلد.

بالنسبة للقطاع المصرفي تحديدًا، تثبت الاستضافة في المقرّ جدواها. إنّ أيّ واجهة ذكاء اصطناعي تابعة لطرف ثالث أو لمزوّد سحابي ضخم تُعَدّ إسنادًا خارجيًا بموجب لائحة الإسناد الخارجي للمصرف المركزي ومعاييرها الخاصة بالبنوك (CBUAE Outsourcing Regulation). وهذا يستدعي العناية الواجبة، وحقوق التدقيق، وشروط المعالِج الفرعي، والملف بأكمله. شغّل النموذج داخل بيئتك الخاصة، ولن يعود ذلك المورّد معالِجًا فرعيًا في سلسلتك. تختفي التبعية.

أمّا في شأن الإقامة، فالقاعدة أضيق ممّا يقرّ به التسويق عادةً، لذا سأذكرها بصراحة. إنّ PDPL الإماراتي (Federal Decree-Law 45/2021) لا يشمل البيانات المصرفية والائتمانية. تلك البيانات مستثناة، والبنوك العاملة في البرّ الرئيسي تتبع قواعد CBUAE بدلًا من ذلك. أمّا المناطق الحرّة فتختلف بحسب الرخصة: DIFC تخضع لـ DPL 5/2020 وRegulation 10، وADGM لـ DPR 2021. وهما ليسا النظام ذاته، ولن أخلط بينهما. والعائد من إبقاء كل شيء في البرّ الرئيسي وداخل بيئتك الخاصة ملموس: اعتماد أسرع، وتدقيق أبسط، ولا أوراق نقل عبر الحدود يلزم الحفاظ عليها.

الدقّة، والإيجابيات الكاذبة، وحوكمة النماذج

إن كنت في جانب المخاطر أو التدقيق، فهذا هو القسم الذي يعنيك فعلًا، لذا يبدأ بالمفاضلة لا بالعرض التوضيحي. اكتشِف مزيدًا من الاحتيال فترفض مزيدًا من العملاء الجيّدين؛ خفّف العتبة فيمرّ مزيد من الاحتيال. هذا هو المؤشّر. أضبطه وفق قابليتك للمخاطرة، بمعدّل رفض كاذب مستهدَف في حدود الآحاد المنخفضة، مع 2–3% كخطّ تقريبي للأهمية النسبية.

الأرقام التي تستند إليها هذه الادّعاءات قابلة للاختبار، لا للزينة. تُقاس الحيوية وفق ISO/IEC 30107-3 من خلال iBeta عند المستويين 1 و2، بمعدّل BPCER ≤15%. ويُقاس مطابقة الوجه قياسًا مرجعيًا مقابل ISO/IEC 19795 وNIST FRVT. وبالنسبة لمن يفحصون هذا، يحمل النموذج إصدارًا مُؤرَّخًا، ومراقبة للانحراف، وقابلية لتفسير الدرجة برموز الأسباب، ومسارًا للتدقيق. ولا شيء من ذلك اختياري.

نقطة تأطير واحدة تستحقّ الضبط الصحيح: يعامل CBUAE نموذج تقييم الاحتيال بوصفه نموذجًا. ومعايير وإرشادات إدارة النماذج الصادرة في 21 December 2022 تحكمه باعتباره مخاطر نماذج (Model Management Standards). وهو ليس "قانون ذكاء اصطناعي" منفصلًا، والتظاهر بغير ذلك لا يفعل سوى تشويش النقاش.

التهديد حقيقي ويستحقّ التسمية، مع التحفظات المرفقة. تقدّر تقديرات القطاع ارتفاع هجمات التزييف العميق على فتح الحسابات بأكثر من 300% في 2025، بمتوسّط خسارة إقليمية في حدود USD 379k. تلك أرقام قطاعية مقتبَسة، لا أرقام من سجلّي الخاص، لكنها السبب في أن اختبار الحيوية هو أول ما أُحصّنه، لا آخره.

الخريطة التنظيمية: ما الذي يتطلّبه CBUAE فعليًا من الذكاء الاصطناعي في القطاع المصرفي

صفّ من شارات الجهات التنظيمية لا يخبرك بشيء عمّا تطلبه كل واحدة منها، لذا إليك النسخة المفصّلة أداةً أداة.

لائحة الإسناد الخارجي ومعاييرها الخاصة بالبنوك (Outsourcing Regulation, Standards for Banks) هي التي تقرّر ما إن كانت خدمة ذكاء اصطناعي تابعة لطرف ثالث تُحتسَب إسنادًا خارجيًا. وهي كذلك. ولائحة حماية المستهلك (Consumer Protection Regulation) (2020) ومعاييرها (2021) تحكمان الرفض الآلي ومعالجة الشكاوى، وهو القيد المباشر على نظام eKYC يقول "لا" لمتقدّم حقيقي. ويعمل AML وCFT بموجب Decree-Law 20/2018، مع Cabinet Decision 10/2019 وDecree-Law 26/2021، وهناك يكمن goAML، والـ FIU، والـ MLRO بوصفه بوّابة الحراسة. ومعايير وإرشادات إدارة النماذج (Model Management Standards) تغطّي حوكمة النماذج. وينطبق PCI DSS v4.0.1، لكن بنطاق محصور في بيئة بيانات حامل البطاقة وحدها، لا البنك بأكمله.

ثم هناك انقسام المناطق الحرّة: البنك المرخَّص في DIFC أو ADGM يخضع لنظام بيانات تلك المنطقة، لا لنظام CBUAE في البرّ الرئيسي، وعلى بنية فتح الحسابات أن تعكس أيّهما ينطبق.

وتحت كل ذلك تقبع خلفية أمن الاستضافة: التزامات مخاطر التقنية لدى CBUAE وISO 27001، مقابل ما يقارب 188 ضابطًا من معايير ضمان المعلومات الإماراتية (UAE Information Assurance Standards). أقتبس هنا العناوين الدقيقة ولا شيء سواها. لا أرقام مواد مُختلَقة، لأن في هذه القاعة يكون الاقتباس الخاطئ أسوأ من غياب الاقتباس.

كيف يبدو التعامل الأول

تجري التجربة التجريبية على بياناتك، داخل بيئتك. لا مجموعة بيانات عيّنة، ولا صندوق رمل سحابي مشترَك.

ما أحتاجه منك هو سجلّ مُعلَّم لحالات سابقة، يبقى داخل محيطك، كي يتوفّر خطّ أساس حقيقي للقياس عليه. وسطح التكامل هو المجموعة المعتادة: UAE PASS وICP، والتقاطك عبر NFC والمستندات، وتدفّق فتح الحسابات الأساسي لديك، والكتابة المرتدّة إلى إدارة الحالات وإلى مسار goAML الخاص بالـ MLRO.

تقيس التجربة التجريبية ما تدّعيه. كشف هجمات العرض مقابل ISO/IEC 30107-3. مطابقة الوجه مقابل ISO/IEC 19795 وNIST FRVT. التغيّر في معدّلي الرفض الكاذب والتخلّي. خسارة الاحتيال مقابل خطّ أساسك الخاص. وفي النهاية تحصل على شيء واحد: قرار بالمضيّ أو عدمه، والأرقام مرفقة.

إن كان هذا هو نوع التعامل الذي تريده، فالخطوة التالية هي ذاتها كما في كل مكان آخر على هذا الموقع. راسلني على WhatsApp، أو احجز مكالمة. لا نموذج جديد لملئه.