تصميم وكلاء يخضعون للحوكمة على نطاق المؤسسات

الوضع

يتعيّن على شركة تأمين على المركبات في الإمارات أن تُبلغ صاحب المطالبة خلال ثلاثة أيام بالمستندات الناقصة، وأن تسوّي المطالبة خلال خمسة عشر يومًا من استلام ملف مكتمل [1]. وفي الساعة 11 مساءً، يكتب حامل وثيقة عبر واتساب: "هل تمت الموافقة على مطالبتي؟" يستطيع الوكيل أن يقرأ حالة المطالبة من نظام المطالبات، وأن يذكر المستندين اللذين لم يُقدَّما بعد، وأن يشرح ما تنص عليه الوثيقة بشأن مبلغ التحمّل. أما الأمر الوحيد الذي يجب ألا يفعله أبدًا، فهو أن يجيب عن هذا السؤال بنعم أو لا من تلقاء نفسه.

كل مؤسسة تشغّل وكيلًا ترسم خطًا كهذا. فالمطوّر العقاري يقرر ما إذا كان يجوز للوكيل إعادة هيكلة جدول الدفعات، والفندق يقرر ما إذا كان يجوز له إصدار قسيمة ترضية، وما الحد الأقصى لقيمتها. وليست الصعوبة في الاتفاق على وجود هذا الخط، بل في تحديد موضعه، والتأكد من أنه يصمد حين لا يراقبه أحد، والقدرة لاحقًا على إثبات ما فعله الوكيل بالضبط وعلى أي أساس.

ما تُظهره الأدلة

الأطر تربط الإشراف بمستوى المخاطر، ولا يشترط أيٌّ منها وجود إنسان في كل قرار.

يعرّف إطار إدارة مخاطر الذكاء الاصطناعي الصادر عن المعهد الوطني الأمريكي للمعايير والتقنية (NIST)، وهو معيار أمريكي طوعي، المخاطرَ بأنها مزيج من احتمال وقوع الحدث وحجم عواقبه، ويطلب من المؤسسات أن توثّق كيف يشرف البشر على النظام، وأن تحتفظ بآليات "لتجاوزه أو فصله أو إيقاف تشغيله" [2]. أما معيار ISO/IEC 42001، وهو معيار لأنظمة الإدارة يمكن الحصول على شهادة به، فيتضمن بندًا رقابيًا واحدًا بشأن التسجيل، يشترط الاحتفاظ بسجلات الأحداث طوال مدة استخدام النظام على الأقل [3]. ولا يحدد أيٌّ منهما الموضع الذي يجب أن يكون فيه الإنسان.

ويُعد قانون الذكاء الاصطناعي الأوروبي الأكثر تحديدًا. فبالنسبة إلى الأنظمة التي يصنّفها عالية المخاطر، تشترط المادة 14 أن يتمكن المشرفون على النظام من مراقبته، وتجاوز مخرجاته أو عكسها، وإيقافه. وهو النص الملزم الوحيد الذي عثرنا عليه في إعداد هذا المقال يسمّي انحياز الأتمتة، أي النزعة الموثقة جيدًا إلى قبول مخرجات الآلة دون التحقق منها، بوصفه أمرًا يجب مساعدة المشرفين على مقاومته [4]. ومن معاييره لتصنيف استخدام ما بأنه عالي المخاطر مدى تصرّف النظام من تلقاء نفسه، و"مدى سهولة تصحيح النتيجة التي يُسهم فيها نظام ذكاء اصطناعي أو عكسها" [5].

وثمة نقطتان دقيقتان تهمّان القارئ في الخليج. الأولى أن قائمة الأنظمة عالية المخاطر مرتبة بحسب الموضوع، وليست خدمة العملاء ولا معالجة المطالبات ضمنها؛ إذ لا يرد فيها من التأمين إلا تقييم المخاطر والتسعير في التأمين على الحياة والتأمين الصحي [6]. والثانية أن القانون لا يسري على شركة من خارج الاتحاد الأوروبي تستخدم نظام ذكاء اصطناعي إلا حين تُستخدم مخرجات النظام داخل الاتحاد [7]، ومن ثم فإن مؤسسة إماراتية أو سعودية تخدم عملاء في الخليج تقع خارج نطاقه. وقد بات موعد سريان التزاماته الخاصة بالأنظمة عالية المخاطر ديسمبر 2027 [8].

القانون في الخليج يرتبط بأثر القرار، لا بموضوعه.

يمنح القانون الاتحادي لحماية البيانات الشخصية في الإمارات الشخصَ الحق في الاعتراض على القرارات "الناتجة عن المعالجة المؤتمتة، بما في ذلك التنميط، ولا سيما القرارات التي يترتب عليها أثر قانوني عليه أو تؤثر فيه سلبًا"، ويُلزم المتحكم بأن "يُدرج العنصر البشري في مراجعة قرارات المعالجة المؤتمتة بناءً على طلب صاحب البيانات" [9]. وقد دخل القانون حيّز التنفيذ منذ يناير 2022، لكن لائحته التنفيذية لم تكن قد صدرت حتى منتصف 2026، ولم يبدأ مكتب البيانات الاتحادي عمله بالكامل قط، فلا يوجد حتى الآن جهاز لإنفاذه [10]. ولا يسري القانون في مركز دبي المالي العالمي (DIFC) ولا في سوق أبوظبي العالمي (ADGM)، إذ لكلٍّ منهما نظامه الخاص.

وتُعد قواعد مركز دبي المالي العالمي الأكثر تطورًا في المنطقة. فاللائحة 10 لا تسمح لنظام ما بمعالجة البيانات الشخصية لأغراض تجارية إلا إذا كانت أغراضه محددة من البشر أو معتمدة منهم، أو، حين يحدد النظام أغراضه بنفسه، إذا فعل ذلك "حصرًا ضمن حدود القيود التي يضعها البشر"؛ وتتيح المادة 38 للفرد أن يعترض على قرار قائم حصرًا على المعالجة المؤتمتة تترتب عليه آثار قانونية أو "آثار أخرى بالغة الأثر"، وأن يطلب مراجعته يدويًا [11][12]. ولا تُلزم هذه الأحكام إلا الجهات العاملة في المركز. وفي المملكة العربية السعودية، تشترط اللائحة التنفيذية لنظام حماية البيانات الشخصية (PDPL)، المطبّق منذ سبتمبر 2024، الحصولَ على موافقة صريحة على القرارات القائمة حصرًا على المعالجة المؤتمتة، وإجراءَ تقييم للأثر حين تستند القرارات إلى المعالجة المؤتمتة؛ ويستند ما سبق إلى ملخص أعدّته شركة محاماة، إذ تعذّر الوصول إلى النص الإنجليزي الصادر عن الجهة التنظيمية [13].

وبالنسبة إلى شركات التأمين المرخّصة في البر الرئيسي لدولة الإمارات، تحدد المذكرة الإرشادية الصادرة عن مصرف الإمارات العربية المتحدة المركزي (CBUAE) في فبراير 2026 ثلاثة مستويات للإشراف. فمستوى "الإنسان خارج الحلقة"، حيث يتصرف النظام دون مشاركة بشرية مباشرة، "لا ينبغي استخدامه إلا في العمليات منخفضة المخاطر وغير الجوهرية"، و"ينبغي أن يتمكن المستهلكون من طلب مراجعة بشرية للقرارات التي يولّدها الذكاء الاصطناعي أو طلب تفسير لها" [14]. وهي إرشادات وليست لائحة تنظيمية، وتنطبق على المؤسسات المالية المرخّصة، لا على المطورين العقاريين أو الفنادق.

الإنسان الذي يراقب الآلة أداة رقابة أضعف مما يبدو.

يعني "الإنسان في الحلقة" أن يعتمد شخص كل قرار قبل أن يدخل حيّز التنفيذ. ويعني "الإنسان على الحلقة" أن يتصرف النظام ويراقب شخص النتائج. ويعتمد كلاهما على انخراط ذلك الشخص فعليًا، وتقول أبحاث امتدت لعقود إن هذا تحديدًا هو موضع الإخفاق.

ففي دراسة مضبوطة أُجريت باستخدام محاكاة طيران، فات المشاركين الذين زُوِّدوا بأداة مساعدة مؤتمتة عالية الموثوقية لكنها غير معصومة 41% من الأحداث التي لم تنبّه إليها الأداة، واتبعوا توصيتها الخاطئة في 65% من الحالات حتى حين ناقضتها أجهزة القياس الأخرى [15]. وفي دراسة شملت 554 مشاركًا من غير المتخصصين يتنبؤون بنتائج مرحلة ما قبل المحاكمة، لم يتفوق على درجة المخاطر وحدها سوى 23.7% من الـ304 الذين أُعطوا تلك الدرجة، بينما جاء أداء 64.1% منهم أسوأ منها، وكانت ثقتهم مرتبطة ارتباطًا عكسيًا بأدائهم [16]. ولا يعالج شرحُ منطق الآلة هذه المشكلة: ففي دراسة شملت 1,626 مشاركًا، زادت التفسيرات من موافقة المشاركين على التوصية سواء أكانت صحيحة أم خاطئة [17]. وتتضمن قائمة OWASP لعام 2025 لأهم عشرة مخاطر في تطبيقات وكلاء الذكاء الاصطناعي خطرَ استغلال الثقة بين الإنسان والوكيل، حين تضلّل التفسيراتُ الواثقة والمصقولة المشغّلين فيوافقون على إجراءات ضارة [18].

وتتخذ الإخفاقات التي عُرفت علنًا شكلًا واحدًا. ففي فضيحة إعانات رعاية الأطفال في هولندا، لم يكن بوسع الموظفين الحكوميين الذين راجعوا الطلبات المُعلَّمة الاطلاع على المعلومات المستخدمة في تحديد درجة المخاطر [19]. وفي برنامج Robodebt في أستراليا، كان الموظفون يراجعون سابقًا نحو 20,000 ملف عالي المخاطر في السنة، بينما أرسل النظام المؤتمت إشعارات بمعدل نحو 20,000 إشعار في الأسبوع [20]. وفي كل حالة افتقر المراجع إلى واحد على الأقل من ثلاثة أمور: الوقت، أو المعلومات، أو الصلاحية. وحيثما غاب أيٌّ منها، تصبح المراجعة البشرية مجرد إجراء شكلي.

نقاط الاعتماد التي تتكرر كثيرًا يتجاهلها الناس.

نقطة الاعتماد التي تقاطع كل إجراء روتيني تعوّد الناس على تجاوزها بنقرة. ففي دراسة شملت 1.27 مليون تذكير سريري لدى 112 من الممارسين السريريين، انخفض احتمال قبول التذكير بنسبة 30% مع كل تذكير إضافي خلال الزيارة نفسها [21]. لذلك يجب ألا توضع نقطة الاعتماد إلا حيث تلزم. وقد وجد تحليل أجراه أحد المورّدين لحركة الوكلاء على منصته الخاصة، ولم يخضع لمراجعة الأقران، أن نحو 0.8% فقط من إجراءات الوكلاء بدت غير قابلة للتراجع [22]. وإذا صحّ ذلك في التواصل مع العملاء، فإن تركيز انتباه البشر على الإجراءات غير القابلة للتراجع ممكن من حيث الكلفة، على نحو لا تتيحه مراجعة كل شيء.

تقدير الوكيل نفسه لمتى يتوقف لا يكفي وحده.

يعني التصعيد القائم على الثقة أن يحوّل الوكيل المحادثة إلى شخص حين ينخفض تقديره لاحتمال صوابه عن حدّ معين. وهذا التقدير إشارة حقيقية، لكنها منحازة. فقد وجدت ورقة بحثية أولية صدرت عام 2026، اختبرت ثمانية نماذج لغوية على مهام تتوفر لها بيانات حقيقية عن قرارات بشرية، أن مستوى الثقة الذي اختار عنده كل نموذج التصعيد تراوح بين نحو 53% وما يزيد على 100%، إذ صعّد نموذجان كل شيء، وأن النموذج بالغ في تقدير دقته في 66% من التوليفات بين النماذج والظروف التجريبية [23]. وعلى معيار قياس يضم 2,000 اختبار لسلامة الوكلاء، لم يتجاوز أي وكيل 60%، وخلص الباحثون إلى أن "الاعتماد على تعليمات الدفاع وحدها قد لا يكون كافيًا" [24]. لذلك يجب قياس الحدّ للنموذج المعيّن قبل التشغيل، ومكانه إلى جانب قواعد لا يستطيع الوكيل الالتفاف عليها، لا بديلًا عنها.

ما يتضمنه السجل الصالح للاستخدام محسوم بالفعل في مجالات أخرى.

يسجّل مسجّل بيانات الرحلة ما فعلته الطائرة وما فعله الطاقم على خط زمني واحد، بحيث يمكن مطابقة تسجيل مسجّل أصوات قمرة القيادة معه. وباتت مسجّلات قمرة القيادة في الطائرات الكبيرة الجديدة تحتفظ بتسجيلات مدتها 25 ساعة بدلًا من ساعتين، لأن تسجيلات الساعتين ظلت تُمحى بالتسجيل فوقها قبل أن يدرك أحد الحاجة إليها، ومن ذلك ما حدث بعد حادثة وقعت في سان فرانسيسكو عام 2017 [25]. ويجب على شركات الاستثمار الأوروبية تسجيل المحادثات المتعلقة بأوامر العملاء "حتى إن لم تُفضِ تلك المحادثات أو الاتصالات إلى إبرام هذه المعاملات"، والاحتفاظ بها مدة تتراوح بين خمس سنوات وسبع سنوات [26]. وتشترط قواعد الأوراق المالية الأمريكية حفظ السجلات في وسائط تخزين لا تُكتب إلا مرة واحدة، أو مع "سجل تدقيق كامل مختوم بالوقت" لكل تغيير ومن أجراه [27]. ويتجه قطاع الذكاء الاصطناعي نحو قائمة الحقول المقابلة: إذ تحدد اصطلاحات OpenTelemetry الخاصة بالذكاء الاصطناعي التوليدي، وهي معيار مفتوح لمراقبة الأنظمة، النموذجَ، والتعليمات، ورسائل الإدخال والإخراج، وكل أداة استُدعيت مع وسائطها ونتيجتها، ومعرّفات الوكيل والمحادثة [28]. أما السجل الكاشف للعبث فيربط مدخلاته في سلسلة، بحيث يحمل كل مدخل بصمة تشفيرية للمدخل الذي يسبقه، مما يجعل أي تعديل لاحق قابلًا للكشف [29].

والسجل هو ما يحسم النزاعات. ففي فبراير 2024 أمرت هيئة قضائية كندية شركة Air Canada بتعويض راكب بعد أن أخبره روبوت المحادثة على موقعها الإلكتروني بأنه يستطيع التقدم بطلب للحصول على أجرة الحداد المخفّضة خلال 90 يومًا من شراء التذكرة، خلافًا لما ورد في صفحة سياسة الشركة. ودفعت Air Canada بأن روبوت المحادثة كان في واقع الأمر كيانًا قانونيًا مستقلًا مسؤولًا عن أفعاله. ووصفت الهيئة ذلك بأنه "دفع لافت للنظر"، وقضت بأنه "ينبغي أن يكون واضحًا لشركة Air Canada أنها مسؤولة عن جميع المعلومات الواردة على موقعها الإلكتروني" [30]. وكان لدى الراكب لقطة شاشة. ووجدت مراجعة أجرتها جهة تنظيمية بريطانية عام 2025 لـ23 شركة تأمين على المنازل والسفر، دون أي إشارة إلى الذكاء الاصطناعي، أن محاضر اجتماعات لجان المطالبات الرئيسية "افتقرت في حالات كثيرة إلى تفاصيل كافية لإثبات وجود نقاش أو تمحيص أو اتخاذ قرار على نحو فعلي" [31]. فمعيار الإثبات لا يتغير بتغيّر نوع الوكيل الذي اتخذ القرار.

ما يعنيه ذلك

كانت الفرضية التي انطلق منها هذا المقال أن القرارات ينبغي أن تُصنَّف بحسب عواقبها وقابليتها للتراجع لا بحسب موضوعها، وأن الحوكمة يجب أن تُفرض من خلال ما يستطيع الوكيل فعله ومن خلال سجل كامل، لا من خلال التعليمات وحدها. والأدلة تؤيد الأمرين، مع تصحيحين.

أولًا، العواقب وقابلية التراجع هما المحوران الصحيحان، لكن الموضوع يظل مهمًا. فالمشرّعون يستخدمون العواقب وقابلية التراجع لتحديد ما يخضع للتنظيم، ثم ينظّمون بحسب الموضوع [5][6]. وبعض القرارات محجوزة للإنسان أيًّا كانت قابليتها للتراجع: إما بحكم القانون، كالحكم الطبي؛ أو بحكم ما تتوقعه الجهة التنظيمية، كقرار البت في المطالبة، الذي لن تصنّفه إرشادات المصرف المركزي عمليةً منخفضة المخاطر وغير جوهرية؛ أو بقرار من المؤسسة نفسها، كأي مسألة معروضة بالفعل على جهة تنظيمية. ويحتاج أي نظام تصنيف إلى قاعدة تُخرج هذه القرارات من يد الوكيل كليًا.

ثانيًا، يجب أن يحكم البشر على العواقب مسبقًا، لكل نوع من أنواع الإجراءات. فتقدير الوكيل للمخاطر أثناء التشغيل متقلب إلى حد لا يسمح بالاعتماد عليه في ذلك [23][24]. والتصعيد القائم على الثقة خط دفاع ثانٍ، لا الخط الأول.

وتصمد فرضية الإنفاذ، مع إضافة. فحدود القدرات والسجل الكامل هما الحد الأدنى. لكن نقطة الاعتماد البشري هي نفسها أداة رقابة تخفق بطرق يمكن التنبؤ بها، لذلك يجب تصميمها لمصلحة المراجع: أن تُفعَّل نادرًا، وأن تأتي بالوقائع لا بملخص مقنع، وأن تصل إلى شخص يملك صلاحية تغيير النتيجة. والسجل لا يمنع شيئًا بمفرده؛ لكنه يجعل المساءلة ممكنة لاحقًا، ويحسّن النظام إن قُرئ. والمفاضلة هنا حقيقية: فقلة نقاط الاعتماد تعني قرارات أكثر تُتخذ دون إنسان، وكثرتها تعني إنسانًا يتوقف عن القراءة. لذلك ينبغي أن توضع نقطة الاعتماد حيث توجد الإجراءات غير القابلة للتراجع، وألا توضع في أي مكان آخر تقريبًا.

كيف نراعي ذلك في تصميمنا

تُصنَّف الإجراءات قبل التشغيل، ويُفرض هذا التصنيف من خلال ما يستطيع الوكيل فعله. يندرج كل إجراء يمكن للوكيل اتخاذه في أنظمة العميل ضمن واحدة من أربع مناطق: إجراءات يتخذها ويسجّلها، كقراءة حالة المطالبة وذكر المستندات الناقصة؛ وإجراءات يتخذها ضمن حدود تضعها المؤسسة، كتغيير الحجز ضمن قواعد الأسعار، أو إصدار قسيمة حتى قيمة معينة؛ وإجراءات يُعدّها ليعتمدها شخص؛ وإجراءات لا تُتاح له أبدًا. ففي التأمين، لا يقيّم الوكيل المسؤولية أبدًا، ولا يحدد مبلغ التسوية، ولا يوافق على مطالبة أو يرفضها، والسبب في ذلك أن إجراءات القرار هذه ليست متاحة للوكيل أصلًا، لا أنه تلقّى تعليمات بعدم استخدامها. وتحدد المؤسسة، ويمكنها أن تغيّر، المحادثات التي تُحوَّل إلى موظف، والمحفزات التي تستدعي ذلك، والموضوعات المحظورة. وفي المنطقة الثانية، تُفرض قواعد العميل، كحدود الاعتماد والاستحقاقات، في البنية التقنية بدلًا من كتابتها تعليماتٍ قد يتجاهلها الوكيل، أما الإجراءات التي تصنّفها المؤسسة حساسة فتنتظر اعتماد شخص.

ثقة الوكيل محفّز ثانٍ، والتحويل يقدّم للموظف الوقائع لا مرافعة. تُحوَّل المحادثة إلى موظف حين لا يكون الوكيل واثقًا بما يكفي؛ ونظرًا إلى الأدلة على الثقة المفرطة، يُقاس الحدّ لكل نموذج قبل التشغيل ويُضاف فوق القواعد المذكورة أعلاه. ويطرح الوكيل سؤالًا توضيحيًا حين لا يكون متأكدًا بدلًا من التخمين. ويتسلّم الموظف الذي يتولى المحادثة نصها كاملًا مع ملخص لها، ونظرًا إلى أثر التفسيرات في المراجعين، صُمّم هذا الملخص ليبيّن ما قاله العميل، وما فعله الوكيل، وأين يكمن عدم يقينه، لا ليقدّم حجة لصالح نتيجة بعينها.

السجل مبني لنزاع قد يقع بعد عامين، لا لعرضه على لوحة معلومات غدًا. يمكن تسجيل كل مكالمة، رهنًا بالموافقة، وتفريغها نصيًا أثناء إجرائها؛ وتُلخَّص كل محادثة عند انتهائها وتُصنَّف نتيجتها؛ ولا يجيب الوكيل إلا من المواد المعتمدة لدى العميل، بحيث يمكن تتبّع أي إجابة إلى مصدرها. ويسجّل سجل تدقيق كامل كل إجراء اتخذه الوكيل وسببه، بصيغة تجعل أي تغيير لاحق قابلًا للكشف، مع التحكم في النسخ بحيث يُسجَّل كل تغيير على الوكيل ويمكن التراجع عنه، ومع فترات احتفاظ يحددها العميل. ويُدرج في هذا السجل نفسه إصدارُ النموذج وهويةُ أي شخص اعتمد إجراءً خاضعًا لنقطة اعتماد.

المراجعة للتعلّم لا للّوم. يقرن قطاع الطيران الأوروبي مسجّلاته بنظام للإبلاغ قائم على "ثقافة العدالة"، لا يُعاقب فيها الأشخاص على الأخطاء غير المتعمدة، ولا يجوز فيها استخدام معلومات السلامة "لإسناد اللوم أو المسؤولية" [32]. ويمكن البحث في كل محادثة. وتُقيَّم كل محادثة وفق معيار العميل نفسه، بحيث تكون المراجعة منهجية لا قائمة على العينات، وتغذّي تصميم الوكيل.

ما لا نعرفه بعد

لا توجد دراسة منشورة تقارن، من حيث الضرر الذي وقع فعلًا، بين تشغيل توضع فيه نقاط الاعتماد بحسب العواقب وقابلية التراجع، وتشغيل توضع فيه بحسب الموضوع. فالتصنيف الموصوف هنا نابع من الأدلة، لكنه لم يُختبر مقارنةً بالبديل.

ولا توجد بيانات مدقّقة عن عدد المرات التي يتجاوز فيها مراجعو مطالبات التأمين أو مشرفو خدمة العملاء توصيةً مؤتمتة، ولم ينشر أحد حجم عينة المحادثات التي يجب مراجعتها للمحافظة على معدل خطأ معين. وكل ما هو متاح ادعاءات واردة في دعاوى قضائية وأعراف متبعة في القطاع، لا قياسات.

وإذا استُخدمت قرارات البشر بقبول ما يقترحه الوكيل أو تصحيحه لضبط توقيت تصعيده، وكان هؤلاء البشر أنفسهم عرضة لانحياز الأتمتة، فإن إشارة التصعيد ترث هذا الانحياز. ولا يبدو أن أي دراسة قاست ذلك.

والأدلة الخاصة بالخليج شحيحة. فلا توجد دراسة محكّمة لسلوك الإشراف في خدمة العملاء باللغة العربية أو في الخليج، ولم نعثر على أي قرار منشور لمحكمة أو جهة تنظيمية في الإمارات أو السعودية بشأن ما قاله نظام ذكاء اصطناعي لعميل. وكانت ثلاث مسائل تنظيمية لا تزال مفتوحة وقت كتابة هذا المقال: موعد صدور اللائحة التنفيذية في الإمارات، وما إذا كانت التعديلات التي طرحها مركز دبي المالي العالمي للتشاور عام 2026 على اللائحة 10 قد أُقرّت، وما إذا كانت هيئة التأمين في المملكة العربية السعودية قد اعتمدت المهلة الأقصر لتسوية مطالبات الأفراد التي اقترحتها أواخر عام 2025 [33].

المصادر

1. 1.Insurance Authority Board of Directors' Decision No. (25) of 2016 Pertinent to Regulation of the Unified Motor Vehicle Insurance Policies, UAE (in force 2017; now in the CBUAE Rulebook).⁠https://rulebook.centralbank.ae/en/rulebook/insurance-authority-board-directors-decision-no-25-2016-pertinent-regulation-unified-motor
2. 2.NIST, Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1, 2023.⁠https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-1.pdf
3. 3.ISO/IEC 42001:2023, Information technology, Artificial intelligence, Management system, Annex A control A.6.2.8, 2023.⁠https://www.iso.org/standard/42001
4. 4.Regulation (EU) 2024/1689 (EU AI Act), Article 14, 2024.⁠https://artificialintelligenceact.eu/article/14/
5. 5.Regulation (EU) 2024/1689, Article 7(2), 2024.⁠https://artificialintelligenceact.eu/article/7/
6. 6.Regulation (EU) 2024/1689, Annex III, 2024.⁠https://artificialintelligenceact.eu/annex/3/
7. 7.Regulation (EU) 2024/1689, Article 2(1)(c), 2024.⁠https://artificialintelligenceact.eu/article/2/
8. 8.Regulation (EU) 2026/1744 (Digital Omnibus on AI), Official Journal, 24 July 2026.⁠https://eur-lex.europa.eu/eli/reg/2026/1744/oj
9. 9.UAE Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data, Article 18, 2021 (English translation, UAE legislation portal).⁠https://uaelegislation.gov.ae/en/legislations/1972
10. 10.Chambers and Partners, Data Protection & Privacy 2026: UAE, Trends and Developments, 2026; Morgan Lewis, UAE Establishes Federal Authority for Artificial Intelligence and Data, June 2026.⁠https://practiceguides.chambers.com/practice-guides/data-protection-privacy-2026/uae/trends-and-developments ; https://www.morganlewis.com/pubs/2026/06/uae-establishes-federal-authority-for-artificial-intelligence-and-data
11. 11.DIFC Data Protection Regulations, Consolidated Version No. 2, Regulation 10 (Personal Data Processed through Autonomous and Semi-Autonomous Systems), in force 1 September 2023.⁠https://www.difc.com/business/registrars-and-commissioners/commissioner-of-data-protection/regulation-10
12. 12.DIFC Data Protection Law, DIFC Law No. 5 of 2020 (consolidated July 2025), Article 38.⁠https://www.difc.com/business/registrars-and-commissioners/commissioner-of-data-protection
13. 13.Clyde & Co, Saudi Arabia issues Implementing Regulations to the Personal Data Protection Law, September 2023 (secondary source; regulator text not reachable).⁠https://www.clydeco.com/en/insights/2023/09/saudi-arabia-issues-implementing-regulations
14. 14.Central Bank of the UAE, Guidance Note on Consumer Protection and the Responsible Adoption and Use of Artificial Intelligence and Machine Learning by Licensed Financial Institutions in the U.A.E., February 2026, sections 7(a) and 7(c).⁠https://rulebook.centralbank.ae/en/rulebook/guidance-note-consumer-protection-and-responsible-adoption-and-use-artificial-intelligence
15. 15.Skitka, L. J., Mosier, K. L. and Burdick, M., Does automation bias decision-making?, International Journal of Human-Computer Studies 51(5), 1999; figures as restated in Skitka, Mosier and Burdick, Accountability and automation bias, IJHCS 52(4), 2000, p. 702.⁠https://www.sciencedirect.com/science/article/abs/pii/S1071581999902525 ; https://lskitka.people.uic.edu/IJHCS2000.pdf
16. 16.Green, B. and Chen, Y., Disparate interactions: an algorithm-in-the-loop analysis of fairness in risk assessments, ACM FAT* 2019.⁠https://www.benzevgreen.com/wp-content/uploads/2019/02/19-fat.pdf
17. 17.Bansal, G. et al., Does the whole exceed its parts? The effect of AI explanations on complementary team performance, ACM CHI 2021.⁠https://idl.cs.washington.edu/files/2021-AIExplanationsTeamPerformance-CHI.pdf
18. 18.OWASP GenAI Security Project, OWASP Top 10 for Agentic Applications, December 2025, item ASI09.⁠https://genai.owasp.org/2025/12/09/owasp-top-10-for-agentic-applications-the-benchmark-for-agentic-security-in-the-age-of-autonomous-ai/
19. 19.Amnesty International, Xenophobic Machines, October 2021, p. 26.⁠https://www.amnesty.nl/content/uploads/2021/10/20211014_FINAL_Xenophobic-Machines.pdf
20. 20.Royal Commission into the Robodebt Scheme, Report, Volume 1, Overview, pp. xxiv and xxvi, Australia, July 2023.⁠https://robodebt.royalcommission.gov.au/
21. 21.Ancker, J. S. et al., Effects of workload, work complexity, and repeated alerts on alert fatigue in a clinical decision support system, BMC Medical Informatics and Decision Making 17:36, 2017.⁠https://link.springer.com/article/10.1186/s12911-017-0430-8
22. 22.Anthropic, Measuring AI agent autonomy in practice, February 2026 (vendor-published analysis of its own platform traffic).⁠https://www.anthropic.com/research/measuring-agent-autonomy
23. 23.DosSantos DiSorbo, M. and Ju, H., Act or escalate? Evaluating escalation behavior in automation with language models, arXiv preprint 2604.08588, 2026 (not yet peer reviewed).⁠https://arxiv.org/abs/2604.08588
24. 24.Zhang, Z. et al., Agent-SafetyBench: evaluating the safety of LLM agents, arXiv 2412.14470, 2024.⁠https://arxiv.org/abs/2412.14470
25. 25.US Federal Aviation Administration, 25-Hour Cockpit Voice Recorder Requirement, New Aircraft Production, final rule, Federal Register, 2 February 2026 (FR Doc. 2026-02110), and the December 2023 proposed rule; 14 CFR 121.344 and 121.359.⁠https://www.federalregister.gov/documents/2023/12/04/2023-26144/ ; https://www.ecfr.gov/current/title-14/chapter-I/subchapter-G/part-121/subpart-K/section-121.359
26. 26.Directive 2014/65/EU (MiFID II), Article 16(7), 2014.⁠https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:02014L0065-20240328
27. 27.US Securities and Exchange Commission, Rule 17a-4(f), 17 CFR 240.17a-4, as amended 2022.⁠https://www.ecfr.gov/current/title-17/chapter-II/part-240/section-240.17a-4
28. 28.OpenTelemetry, Semantic conventions for generative AI systems, attribute registry, 2024 to 2026.⁠https://opentelemetry.io/docs/specs/semconv/registry/attributes/gen-ai/
29. 29.Crosby, S. A. and Wallach, D. S., Efficient data structures for tamper-evident logging, USENIX Security 2009.⁠https://static.usenix.org/event/sec09/tech/full_papers/crosby.pdf
30. 30.Moffatt v. Air Canada, 2024 BCCRT 149, Civil Resolution Tribunal of British Columbia, 14 February 2024, paras 27 to 29 and 40 to 44.⁠https://decisions.civilresolutionbc.ca/crt/crtd/en/item/525448/index.do
31. 31.UK Financial Conduct Authority, Home and travel claims handling arrangements: good practice and areas for improvement, July 2025.⁠https://www.fca.org.uk/publications/good-and-poor-practice/home-travel-claims-handling-arrangements
32. 32.Regulation (EU) No 376/2014 on the reporting, analysis and follow-up of occurrences in civil aviation, Articles 2(12), 15 and 16, 2014.⁠https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32014R0376
33. 33.Middle East Insurance Review, Saudi Arabia: Insurance Authority proposes shorter claims settlement period, 25 November 2025; Atlas Magazine, Saudi Arabia to speed up insurance claims processing, November 2025 (secondary sources reporting the Insurance Authority's draft amendment; regulator text not reachable).⁠https://www.atlas-mag.net/en/article/saudi-arabia-to-speed-up-insurance-claims-processing