أصبح استخدام أدوات الذكاء الاصطناعي جزءاً من المهام اليومية داخل المؤسسات، غير أن لجوء الموظفين إلى حساباتهم الشخصية على "شات جي بي تي" ، بدلاً من الحسابات المؤسسية المعتمدة، قد يعرّض بيانات الشركات والعملاء لمخاطر أمنية تتطلب إجراءات واضحة للوقاية والاستجابة.

في تقرير نشره موقع BleepingComputer في 16 تشرين الأول/ أكتوبر 2026، برعاية شركة NordLayer، يستعرض فاكاريس نوريكا، نائب رئيس أبحاث وتطوير المنتجات في الشركة، المخاطر المرتبطة باستخدام الموظفين حساباتهم الشخصية على "شات جي بي تي"، والإجراءات اللازمة لحماية بيانات المؤسسات والعملاء.

مخاطر استخدام الحسابات الشخصية

تبدأ المشكلة عندما يكتشف النظام الأمني في إحدى المؤسسات استخدام موظف حساباً شخصياً على "شات جي بي تي"، رغم توفير اشتراك مؤسسي في ChatGPT Enterprise.

قد يستخدم الموظف بريده الإلكتروني المهني للدخول إلى جهاز العمل، بينما يعتمد بريده الشخصي للوصول إلى "شات جي بي تي". هذا الاختلاف يصعّب تحديد الحساب المستخدم وربط النشاط بالموظف المسؤول عنه.

ويشير المقال إلى أهمية التمييز بين الحسابات الشخصية والمؤسسية، والتحقق من هويّة المستخدم قبل اتخاذ أيّ إجراء.

شعار شات جي بي تي التابع لشركة أوبن إيه آي على شاشة هاتف أمام لوحة مفاتيح. (رويترز)

مخاطر تسريب بيانات العملاء

يتمثل أحد أبرز المخاطر في إدخال معلومات حساسة ضمن المحادثات، مثل بيانات الاتصال بالعملاء وأرقام الحسابات والمراسلات الداخلية.

في السيناريو الأول، تستطيع أدوات الحماية اكتشاف استخدام حساب شخصي، من دون تسجيل محتوى الرسائل المرسلة. عندها، يحتاج المسؤول الأمني إلى مراجعة المحادثة المتعلقة بالعمل لتحديد المعلومات التي وصلت إلى الخدمة.

أما السيناريو الثاني، فيستعرض استخدام أداة "NordLayer AI Scout" لفحص النصوص على الجهاز قبل إرسالها، ومنع مشاركة البيانات التي تطابق قواعد الحماية المحددة.

مخاطر تجاوز السياسات المؤسسية

قد لا يكون استخدام الحساب الشخصي محاولة متعمّدة لتجاوز الإجراءات الأمنية.

يوضح المقال أن انتهاء جلسة الحساب المؤسسي أو طول إجراءات التحقق الثنائي قد يدفع الموظف إلى استخدام حسابه الشخصي المفتوح مسبقاً لإنجاز مهمة عاجلة.

وقد يتكرر هذا السلوك إن لم تعالج المؤسسة صعوبات الوصول إلى أدواتها المعتمدة.

مخاطر سوء تقدير الحوادث الأمنية

يشدد المقال على ضرورة تقييم الحوادث وفق طبيعة المعلومات التي أُرسلت.

إذا تضمّنت المحادثة بيانات اعتماد حساسة، فقد يستدعي الأمر إلغاءها أو تغييرها. أما مشاركة سجلات العملاء، فقد تتطلب تقييماً للخصوصية.
ويؤكد أن استخدام حساب شخصي لا يثبت تلقائياً أن البيانات استُخدمت لتدريب النماذج أو أصبحت متاحة للآخرين.

إجراءات حماية بيانات الشركات

يوصي المقال بتسهيل الوصول إلى الحسابات المؤسسية، ومراجعة سياسات منع تسرّب البيانات، وتوثيق الحوادث ومتابعة تكرارها.

ويعرض ثلاث آليات للحماية: التحذير قبل الإرسال (Warn)، وحذف المعلومات الحساسة من النص (Redact)، ومنع إرسال الرسالة بالكامل (Block).

وتبقى الأولوية لضمان استخدام الموظفين أدوات معتمدة تتناسب مع طبيعة المعلومات المسموح بمشاركتها، مع تطبيق ضوابط تمنع خروج البيانات الحساسة خارج البيئة المؤسسية.