عرضه‌ی محصولات مبتنی بر مدل‌های زبانی در بازار سازمانی و بین‌المللی بدون رعایت الزامات انطباق (Compliance) عملاً ناممکن است. تیم‌های خرید سازمان‌های بزرگ در سال 2026 دیگر صرفاً به قابلیت‌های فنی مدل نگاه نمی‌کنند، بلکه خواهان ماتریس کاملی از استانداردهای امنیتی، حریم خصوصی و حاکمیت داده نظیر SOC 2، GDPR و قانون هوش مصنوعی اروپا هستند.
در توسعه‌ی سیستم‌های تجاری، پیاده‌سازی تک‌به‌تک هر چارچوب باعث دوباره‌کاری سنگین و خستگی ممیزی میشود؛ درحالی‌که با تطبیق متقابل الزامات (Cross-framework mapping) می‌توان با تعریف کنترل‌های مشترک مانند لاگ‌گیری دقیق، رمزنگاری و مدیریت کلیدها، چند استاندارد را به‌طور هم‌زمان برآورده کرد.
این درس به شما کمک میکند چارچوب‌های اصلی حاکم بر بازار جهانی هوش مصنوعی را بشناسید، تقویم اجرایی جریمه‌های سنگین قوانین بین‌المللی را بدانید و با رویکرد مهندسی به استقبال آزمون‌ها و ارزیابی‌های فنی بروید.
پوشش هم‌زمان چند چارچوب انطباق، حداقل شرط لازم برای بستن قراردادهای سازمانی در سال 2026 است. قانون هوش مصنوعی اتحادیه اروپا (EU AI Act): از 1 اوت 2024 لازم‌الاجرا شده است. بیشتر الزامات سیستم‌های پرخطر از 2 اوت 2026 اجرایی می‌شوند. جریمه‌ها تا 15 میلیون یورو یا 3 درصد از گردش مالی سالانه‌ی جهانی برای نقض تعهدات سیستم‌های پرخطر (ماده 99(4)) و تا 35 میلیون یورو یا 7 درصد برای اقدامات ممنوع هوش مصنوعی (ماده 99(3)) در نظر گرفته شده است. این قانون در صورت ارائه‌ی خدمات به کاربران اتحادیه اروپا، برای شرکت‌های سراسر جهان اعمال میشود. قانون هوش مصنوعی کلرادو (Colorado AI Act): از 30 ژوئن 2026 لازم‌الاجرا میشود (که طبق لایحه‌ی SB25B-004 از فوریه 2026 به تعویق افتاد) — این قانون شامل ارزیابی اثرات برای سیستم‌های پرخطر و حق تجدیدنظر درباره‌ی تصمیمات هوش مصنوعی است. ایالت ویرجینیا نیز قوانین مشابهی برای اعتبارسنجی مالی، استخدام، مسکن و آموزش دارد. گواهی SOC 2 Type II: الزام عملی B2B در حوزهی هوش مصنوعی است (برای فین‌تک نوع Type II الزامی است، نه Type I). مقررات GDPR: بزرگ‌ترین جریمه‌ی ثبت‌شده‌ی مختص هوش مصنوعی، جریمه‌ی 30.5 میلیون یورویی شرکت Clearview AI توسط مرجع حفاظت از دادههای هلند (سپتامبر 2024) است؛ نهاد Garante ایتالیا نیز جریمه‌ای 15 میلیون یورویی برای OpenAI در دسامبر 2024 صادر کرد (که بعداً در فرجام‌خواهی در مارس 2026 لغو شد). پاکسازی دادههای حساس هویتی (PII) بهصورت بیدرنگ (Real-time) در لایهی استنتاج، استاندارد قابلدفاع است؛ پاکسازی پس از پردازش دیگر کافی نیست. قانون HIPAA: مختص حوزهی سلامت — بدون امضای توافقنامهی همکار تجاری (BAA) نمی‌توان دادههای سلامت محافظت‌شده (PHI) را به سرویس‌های هوش مصنوعی خارجی فرستاد. استاندارد PCI-DSS: پوشش لایهی تعاملی هوش مصنوعی نیازمند پیکربندی و توافقات قراردادی است و بهصورت خودکار اعمال نمی‌شود. استاندارد ISO 42001: استاندارد نوظهور حاکمیت هوش مصنوعی است که در کنار ISO 27001 به یکی از پیش‌شرط‌های فزاینده در تدارکات و خریدهای سازمانی تبدیل میشود. پروفایل مرجع: OpenAI استانداردهای SOC 2 Type 2، ISO/IEC 27001:2022 و ISO/IEC 27701:2019 را در کنار تعهد به GDPR، CCPA، HIPAA (با BAA) و FERPA، و همچنین استاندارد PCI-DSS برای بخش‌های پرداخت ChatGPT حفظ کرده است. تطبیق متقابل چارچوب‌ها (Cross-framework mapping) از خستگی ناشی از ممیزی‌های مکرر جلوگیری میکند: برای نمونه، کنترل‌های دسترسی به‌طور هم‌زمان با ISO 27001 بند A.5.15 تا 5.18، ماده 32 قانون GDPR و بخش 164.312(a) از HIPAA هم‌پوشانی دارند.
اهداف یادگیری
- برشمردن هفت چارچوب سال 2026 مرتبط با محصولات مدل زبانی بزرگ (LLM) و تطبیق هر یک با بخش مشتریان مربوطه.
- ذکر جدول زمانی اجرای قانون هوش مصنوعی اتحادیه اروپا (لازم‌الاجرا از اوت 2024؛ اجرای الزامات پرخطر از اوت 2026) و سقف جریمه‌های دو‌سطحی (15 میلیون یورو / 3 درصد برای تعهدات سیستم‌های پرخطر، 35 میلیون یورو / 7 درصد برای اقدامات ممنوع).
- توضیح علت ناکافی بودن پاکسازی دادههای حساس هویتی پس از پردازش برای GDPR و معرفی پاکسازی بیدرنگ در لایهی استنتاج به‌عنوان استاندارد قابلدفاع.
- شرح تطبیق متقابل کنترلها بین چارچوب‌های مختلف (مثلاً انطباق کنترل دسترسی با بندهای A.5.15 تا 5.18 استاندارد ISO 27001، ماده 32 قانون GDPR و بخش 164.312(a) از قانون HIPAA).
صورت‌مسئله
واحد تدارکات یک مشتری سازمانی از شما SOC 2 Type II، GDPR، HIPAA BAA، ISO 27001 و «بیانیه‌ی انطباق با قانون هوش مصنوعی اتحادیه اروپا» را می‌خواهد. تیم شما فقط SOC 2 Type I دارد، تا دریافت Type II شش ماه فاصله دارید و حتی ثبت سوابق ماده 30 قانون GDPR را هم شروع نکرده‌اید.
پوشش هم‌زمان چند چارچوب، مشکلی مختص LLM نیست؛ بلکه یک چالش کلاسیک در محصولات نرم‌افزار بهصورت سرویس (SaaS) سازمانی است که لایه‌ای از الزامات ویژه‌ی LLM روی آن قرار گرفته است. تیم‌های خرید سازمانی در سال 2026 از شما ماتریسی می‌خواهند که هر سطرش یک چارچوب و هر ستونش یک کنترل باشد، نه یک فایل PDF.
مفاهیم پایه
هفت چارچوب اصلی
| چارچوب | دامنه | الزامات ویژه برای LLM |
|---|---|---|
| SOC 2 Type II | خط مبنای SaaSهای B2B | کنترل‌های فرایند ممیزی‌شده طی یک دوره‌ی 6 تا 12 ماهه |
| HIPAA | حوزهی سلامت آمریکا | نیازمند BAA؛ دادههای PHI بدون توافقنامهی امضاشده نباید از زیرساخت خارج شوند |
| GDPR | کاربران اتحادیه اروپا | پاکسازی بیدرنگ دادههای حساس هویتی؛ حقوق سوژه‌های داده؛ سوابق فعالیت ماده 30 |
| PCI-DSS | دادههای پرداخت | پیکربندی فنی به‌همراه قرارداد برای هر هوش مصنوعی درگیر با دادههای پرداخت |
| EU AI Act | ارائه‌ی خدمات به کاربران اتحادیه اروپا | دسته‌بندی سطوح خطر؛ سیستم‌های پرخطر: ارزیابی انطباق، مستندسازی و لاگ‌گیری |
| Colorado AI Act | ارائه‌ی خدمات به ساکنان کلرادو | ارزیابی اثرات؛ حق تجدیدنظر نسبت به تصمیمات هوش مصنوعی |
| ISO 42001 | حاکمیت هوش مصنوعی | استاندارد نوظهور؛ مکمل استاندارد ISO 27001 |
جدول زمانی قانون هوش مصنوعی اتحادیه اروپا
- 1 اوت 2024: لازم‌الاجرا شد.
- 2 فوریه 2025: ممنوعیت اقدامات غیرمجاز هوش مصنوعی اجرایی شد.
- 2 اوت 2026: الزامات سیستم‌های پرخطر اجرایی میشود (ارزیابی انطباق، مستندسازی، لاگ‌گیری).
- اوت 2027: الزامات سیستم‌های پرخطر در محصولاتی که مشمول قوانین هماهنگ‌شده‌ی دیگر اتحادیه‌اند اجرایی خواهد شد.
سطوح خطر: غیرقابل‌قبول (ممنوع)، پرخطر (نیازمند انطباق و لاگ‌گیری)، ریسک محدود (الزام به شفافیت)، حداقل ریسک (بدون محدودیت). بیشتر محصولات SaaS در حوزهی B2B مبتنی بر LLM در دسته‌ی ریسک محدود قرار می‌گیرند؛ اما اگر محصول شما وارد حوزه‌هایی مثل استخدام، اعتبارسنجی مالی، آموزش، اجرای قانون، مهاجرت یا خدمات حیاتی و پایه شود، سطح پرخطر فعال میشود.
جریمه‌ها (ماده 99): تا 15 میلیون یورو یا 3 درصد از کل گردش مالی سالانه‌ی جهانی برای نقض تعهدات سیستم‌های پرخطر (ماده 99(4))؛ تا 35 میلیون یورو یا 7 درصد برای اقدامات ممنوع هوش مصنوعی (ماده 99(3))؛ هر کدام که بیشتر باشد اعمال خواهد شد.
مقررات GDPR — استاندارد، پاکسازی بیدرنگ داده‌هاست
پاکسازی داده‌ها پس از پردازش (یعنی حذف دادههای حساس پس از آن‌که LLM آن‌ها را دید) رویکردی غیرقابل‌دفاع در ممیزی است؛ زیرا مدل از قبل داده را مشاهده کرده است. در سال 2026، پاکسازی بیدرنگ در لایهی استنتاج استاندارد الزامی است:
- شناسایی موجودیت‌ها (Entity recognition) پیش از ارسال فراخوانی به LLM.
- توکن‌سازی پایدار (رویکرد مش) برای حفظ بار معنایی پرامپت.
- ذخیره‌سازی داده‌ها فقط به‌شکل پرامپت‌های پاک‌سازی‌شده، مگر آن‌که کاربر صراحتاً رضایت خود را برای ذخیره‌ی متن خام اعلام کرده باشد.
نمونه‌های اجرایی اخیر: جریمه‌ی 30.5 میلیون یورویی Clearview AI توسط مرجع حفاظت از دادههای هلند (سپتامبر 2024) تا امروز بزرگ‌ترین جریمه‌ی ثبت‌شده‌ی مختص هوش مصنوعی در چارچوب GDPR است؛ جریمه‌ی 15 میلیون یورویی OpenAI توسط Garante ایتالیا (دسامبر 2024) نیز بزرگ‌ترین جریمه‌ی حوزهی LLM بود که البته در فرجام‌خواهی در مارس 2026 لغو شد و این حکم همچنان تحت بازبینی بیشتر قرار دارد. در ممیزی‌های رسمی، ادعای اتکا به پاکسازی پس از پردازش رد شده است.
قانون HIPAA — امضای BAA اختیاری نیست
ارسال دادههای PHI به سرویس‌های هوش مصنوعی خارجی بدون امضای «توافقنامهی همکار تجاری» (BAA) ممکن نیست. هر سه ارائه‌دهنده‌ی بزرگ ابری (Bedrock، Azure OpenAI و Vertex) قرارداد BAA ارائه می‌دهند. سرویس مستقیم API شرکت‌های OpenAI و Anthropic نیز BAA دارند. حتماً پیش از ارسال دادههای PHI، از فعال بودن BAA اطمینان حاصل کنید.
گواهی SOC 2 Type II
نوع اول (Type I): طراحی و مستندسازی کنترلها. نوع دوم (Type II): اثبات کارکرد مؤثر کنترلها در یک بازهی زمانی 6 تا 12 ماهه.
واحدهای تدارکات سازمانی B2B در سال 2026 به‌طور پیش‌فرض Type II را می‌خواهند. گواهی Type I نقطه‌ی شروع است، اما Type II مجوز ورود به معامله خواهد بود.
عوامل کلیدی در ممیزی: لاگ‌های دسترسی (چه کسی چه چیزی را دید)، مدیریت تغییرات (کد چگونه مستقر شد)، ارزیابی ریسک (فصلی)، و پاسخ به حوادث (آیا آزموده شده است؟). لاگ بازرسی پیاده‌سازی‌شده در فاز 17 · 25 دقیقاً برای این موارد قابل‌استفاده است.
تطبیق متقابل چارچوب‌ها
تنها یک خط‌مشی کنترل دسترسی، الزامات چندین چارچوب را به‌طور هم‌زمان برآورده میکند:
| کنترل | چارچوب‌ها |
|---|---|
| لاگ‌گیری دسترسی | بندهای A.5.15 تا 5.18 در ISO 27001، ماده 32 در GDPR، بخش 164.312(a) در HIPAA |
| مدیریت تغییرات | بند A.8.32 در ISO 27001، الزامات 6 در PCI DSS، دامنه‌ی اطلاع‌رسانی نقض در HIPAA |
| رمزنگاری داده‌ها در حال انتقال | بند A.8.24 در ISO 27001، ماده 32 در GDPR، بخش 164.312(e) در HIPAA |
| مدیریت کلیدها و اسرار (Secrets management) | بند A.8.19 در ISO 27001، الزامات 8 در PCI DSS، شاخص CC6.1 در SOC 2 |
ابزارهای انطباق (مثل Drata، Vanta و Secureframe) این نگاشت متقابل را خودکار می‌کنند. در مقیاس‌های سازمانی، پرداخت هزینه‌ی این ابزارها کاملاً توجیه‌پذیر است.
استاندارد ISO 42001 — استاندارد نوظهور
این استاندارد در اواخر سال 2023 منتشر شد و در کنار ISO 27001 به‌سرعت به یکی از پیش‌شرط‌های فرایند خرید سازمان‌ها تبدیل میشود. این استاندارد چارچوبی اختصاصی برای حاکمیت هوش مصنوعی است که مواردی مثل مدیریت ریسک، کیفیت داده‌ها، شفافیت و نظارت انسانی را در بر می‌گیرد.
مشخصات مرجع OpenAI
شرکت OpenAI استانداردهای SOC 2 Type 2، ISO/IEC 27001:2022 و ISO/IEC 27701:2019 را در کنار تطابق با قوانین GDPR، CCPA، HIPAA (با BAA) و FERPA، و همچنین استاندارد PCI-DSS را برای بخش‌های پرداخت ChatGPT حفظ کرده است. این فهرست تقریباً همان حداقل شرایطی است که در سال 2026 از قراردادهای سازمانی انتظار می‌رود.
اعدادی که باید به خاطر بسپارید
- جریمه‌های قانون هوش مصنوعی اروپا: تا 15 میلیون یورو / 3 درصد (تعهدات سیستم‌های پرخطر، ماده 99(4))؛ تا 35 میلیون یورو / 7 درصد (اقدامات ممنوع، ماده 99(3)).
- تاریخ اجرای الزامات سیستم‌های پرخطر در قانون هوش مصنوعی اروپا: 2 اوت 2026.
- بزرگ‌ترین جریمه‌ی ثبت‌شده‌ی مختص هوش مصنوعی در چارچوب GDPR: مبلغ 30.5 میلیون یورو برای Clearview AI (سپتامبر 2024).
- بزرگ‌ترین جریمه‌ی مختص LLM در GDPR: مبلغ 15 میلیون یورو برای OpenAI (دسامبر 2024؛ لغوشده در فرجام‌خواهی مارس 2026).
- بازهی زمانی ارزیابی SOC 2 Type II: اثبات عملکرد 6 تا 12 ماهه‌ی کنترلها.
- تاریخ اجرای قانون هوش مصنوعی کلرادو: 30 ژوئن 2026 (طبق لایحه‌ی SB25B-004 از فوریه 2026 به تعویق افتاد).
استفاده از آن
فایل code/main.py یک صفحه‌گسترده‌ی پایتونی برای نگاشت الزامات انطباق است؛ با دریافت یک کنترل مشخص، فهرست چارچوب‌هایی را که با آن برآورده می‌شوند برمی‌گرداند.
تحویل پروژه
خروجی این درس فایل outputs/skill-compliance-matrix.md است. این سند بر اساس دسته‌بندی مشتری و موقعیت جغرافیایی، چارچوب‌ها و کنترل‌های الزامی را دقیقاً مشخص میکند.
تمرین‌ها
- اولین مشتری سازمانی شما تقاضای گواهی‌های SOC 2 Type II، HIPAA BAA و بیانیه‌ی انطباق با EU AI Act را دارد. حداقل وضعیت انطباق پایدار (Minimum Viable Compliance Posture) برای بستن این قرارداد چیست؟
- سه محصول فرضی مبتنی بر LLM را در سطوح خطر قانون هوش مصنوعی اتحادیه اروپا طبقه‌بندی کنید. الزامات سیستم در صورت قرار گرفتن در سطح «پرخطر» چه تغییراتی میکند؟
- فرض کنید به‌طور تصادفی دادههای PHI را به سرویس‌دهنده‌ای فرستاده‌اید که با آن BAA ندارید. مراحل فرایند مدیریت و پاسخ به حادثه را بنویسید.
- تحلیل کنید که آیا اخذ استاندارد ISO 42001 در سال 2026 برای یک شرکت ارائه‌دهنده‌ی هوش مصنوعی در بازار متوسط (Mid-market) «ضروری» است یا خیر.
- فیلدهای لاگ بازرسی مدل زبانی خود (از فاز 17 · 25) را با حداقل سه مورد از کنترل‌های چارچوب‌های یادشده تطبیق دهید.
اصطلاحات کلیدی
| اصطلاح | در گفتار عامیانه | معنای دقیق فنی |
|---|---|---|
| SOC 2 Type II | «کنترل‌های ممیزی‌شده» | ارزیابی و تأیید مستقل عملکرد مؤثر کنترلها در یک دوره‌ی 6 تا 12 ماهه |
| HIPAA BAA | «قرارداد حوزهی سلامت» | توافقنامهی همکار تجاری؛ پیش‌شرط قانونی برای دادههای PHI |
| GDPR | «حریم خصوصی اروپا» | پاکسازی بیدرنگ دادههای حساس هویتی استاندارد قابلدفاع سال 2026 در این قانون است |
| EU AI Act | «قوانین هوش مصنوعی اروپا» | اجرای الزامات پرخطر از اوت 2026؛ جریمه‌ی 15 میلیون یورو / 3 درصد (تعهدات سیستم‌های پرخطر) تا 35 میلیون یورو / 7 درصد (اقدامات ممنوع) |
| Colorado AI Act | «قانون ایالتی هوش مصنوعی در آمریکا» | لازم‌الاجرا از 30 ژوئن 2026 (به تعویق افتاده با SB25B-004)؛ ارزیابی اثرات |
| ISO 42001 | «حاکمیت هوش مصنوعی» | چارچوب نوظهور برای مدیریت ریسک و شفافیت هوش مصنوعی |
| ISO 27001 | «امنیت ISMS» | خط مبنای سیستم مدیریت امنیت اطلاعات |
| ارزیابی انطباق (Conformity assessment) | «بسته‌ی مستندات هوش مصنوعی اروپا» | الزامات قانونی سیستم‌های پرخطر: مستندات، آزمون‌ها، لاگ‌گیری |
| تطبیق متقابل چارچوب‌ها (Cross-framework mapping) | «یک کنترل، چندین چارچوب» | یک خط‌مشی واحد کنترل‌های چند چارچوب مختلف را برآورده میکند |
برای مطالعه‌ی بیشتر
- امنیت و حریم خصوصی در OpenAI — پروفایل مرجع انطباق.
- راهنمای انطباق LLM در سال 2026 از GuardionAI: شامل ISO 42001، EU AI Act، SOC 2 و GDPR
- راهنمای ممیزی SOC 2 Type 2 در سال 2026 از Dsalta: ده کنترل هوش مصنوعی
- متن رسمی قانون هوش مصنوعی اتحادیه اروپا (EU AI Act) — منبع اصلی.
- قانون هوش مصنوعی کلرادو — منبع اصلی.
- استاندارد ISO/IEC 42001:2023 — استاندارد سیستم مدیریت هوش مصنوعی.