השילוב בין בינה מלאכותית והגנת הפרטיות הפך משאלה תאורטית לשאלה תפעולית של ממש. עסקים קטנים ובינוניים מזינים מידע של לקוחות לכלים גנרטיביים, מפעילים צ׳אטבוטים באתר, ומשלבים סוכני AI בתהליכי שירות — לעיתים בלי לעצור ולשאול אילו חובות משפטיות נגררות מזה. מי שרוצה להסדיר את תמונת הציות הכוללת שלו יכול להתחיל מפתרון הציות של Privorify, והמאמר הזה מתמקד בשכבה האחת שנוטה להישכח: ה-AI.
האם חוק הגנת הפרטיות חל על מערכות בינה מלאכותית?
כן. הרשות להגנת הפרטיות פרסמה הנחיה בעניין תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית, ובה הובהר כי דיני הגנת הפרטיות חלים על מערכות AI לאורך כל שלבי הפיתוח וההטמעה — וגם על מידע שנוצר באמצעותן. במילים אחרות, אין "חלל רגולטורי" שבו הטכנולוגיה פועלת ללא כללים.
הנקודה המעשית החשובה ביותר היא שמידע שנוצר או מוסק על ידי מערכת AI אינו "מידע חדש" חסר מעמד משפטי. אם מודל מסווג לקוח לפי סבירות עזיבה, מעריך מצב בריאותי או מנבא העדפות — התוצר הוא מידע אישי על אדם מזוהה, על כל המשתמע מכך.
מה המצב הרגולטורי של AI בישראל?
בישראל אין כרגע חוק בינה מלאכותית כולל בספר החוקים, בדומה לחקיקה האירופית. במקום זאת התפתחה גישה מגזרית, שבה כל רגולטור מפרסם הנחיות עבור השוק שבאחריותו. עבור רוב העסקים, הרגולטור הרלוונטי ביותר הוא הרשות להגנת הפרטיות, שכן כמעט כל שימוש עסקי ב-AI נוגע במידע על אנשים.
נוסף על כך, הרשות פרסמה חומרי הנחיה בנושא הטמעת טכנולוגיות מגבירות פרטיות במערכות בינה מלאכותית, וכן המלצות לשימוש אחראי בסוכני AI — כלים שפועלים בשם המשתמש ונגשים לחשבונות ולמידע שלו. לצד זאת, תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, העניק לרשות כלים אכיפתיים חדשים, ובהם סמכות להטיל עיצומים כספיים בהיקפים משמעותיים.
מהן הסוגיות המרכזיות שארגון צריך לבדוק?
ארגון שמשלב בינה מלאכותית צריך לבדוק קודם כל אם השימוש הספציפי נשען על בסיס חוקי לעיבוד המידע. אלו הנקודות שחוזרות ברוב המקרים:
- מטרת האיסוף — מידע שנאסף למטרה אחת (למשל אספקה של שירות) אינו בהכרח מותר לאימון מודל או לפיתוח מוצר חדש.
- שקיפות מול המשתמש — אם צ׳אטבוט או סוכן AI מעבד מידע של גולשים, הדבר צריך לבוא לידי ביטוי במדיניות הפרטיות ובנקודת המגע עצמה.
- העברה לצד שלישי — הזנת מידע אישי לשירות AI חיצוני היא העברה לגורם שלישי, על כל החובות החוזיות והאבטחתיות הנלוות.
- מזעור המידע — שאלה פשוטה שנשכחת: האם המודל באמת צריך את שם הלקוח, תעודת הזהות ומספר הטלפון כדי לבצע את המשימה?
- אבטחת מידע — תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, חלות גם על מאגרים שמשמשים לאימון או להרצת מודלים.
- דיוק ותיקון — לנושא מידע יש זכויות בנוגע למידע המוחזק עליו, ומידע שגוי שהופק על ידי מודל אינו חסין מפני כך.
הדוגמה הנפוצה ביותר: הדבקה לכלי גנרטיבי
עובד שמעתיק רשימת לקוחות או תוכן של פנייה מלקוח אל תוך כלי AI ציבורי מבצע בפועל העברת מידע אישי החוצה מהארגון. זה קורה עשרות פעמים ביום בארגונים רבים, בלי נוהל ובלי תיעוד. מדיניות שימוש פנימית ב-AI, המגדירה מה מותר להזין ולאילו כלים, היא אחת ההשקעות הזולות והמשמעותיות שארגון יכול לעשות היום.
איך מיישמים שימוש אחראי ב-AI בעסק?
היישום מתחיל במיפוי של כל נקודות המגע שבהן בינה מלאכותית נוגעת במידע אישי. רוב הארגונים מופתעים לגלות כמה נקודות כאלו קיימות בפועל. רצף עבודה סביר:
- רשימת כל הכלים והספקים המשולבים בעסק ומעבדים מידע.
- סיווג לפי רגישות — האם מדובר במידע רגיל או במידע רגיש (בריאות, מצב כלכלי, דעות ואמונות).
- הצלבה עם המטרה שלשמה נאסף המידע מלכתחילה.
- עיגון בהסכמים מול ספקים ובמדיניות הפרטיות הפומבית.
- בקרה תקופתית, משום שכלי AI משתנים ומתרחבים מהר מהמסמכים שמתארים אותם.
לבעלי אתרים שמפעילים צ׳אטבוט או כלי המלצות, כדאי לקרוא גם את המדריך המלא לתיקון 13 לבעלי אתרים, שמרחיב על החובות הנוגעות לאיסוף מידע באתר.
מה הסיכון האכיפתי בפועל?
הסיכון המעשי אינו בהכרח "שימוש ב-AI" כשלעצמו, אלא הפרת החובות הקיימות דרך ה-AI. עיבוד ללא בסיס חוקי, העברת מידע לצד שלישי ללא הסדרה חוזית, או היעדר אבטחה הולמת — אלו הפרות שהרשות להגנת הפרטיות מוסמכת לטפל בהן בהליך מנהלי. הבנה של סדרי הגודל הכספיים מופיעה במאמר על קנסות הגנת הפרטיות.
שאלות ותשובות
האם מותר להזין מידע של לקוחות ל-ChatGPT או לכלי AI אחר?
הדבר תלוי בבסיס החוקי לעיבוד ובמטרה שלשמה נאסף המידע. ככלל, הזנת מידע אישי לכלי חיצוני מהווה העברה לצד שלישי ודורשת בחינה של הסכם השירות, שקיפות מול נושא המידע ואמצעי אבטחה. מומלץ לקבוע מדיניות פנימית מפורשת.
האם יש בישראל חוק בינה מלאכותית?
נכון לעכשיו אין בישראל חוק AI כולל בדומה לאיחוד האירופי. הגישה הנוהגת היא מגזרית — רגולטורים שונים מפרסמים הנחיות לשוק שבאחריותם. לצד זאת, דיני הגנת הפרטיות הקיימים חלים על שימוש ב-AI במלואם.
מה נחשב מידע שנוצר על ידי מערכת AI?
מידע שהמערכת מפיקה על אדם מזוהה — ציון, סיווג, תחזית או הערכה — נחשב כמידע אישי לכל דבר. הרשות להגנת הפרטיות הבהירה שהחוק חל גם על מידע שנוצר באמצעות מערכות בינה מלאכותית, ולא רק על מידע שהוזן אליהן.
אני עסק קטן עם צ׳אטבוט באתר — מה נדרש ממני?
ככלל, נדרשת שקיפות מול הגולש על כך שמדובר במערכת אוטומטית, הסבר איזה מידע נאסף ולאיזו מטרה, ועדכון מדיניות הפרטיות של האתר בהתאם. אם הצ׳אטבוט מופעל על ידי ספק חיצוני, יש לוודא שההסכם עמו מסדיר את עיבוד המידע ואת אבטחתו.
מה הצעד הראשון שכדאי לעשות?
למפות. רשימה פשוטה של כל הכלים והתהליכים שבהם בינה מלאכותית נוגעת במידע על אנשים היא הבסיס לכל השאר. ללא מיפוי אי אפשר לדעת אילו חובות חלות ואילו פערים קיימים.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
