רוב העסקים בישראל כבר משתמשים בכלי בינה מלאכותית בעבודה היומיומית, ורובם עושים זאת בלי שום נוהל שימוש בבינה מלאכותית בארגון. התוצאה היא מצב שנהוג לכנות בשם Shadow AI: עובדים משתמשים בכלים שאיש לא אישר, עם מידע שאף אחד לא בדק אם מותר להוציא מהארגון. אם אתם בונים תשתית ציות מסודרת, Privorify מתחיל בדיוק מהנקודה הזאת — לדעת איזה מידע יש לכם ולאן הוא זורם.
מה הסיכון המשפטי בשימוש ללא נוהל?
הסיכון העיקרי הוא שמידע אישי שבאחריותכם עובר לגורם חיצוני בלי בסיס חוקי מסודר. הרשות להגנת הפרטיות פרסמה טיוטת הנחיה בנושא תחולת הוראות חוק הגנת הפרטיות על מערכות בינה מלאכותית. המסר המרכזי: אין צורך לחכות לחוק AI ייעודי — החובות הקיימות חלות גם על עיבוד מידע במערכות אלה.
בפועל מדובר בשלוש חזיתות נפרדות:
- חזית העברת המידע — הזנת מידע אישי לכלי חיצוני היא מסירה של המידע לגורם שלישי, לעיתים מחוץ לישראל.
- חזית המטרה — מידע שנאסף למטרה אחת ומשמש למטרה אחרת מעורר שאלה עצמאית.
- חזית האבטחה — הוצאת מידע מהסביבה המאובטחת של הארגון לסביבה שאינכם שולטים בה.
מדיניות ה-AI הישראלית נוטה לרגולציה גמישה וענפית המעודדת שימוש אחראי תוך שמירה על זכויות יסוד כגון פרטיות ושקיפות — מה שמעביר חלק גדול מהאחריות למגרש של הארגון עצמו.
אילו סוגי מידע לעולם לא מזינים לכלי ציבורי?
הכלל הפשוט: כל מה שמזהה אדם או מלמד עליו משהו שהוא לא בחר לפרסם. טבלת העבודה הזו עובדת טוב כנספח לנוהל:
| סוג מידע | כלי ציבורי | כלי ארגוני מאושר |
|---|---|---|
| טקסט שיווקי כללי | מותר | מותר |
| שמות לקוחות ופרטי קשר | אסור | רק לפי הרשאה ומטרה מוגדרת |
| קורות חיים של מועמדים | אסור | בבדיקה פרטנית |
| מידע רפואי או פיננסי | אסור | רק באישור חריג |
| קוד וקבצי תצורה פנימיים | אסור | לפי מדיניות פיתוח |
| מסמכים משפטיים של לקוחות | אסור | רק באישור חריג |
שימו לב שגם "הורדת שמות" אינה פתרון מלא. צירוף של פרטים — תפקיד, יישוב, תאריך אירוע — עשוי לאפשר זיהוי גם בלי שם מפורש.
מה חייב להיות בנוהל עצמו?
נוהל טוב הוא קצר מספיק כדי שעובד יקרא אותו עד הסוף, ומפורט מספיק כדי שלא יוצר וויכוח. שבעה רכיבים שכדאי שיופיעו בו:
- רשימת כלים מאושרים — מה מותר להשתמש, ומי מעדכן את הרשימה.
- סיווג מידע — מה מותר להזין בכל רמה, כמו בטבלה למעלה.
- מסלול אישור חריגים — למי פונים כשנדרש שימוש חריג, ואיך מתעדים את האישור.
- איסור הסתמכות עיוורת — פלט של מודל טעון בדיקה אנושית לפני שימוש.
- תיעוד — אילו תהליכים עסקיים נשענים על כלי AI ובאיזה אופן.
- הדרכה — הסבר קצר לכל עובד, עם דוגמאות מהעבודה היומיומית שלו.
- אכיפה ובקרה — מה קורה אם הנוהל מופר, ומי בודק.
למה איסור גורף לרוב נכשל?
מפני שהוא מעביר את השימוש למחתרת. עובד שצריך לסיים משימה ישתמש בטלפון הפרטי שלו, ואז אין לכם לא ניטור, לא תיעוד ולא שליטה. עדיף מסלול מאושר אחד שעובדים באמת משתמשים בו על פני איסור גורף שאיש לא מכבד.
יש מקרים שבהם רגולטור ענפי מצמצם את שיקול הדעת הזה. למשל, משרד הבריאות פרסם הנחיה המחייבת ארגוני בריאות להפסיק שימוש בכלי AI כלליים ברשתות הארגוניות ולעבור לכלים מאובטחים בלבד, בכפוף לניהול סיכונים מתאים. אם אתם פועלים במגזר מפוקח, בדקו קודם מה הרגולטור שלכם דורש.
איך בוחרים כלי AI ארגוני?
בודקים אותו כמו כל ספק אחר שמקבל גישה למידע שלכם. השאלות המעשיות: האם הספק מתחייב שלא להשתמש במידע לאימון מודלים? היכן נשמר המידע ולכמה זמן? אילו הרשאות יש לעובדי הספק? האם קיימת אפשרות מחיקה בפועל? ברוב המקרים מדובר בספק מחוץ לישראל, ואז הנושא נוגע גם לכללי מיקור חוץ ומאגרי מידע.
רקע רחב יותר על המפגש בין הטכנולוגיה לדין הישראלי אפשר למצוא במאמר על בינה מלאכותית והגנת הפרטיות, ועל הצד ההתקפי של הטכנולוגיה במאמר על פישינג מבוסס בינה מלאכותית.
מה עושים בשבוע הקרוב?
אין צורך בפרויקט של חצי שנה. אפשר להתקדם משמעותית בכמה צעדים קצרים: לשאול את הצוות באילו כלים הם משתמשים בפועל ולמה; לרשום את התשובות בלי לשפוט; לבחור כלי אחד מאושר שעונה על רוב הצרכים; ולפרסם נוהל של עמוד אחד עם הטבלה והמסלול לאישור חריגים. זה מסיר את רוב החשיפה המעשית.
השלב הבא — עדכון המסמכים החיצוניים. אם אתם מעבדים מידע של לקוחות בכלי AI, הדבר צריך להשתקף במדיניות הפרטיות וביידוע ללקוח — לא כהערת אגב אלא כאמירה ברורה.
איך מטפלים בהטייה שכבר קרתה?
הנחה סבירה היא שלפני שנכתב הנוהל, מידע כלשהו כבר הוזן לכלי חיצוני. התגובה הנכונה אינה חיפוש אשם אלא מיפוי שקט: מה הוזן, מתי, על ידי מי ולאיזה כלי. במקרים רבים המידע היה שולי והמסקנה היא פשוט לקבוע כלל קדימה; במקרים אחרים מדובר בחשיפה ממשית שמצדיקה בדיקה רצינית יותר.
שאלות שכדאי לשאול בשלב הזה:
- האם המידע שהוזן מזהה אנשים ספציפיים, או שמדובר בחומר כללי?
- האם לחשבון שבו נעשה השימוש יש הגדרות שמונעות שימוש בנתונים לאימון?
- האם ניתן למחוק את השיחות וההיסטוריה?
- האם מדובר במידע שנוגע לצד שלישי שהתחייבתם כלפיו לסודיות?
אם התשובות מצביעות על חשיפה משמעותית של מידע אישי, זה השלב להפעיל את נוהל הטיפול באירועי אבטחת מידע הרגיל של הארגון ולבחון את החובות הנגזרות. בכל מקרה, תעדו מה נמצא ומה הוחלט — תיעוד של שיקול דעת הוא חלק מהעמידה בדרישות הבקרה.
שאלות ותשובות
האם יש בישראל חוק ייעודי לבינה מלאכותית?
מדיניות ה-AI הישראלית נוטה לרגולציה גמישה וענפית במקום חקיקה אחידה אחת. במקביל, הרשות להגנת הפרטיות פרסמה טיוטת הנחיה בנושא תחולת הוראות חוק הגנת הפרטיות על מערכות בינה מלאכותית, כלומר הדין הקיים רלוונטי גם לשימוש בכלים אלה.
האם הדבקת מידע לצ״ט נחשבת העברת מידע לצד שלישי?
מבחינה מעשית מדובר במסירת מידע למערכת שאינה בשליטתכם, לעיתים קרובות גם מחוץ לישראל. לכן ראוי לבחון את השימוש באותם כלים שבהם בוחנים כל ספק חיצוני שמקבל גישה למידע.
אנונימיזציה של שמות פותרת את הבעיה?
לא בהכרח. צירוף של פרטים נותרים — תפקיד, מיקום, תאריכים או נסיבות חריגות — עשוי לאפשר זיהוי גם בלי שם מפורש. יש לבחון את מכלול הפרטים ולא רק את השם.
מה עדיף — לאסור שימוש או להסדיר אותו?
ברוב הארגונים איסור גורף מעביר את השימוש לערוצים לא מנוטרים ומקשה על בקרה. עם זאת, במגזרים מפוקחים עשויה להיות הנחיה מחייבת שמצמצמת את שיקול הדעת, ויש לבדוק זאת לפני שקובעים מדיניות.
האם צריך לעדכן את מדיניות הפרטיות?
אם מידע של לקוחות או עובדים מעובד בכלי בינה מלאכותית, ראוי שהדבר ישתקף במסמכי הפרטיות וביידוע ללקוח, בהתאם לעקרונות השקיפות שבדין.
הבהרה: המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
להעמקה בנושא AI והגנת מידע
- פישינג מבוסס בינה מלאכותית: איך מגנים על מאגר המידע — הצד ההתקפי: איך תוקפים משתמשים באותה טכנולוגיה כדי להגיע למאגר שלכם.
- אבטחת מידע רפואי במרפאות ובקליניקות — דוגמה למגזר שבו שימוש בכלי AI על מידע רגיש דורש זהירות מוגברת.
- כל המאמרים בבלוג הגנת הפרטיות — מדריכים מעשיים נוספים על תיקון 13 ותקנות אבטחת מידע.
המשך קריאה: הצד של הלקוחות
- צ'אטבוט AI באתר: איזה מידע מותר לאסוף מלקוחות ואיך מגנים עליו — נוהל ה-AI הפנימי מסדיר מה העובדים מזינים לכלי AI; מאמר הצ'אטבוט מסדיר את הצד השני — מה הלקוחות מזינים, ומי אחראי למידע הזה.
לקריאה נוספת ומקורות
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — תקנה 4: נוהל אבטחה; תקנה 7: אבטחת מידע בניהול כוח אדם; תקנה 15: מיקור חוץ (ויקיטקסט)
- חוק הגנת הפרטיות, התשמ״א-1981 — סעיף 8: ניהול מאגר מידע ועיבוד חוקי של מידע אישי (ויקיטקסט)
- הרשות להגנת הפרטיות — הנחיות ועמדות רשמיות
- תיקון 13 לחוק הגנת הפרטיות — המדריך המלא לבעלי אתרים — המדריך המרכזי להיערכות לתיקון 13.
- טכנולוגיות משפרות פרטיות (PETs) במערכות AI: מה הרשות ממליצה ליישם — הצד הטכנולוגי של אותו נוהל — מה אפשר להפעיל כדי שהמידע לא יזלוג מלכתחילה.
- הצפנת מידע אישי בעסק: מתי זו חובה ואיך בוחרים מה להצפין — מידע שמוזן לכלי AI חיצוני יוצא מגבולות ההצפנה של הארגון.
מדריך משלים: סוכני בינה מלאכותית
