העובדים משתמשים ב-AI.
מה נכנס לשם - ומי אחראי?
השאלה אינה אם עובדים משתמשים בכלי AI, אלא באילו כלים, עם איזה מידע - ומה הארגון יודע על תנאי העיבוד. חסימה טכנית לבדה אינה מדיניות שימוש, ושימוש חופשי בלי כללים הוא סיכון למידע אישי. הרשות להגנת הפרטיות כבר פרסמה את עמדתה: חוק הגנת הפרטיות חל על מערכות AI ועל תוצריהן. הנה איך מסדרים את זה בארגון.
הסיכון מתחיל בפרומפט
עובד שמעתיק לכלי AI מסמך לקוח, טבלת שכר, קוד פנימי או תכתובת עם ספק - מוסר מידע לגורם חיצוני. הרשות להגנת הפרטיות מזהירה במפורש בהמלצותיה לציבור: מידע אישי שמוזן למערכת AI יוצרת עלול להישמר בה, לשמש לאימון ושיפור האלגוריתם - ואף להופיע בתוצרים שהמערכת מפיקה עבור משתמשים אחרים. כלומר, פרטי לקוח שהוזנו לצ'אט יכולים לצוץ אצל מישהו שאתם לא מכירים. ומבחינת החוק: "הזנה לצ'אט" היא מסירת מידע אישי לספק - פעולת עיבוד לכל דבר, שצריך להיות לה בסיס חוקי והרשאה.
מה עמדת הרשות - ומה עוד רק בטיוטה
באפריל 2025 פרסמה הרשות טיוטת הנחיה מקיפה בנושא תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית. עיקריה: הוראות החוק חלות לא רק על מידע שמוזן למערכת אלא גם על מידע שהמערכת מסיקה ממנו; נדרש בסיס חוקי לעיבוד בכל שלב במחזור החיים של המערכת; הטיוטה מתייחסת גם לכריית מידע אישי מהאינטרנט ולאימון מודלים, ומדגישה את הצורך בהסכמה מדעת ואת חובות מפעיל המאגר במקרה של כרייה אסורה. בארגון אין להסיק שכל אירוע AI הוא בהכרח אירוע המחייב דיווח: בוחנים את העובדות ואת הגדרת אירוע האבטחה החמור לפי רמת האבטחה והתקנות. חשוב לדייק: המקור המצוטט הוא טיוטה להערות הציבור (שההערות עליה הסתיימו ב-31 ביולי 2025), ולא מוצג כאן כנוסח סופי - היא מציגה את פרשנות הרשות במסגרת הטיוטה לחוק הקיים, שחל בכל מקרה.
חשבון Enterprise לא פותר את הבעיה
מעבר לחשבון עסקי עם התחייבות שלא לאמן על הנתונים הוא צעד חשוב, אבל הוא רק שכבה אחת. עדיין צריך לבדוק: מי בארגון מקבל גישה ולאיזה כלי; איזה מידע מותר להזין גם לכלי המאושר; איפה המידע נשמר ולכמה זמן; מי ספקי המשנה של הספק; והאם השימוש תואם התחייבויות שלכם כלפי הלקוחות שלכם - אם חתמתם מול לקוח על הסכם סודיות או DPA, הזנת החומר שלו לכלי AI חיצוני עלולה להיות הפרה מולו, גם בחשבון עסקי.
יש כלי מאושר אבל אין כללים כתובים? שלחו תיאור של השימושים הנפוצים אצלכם ונבנה מדיניות שעובדת.
נדבר על שימוש ב-AI בארגוןפנייה ישירה לעו״ד עמית מלדסידוגמה: שני הרגלים, שתי תוצאות
בחברת שירותים בת 30 עובדים, מנהלת תיק לקוח מדביקה חוזה לצ'אט חינמי כדי "לסכם נקודות". החוזה כולל פרטי לקוח ותנאים מסחריים: מידע אישי נמסר לספק חוץ ללא הסכם עיבוד, ובכלי החינמי הוא עלול לשמש לאימון. אותה משימה בכלי ארגוני מאושר, עם התחייבות שלא לאמן ועם הגדרות שמירה מתאימות - מצמצמת סיכון, אך אינה חוקית אוטומטית: עדיין בודקים מטרות, הרשאה, גילוי, אבטחה, העברה לחו"ל והתחייבויות ללקוח. אותו עובד, אותה כוונה טובה - ההבדל הוא הכללים שהארגון קבע מראש.
סוכני AI: הדור הבא כבר כאן
מעבר לצ'אט שעונה על שאלות, ארגונים מתחילים לחבר "סוכנים" - מערכות שמקבלות גישה ליומן, למייל ולמערכות ומבצעות פעולות באופן עצמאי. ביולי 2026 פרסמה הרשות המלצות לציבור לשימוש אישי בסוכנים. הן אינן הוראות מחייבות למדיניות ארגונית, אך אפשר להיעזר בעקרונותיהן גם בארגון: לתת לסוכן רק הרשאות הכרחיות (קריאה בלבד כשאפשר), להגביל את הגישה למידע ההכרחי ולפרק הזמן הנדרש, להימנע מאימון הסוכן על מידע אישי, לדרוש אישור אנושי לפני פעולות קריטיות, ולוודא תיעוד וגיבוי. ארגון שמחבר סוכן למערכות הליבה בלי הכללים האלה נותן לצד שלישי גישה למערכות רגישות בלי גבולות מספקים.
מדיניות AI ארגונית: מה צריך לכלול
- רשימת כלים וחשבונות מאושרים - ומה אסור להשתמש בו.
- סיווג מידע: מה מותר להזין לכל רמת כלי (ציבורי, עסקי, פנימי).
- איסור מפורש על הזנת מידע אישי של לקוחות ועובדים לכלים לא מאושרים.
- בדיקה אנושית של תוצרים לפני שימוש עסקי - דיוק, קניין רוחני, הטיות.
- תהליך אישור לכלי או שימוש חדש, עם בדיקת תנאי עיבוד וספקי משנה.
- נוהל דיווח מהיר כשמידע הוזן בטעות.
- הדרכה חוזרת לעובדים - המדיניות שלא מוכרת לא קיימת.
- בעל תפקיד אחראי (ממונה פרטיות אם קיים) ותיעוד ההחלטות.
רוצים מדיניות AI שעובדים באמת מסוגלים ליישם? מתחילים ממה שקורה אצלכם היום.
נדבר על שימוש ב-AI בארגוןפנייה ישירה לעו״ד עמית מלדסישאלות נפוצות
האם חוקי בכלל שעובדים ישתמשו ב-ChatGPT או Gemini בעבודה?
אין איסור חוקי גורף על שימוש בכלי AI בעבודה. השאלה החוקית היא מה מוזן אליהם: ברגע שמוזן מידע אישי, מתבצע עיבוד מידע שחייב לעמוד בחוק הגנת הפרטיות - בסיס חוקי, הרשאה, שקיפות ואבטחה. לכן התשובה הנכונה אינה איסור גורף אלא מדיניות: כלים מאושרים, סוגי מידע מותרים ואסורים, ותנאי עיבוד מוסדרים מול הספק.
מה מותר להזין לכלי AI ציבורי וחינמי?
כלל אצבע: רק מידע שהייתם מפרסמים בדף הפייסבוק של החברה. הרשות ממליצה לצמצם ככל האפשר הזנת מידע אישי לכלי AI יוצרת, ולהימנע מאזכור פרטים מזהים - גם כי המידע עלול להישמר ולשמש לאימון, וגם כי הוא עלול להופיע בתוצרים של משתמשים אחרים. מסמכי לקוחות, נתוני עובדים, מחירים וקוד פנימי - לא מזינים לכלי ציבורי.
עובד הזין מידע רגיש בטעות - מה עושים?
פונים מיד לספק ובודקים אם אפשר להגביל שימוש נוסף ולמחוק מההיסטוריה או ממערכות הספק, בלי להניח שניתן לבטל אימון שכבר התרחש, מתעדים את האירוע וההיקף, ובוחנים חובת דיווח לפי תקנות אבטחת המידע - תלוי ברמת האבטחה של המאגר ובחומרת האירוע. במקביל מחדדים את הכללים וההדרכה. נוהל דיווח פנימי מהיר הוא ההבדל בין אירוע מנוהל לבין אירוע שמתגלה רק במהלך בדיקה מאוחרת.
חשבון Enterprise אומר שאפשר להזין הכל?
לא. התחייבות שלא לאמן על הנתונים היא תנאי חשוב אבל לא מספיק: צריך לבדוק מיקום שמירה, תקופות שמירה, ספקי משנה, הרשאות גישה בארגון - והתאמה להתחייבויות שלכם מול לקוחותיכם. לקוח שחתם עמכם על DPA או סודיות יכול לראות בהזנת המידע שלו לכלי חיצוני הפרה, גם בחשבון עסקי.
האם צריך ליידע לקוחות שהם מדברים עם בוט?
לפי טיוטת הנחיית הרשות מ-2025, כשאדם מקיים אינטראקציה עם מערכת אוטומטית ולא עם בן שיח אנושי, ויש לכך השפעה מהותית על מתן ההסכמה - יש ליידע אותו שהוא מדבר עם מערכת מבוססת AI. המסמך המצוטט הוא טיוטה, אבל היא מצביעה על הציפייה הרגולטורית - ושקיפות כזו היא בכל מקרה פרקטיקה נכונה מול לקוחות.
מי אחראי בארגון על שימוש תקין ב-AI?
הארגון, כבעל שליטה במאגר, אינו משתחרר מחובותיו בגלל השימוש בכלי חיצוני. גם לספקים, למחזיקים ולעובדים עשויות להיות חובות ואחריות לפי הדין וההסכמים. בפועל: אם קיים ממונה על הגנת הפרטיות, מדיניות AI היא חלק טבעי מתפקידו; אם לא - צריך בעל תפקיד מוגדר שייתכן שילוב של משפטי, IT ואבטחת מידע. מה שבטוח: "כל עובד אחראי על עצמו" אינה מדיניות.
מקורות לקריאה ולעיון:
· הרשות להגנת הפרטיות - טיוטת הנחיה: תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית, 28.4.2025 (טיוטה להערות הציבור, עדכון אחרון 29.6.2025): https://www.gov.il/he/pages/ai_reg
· הרשות להגנת הפרטיות - המלצות להתנהלות הציבור בשימוש אישי במערכות בינה מלאכותית (AI) יוצרת, 14.7.2025: http://www.gov.il/he/pages/ai147
· הרשות להגנת הפרטיות - המלצות לשימוש בטוח בסוכני בינה מלאכותית, 9.7.2026: https://www.gov.il/he/pages/artificial-intelligence-agents
· חוק הגנת הפרטיות (תיקון מס' 13), התשפ"ד-2024 - הגדרת מידע אישי וסמכויות אכיפה: https://fs.knesset.gov.il/25/law/25_lsr_4810658.pdf