חזרה | יוני 2026

המרוץ לבינה מלאכותית: למה מנוי בתשלום ל-AI לא באמת מגן על המידע שלכם?

שמשון מורפורגו, ראש תחום ייעוץ פרטיות

בשנים האחרונות אנו עדים למרוץ הולך וגובר מצד ארגונים לאמץ מערכות מבוססות בינה מלאכותית (AI), בין אם מדובר במערכות פנימיות ובין אם בכלים חיצוניים. המטרה ברורה: להוביל חדשנות, לייעל תהליכים ולמקסם פרודוקטיביות.

אך לצד היתרונות הפנומנליים שמציעה הטכנולוגיה, חשוב להבין את הצד השני של המטבע. אימוץ מערכות AI ללא היערכות מספקת ומבלי לקחת בחשבון את הסיכונים המשפטיים, הארגוניים והאתיים, עלול לחשוף את הארגון לפגיעות קשות ויקרות.

מודלים חיצוניים: הסכנה שבזליגה השקטה

אחת הסכנות המרכזיות בעבודה עם מודלים חיצוניים היא דליפת מידע. דו"ח מקיף של חברת אבטחת המידע LayerX מצביע על כך שהערוץ המרכזי לדליפות מידע בארגונים כיום הוא שימוש בכלי בינה מלאכותית חיצוניים.

המספרים שמאחורי האיום מדברים בעד עצמם:

  • 45% מהעובדים משתמשים כיום בכלי AI חיצוניים כחלק מעבודתם.

  • 67% מהשימושים הללו נעשים באמצעות חשבונות אישיים שאינם מנוהלים או מפוקחים על ידי הארגון.

  • 77% מהעובדים מעתיקים ומדביקים מידע רגיש ישירות לחלון הצ'אט של הכלי!

המגמה העולמית הזו מקבלת משנה תוקף ואישור רשמי גם בישראל. נתונים מתוך סקר של בנק ישראל והמכון הישראלי לדמוקרטיה (שנערך בסוף 2025 ופורסם במאי 2026) חושפים תמונה מטרידה: רובם המוחלט של העובדים בישראל (75%) משתמשים בכלי AI בגרסאות החינמיות שלהם. רק 16% מהעובדים משתמשים בחשבונות בתשלום במימון המעסיק.

השורה התחתונה של הנתונים: שלושה מתוך ארבעה עובדים בארגון שלכם מזינים מידע לחשבונות חינמיים ופרטיים, שבהם המידע משמש כברירת מחדל לאימון המודלים הציבוריים. איום זליגת המידע המרכזי אינו נובע בהכרח מפריצה של האקרים, אלא מ"זליגה שקטה" המתרחשת בחסות עובדים המנסים לייעל את עבודתם.

אשליית "עמוד הבית" וסכנת ספקי המשנה

הצעד הראשון והמתבקש למניעת זליגה זו הוא מעבר גורף למנויים ארגוניים בתשלום (Enterprise/Business), אשר מעצם הגדרתם מציעים שכבות אבטחה מוגברות ומצהירים כי אינם משתמשים במידע הארגוני לאימון המודל כברירת מחדל.

אולם, כאן בדיוק ארגונים רבים נופלים לאשליית "עמוד הבית". מנהלים נוטים להסתפק בלחיצה על כפתור השדרוג ובהצהרות שיווקיות מרגיעות באתר החברה, כגון "Zero Training" או "המידע שלכם מאובטח".

בפועל, המגן המשפטי והטכנולוגי היחיד שיכול לחסום את ערוץ הדליפה הוא נספח אבטחת מידע קשיח ומחייב – DPA (Data Processing Agreement).

הצורך בחוזה זה הופך לקריטי בשל שרשרת האספקה הדיגיטלית המורכבת של עולם ה-AI. רוב הכלים הללו אינם פועלים בחלל ריק; הם קולטים את המידע הרגיש שהעובדים מזינים, ומעבירים אותו מאחורי הקלעים לספקי משנה – החל מחברות ענק כמו OpenAI ועד לשרתי אחסון מרוחקים בארה"ב.

ללא חוזה DPA הדוק שמחייב משפטית את כלי ה-AI לפקח על אותם ספקים ולחסום העברת מידע לא מורשית, שדרוג המנוי בלבד לא ימנע מהמידע שלכם לזלוג לצדדים שלישיים. במצב כזה, הארגון נותר חשוף לחלוטין לדליפות מידע ולקנסות רגולטוריים כבדים.

אתגרי פרטיות ורגולציה: בעיות המשותפות לכל המודלים

בין אם בחרתם במודל חיצוני ובין אם פיתחתם מערכת פנימית, ישנם מספר אתגרים משפטיים ורגולטוריים שחובה לתת עליהם את הדעת:

  • דרישת הסכמה מדעת: ארגונים רבים מזינים למערכות AI מידע אישי של לקוחות, עובדים או שותפים עסקיים. כאשר המידע משמש לאימון נוסף של המערכת (גם אם היא פנימית) ללא קבלת הסכמה מפורשת ומדעת, הדבר מהווה הפרה של דיני הגנת הפרטיות ועלול להוביל לתביעות ייצוגיות.

  • פגיעה בעקרון צמידות המטרה: הסכמה לעיבוד מידע ניתנת תמיד למטרה מוגדרת ומסוימת. אימון מודלים על נתונים אלו לשימושים אחרים, מבלי ליידע מראש את נושאי המידע, מפר את העיקרון הבסיסי הזה וחשוף לסנקציות מצד רשויות הפיקוח.

  • זכויות נושאי המידע (הזכות לתיקון ומחיקה): הרשות להגנת הפרטיות מבהירה כי זכותו של אדם לבקש תיקון של מידע שגוי חלה גם במערכות בינה מלאכותית. הזכות אינה תקפה רק לגבי הנתונים הגולמיים, אלא עשויה לחול גם על האלגוריתם עצמו אם הוא מפיק תוצאות מוטעות על בסיסם.

  • קביעת רמת אבטחה שגויה: הנחיות הרשות קובעות כי ארגונים שמערכות הליבה שלהם מבוססות על AI מחויבים להחיל רמות אבטחת מידע בינוניות או גבוהות, בהתאם לרגישות הנתונים. זאת בשל הסיכונים הייחודיים לטכנולוגיה, כגון היכולת לשחזר מידע ששימש לאימון המודל במקרה של פריצה ("הנדסה לאחור").

  • אחריות אנושית בשרשרת ההחלטות (Human in the Loop): ככל שה-AI משתלב עמוק יותר בתהליכים עסקיים, עולה השאלה היכן נכנס הגורם האנושי? ברמה הבינלאומית כבר נקבעו תקנות המחייבות פיקוח אנושי משמעותי על מערכות המבצעות פעולות אוטונומיות בעלות השפעה על בני אדם. פרויקטים יקרים עלולים להיעצר לחלוטין אם לא ייבנה בהם מראש מנגנון בקרה אנושי אפקטיבי.

מה עושים בפועל? המלצות וצעדים פרקטיים

למרות האתגרים, אין סיבה לוותר על היתרונות העצומים של הבינה המלאכותית. בעזרת תכנון נכון וליווי מקצועי מתאים, ניתן לצמצם את הסיכונים למינימום.

1. צעדים כלליים (לכל סוגי המודלים)

  • הדרכת עובדים ומדיניות ברורה: איסור מוחלט וגורף על שימוש ב-AI משיג לרוב את התוצאה ההפוכה – הוא דוחף את העובדים להשתמש בכלים אישיים "מתחת לרדאר" (Shadow IT) ומעלים מהארגון את יכולת הפיקוח. במקום זאת, הגדירו מדיניות שימוש ברורה (AI Policy) והדריכו את העובדים מה מותר ומה אסור להזין למערכות.

  • הטמעת פרטיות כבר בשלב התכנון (Privacy by Design): בעת פיתוח או הטמעת מערכת, ודאו כבר בשלבי האפיון הראשוניים שישנה יכולת טכנולוגית לתקן נתונים שגויים, למחוק חלקי מידע או לבצע אנונימיזציה (התממת נתונים) למידע אישי.

  • עדכון מדיניות הפרטיות של הארגון: התאימו את מסמכי המדיניות הרשמיים כך שישקפו במדויק את תפקידה של הבינה המלאכותית בארגון, לאילו נתונים היא נחשפת, והאם היא משמשת לקבלת החלטות (כולל מתן אפשרות ללקוח לבקש ביקורת אנושית על החלטות אלו).

  • ניהול סיכונים חקיקתי: שילוב מומחים בתחום המשפטי והטכנולוגי יסייע לזהות מגמות רגולטוריות עתידיות ולפעול לפיהן כבר עכשיו.

2. צעדים ייעודיים לעבודה עם מודלים חיצוניים

  • דרשו אימות משפטי וטכנולוגי (DPA): אל תסתפקו בהבטחות שיווקיות. בדקו את נספח ה-DPA של הספק וודאו שהוא עונה במדויק על הדרישות הארגוניות והרגולטוריות שלכם.

  • ניהול הרשאות קפדני: הגדירו במדויק מי בארגון רשאי לגשת לתוצרי ה-AI. ריכוז של מידע רגיש (כמו תמלולי פגישות הנהלה או סיכומי פיתוח) בפלטפורמה אחת ללא בקרת הרשאות קשיחה, עלול לייצר מוקד סיכון פנימי חמור. בנוסף, יש לנהל את ההרשאות של הכלי עצמו ולוודא שאין לו גישה למחיקת מידע קריטי על דעת עצמו.

  • בחינת איכות המודל והקשר השפה: תמיכה טכנית של הכלי בעברית אינה ערובה לאיכות התוצרים. קיים פער עצום בין מודל שרק "מתרגם" מילים לבין מודל שמבין מונחים מקצועיים וניואנסים תרבותיים או מסחריים. בצעו תמיד פיילוט (Pilot) כדי לוודא שהתוצרים אינם נראים כתרגום מכונה מאולץ.

  • התממשקות לסביבה מוכרת ומאובטחת: העדיפו כלים הפועלים בתוך הסביבה הארגונית המוכרת שלכם (כמו Google Workspace או Microsoft 365) או כאלו שמתממשקים ישירות למערכות החברה (CRM/ERP) תחת פרוטוקולי האבטחה הקיימים של הארגון.

  • בוט גלוי מול סמוי: בוט גלוי מייצר שקיפות והסכמה, אך עלול לעיתים להרתיע לקוחות. מנגד, שימוש בכלים שקטים ברקע דורש משמעת קשיחה של יידוע ידני של המשתתפים, כדי למנוע עבירות אתיות וחוקיות.

  • פיזור סיכונים טכנולוגי: הימנעו מהסתמכות מוחלטת על ספק AI יחיד. שוק הבינה המלאכותית הוא דינמי, ומומלץ לבנות ארכיטקטורה המאפשרת גמישות ומעבר בין מודלים שונים במידת הצורך – הן מטעמי רציפות עסקית והן מטעמי אבטחה ועלויות.

שורה תחתונה: איזון נכון בין חדשנות לאחריות

הבינה המלאכותית היא כלי עוצמתי ומשנה מציאות, אך עוצמה זו מחייבת אחריות. ארגונים שלא ייערכו כראוי ובזמן, ימצאו את עצמם חשופים לדליפות מידע, לפגיעה במוניטין ולסנקציות משפטיות כבדות.

מנגד, ארגונים שישכילו לאמץ גישה מודעת, מוסדרת ומבוקרת, יוכלו ליהנות מהיתרונות התחרותיים העצומים של הטכנולוגיה מבלי לשלם את המחיר הכבד של חוסר הזהירות.

חברת TrustIZ, המתמחה בייעוץ אסטרטגי לפרטיות, הגנת מידע ובינה מלאכותית, מלווה ארגונים בארץ ובעולם בתהליכי הטמעה בטוחים, חוקיים ויעילים של פתרונות AI, תוך שמירה על האיזון המושלם בין חדשנות עסקית לאחריות תאגידית.

אין באמור במאמר זה משום ייעוץ משפטי.

מקורות וקישורים להרחבה:

 

 

 

 

תודתנו לאור אוליבר (עו״ד וממונה מוסמך להגנת הפרטיות) ולאוריאל בש על הסיוע בהכנת מאמר זה.

‎‎