מהפכת הבינה המלאכותית פוגשת את רגולציית הדאטה המחמירה בישראל
הזינוק המטאורי בשימוש ביישומי בינה מלאכותית יוצרת, מודלי שפה גדולים וסוכני AI אוטונומיים משנה את המגזר העסקי ללא היכר. במקביל, כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות והנחיותיה הרשמיות של הרשות להגנת הפרטיות קובעות מציאות חדשה: דיני הפרטיות חלים באופן מלא על כל שלבי מחזור החיים של מערכות AI.
המשמעות עבור חברות, מפתחים ונושאי משרה היא חדה: שימוש בלתי מבוקר בכלי AI, אימון מודלים על בסיס נתונים אישיים או כריית מידע ברשת – חושפים את הארגון לעיצומים כספיים מדורגים של עד מיליוני שקלים, לצד אחריות אישית של מנהלים.
4 אתגרי הליבה של עולם ה-AI מול חוק הגנת הפרטיות
ההנחיות הרגולטוריות העדכניות של הרשות להגנת הפרטיות ממקדות את הזרקור ב-4 נקודות חיכוך טכנולוגיות-משפטיות:
1. כריית מידע מהרשת לצורך אימון מודלים
-
מידע פומבי אינו הפקר: הרשות הבהירה כי העובדה שאדם פרסם מידע ברשת חברתית אינה מעניקה היתר אוטומטי לאסוף אותו לצורכי אימון מודלי AI.
-
עבירה פלילית: איסוף ועיבוד מידע מתוך פלטפורמות בניגוד למטרתן המקורית וללא הרשאה מפורשת עלול להיחשב כעבירה פלילית לפי תיקון 13.
-
חובת חסימת כרייה: בעלי אתרים ואפליקציות נדרשים להטמיע אמצעי אבטחה לחסימת בוטים סורקים. אי-נקיטת אמצעים עלולה להיחשב כמחדל אבטחה חמור.
2. דרישת היידוע המוגברת וחובת הגילוי בממשקי בוט (סעיף 11)
-
שקיפות מלאה: חובה ליידע כל משתמש אם המידע שלו מוזן למערכת AI ולאילו מטרות.
-
חובת זיהוי מערכת אוטומטית: חל איסור להטעות משתמש לחשוב שהוא מתכתב עם אדם; חובה להציג גילוי ברור ומפורש בעת אינטראקציה עם סוכן AI או בוט.
-
הסכמת Opt-In מראש: בעיבודים מורכבים החורגים מציפייתו הסבירה של המשתמש (כגון פרופילינג וניתוח התנהגותי מעמיק), נדרשת הסכמה אקטיבית ומפורשת מראש.
3. אתגר "הקופסה השחורה" וחובת "תיקון האלגוריתם"
-
זכויות נושאי המידע: החוק מעניק לאדם זכות לעיין במידע עליו ולדרוש את תיקונו או מחיקתו.
-
תקדים הרשות: אם מערכת AI הפיקה פלט שגוי, מוטה או מפלה, הרשות קובעת כי הזכות לתיקון עשויה לחייב את החברה לתקן את האלגוריתם או את מערכי האימון עצמם כדי למנוע הישנות התוצאה.
4. דלף מידע ושימוש פנים-ארגוני בכלים חיצוניים (Shadow AI)
-
עובדים המזינים נתוני לקוחות, רשומות רפואיות, קוד מקור או נתונים פיננסיים לכלים כמו ChatGPT או Claude בחשבונות חינמיים/ציבוריים, חושפים את הארגון לדלף מידע רגיש ולשימוש בנתונים לאימון מודלים חיצוניים.
היתרון הייחודי: שילוב מומחיות משפטית והסמכות CISO ו-DPO
הסדרת תחום הבינה המלאכותית דורשת שליטה בשני עולמות: הבנת הקוד, הארכיטקטורה וזרימת הנתונים לצד ניתוח משפטי רגולטורי מחמיר.
עו"ד שחר שוורץ נמנה על קבוצה מצומצמת של כ-10 עורכי דין בלבד בישראל המחזיקים בהסמכות הבכירות:
-
CISO (Chief Information Security Officer): מנהל אבטחת מידע בכיר.
-
DPO (Data Protection Officer): ממונה הגנת פרטיות.
מומחיות משולשת זו מאפשרת להעניק לארגונים מענה ייחודי:
-
הנדסת פרטיות במערכות AI: הטמעת טכנולוגיות מגבירות-פרטיות, כגון אנונימיזציה, פסאודונימיזציה ולמידה מבוזרת.
-
הסדרת שרשרת אספקת הדאטה: בדיקת הסכמי עיבוד מידע מול ספקי LLM וענן לווידוא הגדרות Zero Data Retention (אי-שמירה ואי-אימון על נתוני החברה).
-
הגנה מול ביקורות הרשות: גיבוש תסקירי השפעה המבססים תום לב ואחריותיות מלאה.
4 נדבכים לתוכנית ממשל AI ארגונית
כדי לאפשר לארגון ליהנות מיתרונות הבינה המלאכותית מבלי להיחשף לעיצומים כספיים, יש ליישם תוכנית ציות סדורה:
-
מדיניות שימוש ארגונית ב-AI:קביעת נהלים ברורים לגבי הכלים המותרים לשימוש, דרגי האישור, והגדרת איסור מוחלט על הזנת מידע אישי מזהה לכלי AI ציבוריים.
-
עריכת תסקיר השפעה על הפרטיות:ביצוע הערכת סיכונים מתודולוגית לכל מערכת AI המעבדת נתונים אישיים לפני עלייתה לאוויר, כולל בחינת מנגנוני פיקוח אנושי.
-
התאמת מסמכי הגילוי ומדיניות הפרטיות:עדכון מדיניות הפרטיות באפליקציות ובאתרים כדי לכלול שקיפות מלאה לגבי השימוש באלגוריתמים לקבלת החלטות.
-
מינוי DPO המלווה את פרויקטי ה-AI:גילוי הדעת של הרשות קובע כי חברות המאמנות או מפעילות מערכות AI הכוללות ניטור שיטתי מחויבות ככלל במינוי ממונה הגנת פרטיות.
שאלות ותשובות
האם הזנת מידע של לקוחות לחשבון ChatGPT רגיל נחשבת לעבירה על החוק?
כן. הזנת מידע אישי מזהה לשירותי AI ציבוריים שאינם מוגדרים תחת הסכם Enterprise ייעודי מהווה מסירת מידע לצד שלישי ללא הסכמה והפרה של תקנות אבטחת המידע, שכן המידע עלול להישמר ולהשתלב במאגר האימון של המודל.
האם חובה לבצע תסקיר השפעה (PIA/DPIA) לפני השקת מערכת AI?
הרשות להגנת הפרטיות קובעת כי עריכת תסקיר השפעה היא הדרך המרכזית להוכיח עמידה בעקרון האחריותיות ותום לב. ארגון שלא יערוך תסקיר יתקשה מאוד לטעון להגנת תום לב (סעיף 18) במקרה של פגיעה בפרטיות.
כיצד ניתן לאמן מודלים של AI באופן חוקי על נתונים קיימים בארגון?
יש לבצע תהליך מקדים של התממה מלאה ההופכת את הנתונים לבלתי-מזהים באופן בלתי-הפיך, או לוודא כי קיימת הסכמה מפורשת ומודעת של נושאי המידע לשימוש בנתוניהם לצורכי מחקר ופיתוח אלגוריתמי.
האם חברה המפתחת מערכות AI חייבת במינוי DPO?
במרבית המקרים כן. פיתוח ואימון מערכות AI כרוכים כמעט תמיד בעיבוד בהיקף ניכר של מידע אישי או בניטור שוטף ושיטתי – פעולות המחייבות מינוי ממונה הגנת פרטיות לפי תיקון 13.
סיכום
הצלחתם של פרויקטי בינה מלאכותית תלויה באמון המשתמשים ובעמידה קפדנית ברגולציה. שילוב מוקדם של עקרונות הנדסת פרטיות וציות לחוק יאפשר לארגונכם להוביל חדשנות פורצת דרך בביטחון מלא.
מפתחים מוצר AI או מטמיעים כלי GenAI בארגון?
