AI ותיקון 13 לחוק הגנת הפרטיות: מה מותר, מה אסור, ואיך מטמיעים נכון

לפי תיקון 13 לחוק הגנת הפרטיות מותר להשתמש בכלי AI בגוף ציבורי ובארגון מוסדר, אבל אסור להזין מידע אישי מזוהה לכלי לא מאושר. מידע אישי של תושבים, לקוחות או עובדים מותר לעיבוד רק בכלי בגרסה עסקית עם הסכם עיבוד נתונים, לפי המטרה שלשמה נאסף ולפי עקרון מזעור המידע. לרוב המשימות המשרדיות (ניסוח, סיכום, תבניות) אפשר לעבוד בלי הפרטים המזהים בכלל, וכך מקבלים את יתרון ה-AI בלי לחשוף את הארגון לסיכון. אין באמור ייעוץ משפטי; התייעצו עם ממונה הגנת הפרטיות או עורך דין. משרד עורכי דין שרוצה לעבוד עם AI תוך שמירה על חיסיון ימצא את כללי העבודה המלאים במדריך קלוד לעורכי דין.

מה השתנה בתיקון 13, בקצרה

תיקון 13 לחוק הגנת הפרטיות לא נכתב במיוחד עבור בינה מלאכותית, אבל הוא משנה את כללי המשחק לכל ארגון שמזין מידע לכלים חיצוניים. שלוש נקודות עיקריות שחשוב שגוף מוסדר יבין:

• אכיפה עם שיניים. הרשות להגנת הפרטיות קיבלה סמכויות מנהליות רחבות יותר, כולל עיצומים כספיים. המשמעות: רשלנות בטיפול במידע כבר לא נשארת ברמת ההמלצה, יש לה מחיר.
• אחריות מוגברת של בעל המאגר. מי שמחזיק במידע אחראי על אבטחתו ועל השימוש בו לפי המטרה שלשמה נאסף. אם עובד מזין רשימת תושבים לכלי ציבורי, האחריות היא של הארגון, לא של העובד בלבד.
• חיזוק תפקיד ממונה הגנת הפרטיות (DPO). גופים ציבוריים וגופים שעיבוד מידע הוא ליבת פעילותם נדרשים לממונה עם סמכויות ברורות.

השורה התחתונה: החוק לא אוסר AI. הוא דורש שתשתמשו בו כמו שמתנהלים עם כל מידע רגיש אחר בארגון, בזהירות, עם גבולות ועם אחראי. גוף ציבורי נמצא ברף הגבוה של הדרישות האלה, ולכן ההטמעה בו שונה. הרחבנו על ההיבט הרחב יותר במדריך הטמעת AI בגוף ציבורי.

מידע אישי, מידע רגיש ו-AI: ההבחנה שקובעת הכל

לא כל מידע נולד שווה. ההבחנה בין סוגי המידע היא זו שקובעת מה מותר להזין לאיזה כלי.

• מידע לא אישי / גנרי. נהלים, תבניות, טקסט שיווקי, שאלות ידע כללי. אפשר לעבוד עם זה כמעט בכל כלי, כי אין בו פרטים מזהים.
• מידע אישי. שם, טלפון, כתובת, מספר זהות, פרטי חשבון. מותר לעבד רק בכלי מאושר עם הסכם, ורק כשבאמת צריך את הפרטים.
• מידע רגיש (רגישות מוגברת). בריאות, מצב פיננסי, מידע פלילי, השתייכות, מידע על קטינים. כאן הרף הגבוה ביותר, ולעיתים נדרש פתרון מקומי או ענן פרטי.

דוגמה מהשטח

עובד באגף רווחה צריך שכלי AI ינסח מכתב לתושב על זכאות. יש כאן שתי דרכים:

1. הדרך המסוכנת: מדביק את כל תיק התושב לכלי ציבורי חינמי. עכשיו מידע רגיש על אדם מזוהה יצא מגבולות הארגון לכלי לא מאושר.
2. הדרך הנכונה: מבקש מהכלי לנסח תבנית מכתב זכאות גנרית, בלי שם ובלי פרטים. את הפרטים המזהים מוסיף העובד עצמו במערכת הארגונית. הכלי עשה 90 אחוז מהעבודה בלי לגעת במידע רגיש.

זה ההבדל בין הטמעה שחושפת את הארגון להטמעה שמגנה עליו, ורוב העובדים לא יודעים אותו עד שמלמדים אותם.

מזעור מידע: העיקרון שמחזיק את הכל

עקרון מזעור המידע הוא לב תיקון 13 ולב תאימות ה-AI: אוספים ומעבדים רק את המידע ההכרחי למטרה, ולא יותר. כשמיישמים אותו על AI, מקבלים כלל פשוט וחזק:

אם הכלי לא חייב את הפרטים המזהים כדי לבצע את המשימה, לא מזינים אותם.

בפועל זה אומר:

• הסתרה או אנונימיזציה לפני הזנה. במקום "התושב ישראל ישראלי, ת.ז. 123, סובל מ...", כותבים "תושב בן 60 עם מצב X". הכלי מנסח, ואף פרט מזהה לא יצא.
• קבצים במקום הדבקה של הכל. להעלות טבלה עם עמודות מזוהות מחוקות, ולא את קובץ המקור המלא.
• הפרדה בין ניסוח לבין נתונים. ה-AI מייצר את המבנה והשפה, המערכת הארגונית מחזיקה את הנתונים. חיבור בין השניים נעשה רק דרך כלי מאושר.

מזעור מידע הוא לא רק חובה חוקית, הוא גם הרגל בריא שמקטין דרסטית את הסיכון בכל שימוש יומיומי.

למה זה עובד גם לטובת האיכות

יש כאן יתרון נסתר: כשמזינים לכלי רק את המידע הרלוונטי למשימה, גם התוצאה טובה יותר. כלי AI שמקבל תיק שלם עמוס בפרטים לא רלוונטיים מתבלבל ומייצר תשובות פחות מדויקות. כלי שמקבל בקשה ממוקדת עם רק ההקשר ההכרחי מחזיר תוצאה חדה. במילים אחרות, מזעור מידע לא רק מגן על הארגון מבחינה משפטית, הוא גם משפר את איכות העבודה. עובדים שמבינים את זה מפסיקים לתפוס את התאימות כ"עוד מגבלה מעצבנת" ומתחילים לראות בה שיטת עבודה טובה יותר.

הרשאות ובקרת גישה: מי רואה מה

תאימות לא נשענת רק על מה שמזינים, אלא גם על מי ניגש למה. בגוף מוסדר ההרשאות הן חלק מהתאימות:

• גרסאות ארגוניות עם ניהול משתמשים. כלים כמו קופיילוט (Copilot / Microsoft Copilot) של מיקרוסופט (Microsoft) יושבים בתוך סביבת ההרשאות הקיימת של הארגון, כך שמשתמש רואה רק מסמכים שהוא מורשה לראות ממילא. זה יתרון תאימותי אמיתי.
• שכבות הרשאה לפי תפקיד. לא כל עובד צריך גישה לכל כלי ולכל סוג מידע. מנהל אגף כספים מקבל הרשאות שונות מעובד קבלה.
• תיעוד ובקרה. מי אישר איזה כלי, מי משתמש בו, ומתי. בלי תיעוד אין דרך להוכיח תאימות אם נשאלים.

חשוב לזכור: אם מערכת ההרשאות הפנימית של הארגון פרוצה או לא מסודרת, כלי AI רק יחשוף את הבעיה מהר יותר. סידור ההרשאות הוא תנאי מקדים, לא שלב מאוחר.

הסכנה של "הרשאות רחבות מדי"

טעות נפוצה בגופים ציבוריים היא לתת לכלי AI גישה רחבה מדי "כדי שלא יהיו חסימות". התוצאה הפוכה מהכוונה: כלי עם גישה לכל מאגרי הארגון הופך את כל אירוע האבטחה הפוטנציאלי לחמור פי כמה. עדיף להתחיל צר, לתת גישה רק למה שנחוץ למשימה הנוכחית, ולהרחיב בהדרגה לפי צורך מוכח. עיקרון ההרשאה המינימלית (least privilege) מוכר מעולם אבטחת המידע, והוא חל על AI בדיוק כמו על כל מערכת אחרת. כלי AI הוא לא יוצא דופן שמגיע לו אמון מיוחד, הוא עוד גורם שניגש למידע וצריך לעבור את אותן בקרות.

ענן ציבורי מול ענן פרטי: מתי באמת צריך

השאלה "איפה נשמר המידע" חוזרת בכל דיון תאימות. הנה טבלה שממקדת את ההחלטה:

הבחירה בין ציבורי, פרטי והיברידי היא החלטה שמשלבת רגולציה, רגישות המידע ותקציב. הרחבנו על ההיבט הזה במדריך הייעודי ענן פרטי מול ענן ציבורי ל-AI. הכלל המנחה: אל תבנו ענן פרטי יקר כי זה "מרגיש בטוח יותר", בנו אותו כשהמידע באמת מצדיק.

תפקיד ממונה הגנת הפרטיות (DPO) בהטמעת AI

ממונה הגנת הפרטיות הוא לא בלם, הוא המאפשר. תפקידו בהטמעת AI כולל:

• אישור רשימת כלים מותרים. מגדיר אילו כלים עברו בדיקה ומותרים לשימוש, ואילו אסורים.
• הגדרת סוגי מידע לכל כלי. קובע מה מותר להזין לאיזה כלי, כדי שהעובד לא יצטרך להכריע לבד בכל פעם.
• כתובת לשאלות. לפני משימה חדשה שכוללת מידע רגיש, פונים לממונה, לא מנחשים.
• ביקורת תקופתית. בודק שהשימוש בפועל תואם למדיניות, ומעדכן לפי שינויים בחוק ובכלים.

חיבור הממונה למדיניות ה-AI של הארגון הוא קריטי. שני המסמכים צריכים לדבר זה עם זה. הרחבנו על בניית המסמך הזה במדריך מדיניות AI לארגון, שהוא בן זוג טבעי למדריך הנוכחי.

בגופים ציבוריים ובארגונים גדולים כדאי שהממונה יעבוד בשיתוף עם מנהל מערכות המידע ועם היועץ המשפטי, ולא לבדו. שלושתם רואים היבטים שונים של אותה הטמעה: הממונה את הפרטיות, מנהל המערכות את האבטחה והתשתית, והיועץ המשפטי את החשיפה הרגולטורית. פורום קטן שמתכנס לפני החלטות משמעותיות על כלים חדשים חוסך הרבה כאב ראש בהמשך, ומבטיח שאף זווית לא נופלת בין הכיסאות.

צ'קליסט תאימות לפני הטמעת AI

לפני שמכניסים כלי AI לשימוש בגוף מוסדר, עברו על שבעת הסעיפים האלה:

1. מיפוי מידע. אילו סוגי מידע יעברו דרך הכלי, ומה רמת הרגישות שלהם.
2. גרסה ורישוי. הכלי בגרסה עסקית עם הסכם עיבוד נתונים (DPA), לא בגרסה חינמית.
3. מטרה מוגדרת. השימוש תואם למטרה שלשמה נאסף המידע במקור.
4. מזעור מידע. תוכנן תהליך שמזין רק את המינימום ההכרחי, עם הסתרת פרטים מזהים היכן שאפשר.
5. הרשאות. נקבע מי מורשה להשתמש בכלי ולאילו סוגי מידע.
6. אישור ממונה. ממונה הגנת הפרטיות אישר את הכלי ואת סוגי המידע.
7. הדרכה ותיעוד. העובדים הודרכו מה מותר ומה אסור, והוגדר נוהל לאירוע חריג.

הצ'קליסט הזה הופך את התאימות מ"תחושת בטן" למשהו שאפשר להוכיח. גוף ציבורי שרוצה לוודא שהיסודות מסודרים לפני ההטמעה יכול להתחיל מסריקת מוכנות ל-AI, שמאתרת בדיוק את הפערים האלה.

מה עושים ומה לא: כללי אצבע מהירים

לסיכום מעשי, אלה הכללים שכל עובד בגוף מוסדר צריך להפנים:

מה עושים

• מעבדים מידע אישי רק בכלי מאושר עם הסכם.
• מסתירים פרטים מזהים כשהם לא נחוצים למשימה.
• פונים לממונה בספק.
• שומרים תיעוד של הכלים המאושרים והשימוש בהם.

מה לא עושים

• לא מדביקים תיקי תושבים, לקוחות או עובדים לכלי ציבורי חינמי.
• לא מזינים מידע רגיש (בריאות, פלילי) בלי אישור מפורש ובקרות מתאימות.
• לא מניחים ש"אף אחד לא ידע", תיקון 13 הפך את זה ליקר.
• לא בונים תאימות על נהלים שיושבים במגירה. תאימות היא הרגל יומיומי, לא מסמך.

ההבדל בין ארגון שמנצל AI בבטחה לבין ארגון שנחשף לסיכון הוא לא כמה כסף הושקע, אלא כמה טוב העובדים הבינו את הכללים הפשוטים האלה. גופים ציבוריים שרוצים ליווי מקצועי בבניית מסגרת התאימות והמדיניות מוזמנים למסלול הטמעת AI ברשויות וגופים ציבוריים.

המשך הדרך

תאימות AI בגוף מוסדר היא לא מכשול, היא היתרון שמאפשר לכם להטמיע בביטחון בזמן שאחרים מהססים. אם אתם רוצים לוודא שהכלים, ההרשאות והמידע מסודרים נכון לפני שאתם יוצאים לדרך, התחילו בייעוץ AI ממוקד שיתאים את המסגרת בדיוק לרגולציה ולמציאות שלכם.

אין באמור ייעוץ משפטי; התייעצו עם ממונה הגנת הפרטיות בארגון או עם עורך דין המתמחה בהגנת הפרטיות ובדיני מידע לפני יישום בפועל.

צעד מעשי שמצמצם חשיפה כבר היום: אנונימיזציה של מסמכים לפני שהם מגיעים לכלי AI. המדריך המלא לבלמס AI (Balmas AI) מראה איך עושים את זה בדפדפן, בחינם, בלי שהמסמך עוזב את המחשב.