למה כל ארגון צריך מדיניות AI כתובה?
כי בהיעדר מדיניות, כל עובד קובע לעצמו את הגבולות — וההחלטות מתקבלות ברגע של לחץ, מול דדליין. מסמך לקוח שהודבק ב-Prompt הוא העברת מידע לצד שלישי לכל דבר, עם השלכות לפי חוק הגנת הפרטיות.
אחרי תיקון 13, שנכנס לתוקף ב-14 באוגוסט 2025, סמכויות האכיפה של הרשות להגנת הפרטיות התרחבו משמעותית. ארגון שלא הסדיר את השימוש ב-AI מתקשה להראות שהוא עומד בחובות מזעור המידע ואבטחתו.
מה חייב להופיע במדיניות — ומה נכשל?
מדיניות עובדת עונה על שלוש שאלות פשוטות: במה מותר להשתמש, מה אסור להזין, ומה עושים כשצריך בכל זאת לעבוד על מסמך רגיש. מדיניות של איסור גורף בלבד נכשלת — היא רק מעבירה את השימוש למכשירים פרטיים, מחוץ לכל שליטה.
- ברורה לעובד מן השורה — בלי ז'רגון משפטי; עובד צריך להבין תוך דקה מה מותר ומה לא.
- נותנת דרך מותרת — לא רק "אסור", אלא "כך עובדים על מסמך רגיש: קודם אנונימיזציה, אחר כך AI".
- ממנה אחראי — גורם אחד שמאשר כלים חדשים ועונה על שאלות.
- חיה — נבדקת ומתעדכנת, כי הכלים והרגולציה משתנים כל הזמן.
שלד מדיניות מוכן: שבעה סעיפים לאימוץ
זהו שלד שאפשר לאמץ כמעט כמו שהוא ולהתאים לארגון שלכם. שבעה סעיפים, מהמטרה ועד האכיפה:
- מטרות — המדיניות נועדה לאפשר שימוש מועיל ב-AI תוך הגנה על מידע אישי, סודות מסחריים ומידע של לקוחות, ועמידה בחוק הגנת הפרטיות ובתקנות אבטחת מידע.
- כלים מאושרים — רשימה סגורה של כלי AI שנבדקו ואושרו, כולל גרסה (צרכנית/עסקית). כלי שאינו ברשימה — אסור, עד שיאושר על ידי הגורם האחראי.
- סוגי מידע אסורים — אין להזין לכלי AI: מידע אישי מזוהה (שמות, ת"ז, טלפונים), מידע רפואי או פיננסי, סודות מסחריים, קוד קנייני, פרטי לקוחות וספקים, ומידע שסווג כסודי. פירוט מלא במאמר מה אסור להזין ל-ChatGPT.
- חובת אנונימיזציה — מסמך המכיל מידע אסור יעבור אנונימיזציה לפני הזנתו לכל כלי AI: הסרה או החלפה עקבית של כל המזהים, כולל ניקוי Metadata. מפת ההחלפה, אם נשמרת, נשארת בארגון בלבד.
- אחריות — כל עובד אחראי למה שהוא מזין; ממונה מטעם הארגון אחראי לאישור כלים, לעדכון המדיניות ולמענה על שאלות. אירוע חשיפה מדווח לממונה מיד.
- הדרכה — כל עובד עובר הדרכה קצרה בקליטה ורענון תקופתי: מה מותר, מה אסור, ואיך מבצעים אנונימיזציה בפועל.
- אכיפה — הפרה נבחנת לפי חומרתה, מרענון הדרכה ועד הליך משמעתי; חשיפת מידע אישי מטופלת גם כאירוע אבטחה לפי נוהלי הארגון.
איך הופכים את המדיניות למעשית ביום-יום?
הסעיף שהופך מדיניות ממסמך מגירה לכלי עבודה הוא חובת האנונימיזציה — כי הוא נותן לעובד מסלול ירוק. במקום להתלבט אם מותר, העובד יודע: מסמך עם מזהים עובר קודם אנונימיזציה, ואז אפשר לעבוד עליו בכל כלי מאושר.
כדי שזה יקרה באמת, הכלי צריך להיות זמין ופשוט. אם אנונימיזציה דורשת עשר דקות של עבודה ידנית — היא תידלג. אם היא כפתור בדפדפן — היא תהפוך להרגל.