אילו שאלות AI מגיעות בשאלונים?
השאלות חוזרות על עצמן בין שאלונים, כי כולן נובעות מאותו חשש: שהמידע של הלקוח יגיע לספק AI שלישי בלי שליטה. אלה הנפוצות:
- האם העובדים שלכם משתמשים בכלי GenAI? אילו, ולאילו מטרות?
- האם מידע של לקוחות מוזן לכלי AI? אם כן — באיזה בסיס חוזי (DPA, תנאי עיבוד)?
- האם ספקי ה-AI שלכם מופיעים ברשימת ה-subprocessors שלכם?
- האם מידע שלנו משמש לאימון מודלים?
- אילו בקרות טכניות מונעות הזנת מידע רגיש לכלי לא מאושר?
- האם יש מדיניות AI כתובה, והאם העובדים הודרכו עליה?
למה 'אנחנו לא משתמשים ב-AI' היא תשובה גרועה?
כי היא כמעט אף פעם לא נכונה — והלקוח יודע את זה. עובדים מאמצים כלי AI גם בלי אישור, ותשובה גורפת שמתבררת כלא מדויקת פוגעת באמינות כל השאלון. הכחשה גם משדרת שאין לכם ממשל AI בכלל: מי שלא מודה בשימוש, ודאי לא מנהל אותו.
הלקוח לא מחפש ספק בלי AI — הוא מחפש ספק ששולט ב-AI שלו. תשובה כנה עם בקרות מנצחת הכחשה מצוחצחת.
איך נראית תשובה חזקה על סעיפי ה-AI?
תשובה חזקה בנויה משלושה רכיבים: מדיניות, בקרה טכנית והוכחה. כך זה נראה בפועל:
- מדיניות כתובה — 'שימוש ב-GenAI מוסדר במדיניות מאושרת: רשימת כלים מותרים, סוגי מידע מותרים ותהליך חובה למסמכים רגישים.' מי שלא בטוח מה נחשב רגיש — המדריך על מה אסור להזין ל-ChatGPT הוא נקודת פתיחה טובה.
- בקרה טכנית — 'מסמכים העוברים אנונימיזציה עקבית לפני כל הזנה לכלי AI: מזהים מוחלפים בטוקנים (PERSON_001), כולל ניקוי metadata.'
- זרימת מידע — 'האנונימיזציה מתבצעת מקומית בדפדפן; הקובץ המקורי אינו נשלח לשום שרת, ולכן לא נוסף subprocessor לשרשרת.'
- הדרכה ותיעוד — 'העובדים מודרכים על המדיניות, והשימוש בכלים מאושרים מתועד.'
- עוגן תקני — מי שמוסמך ISO 27001 ומשלב את בקרות ה-AI ב-ISMS עונה מעמדה חזקה במיוחד.
איך אנונימיזציה הופכת תשובה חלשה לחזקה?
רוב השאלות הקשות בפרק ה-AI מתאדות כשהמידע שמוזן לכלי כבר אינו מזהה. 'האם מידע שלנו מגיע לספקי AI?' — לא: מה שמגיע הוא גרסה אנונימית, בלי שמות, מזהים או פרטי הלקוח. 'האם המידע משמש לאימון?' — גם אם כן, אין בו מידע אישי או עסקי מזהה. תשובה שמפילה עסקה הופכת לסעיף שמחזק אותה.