חזרה לAI

בינה מלאכותית ופרטיות בארגונים: המדריך הפרקטי לשימוש בטוח ב-GenAI בלי לסכן מידע רגיש

אחת השאלות שחוזרת כמעט בכל סדנת GenAI שאני מעבירה בארגונים היא:

“מה בעצם קורה עם כל מה שאנחנו כותבים לכלי ה-AI האלה? מי רואה את זה? איפה זה נשמר? מותר בכלל להעלות חומר רגיש?”

וכמעט בכל חברה אני פוגשת את אותו מצב: שימוש אינטנסיבי בכלים, המון בלבול, ואפס בהירות אמיתית לגבי פרטיות ורגולציה.

אז בואי נעשה קצת סדר.

זה לא ייעוץ משפטי, אלא מסגרת חשיבה פרקטית למנהלים, לעובדים ולמובילי GenAI בארגון.

1. ברגע שהקשת אנטר – המידע כבר לא “שלך”

החוויה שלנו היא “אני רק כותבת משהו בצ’אט”.

במציאות: כל פקודה, כל קובץ וכל טקסט שאת מזינה נשלח לשרתים של חברת ה-AI.

פה נכנסים שני דברים קריטיים:

1. איפה השרתים יושבים גיאוגרפית

   המיקום הפיזי קובע איזה חוקים מגינים (או לא מגינים) על המידע שלך.

2. איזה מדיניות פרטיות חלה עלייך

   זה משתנה מספק לספק ומסוג חשבון לסוג חשבון.

דוגמה:

• ספק כמו DeepSeek פועל משרתי ענן בסין, ולכן כפוף לחוקי הגנת המידע של סין.

• ספקים כמו OpenAI, Google, Anthropic יושבים בארה”ב ופועלים תחת מסגרות פרטיות אחרות, לרוב עם אפשרויות מתקדמות יותר ללקוחות עסקיים.

אם את לא יודעת איפה המידע שלך נשמר – את לא באמת יודעת מי יכול לגעת בו.

2. חוקים שונים בעולם, הגנה שונה על הנתונים שלך

חוקי פרטיות משתנים מאוד בין מדינות:

• סין

  שלושה חוקים מרכזיים:

  • Cybersecurity Law

  • Data Security Law

  • Personal Information Protection Law (PIPL)

  בפועל, החוקים האלה מגבילים מאוד יציאה של מידע אישי מחוץ לסין. כדי להעביר דאטה החוצה, צריך לעבור בדיקות ואישורים.

• ארה”ב

  אין חוק פרטיות פדרלי אחד.

  במקום זה יש “טלאי על טלאי” של חוקים מדינתיים (למשל CCPA בקליפורניה) והתחייבויות וולונטריות של חברות.

מה זה אומר לך כארגון?

אם את עובדת עם דאטה חוצה גבולות (לקוחות מאירופה, ארה״ב, אסיה וכו’), את חייבת להבין:

• איפה יושב השרת.

• איזה חוק חל עליו.

• האם זה עולה בקנה אחד עם הרגולציה שאת כפופה לה (GDPR, רגולציות סקטוריאליות וכו’).

3. האם המודל “לומד” מהשיחות שלך?

זו שאלה שחוזרת בלי הפסקה:

“אם אני מעלה חומר פנימי, זה נכנס למודל? זה יופיע אצל מישהו אחר?”

התשובה: זה תלוי בספק ובסוג החשבון.

דוגמאות אופייניות בעולם:

• תוכניות Enterprise (עסקיות) של חלק מהספקים מצהירות במפורש:

  לא משתמשים בדאטה של הלקוחות העסקיים כדי לאמן את המודל.

• יש ספקים שמאפשרים Opt-in / Opt-out לשימוש בדאטה לצרכי אימון.

• יש כלים שמפרידים בין מה שנכנס לאימון לבין מה שנשמר רק לצורכי לוגים / אבטחה / ניטור.

חוק הזהב לעובדים ולמנהלים:

תתנהלו כאילו תמיד יכול להיות בן אדם שיראה את מה שכתבתם לצורך בקרת איכות או בטיחות.

אם זה לא משהו הייתם מוכנים להקריא בקול, אל תכניסו אותו כמו שהוא לכלי.

4. מה אסור להכניס לכלי AI?

כלי GenAI הם לא “יומן אישי” ולא “כספת”. יש דברים שפשוט לא מכניסים:

רשימת הלא-להכניס:

• 🔐 סיסמאות, טוקנים, API keys, קודי כניסה.

• 🧠 קוד מקור רגיש, ארכיטקטורת מערכת, פרטים טכניים פנימיים.

• 👤 דאטה אישי של לקוחות / עובדים: שמות + תעודות זהות, מספרי אשראי, כתובות, מידע רפואי וכו’.

• 📄 מסמכים סופר רגישים: הסכמים משפטיים קריטיים, דוחות כספיים לפני פרסום, חומרים שיכולים לחשוף סודות מסחריים.

טיפ פרקטי:

אם את צריכה עזרה במבנה/ניסוח מסמך, השתמשי ב־Placeholderים:

• במקום שם לקוח: [CUSTOMER_NAME]

• במקום סכומים אמיתיים: [AMOUNT_1]

• במקום מספר ת.ז.: [ID_NUMBER]

המודל לא צריך את המספר האמיתי כדי לעזור לך לבנות מצגת טובה.

5. חשבון אישי לעומת חשבון ארגוני

עוד בלבול קלאסי בסדנאות: “מה הבעיה להשתמש בחשבון הפרטי שלי, זה אותו כלי, לא?”

לא בדיוק.

• חשבון צרכני (אישי)

  לרוב פחות הגנות, לעתים מאפשר שימוש בדאטה שלך לשיפור השירות.

• חשבון עסקי / Enterprise / Education

  בדרך כלל:

  • הפרדה טובה יותר של דאטה של הארגון.

  • אפשרות לשליטה בהגדרות אימון.

  • שליטה היכן הדאטה נשמר ולאיזה פרק זמן.

כלל אצבע:

עובדים עם חומר פנימי של החברה? עובדים רק דרך החשבון הארגוני המאושר, לא דרך החשבון הפרטי.

6. מחיקה, לוגים וגיבויים – מה באמת נמחק?

עוד נקודה שאנשים מופתעים ממנה:

כשאת “מוחקת” צ’אט, זה לא אומר שבאותו רגע כל עותק בשרתים נמחק.

לרוב יש:

• לוגים

• גיבויים

• מידע לצורכי ניטור ובקרת תקלות

שני דברים שחייבים להבין מול כל ספק:

1. כמה זמן נשמרים פרומפטים ותשובות?

2. מה בדיוק קורה כשאני מוחקת שיחה?

יש ספקים שמציינים בבירור:

למשל, דאטה שלא משמש לאימון נשמר X ימים לצורכי אבטחה ואז נמחק, ופידבק נשמר לזמן אחר.

7. אבטחה: הצפנה וגישה פנימית

האם הספק מצפין את המידע שלך?

צריך לבדוק:

• הצפנה בזמן מעבר (in transit)

• הצפנה בזמן מנוחה (at rest)

וגם: מי בתוך החברה יכול לגשת לדאטה?

תכונות שכדאי לחפש:

• Role-based Access Control (RBAC) – רק אנשים ספציפיים מורשים.

• SSO – התחברות מאובטחת דרך מנגנון הארגון.

• HSM / Customer-Managed Keys – מפתחות הצפנה בשליטת הלקוח או מוגנים חומרתית.

ככל שהשליטה אצלך גדולה יותר, כך הסיכון לדליפה “מבפנים” קטן.

8. עם מי עוד הם חולקים את הדאטה שלך?

ספקי AI עובדים עם תשתיות ענן, כלי אנליטיקה ועוד. השותפים האלה נקראים Sub-processors.

חשוב לבדוק:

• האם יש רשימה פומבית מעודכנת של Sub-processors.

• האם מקבלים התראה כשמוסיפים שותף חדש.

• האם יש הסכמי עיבוד דאטה שמחייבים אותם לעמוד באותם סטנדרטים.

אם אין שקיפות בנושא הזה, זו נורת אזהרה.

9. השורה התחתונה: מיקום, חוק ואמון

כל פרומפט שאת שולחת עובר דרך שרת של מישהו, איפשהו.

שלוש שאלות שכדאי להכניס כהרגל עבודה בארגון:

1. איפה הדאטה שלנו נשמר גיאוגרפית?

2. איזה חוקים מגינים עליו שם (או לא מגינים)?

3. איזה שליטה יש לנו: אימון מודל, מחיקה, גישה, הצפנה, שותפים?

10. צ’ק ליסט של 30 שניות לפני כל שימוש ב-AI בארגון

כדאי לתלות את זה על הקיר ליד העובדים שעובדים עם AI:

1. איזה סוג מידע אני מכניסה עכשיו? רגיש? אישי? מסחרי?

2. האם אני משתמשת בחשבון הארגוני הנכון, או בחשבון פרטי?

3. האם הגדרנו בהגדרות שהדאטה לא משמש לאימון, איפה שאפשר?

4. איפה הדאטה הזה נשמר – באיזה אזור בעולם?

5. מה מדיניות השמירה והמחיקה של הספק?

6. מי בתוך החברה של הספק יכול לגשת לדאטה הזה?

7. האם הכל מוצפן במעבר ובמנוחה?

8. אילו שותפים חיצוניים (Sub-processors) נוגעים בדאטה?

9. איפה נשמרות התוצאות שאני מורידה / מעבירה הלאה?

10. האם יש משהו בטקסט הזה שאם ייחשף החוצה – יגרום נזק אמיתי?

אם התשובה לכמה מהשאלות האלה היא “אין לי מושג” – זה בדיוק המקום לעצור ולדבר עם ה-IT / אבטחת מידע / יועץ משפטי.

 

אני רואה את הבלבול הזה בכל ארגון מחדש, מהנהלה ועד העובדים בשטח.

אם את מובילה GenAI בחברה שלך, זה לא “עוד סעיף טכני”, זה הבסיס לאמון של לקוחות, עובדים וההנהלה בך.

אם אהבתם את התוכן הזה, פה תוכלו לקבל עוד ממנו 

הצטרפו עכשיו לקהילת ה- AI שלי בפייסבוק – AI Community Hub

עקבו אחרי גם בערוץ ה- YouTube שלי

הירשמו עכשיו לניוזלטר שלי