מדריך לעסקים בישראל
שימוש ב-ChatGPT ו-Copilot בעסק: מה צריך לעשות לפי תיקון 13 לחוק הגנת הפרטיות?
כשעובדים מזינים מידע על לקוחות או עובדים לכלי AI, העסק נשאר אחראי למידע האישי הזה. צעדי היערכות מעשיים הם מיפוי הכלים שבשימוש, מדיניות AI כתובה, הגבלת המידע שמותר להזין, שימוש בחשבונות עסקיים עם בקרות ניהול, תיעוד והדרכת עובדים. אלה צעדי אבטחה וניהול סיכונים ולא קביעה משפטית של דרישות בכל מקרה; המידע כללי ואינו מהווה ייעוץ משפטי.
עודכן לאחרונה:
מה זה Shadow AI ולמה זה סיכון לעסק קטן?
Shadow AI הוא שימוש בכלי בינה מלאכותית שהארגון לא מיפה או לא אישר. עובד עשוי להשתמש בחשבון אישי לסיכום מסמך, כתיבת הודעה או ניתוח טבלה בלי שברור להנהלה איזה מידע מועבר לכלי ואילו תנאים חלים עליו.
הסיכון אינו עצם השימוש ב-AI אלא חוסר השליטה במידע, בחשבונות ובהרשאות. עסק קטן יכול להתחיל ממיפוי שימושים קיימים ושיחה עם העובדים, במקום להניח שכל עבודה נעשית רק בכלים שה-IT מכיר. יש להבחין בין ניסוי במידע לא רגיש לבין עיבוד מידע אישי או סודי.
אילו מידע אסור להדביק לכלי AI?
כמדיניות זהירות ארגונית, אין להזין מידע אישי, סודי או מזהה לכלי שלא אושר לכך. דוגמאות לבדיקה הן פרטי לקוחות ועובדים, מסמכים פיננסיים או משפטיים, מידע רפואי, סיסמאות ומידע פנימי שאין צורך לחשוף. אין זו רשימה משפטית ממצה של איסורים.
מגדירים בכתב אילו סוגי מידע מותרים לכל שימוש ומי מאשר חריגה. אם המשימה אינה דורשת פרטים מזהים, אפשר לבחון הסרה שלהם או שימוש בדוגמה שאינה מכילה מידע אמיתי. הסרת שם בלבד אינה בהכרח מספיקה כאשר פרטים אחרים מאפשרים זיהוי. המידע כללי ואינו מהווה ייעוץ משפטי.
מה תיקון 13 משנה לעסק שמשתמש בכלי AI?
השימוש בכלי חדש אינו פוטר את העסק מאחריות למידע האישי שהוא מנהל. ברמה המעשית שכבר מוצגת במרכז הרגולציה באתר, ההיערכות מתמקדת במיפוי מידע, הרשאות, בקרות, נהלים ותיעוד. כדאי לכלול בתהליך גם כלי AI והאופן שבו עובדים משתמשים בהם.
הרשות להגנת הפרטיות פרסמה באפריל 2025 טיוטת הנחיה בדבר החלת חוק הגנת הפרטיות על מערכות AI. יש לבדוק באתר הרשות את הגרסה והמצב העדכניים. אין כאן ציטוט מהטיוטה או פירוט של תוכנה, ואין להסיק שכל צעד במדריך הוא חובה משפטית זהה לכל עסק.
היערכות ותיעוד לתיקון 13 · הרשות להגנת הפרטיות — המקור הרשמי לבדיקת העדכונים
המידע כללי ואינו מהווה ייעוץ משפטי. סיוע באבטחת מידע אינו אישור רשמי או הבטחה לעמידה בחוק.
מה כולל צ'קליסט מדיניות שימוש ב-AI לעסק קטן?
הטבלה מציעה חלוקת אחריות פנימית לצורך היערכות. התפקידים הם דוגמה להתאמה לפי מבנה העסק, לא קביעה משפטית של מינוי נדרש. חשוב שהמדיניות תהיה ברורה לעובדים ושיהיה גורם שמרכז את השאלות והעדכונים.
| צעד | מה עושים | מי אחראי |
|---|---|---|
| מיפוי הכלים | לתעד אילו כלי AI וחשבונות משמשים את העובדים ובאילו תהליכים | הנהלה ומנהל IT או ספק IT |
| מדיניות כתובה | להגדיר כלים מאושרים, שימושים מותרים ותהליך אישור לשימוש חדש | הנהלה, בליווי vCISO לפי צורך |
| הגבלת מידע | לקבוע שאין להזין מידע אישי, סודי או מזהה בלי בדיקה ואישור מתאימים | בעלי המידע וההנהלה |
| חשבונות עסקיים | לבחון חשבונות עם בקרות ניהול, הרשאות ותנאי שימוש מתאימים | מנהל IT או ספק IT |
| בדיקת גישה ושיתוף | לבדוק מי יכול לקרוא קבצים, שיתופים חיצוניים וקבוצות בעלות גישה רחבה | IT ובעלי המידע |
| תיעוד החלטות | לשמור מיפוי, אישורים, מדיניות ובקרות ולבחון אותם כשמשתנה השימוש | הנהלה והגורם שמרכז אבטחת מידע |
| הדרכת עובדים | לתרגל זיהוי מידע רגיש, דיווח על שימוש לא מאושר ואימות בקשות חריגות | הנהלה והאחראי להדרכה |
| דיווח על חשיפה | להגדיר למי מדווחים אם מידע הוזן לכלי לא מאושר ואיך מתאמים בדיקה | עובדים, IT והגורם שמרכז אבטחת מידע |
חשבונות עסקיים עם בקרות ניהול יכולים לתמוך בשליטה, אך יש לבדוק את ההגדרות ותנאי השירות של הכלי שנבחר. עצם הכינוי עסקי אינו מבטל צורך בבדיקת הרשאות, הגבלת מידע ותיעוד החלטות.
איך מאבטחים Microsoft 365 Copilot?
מתחילים בבדיקת ההרשאות והשיתוף של המידע שכבר נמצא בסביבת Microsoft 365: מי ניגש לאתרים ולקבצים, אילו קבוצות קיבלו גישה ואילו מסמכים משותפים מחוץ לארגון. סקירת חשיפת יתר חשובה לצד מדיניות שימוש בכלי AI.
יש לתאם שינויים עם בעלי המידע ועם ה-IT, לבדוק שיתוף קבצים, הרשאות אורחים ואימות רב-שלבי, ולתעד את ההחלטות. הבדיקה כללית ומותאמת לסביבה; אין כאן הבטחה שכל הגדרה או רישיון מסוים פותרים את כל סיכוני השימוש.
אבטחת Microsoft 365 ←איך מתגוננים מפישינג ו-deepfake שנוצרו ב-AI?
אין לאשר תשלום או שינוי פרטי בנק רק על סמך הודעה, קול או תמונה שנראים מוכרים. בקשה חריגה בודקים בערוץ קשר מוכר ועצמאי, מול הגורם המוסמך בארגון, בלי להסתמך על פרטי קשר שנמסרו בבקשה עצמה.
הגנת דואר והדרכת עובדים משלימות את תהליך האימות. כדאי לתרגל דיווח על בקשות חריגות, קבצים וקישורים, ולהבהיר למי פונים כשיש ספק. אין בכך הבטחה לזיהוי כל זיוף.
איך CyberOM יכולה לעזור?
CyberOM Israel היא מותג שירותי הסייבר המנוהלים הישראלי של Cyber NCS Ltd., ממטה בנתניה. AI Threat Shield מסייע במדיניות ובקרות לשימוש בכלי AI, בצמצום דליפת מידע ובהתמודדות עם סיכונים כמו Prompt Injection; היקף העבודה מותאם לארגון.
אפשר לשלב אבטחת Microsoft 365, אבטחת דואר ומודעות עובדים, וליווי vCISO למדיניות, סיכונים ותיעוד. אבטחת דואר עם Perception Point ו-Sendmarc, ואבטחה וגיבוי Microsoft 365 עם Acronis, נבחרים לפי צורך. אין כאן מחיר לשירות vCISO או הבטחת עמידה.
AI Threat Shield · ליווי vCISO · מחירי SOC/MDR — לא מחיר לשירות AI · בדיקת חשיפה לדומיין — אינה בדיקת כלי AI · יצירת קשר
המידע כללי ואינו מהווה ייעוץ משפטי. השירות מסייע בהיערכות ובתיעוד ואינו מעניק אישור רשמי.
שאלות