פרטיות ובינה מלאכותית בעסק: מה החוק דורש ומה כדאי לבדוק

אם השבוע העליתם שיחת לקוח לתמלול אוטומטי, ביקשתם מ-ChatGPT לנסח פוסט שיווקי, או התקנתם צ'אטבוט באתר – כבר השתמשתם ב-AI בעסק שלכם. רוב בעלי העסקים שאני עובד איתם עושים את זה בלי לעצור לרגע ולשאול אם זה בסדר מבחינת פרטיות הלקוחות. וזאת שאלה לגיטימית: לא ברור מספיק אם יש בישראל חוק AI, מה בדיוק אסור, ואיפה הגבול בין "שימוש נוח בכלי חדש" לבין הפרה של החוק.

בפוסט הזה אני מסביר מה כבר חל עליכם היום מכוח חוק הגנת הפרטיות הרגיל, מה הרשות להגנת הפרטיות פרסמה ספציפית בנושא AI, ואיך זה נראה בהשוואה לכיוון שאירופה כבר צועדת בו.

פרטיות ובינה מלאכותית בעסק – מה כבר חל עליכן היום

הטעות הכי נפוצה שאני נתקל בה היא המחשבה ש"אין עדיין חוק AI בישראל, אז אין מה לבדוק". זה לא נכון. חוק הגנת הפרטיות התשמ"א-1981, כולל השינויים שהכניס תיקון 13, לא מבחין בין מערכת AI לבין כל מערכת אחרת שמעבדת מידע אישי. אם יש לכן טופס באתר, מערכת CRM, או תוכנת ניהול לקוחות – אתן כבר כפופות לחוק. כשאתן מכניסות כלי AI לתמונה, הוא פשוט הופך לעוד ערוץ שדרכו זורם מידע אישי, וחלים עליו אותם חובות ועקרונות ישנים – אבטחת מידע, שימוש בהתאם למטרה שלשמה נאסף המידע, ובחינה שלא נשמר או מעובד מידע מעבר לנדרש (התקנות מחייבות בחינה שנתית של עודפי מידע).

בפרויקטים שלי אני רואה שהבעיה כמעט אף פעם לא נובעת מזדון – היא נובעת מחוסר מודעות. בעל עסק שמעלה הקלטת שיחת מכירה לתמלול אוטומטי לא חושב על זה כ"העברת מידע לצד שלישי", אבל זה בדיוק מה שקורה.

חשוב גם לתחום את זה בכיוון ההפוך, כי אני נתקל גם בדאגת יתר: כל מה שכתוב כאן חל כשיש בתמונה מידע אישי – כלומר מידע שמזהה או יכול לזהות אדם ספציפי (לקוח, עובד, ספק). אם אתם משתמשים ב-AI רק על מידע עסקי כללי – ניתוח מגמות מחירים, כתיבת תוכן שיווקי גנרי, סיכום דוח מכירות מצרפי בלי פרטים מזהים – ככל שבאמת אין במידע נתונים על אדם מזוהה או שניתן לזיהוי, חוק הגנת הפרטיות בהיבט של עיבוד מידע אישי בדרך כלל לא יהיה מוקד הבעיה. שימו לב שזו לא בדיקה אוטומטית: "מידע עסקי" יכול בהחלט להכיל בתוכו פרטים מזהים – דוח מכירות עם שמות לקוחות, למשל, הוא עדיין מידע אישי גם אם הוא "עסקי" באופיו. וגם כשבאמת אין מידע אישי, זה לא אומר שאין שום סיכון: יכולות להיות בהחלט בעיות אחרות – סודיות עסקית, זכויות קניין רוחני, או הפרת הסכם סודיות מול ספק – אבל אלה נושאים נפרדים מפרטיות, ולא מה שהמאמר הזה עוסק בו.

הרשות להגנת הפרטיות כן התייחסה ל-AI – מה כתוב בטיוטת ההנחיה

בסוף אפריל 2025 פרסמה הרשות להגנת הפרטיות טיוטת הנחיה רשמית שכותרתה "תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית", ופתחה אותה להערות ציבור. חשוב לדייק: זו טיוטה, לא הנחיה סופית שכבר מחייבת – אבל היא נותנת אינדיקציה ברורה איך הרשות קוראת את החוק הקיים ביחס ל-AI, וכדאי להכיר אותה גם לפני שהיא סופית.

שקיפות כלפי לקוחות

הטיוטה מדגישה שעל עסקים להסביר ללקוחות, בשפה ברורה, אילו נתונים אישיים מערכת ה-AI מעבדת ולאיזו מטרה – ולא להסתפק בניסוח כללי במדיניות הפרטיות. היא גם מציינת שכאשר לקוח מתקשר עם צ'אטבוט או מערכת אוטומטית אחרת, ראוי שיידע שהוא לא מדבר עם בן אדם.

אבטחת מידע וכלים חיצוניים כמו ChatGPT

זה החלק הכי רלוונטי לרוב העסקים הקטנים שאני פוגש. הטיוטה מתייחסת במפורש לשימוש בכלי AI גנרטיביים חיצוניים (כמו ChatGPT או כלים דומים), וממליצה על מדיניות ברורה שקובעת: אילו עובדים רשאים להשתמש בכלים כאלה, אילו סוגי מידע אסור להזין אליהם, וכמה זמן שומרים תיעוד של השימוש. היא גם מתייחסת לסיכון שמידע שהוזן לכלי AI "יישאב" לתוך המודל וישמש לאימון עתידי שלו – נקודה ששווה לבדוק מול כל ספק שבו אתם משתמשים.

חשוב להבין שהשאלה לא נגמרת בהגדרות הפרטיות של הכלי עצמו. כשמידע אישי נשלח לספק AI חיצוני לצורך קבלת השירות, הספק בדרך כלל מבצע "עיבוד" של המידע עבור העסק, שכן הגדרת עיבוד בחוק כוללת גם קבלה ואחסון של מידע. במצב כזה הספק עשוי להיחשב "מחזיק" במאגר המידע, ולכן יש לבחון גם את הדרישות החלות על התקשרות עם גורם חיצוני, ובפרט תקנה 15. במצבים טכניים חריגים שבהם המידע אינו נשמר או מוחזק בפועל, הניתוח עשוי להיות שונה – אבל ברוב השימושים העסקיים הרגילים בכלי AI חיצוני שמקבל מידע אישי, נכון לצאת מנקודת הנחה שמדובר בעיבוד באמצעות גורם חיצוני ולבחון את תקנה 15, ולא להניח שהספק נמצא מחוץ למסגרת רק משום שהוא "רק" מקבל ומאחסן את המידע. כשמדובר במחזיק כזה, יש כאן שכבה נוספת של בדיקה: מה מותר לספק לעשות במידע, אילו אמצעי אבטחה חלים עליו (ראו רמות האבטחה הנדרשות לפי סוג המידע להרחבה), האם ההתקשרות מוגדרת בהסכם שמפרט את המידע המותר והשימושים המותרים, והאם המידע מעובד או מאוחסן מחוץ לישראל – שאלה שיכולה להשפיע על התנאים שצריך לקבוע מול הספק. מסמך הגדרות המאגר של העסק אמור לשקף גם עיבוד חיצוני כזה ושימוש/העברה לחו"ל, אם רלוונטי. זו לא רק שאלה "טכנית" של הגדרות חשבון – זו בדיקה שכדאי לעשות מול כל ספק AI חיצוני שמקבל גישה למידע לקוחות.

מותר, אסור, צריך לבדוק – טבלה לתרחישים יומיומיים

הטבלה הזו לא מחליפה ייעוץ משפטי פרטני, אבל היא נותנת כיוון ראשוני לתרחישים שחוזרים על עצמם אצל עסקים קטנים.

שלושת הסיכונים שהכי פוגשים אצל עסקים קטנים

1. מידע לקוחות שמוזן לכלים חיצוניים בלי בדיקה. זה הסיכון הכי נפוץ שאני רואה בפועל – לא כי מישהו רוצה לפגוע בפרטיות, אלא כי אף אחד לא עצר לשאול "מה קורה עם המידע אחרי שאני שולח אותו לכלי הזה". בדקתי בעצמי מה כתוב במדיניות הפרטיות הרשמית של ChatGPT ושל Claude – כולל ההבדל המשמעותי בין חשבון אישי לעסקי, ומה קורה עם המידע מעבר לשאלת "האם הוא משמש לאימון". זה נושא רחב מספיק שהקדשתי לו פוסט נפרד: פרטיות ב-ChatGPT וב-Claude: מה קורה למידע שאתם מזינים.
2. הקלטות ותמלול בלי יידוע. כלי תמלול AI הפכו נוחים וזולים, אבל הם יוצרים תיעוד כתוב של שיחה – שהוא בעצמו מידע אישי שצריך להתייחס אליו בהתאם.
3. החלטות אוטומטיות שמשפיעות על לקוח ספציפי. אם כלי AI ממיין פניות, מדרג לקוחות, או מחליט מי מקבל הצעה ומי לא – זו כבר לא רק שאלה של אבטחת מידע, אלא של הוגנות והסבר לתוצאה.

אם הפוסט הזה עורר לכם את השאלה "אז מה בכלל יש לי במאגרי המידע שלי" – שווה להתחיל דווקא ממיפוי המידע האישי שהעסק שלכם מחזיק, כי בלי זה קשה לדעת גם מה בדיוק זורם לכלי ה-AI. ואם אתם רוצים לראות דוגמאות מעשיות איך עסקים קטנים משתמשים ב-AI בלי הקשר הרגולטורי, יש לי פוסט נפרד על שימושי AI מעשיים בעסק קטן.

אירופה כבר יצאה לדרך – מה אפשר ללמוד מזה בלי להעתיק

בניגוד לישראל, שבה יש כרגע רק טיוטת הנחיה מכוח חוק קיים, באיחוד האירופי כבר פועל חוק ייעודי לבינה מלאכותית – וגם ה-GDPR, חוק הפרטיות האירופי, ממשיך לחול על AI במקביל. חשוב להיות מדויקים: ה-AI Act הוא דין אירופי ואינו הופך אוטומטית לחובה על עסק ישראלי רק משום שהוא משתמש בכלי AI. לעסק ישראלי שאין לו פעילות או זיקה רלוונטית לאיחוד האירופי, ה-AI Act בדרך כלל לא יהיה נקודת המוצא. לעסק שיש לו פעילות באיחוד או שימושים שחוצים גבולות, כדאי לבדוק את התחולה באופן פרטני – התחולה הטריטוריאלית של החוק מורכבת יותר מ"האם אתם משרתים אנשים באיחוד", ויש מצבים שבהם גם ספקים או משתמשים מחוץ לאיחוד נכנסים לתמונה אם התוצר בפועל משמש בתוך האיחוד. מעבר לשאלת התחולה הפרטנית, שווה להכיר את הכיוון הכללי, כי הוא נותן רמז לאן רגולציה של AI נוטה ללכת עם הזמן – יותר שקיפות, יותר תיעוד, ודגש הולך וגובר על הסבר לתוצאות של החלטות אוטומטיות. אני לא הייתי מנחש שהרגולציה הישראלית תהיה זהה לאירופית, אבל סביר שהיא תושפע מאותם עקרונות בסיסיים לאורך זמן.

רשימת בדיקה לפני שמכניסים כלי AI חדש לעסק

לפני שאתן מאמצות כלי AI חדש – צ'אטבוט, כלי תמלול, עוזר כתיבה או כל דבר אחר – כדאי לעבור על הרשימה הזו:

• בדקתן במדיניות הפרטיות של הכלי אם המידע שאתן מזינות משמש לאימון המודל?
• יש לכן החלטה ברורה אילו סוגי מידע (שמות, טלפונים, תוכן שיחות) מותר להזין לכלי, ואילו לא?
• אם אתן מקליטות או מתמללות שיחות עם לקוחות – הלקוח יודע על כך? והאם הוא יכול לסרב
• אם יש לכן צ'אטבוט – הוא מציין בבירור שהוא לא בן אדם?
• בדקתן עם הספק איפה המידע מאוחסן ולכמה זמן הוא נשמר?
• אם הכלי מקבל החלטות שמשפיעות על לקוחות ספציפיים – יש לכן דרך להסביר את התוצאה אם יבקשו?
• אם מידע אישי מועבר לספק חיצוני, בדקתן גם את תנאי ההתקשרות, אמצעי האבטחה, מיקום העיבוד/האחסון והאם נדרשות התאמות לפי תקנה 15 או כללי העברת מידע לחו"ל?

אם AI כבר משמש בעסק שלכן באופן שיטתי לעיבוד מידע אישי בהיקף משמעותי, זה בדרך כלל הרגע לשקול גם אם נדרש ממונה על הגנת הפרטיות (DPO) שיוביל את התהליך – החובה עצמה תלויה בסוג העסק ובהיקף ובאופי הפעילות שלו לפי הקטגוריות שקבע החוק, לא בגודל העסק כשלעצמו, ולא חלה אוטומטית על כולם.

סיכום

אין עדיין בישראל חוק ייעודי לבינה מלאכותית – אבל זה לא אומר שהשטח פרוץ. חוק הגנת הפרטיות הרגיל כבר חל על כל שימוש ב-AI שמעבד מידע אישי, וטיוטת ההנחיה של הרשות להגנת הפרטיות מסמנת בבירור לאן הרגולטור חושב שהדברים הולכים. הצעד הכי מעשי שאתן יכולות לעשות היום הוא לא לחכות לחוק סופי, אלא לעבור על רשימת הבדיקה למעלה ולראות איפה יש לכם פערים.

לא בטוחים מה בדיוק חל עליכם, או שאתם רוצים מישהו שיעבור איתכם על השימוש ב-AI בעסק ויגיד לכם בדיוק איפה יש פער? בואו נבדוק יחד – שיחת היכרות קצרה בלי התחייבות.