בכל פעם שאני מציג לארגון מערכת שמקבלת החלטה אוטומטית, מגיע הרגע שבו מישהו בחדר שואל: "ואם היא תטעה, מי אחראי?" בדרך כלל נאמר את זה בחצי חיוך, כאילו זו שאלה פילוסופית שאפשר לדחות לישיבה הבאה.
היא לא. בישראל כבר ענו עליה, בכתב, ובשתי חזיתות נפרדות.
הרגולטור כבר ענה: 100% עליכם
ב-24 בדצמבר 2025 פרסם צוות בין-משרדי את הדוח הסופי בנושא שימוש בבינה מלאכותית בסקטור הפיננסי בישראל. בצוות חברים נציגי משרד המשפטים, משרד האוצר, הפיקוח על הבנקים, רשות שוק ההון ביטוח וחיסכון, רשות ניירות ערך ורשות התחרות.
הקביעה המרכזית, כפי שסוקרה בכלכליסט, היא שהאחריות לכל נזק שייגרם ללקוח כתוצאה מפעולת מערכת הבינה המלאכותית מוטלת במלואה על הגוף המפוקח. לא על מפתח האלגוריתם. לא על ספק התוכנה החיצוני. וגם לא ניתן להגביל את החבות הזאת בסעיף בחוזה מול הלקוח.
מעבר לכך, הדוח מציב ארבע דרישות שמתורגמות ישירות לעבודה: הקמת מסגרת ממשל AI הכוללת מדיניות, תהליכי אישור, בקרה וניטור. רף גבוה יותר של בקרה, הסברתיות ומעורבות אנושית בשימושים בעלי השפעה מהותית על לקוחות, כמו אשראי, ביטוח והשקעות. מנגנון גילוי ללקוח על עצם השימוש במערכת AI, בהתאם לרמת הסיכון, לצד הצעת חלופת שירות אנושי. ובדיקת נאותות לספקים, עם הסכמים שמגדירים חובות שקיפות ושיתוף פעולה בביקורת.
אם אתם לא גוף פיננסי מפוקח, אל תמהרו להירגע. זאת אמירת המדיניות המפורטת ביותר שיצאה בישראל עד היום בשאלת האחריות על AI, וכשרגולטור מגיע לתחום שלכם, הוא לא יתחיל מדף ריק. הוא יתחיל מכאן.
תיקון 13 הפך את זה לאישי
החזית השנייה קרובה יותר. תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025. הוא הרחיב משמעותית את סמכויות האכיפה של הרשות להגנת הפרטיות, חייב מינוי ממונה על הגנת הפרטיות בגופים מסוימים, והחיל לראשונה אחריות ישירה על נושאי משרה בכירים.
זאת הנקודה שאני מבקש מכל מנכ"ל לעצור עליה. עד התיקון, כשל בהגנת מידע היה סיכון תאגידי. מהתיקון והלאה, הוא גם סיכון אישי של מי שיושב בהנהלה ובדירקטוריון.
והאכיפה כבר התחילה. ב-21 ביולי 2026 הטילה הרשות את העיצום הכספי הראשון מכוח התיקון, בסך 256,000 שקל, על גוף בריאות, בגין אי דיווח מיידי על אירוע אבטחה חמור. הרשות הדגישה שחובת הדיווח קמה מרגע היוודע האירוע, בלי להמתין להשלמת הבדיקות. לפי דיווח של law.co.il מסוף יולי 2026, הרשות מנהלת מעל 100 תיקי אכיפה.
עכשיו הניחו את זה לצד ממצא אחד מדוח מבקר המדינה שפורסם ביוני 2026: 41% מהגופים שנבדקו פועלים ללא מסגרת פורמלית של ממשל נתונים, ורק 18% אימצו אסטרטגיה או מדיניות מסודרת בתחום הבינה המלאכותית. התמונה הזאת חוזרת גם גלובלית. בדוח Cost of a Data Breach לשנת 2025 של IBM, 63% מהארגונים דיווחו שאין להם בכלל מדיניות ממשל AI.
מה מסמך ממשל AI חייב לכלול בפועל
אני מודה שהמונח "ממשל AI" נשמע כמו עוד קלסר שאיש לא יפתח. אז בואו נשנה את המסגור: זה לא מסמך תאימות, זה מסמך ההגנה שלכם. ביום שבו הרשות, הדירקטוריון או תובע שואלים "מה עשיתם", המסמך הזה הוא התשובה. אם הוא לא קיים, אין תשובה.
מניסיוני, מסמך שעובד הוא בין שישה לעשרה עמודים, לא שישים, והוא כולל שישה חלקים:
מיפוי שימושים. רשימה חיה של כל מקום שבו AI נוגע בתהליך עסקי. איזה כלי, מי הבעלים, איזה מידע נכנס, מה יוצא. בלי הרשימה הזאת כל השאר תיאורטי.
סיווג סיכון לכל שימוש. לא כל שימוש שווה. ניסוח טיוטת מייל שיווקי ודירוג בקשת אשראי הם לא אותה חיה. שלוש רמות מספיקות. מה שקובע את הרמה הוא ההשפעה על אדם שלישי.
בקרת אדם בלולאה בהחלטות בסיכון גבוה. כתוב במפורש: אילו החלטות לא יוצאות לפועל בלי אישור אנושי מזוהה, ומי מוסמך לאשר. זה בדיוק מה שהדוח הבין-משרדי דורש בשימושים בעלי השפעה מהותית על לקוחות.
תיעוד. לוגים של קלט, פלט ומי אישר. הרגולטור לא ישאל אם הייתה טעות. הוא ישאל אם ידעתם, מתי, ומה עשיתם.
נוהל אירוע. מי מזהה, למי מדווחים, ותוך כמה זמן. שימו לב שהחוק כבר קבע את הרף: דיווח מיידי, לא דיווח מלא.
חובת גילוי ללקוח. מתי אומרים ללקוח שהוא מדבר עם מערכת, ואיך הוא מבקש אדם.
חמש שאלות לדירקטוריון
מערך הסייבר הלאומי, בדוח שפרסם במאי 2026, המליץ על מועד מחייב, 31 במאי 2026, להצגת האיום מהדור החדש של מודלי AI בפני דירקטוריונים וועדות ביקורת, ולאתגור תיאבון הסיכון הארגוני. אלה חמש השאלות שאני מציע להעלות שם:
- איזה החלטות בארגון שלנו מתקבלות היום בסיוע AI, ואיזו מהן משפיעה על לקוח או על עובד?
- מי בהנהלה הוא הבעלים האישי של הנושא, בשם ובתפקיד?
- מה קורה אם ספק ה-AI שלנו נופל מחר בבוקר, וכמה זמן ניקח לחזור לעבודה ידנית?
- אם יתגלה אירוע הלילה, למי מדווחים, תוך כמה שעות, ומי כותב את הדיווח?
- איפה המסמך שמתעד את התשובות לארבע השאלות הקודמות, ומתי עודכן?
אם התשובה לשאלה החמישית היא שתיקה, שם מתחילים.
אני לא עורך דין ולא רגולטור, ובנקודות שבהן צריך חוות דעת משפטית או ביקורת אבטחה מקצועית, אני אומר את זה במפורש ומפנה. מה שאני כן יודע לעשות הוא לשבת עם מנכ"ל ולמפות תוך יום מה באמת רץ בארגון שלו, כדי שהמסמך יתאר מציאות ולא כוונות. אם זה שווה לכם שיחה, אני כאן.
