ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, והוא שינה כלל אחד יסודי: כשמערכת AI של החברה שלך טועה עם מידע אישי, החשיפה היא כבר לא רק של החברה. היא גם שלך, אישית, כנושא משרה. ניהלתי חברות יותר מעשרים שנה, ואני לא זוכר שינוי רגולטורי שכל כך הרבה מנכ"לים חשופים אליו וכל כך מעטים מכירים אותו לעומק.
מה בדיוק נכנס לתוקף באוגוסט 2025
שלושה דברים, וכל אחד מהם לבד היה מצדיק ישיבת הנהלה:
הראשון - קנסות של עד 3 מיליון ש"ח, שהרשות להגנת הפרטיות מוסמכת להטיל ישירות, במסלול מנהלי. לא צריך תביעה, לא צריך בית משפט.
השני - אחריות אישית לנושאי משרה. החוק דורש מדירקטורים וממנכ"לים לפקח בפועל על עמידת הארגון בהוראותיו. "לא ידעתי מה המערכת עושה" הפסיקה להיות תשובה.
השלישי - חובת מינוי ממונה הגנת פרטיות (DPO) לארגונים רבים במשק.
ולמה זה מאמר על AI ולא על פרטיות? כי לא צריך חוק AI ייעודי כדי להיות חשוף. הצ'אטבוט שעונה ללקוחות שלכם אוסף מידע אישי. המודל שמסכם שיחות מוקד מעבד מידע אישי. העובד שמדביק טבלת לקוחות בכלי חינמי מעביר מידע אישי לצד שלישי. כל התרחישים האלה חיים כבר היום בתוך חוק הגנת הפרטיות, בגרסה החדשה והחדה שלו.
אם אתם גוף מפוקח - הרף עוד יותר גבוה
בדצמבר 2025 עוגנה ברגולציה הפיננסית בישראל חובת ממשל AI לגופים מפוקחים, עם שני עקרונות שכדאי לקרוא פעמיים. האחד: הגוף המפוקח נושא במאה אחוז מהאחריות לתוצאות של מערכת ה-AI, גם כשהמודל פותח אצל ספק חיצוני. "הספק טעה" היא לא הגנה. השני: חובת גילוי על עצם השימוש ב-AI מול הלקוח.
וזה מתחבר לתמונה עולמית שדירקטוריונים כבר רואים: לפי ניתוח הדיווחים של חברות S&P 500, כ-83% מהן מגדירות היום AI כגורם סיכון רשמי, לעומת 12% בלבד ב-2023. ומנגד, רק כ-2.7% מהדירקטורים מחזיקים מומחיות ממשית ב-AI. הפער בין גודל הסיכון המוצהר לבין היכולת לפקח עליו - זו בדיוק החשיפה שהחוק החדש מפיל על נושאי המשרה. התגובה שם כבר התחילה: שיעור החברות שהקימו ועדת דירקטוריון ייעודית ל-AI קפץ בתוך שנה מ-6% ל-20%. בישראל, ברוב הדירקטוריונים, הנושא עדיין לא הגיע לסדר היום.
הצ'אטבוט טועה אחרת ממה שאתם רגילים
מערכת AI לא נשברת כמו תוכנה רגילה. היא לא מציגה מסך שגיאה - היא עונה בביטחון מלא דברים שגויים. מבטיחה ללקוח הנחה שלא קיימת. חושפת בטעות פרט של לקוח אחד בשיחה עם לקוח אחר. ממציאה סעיף במדיניות. ולא במקרה סקרים ענפיים לקראת 2026 מציבים את הפרטיות והממשל כחסם מספר אחת להטמעת AI בארגונים (61.3% מהמשיבים) - לפני דיוק המודל ולפני קשיי אינטגרציה.
ויש שכבה שקטה עוד יותר: העובדים שלכם. ישראל מובילה את העולם באימוץ אישי של כלי AI, והמשמעות המעשית היא שגם אם הארגון מעולם לא הכניס AI באופן רשמי - הוא כבר בפנים, דרך הדפדפן של כל עובד, בלי בקרות ובלי שאף אחד בהנהלה יודע איזה מידע כבר יצא החוצה.
מהניסיון שלי בהפעלת מערכות כאלה מול לקוחות אמיתיים, ההגנה האמיתית היא בארכיטקטורה, לא בהבטחות של ספק. במערכת אחת שבניתי, שכבת הסינון תוכננה כך שגם כשמודל ה-AI עצמו לא זמין, חוקים קשיחים ממשיכים לחסום את מה שאסור שיעבור. המודל הוא עובד מוכשר, אבל הוא לא חותם על כלום - את החתימה שומרים לבקרות.
שלושה מסמכים שמורידים את רוב החשיפה
החדשות הטובות: רוב הדרך לצמצום הסיכון היא לא פרויקט של שנה. היא שלושה תוצרים מוגדרים.
מסמך ממשל AI. עמודים ספורים שקובעים: אילו שימושי AI מאושרים בארגון, אילו נתונים מותר להזין לאילו כלים, מי מאשר שימוש חדש, ומי נושא באחריות לכל מערכת. ברגע שיש מסמך - יש פיקוח, וברגע שיש פיקוח מתועד, נושא המשרה עשה את מה שהחוק דורש ממנו.
בקרות בפועל. לוגים לכל אינטראקציה של מערכת AI עם לקוח, הרשאות מי ניגש למה, שכבת חסימה על תוכן אסור, ובדיקה תקופתית של תשובות המערכת מול המציאות. בקרה שלא מתועדת - כאילו לא קיימת.
תיעוד החלטות. כשמגיעה פנייה מהרשות, השאלה הראשונה היא לא "האם טעיתם" אלא "מה עשיתם כדי למנוע". פרוטוקול דיון בהנהלה, הערכת סיכונים לפני עליית מערכת לאוויר, ותיעוד תיקונים - אלה הנכסים שקובעים אם אירוע נגמר בהערה או בקנס.
את השלושה האלה אפשר להעמיד בשבועות, לא בשנים. עשיתי את זה, כולל בסביבות עם רגישות רגולטורית גבוהה, והפער בין ארגון חשוף לארגון מוגן היה בעיקר החלטה של הנהלה לקחת את זה ברצינות לפני שהרגולטור מתקשר.
ואם לתרגם את הכל לשלושה צעדים לשבוע הקרוב: בקשו מיפוי של כל כלי ה-AI שכבר בשימוש בארגון, כולל אלה שהעובדים אימצו לבד; ודאו שיש כתובת אחת שאחראית על הגנת הפרטיות, גם לפני מינוי DPO רשמי; והכניסו את הנושא לישיבת הדירקטוריון הקרובה, עם פרוטוקול. שלושת הצעדים האלה לא עולים כסף, והם משנים את נקודת הפתיחה המשפטית שלכם מקצה לקצה.
אם אתם רוצים לראות איך נראה מסמך ממשל כזה בפועל, או דמו חי של בקרות עובדות על מערכת אמיתית - שלחו לי הודעה, אשמח להראות.
