Shadow AI: העובדים שלכם כבר משתמשים בבינה מלאכותית. השאלה היא אם אתם יודעים במה
בזמן שההנהלה דנה באסטרטגיית AI, העובדים כבר החליטו בעצמם. הם מדביקים הצעות מחיר לצ'טבוטים, מסכמים חוזים בכלים חינמיים ומעלים גיליונות שכר כדי "לסדר נוסחה". המאמר מסביר מהו Shadow AI, כמה הוא עולה, למה איסור גורף מחמיר את הבעיה, ואיך בונים מדיניות שמאפשרת לעבוד עם AI בלי לחשוף את הארגון ובלי לחרוג מגבולות דיני העבודה והפרטיות.
תקציר מנהלים
- לפי Work Trend Index של Microsoft ו־LinkedIn, 75% מעובדי הידע משתמשים ב־AI בעבודה, ו־78% מהם מביאים כלים משלהם, שלא סופקו על ידי הארגון1.
- לפי דוח עלות אירועי דליפת מידע של IBM לשנת 2025, רמה גבוהה של Shadow AI הוסיפה כ־670,000 דולר לעלות הממוצעת של אירוע, ו־63% מהארגונים שנבדקו לא החזיקו מדיניות ממשל AI2.
- תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, העניק לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים3. טיוטת הנחיית הרשות קובעת שנוהלי אבטחת המידע צריכים לחול גם על שימוש בכלי AI ציבוריים4.
- איסור גורף לא עוצר את השימוש, אלא דוחף אותו מתחת לרדאר. הפתרון הוא כלים מאושרים, סיווג מידע ברור, ובקרה שעומדת בעקרונות שקבע בית הדין הארצי לעבודה.
מהו Shadow AI ולמה זה לא עוד "Shadow IT"
Shadow AI, או "בינה מלאכותית בצל", הוא שימוש של עובדים בכלי AI שהארגון לא אישר, לא מכיר ולא מפקח עליהם. זה יכול להיות צ'טבוט חינמי בדפדפן, תוסף שמסכם פגישות, אפליקציה שמתמללת שיחות עם לקוחות, או כלי שמנתח קובץ אקסל שהעובד העלה.
התופעה דומה במבט ראשון ל־Shadow IT המוכר: עובדים שמשתמשים בתיקיית ענן פרטית או באפליקציית הודעות שלא אושרה. אבל יש שלושה הבדלים שהופכים את Shadow AI למסוכן יותר.
המידע עובר עיבוד, לא רק אחסון. כשעובד שומר קובץ בענן פרטי, הקובץ יושב שם. כשהוא מדביק אותו לכלי AI, הטקסט נשלח לשרתי הספק, מעובד, ולעתים נשמר לתקופה ממושכת. בחלק מהשירותים החינמיים הוא עלול לשמש גם לשיפור המודל.
אין סף כניסה. כדי להתקין תוכנה צריך לפעמים הרשאות. כדי להשתמש בכלי AI מספיק לפתוח דפדפן. אין התקנה, אין רכש ואין אישור, ולכן גם אין עקבות במערכות הארגון.
הפלט חוזר לתוך הארגון. Shadow AI לא רק מוציא מידע החוצה. הוא גם מכניס פנימה תשובות, ניתוחים וטיוטות שלא נבדקו. הצעת מחיר שנבנתה על חישוב שגוי של צ'טבוט, או מכתב ללקוח עם עובדה שהכלי "המציא", הם סיכון עסקי לא פחות מדליפה.
המקרה המפורסם ביותר הוא של Samsung. באפריל 2023 העלה מהנדס בחברה קוד מקור פנימי רגיש ל־ChatGPT, ובעקבות האירוע החברה אסרה על עובדיה שימוש בכלי בינה מלאכותית יוצרת5. החשש שהוביל להחלטה היה פשוט: מידע ששותף עם צ'טבוט נשמר על שרתים של ספקים חיצוניים, וקשה לאחזר אותו או למחוק אותו.
המספרים: כמה זה נפוץ וכמה זה עולה
ארבעה נתונים מתוך שני מחקרים גדולים ממחישים את הפער בין קצב האימוץ של העובדים לבין המוכנות של הארגונים.
שני הנתונים הכהים מגיעים מסקר עובדים של Microsoft ו־LinkedIn. שני הבהירים מגיעים ממחקר על ארגונים שנפגעו באירועי אבטחה, שערך Ponemon Institute עבור IBM. האוכלוסיות שונות, ולכן אין לחבר את הנתונים לחישוב אחד.
מעבר להיקף, יש גם מחיר. לפי דוח Cost of a Data Breach של IBM לשנת 2025, העלות הממוצעת העולמית של אירוע דליפת מידע ירדה ל־4.44 מיליון דולר. אבל בארגונים עם רמה גבוהה של Shadow AI, האירוע עלה בממוצע כ־670,000 דולר יותר2.
הנתון המטריד ביותר איננו העלות, אלא הפער בין מה שהעובדים עושים לבין מה שההנהלה יודעת. לפי אותו סקר של Microsoft, 60% מהמנהלים חוששים שלארגון שלהם אין תוכנית וחזון ליישום AI1. כלומר, בהרבה ארגונים העובדים כבר מתקדמים, וההנהלה עוד לא התחילה. Shadow AI הוא בדיוק מה שממלא את הוואקום הזה.
לאן המידע הולך
כדי להבין את הסיכון, כדאי לעקוב אחרי מסלול המידע. התרשים הבא משווה בין שני תרחישים: עובד שמדביק מידע לכלי ציבורי בחשבון פרטי, ועובד שמשתמש בכלי ארגוני מאושר.
ההבדל בין שני המסלולים איננו בהכרח המודל עצמו. לעתים קרובות זה אותו מודל בדיוק. ההבדל הוא בחוזה, בהגדרות ובשליטה. כשעובד משתמש בחשבון פרטי, הוא זה שהסכים לתנאי השימוש, ולא הארגון. לארגון אין דרך לדעת מה נשלח, אין לו הסכם עם הספק, ואין לו אפשרות לבקש מחיקה. סקירה של מאפייני הכלים הנפוצים, כולל ההבדלים בין גרסאות לצרכן לגרסאות לעסקים, תמצאו בסדרת המאמרים שלנו על כלי AI לעסקים.
פרדוקס האיסור
התגובה הטבעית של הנהלה שמגלה Shadow AI היא לאסור. זה נשמע אחראי, וזה גם מה ש־Samsung עשתה. אבל בארגון בינוני, בלי יכולות חסימה ובקרה של תאגיד ענק, איסור גורף משיג בדרך כלל את ההפך.
הסיבה פשוטה: העובדים משתמשים ב־AI כי זה עוזר להם. כשהארגון אוסר בלי להציע חלופה, הצורך לא נעלם. השימוש עובר לטלפון הפרטי, לחשבון הפרטי ולמחשב הביתי. עכשיו הארגון לא רק לא שולט במידע, אלא גם לא יודע שיש בעיה. האיסור מחליף סיכון גלוי בסיכון נסתר.
ויש לאיסור גם מחיר עסקי. כלי AI מסייעים משפרים את הפריון, במיוחד אצל עובדים חדשים. ארגון שאוסר את השימוש מוותר על היתרון הזה, בזמן שהמתחרים שלו מאמצים אותו. הטבלה הבאה משווה בין שלוש גישות נפוצות.
| גישה | מה קורה בפועל | סיכון מידע | ערך עסקי |
|---|---|---|---|
| איסור גורף | השימוש עובר למכשירים ולחשבונות פרטיים | גבוה ונסתר | נמוך: הארגון מוותר על שיפור הפריון |
| התעלמות | כל עובד בוחר כלי משלו, בלי כללים | גבוה | בינוני: ערך מפוזר, לא נמדד ולא משותף |
| אפשור מבוקר | כלים מאושרים, כללי מידע ברורים, הדרכה ובקרה | מנוהל | גבוה: שימוש גלוי שאפשר למדוד ולהרחיב |
אפשור מבוקר דורש השקעה: רישוי כלים ארגוניים, כתיבת מדיניות והדרכה. אבל זו השקעה שמחליפה סיכון לא ידוע בעלות ידועה, ובמקביל הופכת את השימוש ב־AI מבעיה לנכס. ארגונים שמתחילים בדרך הזו מגלים בדרך כלל שהמיפוי של Shadow AI הוא גם מיפוי טוב של ההזדמנויות: המקומות שבהם העובדים כבר מצאו שימוש מועיל הם המועמדים הטבעיים לפרויקטי הטמעה רשמיים. על הדרך להפוך שימוש כזה להטמעה אמיתית כתבנו במאמר היום שאחרי הפיילוט.
המסגרת המשפטית בישראל
Shadow AI נוגע בשני תחומי משפט במקביל, ושניהם השתנו בשנים האחרונות.
הגנת הפרטיות: תיקון 13 וטיוטת הנחיית ה־AI
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025, והעניק לרשות להגנת הפרטיות לראשונה סמכות סטטוטורית להטיל עיצומים כספיים בגין הפרות של החוק ושל התקנות. היקף העיצום תלוי בסוג ההפרה ובהיקפה ובמאפייני הארגון, ובמקרים מסוימים הוא עשוי להגיע למיליוני שקלים3. הסמכות כבר מופעלת: ביולי 2026 הודיעה הרשות על עיצום ראשון מכוח התיקון, בסך 256,000 ₪, בגין דיווח מאוחר על אירוע אבטחה חמור3.
במקביל פרסמה הרשות, באפריל 2025, טיוטת הנחיה בדבר תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית. לפי הסיכום של משרד שבלת, הטיוטה קובעת שהחוק חל לאורך כל מחזור החיים של מערכת AI, ומתייחסת במפורש לשימוש של ארגונים בכלי AI יוצר ציבוריים. לפי הטיוטה, נוהלי אבטחת המידע צריכים לחול גם על כלים חיצוניים, והארגון צריך להחזיק הסכמי עיבוד מידע עם הספקים, להדריך עובדים, להגביל את סוגי המידע שמוזנים לכלים, להגביל את משך שמירת השאילתות ולהגדיר אילו כלים מותרים4.
במילים אחרות, הכיוון הרגולטורי ברור: ארגון שלא יודע באילו כלי AI העובדים שלו משתמשים, ומה הם מכניסים אליהם, מתקשה לעמוד בדרישות. וכשמדובר במידע אישי על לקוחות או על עובדים, החשיפה כבר איננה תיאורטית.
דיני העבודה: גבולות הפיקוח על עובדים
הצד השני של המטבע הוא הפרטיות של העובדים עצמם. הדחף הראשון של ארגון שרוצה לשלוט ב־Shadow AI הוא לנטר: לבדוק לאילו אתרים העובדים נכנסים, מה הם מקלידים ומה הם מעלים. כאן נכנסת לתמונה הלכה מרכזית בדיני העבודה בישראל, פסק הדין שניתן בבית הדין הארצי לעבודה בשנת 2011 בעניין טלי איסקוב ענבר (עע 312/08)6. פסק הדין עסק בדואר אלקטרוני, אבל העקרונות שלו משמשים כמסגרת לכל פיקוח טכנולוגי על עובדים, ולכן יש להם השלכה ישירה על ניטור שימוש ב־AI.
ניטור עובדים: מה מותר ומה אסור
לפי סיכום פסק הדין שפרסם איגוד לשכות המסחר, בית הדין קבע שהמעסיק רשאי לקבוע מדיניות לשימוש במערכות העבודה, אבל כל פיקוח צריך לעמוד בשורה של תנאים: מדיניות ברורה וידועה מראש, תכלית לגיטימית שקשורה ישירות לעבודה, מידתיות ביחס לסיכון, בחינה של חלופות פוגעניות פחות, ושימוש במידע שנאסף רק למטרה שלשמה נאסף6. חדירה לתכתובת אישית של עובד נחשבת פגיעה חמורה בפרטיות, ומותרת רק בנסיבות חריגות של חשד ממשי לפעילות בלתי חוקית6.
הטבלה הבאה מתרגמת את העקרונות האלה לשאלות מעשיות של ניטור שימוש ב־AI. היא נועדה להמחשה ואינה תחליף לייעוץ משפטי, שכדאי לקבל לפני הפעלה של כל מערכת פיקוח.
| עיקרון מפסק הדין | מה זה אומר בהקשר של AI | דוגמה לגישה זהירה |
|---|---|---|
| מדיניות ושקיפות | העובדים צריכים לדעת מראש מה מותר, מה אסור ומה נבדק | נוהל AI כתוב, מוצג לעובדים ומעוגן בתקנון העבודה |
| תכלית לגיטימית | הגנה על מידע של לקוחות ועל סודות מסחריים היא אינטרס ענייני | הגדרה כתובה של מטרת הבקרה: מניעת דליפת מידע רגיש |
| מידתיות וחלופות | לפני ניטור תוכן, לבדוק אם חסימה או כלי מאושר פותרים את הבעיה | קודם חסימת אתרים לא מאושרים וכלי ארגוני חלופי, ורק אחר כך בקרה ממוקדת |
| צמידות למטרה | מידע שנאסף לצורך אבטחה לא ישמש להערכת ביצועים | הפרדה בין צוות האבטחה לבין הממונים הישירים |
| תחום אישי | חשבונות AI פרטיים ותכתובת אישית אינם שטח פתוח לבדיקה | בקרה על מערכות הארגון בלבד, לא על חשבונות פרטיים |
המסקנה המעשית: ההגנה הטובה ביותר מפני Shadow AI איננה מעקב אחרי העובדים, אלא ייתור הצורך להסתתר. כשיש כלי מאושר שעובד טוב, רוב העובדים פשוט ישתמשו בו. בקרה טכנית נשארת חשובה, אבל היא שכבת הגנה נוספת ולא הפתרון המרכזי. למי שרוצה להעמיק בצד המשפטי של יחסי העבודה, יש מגוון מאמרים בקטגוריית דיני עבודה באתר.
רמזור המידע: מה מותר להכניס לכלי AI
הכלל הכי שימושי שאפשר לתת לעובדים איננו רשימה של כלים, אלא רשימה של סוגי מידע. עובד שיודע לסווג מידע יקבל החלטה נכונה גם מול כלי חדש שעוד לא נכנס לנוהל. השיטה הפשוטה ביותר היא רמזור בשלושה צבעים.
שימו לב שהקטגוריה האדומה כוללת נתוני שכר ועובדים. בארגונים רבים דווקא שם מתרחש השימוש הנפוץ: מנהל שמעלה גיליון שכר כדי לבנות טבלת ציר, או עובדת משאבי אנוש שמבקשת מצ'טבוט לנסח מכתב סיום העסקה עם כל הפרטים. מדובר במידע אישי רגיש על עובדים, והפרה בתחום הזה חושפת את הארגון גם לטענות של העובדים עצמם.
רמזור עובד רק אם הוא פשוט. מסמך מדיניות של עשרים עמודים לא ייקרא. כרטיס של עמוד אחד, עם שלושה צבעים ודוגמאות מהעבודה היומיומית של המחלקה, ייזכר.
תוכנית 90 יום: מצל לאור
התוכנית הבאה מתאימה לחברה בינונית שאין לה עדיין מדיניות AI. היא בנויה בשלושה שלבים, וכל שלב נשען על הקודם.
שלב 1: מיפוי בלי האשמות
המטרה בשלב הראשון היא לגלות את האמת, ולכן הסקר חייב להיות אנונימי. שאלו באילו כלים העובדים משתמשים, לאילו משימות ואיזה סוג מידע הם מכניסים. במקביל, צוות ה־IT יכול לבדוק ברמה מצרפית לאילו שירותי AI יש תעבורה מרשת הארגון. תוך הקפדה על עקרונות המידתיות, הכוונה היא לתמונה כללית ולא לבדיקה של עובד מסוים. רוב הארגונים מופתעים בשלב הזה, גם מהיקף הסיכון וגם מהיקף הערך.
שלב 2: אפשור לפני איסור
על בסיס המיפוי, בחרו כלי ארגוני אחד או שניים שמכסים את רוב השימושים, ובדקו את תנאי העיבוד שלהם. כתבו נוהל קצר ואת רמזור המידע, ועגנו אותם בתקנון העבודה או בנספח לחוזה, כפי שפסק הדין מציע לעשות עם מדיניות שימוש במערכות. לפני שבוחרים כלים, כדאי לבדוק את מוכנות הארגון בעזרת שאלון בשלות הארגון ל־AI, שעוזר לזהות אילו תשתיות חסרות.
שלב 3: הטמעה, חסימה ובקרה
רק כשיש חלופה מאושרת, מגיע הזמן לחסום כלים לא מאושרים ברשת הארגון. במקביל, פתחו ערוץ פשוט שבו עובד יכול לבקש אישור לכלי חדש. בלי ערוץ כזה, כל צורך חדש יחזיר את העובדים לצל. ההדרכה צריכה להיות לפי מחלקות, עם דוגמאות מהעבודה האמיתית: איש מכירות צריך לדעת מה לעשות עם הצעת מחיר, ואיש כספים עם דוח רווח והפסד.
ובסוף כל רבעון: מדדו. כמה עובדים משתמשים בכלים המאושרים, אילו בקשות לכלים חדשים הוגשו, והאם התגלו אירועים. מדיניות AI איננה מסמך שכותבים פעם אחת. הכלים משתנים מהר מדי.
הצד השני: Shadow AI כמפת הזדמנויות
עד כאן דיברנו על סיכון. אבל יש דרך נוספת להסתכל על Shadow AI, וזו הדרך שבה אנחנו מסתכלים עליו בשיטת NLC: כעל מחקר שוק פנימי שהעובדים כבר עשו בשבילכם, בחינם.
כל עובד שמצא דרך לקצר משימה בעזרת AI זיהה בעצם צוואר בקבוק בתהליך העבודה. נציגת שירות שמנסחת תשובות בעזרת צ'טבוט מגלה שאין לארגון מאגר תשובות מסודר. מנהל מכירות שמסכם שיחות בכלי חיצוני מגלה שה־CRM לא נותן לו את מה שהוא צריך. איש כספים שמנקה דוחות בעזרת AI מגלה שהנתונים מגיעים מהמערכות במבנה שדורש עבודה ידנית.
כשהסקר בשלב המיפוי נבנה נכון, הוא לא שואל רק "באיזה כלי אתה משתמש", אלא גם "איזו בעיה הוא פותר לך" ו"כמה זמן הוא חוסך לך בשבוע". התשובות לשאלות האלה הן רשימת עדיפויות מוכנה לפרויקטי AI רשמיים: הן מראות איפה יש ביקוש אמיתי, איפה העובדים כבר משתמשים, ואיפה הערך כבר הוכח בשטח, גם אם בלי בקרה.
יש כאן גם מסר חשוב לגבי העובדים עצמם. העובדים שמשתמשים ב־AI ביוזמתם הם לעתים קרובות העובדים הסקרנים והיעילים ביותר בארגון. תגובה שמתייחסת אליהם כאל מפרי נהלים עלולה לדחוף אותם החוצה, וזה מחיר כבד, כפי שהראינו במאמר על העלויות הנסתרות של תחלופת עובדים. תגובה שהופכת אותם ל"שגרירי AI" במחלקה, שמובילים את ההטמעה המסודרת ומדריכים את העמיתים, מנצלת בדיוק את היכולת שהם כבר הוכיחו.
מי אחראי? חלוקת תפקידים בהנהלה
אחת הסיבות ש־Shadow AI מתפתח היא שאף אחד בהנהלה לא מרגיש שזה התפקיד שלו. ה־IT רואה בזה בעיית אבטחה, משאבי האנוש רואים בזה בעיית משמעת, והמנכ"ל רואה בזה נושא טכנולוגי. בפועל זה כל השלושה, ולכן צריך בעלים אחד וחלוקה ברורה.
| בעל תפקיד | אחריות |
|---|---|
| מנכ"ל / הנהלה | החלטה עקרונית על אפשור מבוקר, מינוי בעלים לנושא, תקציב לכלים |
| IT ואבטחת מידע | בחירת כלים, בדיקת תנאי עיבוד, הרשאות, חסימה ובקרה טכנית |
| משאבי אנוש | עיגון הנוהל בתקנון, הדרכות, טיפול בהפרות באופן מידתי |
| ייעוץ משפטי / ממונה פרטיות | התאמה לדיני הגנת הפרטיות ודיני העבודה, הסכמי עיבוד מידע |
| מנהלי מחלקות | זיהוי שימושים מועילים, דוגמאות להדרכה, הטמעה בשגרת העבודה |
בארגונים בינוניים, תפקיד הבעלים יכול להיות של סמנכ"ל התפעול או של מנהל ה־IT, בתנאי שיש לו גיבוי מההנהלה. הנושא נוגע ישירות גם להגנת הסייבר של הארגון, ולכן כדאי לשלב אותו בסקר הסיכונים השנתי ולא לטפל בו כפרויקט נפרד.
ארבע טעויות נפוצות
חסימה בלי כלי מאושר מעבירה את השימוש לטלפון הפרטי. הסדר הנכון הוא קודם חלופה, ורק אחר כך חסימה.
מסמך משפטי ארוך מגן על הארגון בבית המשפט, אבל לא משנה התנהגות. לצדו צריך כרטיס של עמוד אחד ורמזור מידע.
ניטור תוכן גורף, בלי מדיניות ובלי מידתיות, עלול לחרוג מהעקרונות שקבע בית הדין לעבודה ולפגוע באמון של העובדים.
רוב המדיניות מתמקדת במה שנכנס לכלי. אבל צריך גם כלל על מה שיוצא ממנו: פלט של AI שנשלח ללקוח או נכנס להחלטה עסקית חייב לעבור בדיקה אנושית.
מילון מונחים
| מונח בעברית | English | הסבר קצר |
|---|---|---|
| בינה מלאכותית בצל | Shadow AI | שימוש בכלי AI שהארגון לא אישר ולא מפקח עליהם |
| "הבא את ה־AI שלך" | BYOAI | עובדים שמשתמשים בכלי AI אישיים לצורכי עבודה |
| ממשל AI | AI Governance | מדיניות, אחריות ובקרה על השימוש ב־AI בארגון |
| הסכם עיבוד מידע | Data Processing Agreement | חוזה שמגדיר איך ספק מעבד ושומר מידע של הארגון |
| תסקיר השפעה על הפרטיות | DPIA | הערכת סיכוני פרטיות לפני הפעלת מערכת חדשה |
| עיצום כספי | Administrative Fine | קנס מנהלי שרשות מוסמכת מטילה בלי הליך פלילי |
| מניעת דליפת מידע | DLP – Data Loss Prevention | כלים שמזהים וחוסמים העברה של מידע רגיש מחוץ לארגון |
שאלות ותשובות
מה זה Shadow AI?
Shadow AI הוא שימוש של עובדים בכלי בינה מלאכותית שהארגון לא אישר ולא מפקח עליהם, למשל צ'טבוט חינמי בחשבון פרטי. הסיכון העיקרי הוא שמידע של הארגון ושל לקוחותיו נשלח לשרתי ספקים חיצוניים בלי הסכם, בלי שליטה בשמירה ובלי תיעוד.
כמה עובדים משתמשים בכלי AI משלהם בעבודה?
לפי Work Trend Index לשנת 2024 של Microsoft ו־LinkedIn, 75% מעובדי הידע משתמשים ב־AI בעבודה, ו־78% מהמשתמשים מביאים כלים משלהם שלא סופקו על ידי הארגון.
כמה עולה Shadow AI לארגון?
לפי דוח Cost of a Data Breach של IBM לשנת 2025, בארגונים עם רמה גבוהה של Shadow AI עלות אירוע דליפת מידע הייתה גבוהה בכ־670,000 דולר מהממוצע העולמי, שעמד על 4.44 מיליון דולר.
האם כדאי לאסור על העובדים להשתמש ב־AI?
איסור גורף בלי חלופה מעביר בדרך כלל את השימוש למכשירים ולחשבונות פרטיים, כך שהסיכון נשאר אבל נעשה נסתר. הגישה המומלצת היא אפשור מבוקר: כלים ארגוניים מאושרים, כללים ברורים לסוגי המידע, הדרכה, ורק אחר כך חסימה של כלים לא מאושרים.
האם מותר למעסיק לנטר שימוש של עובדים בכלי AI?
לפי העקרונות שקבע בית הדין הארצי לעבודה בפסק דין איסקוב ענבר (2011), פיקוח על מערכות העבודה אפשרי בכפוף למדיניות ברורה וידועה מראש, תכלית לגיטימית, מידתיות, בחינת חלופות פוגעניות פחות ושימוש במידע רק למטרה שלשמה נאסף. חדירה לתכתובת אישית מותרת רק בנסיבות חריגות. מומלץ לקבל ייעוץ משפטי לפני הפעלת ניטור.
מה תיקון 13 לחוק הגנת הפרטיות משנה לגבי AI?
תיקון 13, שנכנס לתוקף באוגוסט 2025, העניק לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים. טיוטת הנחיית הרשות בנושא AI ממליצה שנוהלי אבטחת המידע יחולו גם על כלי AI ציבוריים, כולל הסכמי עיבוד מידע, הדרכת עובדים, הגבלת סוגי המידע שמוזנים והגדרת כלים מותרים.
מאיפה מתחילים?
מסקר אנונימי לעובדים: באילו כלים הם משתמשים, לאילו משימות ואיזה מידע הם מכניסים. הסקר חושף גם את הסיכונים וגם את השימושים המועילים, ומהווה בסיס לבחירת כלים מאושרים ולכתיבת רמזור מידע.
יודעים באילו כלי AI העובדים שלכם משתמשים?
נמפה איתכם את השימוש הקיים, נבחר כלים מאושרים, נבנה רמזור מידע ונוהל שמתאים לארגון, ונלווה את ההטמעה. כך שה־AI ייצר ערך, בלי לחשוף את המידע שלכם.
לתיאום פגישת השבחהמקורות
- Microsoft & LinkedIn, 2024 Work Trend Index (8.5.2024). news.microsoft.com
- IBM, 2025 Cost of a Data Breach Report: Navigating the AI rush without sidelining security. ibm.com
- שבלת, עדכון לקוחות: אכיפה בעקבות תיקון 13, הרשות להגנת הפרטיות הטילה עיצום כספי. shibolet.com
- שבלת, טיוטת הנחיית הרשות להגנת הפרטיות בעניין תחולת הוראות חוק הגנת הפרטיות על מערכות בינה מלאכותית (29.4.2025). shibolet.com
- Forbes Australia, Samsung bans ChatGPT among employees after sensitive code leak (2.5.2023). forbes.com.au
- איגוד לשכות המסחר, סיכום עע 312/08 טלי איסקוב ענבר נ' מדינת ישראל, בית הדין הארצי לעבודה (8.2.2011). chamber.org.il
המאמר מיועד למידע כללי ואינו מהווה ייעוץ משפטי. לפני גיבוש מדיניות או הפעלת ניטור עובדים מומלץ להתייעץ עם עורך דין המתמחה בדיני עבודה ובהגנת הפרטיות.