שלוש הרגליים של GRC
Governance
ממשל — מי מחליט, מי מאשר, מי חותם
Risk
סיכון — זיהוי, מדידה, וטיפול בסיכוני AI
Compliance
ציות — חוקים, תקנים, RFP-ים
Governance — ממשל
מי מחליט. מי בעלי התפקיד שאחראים על AI בארגון? מי מאשר שימושים חדשים? מי חותם על חוזים מול ספקים? מי מייצג את הארגון מול הרגולטור? בלי הגדרות תפקיד ברורות, סיכוני AI ׳נופלים בין הכיסאות׳.
Risk — סיכון
איזה סיכונים יש לארגון, איך מזהים, איך מודדים, ואיך מטפלים. סיכוני AI נחלקים בגדול ל-4 קטגוריות:
- טכניים: דיוק נמוך, הזיות, הטיה, חוסר יציבות בין גרסאות
- מידע: דליפה דרך פרומפטים, שימוש בנתוני אימון אישיים, אובדן בקרה על מידע שיוצא
- רגולטוריים: ציות ל-EU AI Act, חוק הגנת הפרטיות, תקנים סקטוריאליים
- מוניטין: תשובות בעייתיות שמתגלות פומבית, אפליה אלגוריתמית, אחריות משפטית
סיכון AI שלא ניתן לזהות — לא ניתן לנהל. סיכון שלא ניתן למדוד — לא ניתן לדווח. בלי מיפוי, אפילו ועדת AI הטובה ביותר פועלת בעיוורון.
Compliance — ציות
אילו חוקים, תקנים והנחיות חלים על הארגון, ואיך מוודאים עמידה. הציות הוא תוצאה של ממשל וניהול סיכון טובים — לא משהו שאפשר להוסיף בסוף.
מסגרת תוכנית GRC AI — חמישה מודולים
- 1
מיפוי
רשימת מערכות AI, ספקים, מחלקות, שימושים. בלי זה אין שום בסיס לדבר.
- 2
מדיניות וסטנדרטים
AI Use Policy, מסלול אישור לכלים חדשים, עמדת הארגון מול שימושים גנרטיביים.
- 3
בקרות תפעוליות
DPA מעודכן, מעקב אנושי, רישום פעולות, ותהליך דיווח אירועים.
- 4
הכשרה
מודולים בסיסיים — מה לא להעלות, איך לזהות הזיות, ולמי לדווח על בעיה.
- 5
מעקב ושיפור
KPIs, מבדק פנימי שנתי, עדכון מדיניות. תוכנית חיה שמתפתחת.
איך הפורטל עוזר בכל מודול
- מיפוי: שאלון מובנה ב-15-30 דקות, פלט אוטומטי למרשמי כלי AI, אוטומציות וספקים.
- מדיניות: זיהוי פערים במדיניות הקיימת והצעות שיפור על בסיס התשובות.
- בקרות: סימון מערכות שדורשות מעקב אנושי, חוזי DPA שצריך לחדש, ואירועים לדווח עליהם.
- הכשרה: נתונים על אילו מחלקות חשופות יותר — בסיס למיקוד הכשרה.
- מעקב: דשבורד תובנות AI שמתעדכן בכל שמירת שאלון, רץ ב-pipeline אוטומטי של ממצאים והמלצות.
איך מתחילים בלי תקציב גדול
אם אין תקציב ליועץ חיצוני, אפשר להתחיל בעצמך עם רצף קצר:
- שבוע 1: רישום נכסי AI — לעבור על כל מחלקה, לרשום מה משתמשים, ספק, נתונים. הפורטל מנהל את זה.
- שבוע 2-3: לכתוב מדיניות בסיסית של עמוד אחד — מה מותר, מה אסור, ולמי לדווח. להעביר לאישור הנהלה.
- שבוע 4: לעדכן את חוזי הספקים העיקריים (3-5 הספקים הגדולים).
- אחרי חודש: לסיים את שלושת הצעדים הראשונים, להעריך פערים נוספים בעזרת הפורטל, ולתעדף ב-90 יום הבאים. למסלול עומק, ראו ISO/IEC 42001 ואת הערכת סיכוני AI.
שאלות נפוצות
4 שאלותמה ההבדל בין GRC קלאסי ל-GRC AI?
GRC קלאסי מתמקד בנתונים, תהליכים ותשתית. GRC AI מוסיף שכבה של סיכונים ייחודיים: הטיה אלגוריתמית, חוסר הסבר (black-box), זיהוי הזיות (hallucinations) במודלי שפה, ניהול ספקי AI עם תנאי שימוש משתנים, וחשיפת מידע אישי דרך פרומפטים. ארגון שמיישם 27001 או 9001 כבר מכיר את המבנה הניהולי — צריך להוסיף אליו את הבקרות הייעודיות.
מי בארגון אחראי על GRC AI?
אין תפקיד אחד שמכסה את כל התחום. בפועל: CISO/CTO על הסיכון הטכני, יועץ משפטי על תאימות רגולטורית, מנהלי מחלקות על שימוש פרקטי, ו-DPO על מימדי הפרטיות. ארגונים מתקדמים מקימים ׳ועדת AI׳ או ׳AI Council׳ שמרכזת את ההחלטות. בארגון בינוני זה בדרך כלל 3-5 אנשים שמתכנסים פעם בחודש.
מהן הבקרות הקריטיות הראשונות?
ארבע בקרות שכל ארגון צריך להתחיל מהן: (1) רישום נכסי AI — רשימה אחת של כל מערכות ה-AI בארגון. (2) מדיניות שימוש — מה מותר להעלות לכלי AI חיצוני, מה אסור. (3) DPA מעודכן עם ספקי AI עיקריים. (4) תהליך מעקב למערכות שמקבלות החלטות עם השפעה אישית.
כמה זה עולה?
תלוי בגודל ובבשלות. ארגון של 50-200 עובדים מבצע מיפוי ראשוני ובניית מדיניות ב-3-4 חודשים. עלות יועץ: 30-80K ₪. הפורטל שלנו מקצר את שלב המיפוי משבועות לדקות, כך שהיועץ מגיע ממוקד יותר ועלות הפרויקט יורדת ב-30-50%.
מוכנות מבוססת נתונים
מוכנים למפות את חשיפת ה-AI בארגון?
פורטל מובנה בעברית — שאלון 15 דקות, תוצאה מיידית של פערים ומפת דרכים.
שאלות? צריכים ייעוץ?
מענה אנושיצוות AliceSolutionsGroup זמין לליווי ארגונים במסלול מוכנות ל-ISO/IEC 42001, EU AI Act ותיקון 13 לחוק הגנת הפרטיות.
מפת נושאים
איך GRC ל-AI מתחבר לשאר המדריכים
קו מודגש = קשר ישיר. קו מקווקו = השתייכות לאותו אשכול.
מאמר באשכול: מסגרת