מאגרי מידע, חוקי ישראל ובינה מלאכותית — מי, מתי, ולפי מה

כשמערכת AI ׳נוגעת׳ במאגר — שלוש דוגמאות

דוגמה 1 — chatbot שירות לקוחות

חברת ביטוח מטמיעה צ׳אטבוט מבוסס GPT שיודע לענות על שאלות לקוחות מתוך מערכת ה-CRM. הצ׳אטבוט מקבל גישת קריאה למאגר הלקוחות. במונחי החוק:

• המאגר ממשיך להיות מאגר רשום (לא משתנה).
• OpenAI נוסף כ-׳מחזיק׳ — צריך חוזה DPA, לתעד ברישום ככל שמדובר במידע ספציפי.
• חובה ליידע את נושאי המידע על השימוש ב-AI לטיפול בפניותיהם.
• תיעוד גישה חובה — איזה פניות הופנו לצ׳אטבוט, מה הוצא מהמאגר. ראו תקנה 13.

דוגמה 2 — מודל פנימי מאומן על נתוני לקוחות

חברת פינטק מאמנת מודל סיכון אשראי על היסטוריית הלקוחות. במונחי החוק:

• ה-׳מאגר׳ של מודלי האימון יכול להיחשב מאגר נפרד — אם ניתן לשלוף ממנו מידע אישי מזוהה.
• אם המאגר המקורי ׳ברמת אבטחה גבוהה׳, כל פעולות העיבוד (כולל אימון) חייבות בתקנות אבטחת המידע.
• זכות התיקון של נושא המידע מתרחבת — אם הלקוח מתקן את המידע שלו, צריך לבחון את ההשפעה על המודל.

דוגמה 3 — Microsoft Copilot ב-Microsoft 365

ארגון רוכש רישיון Copilot. העובדים מתחילים להשתמש במייל, Word, Excel וכלי הסיכום. במונחי החוק:

• Microsoft הוא ׳מחזיק׳ — בחלק מהמאגרים בתוך הארגון.
• חוזה Enterprise קיים בדרך כלל מספק את הבסיס החוזי, אבל יש לבדוק שהוא כולל את תנאי ה-Copilot.
• העברת מידע ל-Azure בארה״ב או באירופה — מותרת בעיקרון בזכות מסגרת DPF החדשה.

חובת היידוע — מה לכלול במדיניות פרטיות שמשתמשים ב-AI

סעיף 11 לחוק מחייב את מנהל המאגר ליידע את נושא המידע בעת איסוף המידע. הרשות עדכנה הנחיות ב-2025 שדרשו תוספות בעידן AI:

1. הצהרה ברורה על שימוש ב-AI בעיבוד המידע
2. זהות הספקים החיצוניים (לפחות בקטגוריות — ׳ספק שירותי AI מאומן בארה״ב׳)
3. מטרת השימוש — אישית, אנליטיקה, החלטה אוטומטית
4. האם המידע משמש לאימון מודלים (במיוחד אם כן)
5. זכות לערעור על החלטה אוטומטית — איך פונים, מה התהליך

העברה לחו״ל — תרחישים נפוצים

תרחיש: שימוש ב-API של OpenAI מישראל

OpenAI שומרת לוגי שימוש בארה״ב (לפי ברירת מחדל ל-30 יום). אם פרומפט כולל מידע אישי, מתבצעת העברה למאגר OpenAI בארה״ב. הבסיס החוקי:

• ערבויות חוזיות (DPA סטנדרטי של OpenAI Enterprise)
• אם הארגון בחר באופציה ׳No data retention׳ — סיכון מופחת כי הלוג לא נשמר
• תיעוד פעולת ההעברה בנוהל הפנימי של הארגון

תרחיש: שירות SaaS ישראלי שמשתמש ב-LLM בארה״ב

ארגון ישראלי משתמש ב-SaaS ישראלי. ה-SaaS משתמש מאחורי הקלעים ב-API של Anthropic בארה״ב. כאן יש שתי שכבות: הארגון ↔ ספק ה-SaaS הישראלי (מחזיק ראשי), ספק ה-SaaS ↔ Anthropic (sub-processor). החובה של הארגון: לקבל מהספק רשימת sub-processors, ולאשר אותם בכתב.

הפורטל מזהה כל מערכת AI שמעבדת מידע אישי בארגון, מסמן ספקים שדורשים בדיקה משפטית, ומפיק רשימת פעולות לעדכון מסמכי המאגר. במקום לקרוא 60 עמודי חוק ותקנות, השאלון מבצע את התרגום אוטומטית.