תקנה 13 ובינה מלאכותית — איך תקנות אבטחת המידע חלות על מערכות AI

סקירת התקנות — חמש רמות אבטחה

תקנות הגנת הפרטיות (אבטחת מידע) מסווגות כל מאגר לאחת מחמש רמות אבטחה:

• מאגר בסיסי — דרישות מינימליות (תקנה 4)
• מאגר ברמה בינונית — מצריך נוהל אבטחה מתועד (תקנה 5)
• מאגר ברמה גבוהה — דרישות מוגברות, כולל ביקורות שנתיות (תקנה 13)
• מאגר בהיקף ייחודי — מעל 5 מיליון נושאי מידע
• מאגר מסוג מיוחד — מאגרי גופים ציבוריים מסוימים

רוב ארגוני SaaS, פינטק, ובריאות בישראל מסווגים כ-׳מאגר ברמה גבוהה׳ — וזה השלב שבו תקנה 13 נכנסת לתוקף. למפת המאגרים השלמה, ראו מאגרי מידע + חוקי ישראל + AI.

החובות העיקריות של תקנה 13

1. ניהול הרשאות גישה

חובה לתעד מי רשאי לגשת למאגר, באיזו רמת הרשאה (קריאה / כתיבה / מחיקה), ועל בסיס מה ניתנה ההרשאה. בהקשר AI:

• איזה משתמשים יכולים להזין מידע מהמאגר לכלי AI חיצוני?
• איזה מערכות AI מקבלות הרשאת קריאה ל-API של המאגר (לדוגמה, chatbot שמושך נתוני לקוח)?
• איזה משתמשים יכולים להוריד פלטים של מודל שמכיל מידע אישי?

רשימה זו צריכה להתעדכן בכל שינוי תפקיד, וצריך לבטל הרשאה מיד עם סיום העסקה.

2. תיעוד פעולות גישה (audit log)

כל גישה למאגר ברמה גבוהה צריכה להיות מתועדת בלוג שלא ניתן לשנות. בהקשר AI, זה משמעותי:

• תיעוד של כל פרומפט שכולל מידע אישי
• תיעוד של כל קריאת API מ-מערכת AI למאגר המידע הארגוני
• תיעוד של אילו נתונים יוצאו לכלי AI חיצוני, מתי, ועל ידי מי

3. בקרת מורשים תקופתית

תקנה 13 דורשת ביקורת תקופתית של מורשי הגישה — בדרך כלל פעם בשנה לפחות. במערכות AI, הביקורת חייבת לכלול גם: אילו service accounts וAPI keys ניגשים למאגר? האם הספקים החיצוניים עדיין פעילים? האם חוזי DPA איתם בתוקף?

4. ניהול אירועי אבטחת מידע

תקנה 13 מטילה חובת תיעוד וטיפול בכל אירוע אבטחת מידע — כולל ניסיון גישה לא מורשית, חשיפה בלתי מכוונת, אובדן נתונים. בהקשר AI, יש אירועים ייחודיים שצריך להגדיר:

• ׳הזיה׳ של מודל שחשפה מידע פרטי של משתמש אחר
• הזנת מידע רגיש לכלי AI חיצוני ללא DPA (שימוש לא מורשה של עובד)
• שינוי מודל אצל הספק שגרם לאיכות תוצאות פחותה או הטיה

אירוע חמור (השפעה על 10,000 נושאי מידע ומעלה, או מידע ברגישות מיוחדת) חייב בדיווח לרשות תוך 72 שעות מהזיהוי. ראו פירוט החובה בתיקון 13 לחוק.

5. ביקורת פנימית תקופתית

מאגר ברמת אבטחה גבוהה חייב במבדק פנימי לפחות אחת לשנתיים. ארגון מתקדם משלב את המבדק הזה עם מבדקי ISO 27001 ו-ISO 42001 — חיסכון משמעותי בעבודה חוזרת. ראו את המדריך שלנו לחיבור בין שני התקנים.

חמש פעולות מיידיות לעמידה בתקנה 13 בהקשר AI